Tel. 644 11 39 35
Seguridad
de la Información
Cumplimiento: Obligación y beneficio
La Seguridad de la información se ha convertido en un pilar fundamental para garantizar la confidencialidad, integridad y disponibilidad de los datos en organizaciones de todo tipo y tamaño. Adoptar y cumplir estándares reconocidos como el Esquema Nacional de Seguridad (ENS), la Directiva NIS2 o la ISO 27001 permite establecer un marco sistemático de políticas, controles y procedimientos que protegen la información frente a amenazas internas y externas, asegurando al mismo tiempo el cumplimiento normativo y la confianza de usuarios y clientes.
En IB InfoSeguridad ofrecemos un enfoque integral para acompañarle en la implementación y mantenimiento de normas y estándares de seguridad de la información, como el ENS, la Directiva NIS2, la ISO 27001, la ISO 22301, los Controles CIS o el marco NIST CSF. También le apoyamos durante los procesos de auditoría para que no se sienta solo en ningún momento.
Le ayudaremos en las tareas de identificación de riesgos, a definir políticas y procedimientos y establecer controles efectivos, asegurando que su infraestructura y procesos cumplan con los requisitos normativos y mejores prácticas reconocidas.
Si su organización ya tiene algunos controles implantados y desea conocer su grado de cumplimiento actual, realizamos tanto auditorías internas como análisis de brechas (gap analysis) para comprobar en qué punto se encuentra respecto a los requisitos marcados por los estándares de seguridad. Así se descubren las áreas menos maduras que necesitan un mayor foco, y ayuda a la priorización de esfuerzos.
Con nuestra ayuda alcanzará un doble objetivo, no solo conseguirá el cumplimiento legal y normativo, sino que también reforzará la confianza de clientes y socios, garantizando una gestión segura, real y sostenible de su información.
NORMATIVAS
Destacamos los principales estándares y normas en materia de seguridad de la información que son de aplicación a organizaciones de diverso ámbito y tamaño, donde podremos ayudarle en la implantación, mantenimiento, análisis de brechas y acompañamiento en auditorías.
ENS
Esquema Nacional
de Seguridad.
Real Decreto
311/2022
El Esquema Nacional de Seguridad (ENS) es un marco normativo diseñado para garantizar un alto nivel de seguridad en los sistemas de información de las administraciones públicas y de los proveedores de servicios que trabajan con ellas.
Su objetivo principal es proteger la confidencialidad, integridad y disponibilidad de la información, estableciendo medidas mínimas de seguridad adaptadas al nivel de riesgo de cada sistema.
El Esquema Nacional de Seguridad estructura sus medidas de seguridad en tres grandes bloques: marco organizativo, que define la gobernanza de la seguridad, incluyendo la política de seguridad, la gestión de riesgos, la asignación de responsabilidades y la coordinación entre los distintos actores; marco operacional, que agrupa las medidas relacionadas con la operación diaria de los sistemas, como la protección de servicios, la gestión de incidentes, la continuidad del servicio y la monitorización; y marco de protección, que engloba las medidas técnicas y físicas destinadas a salvaguardar los sistemas de información, como el control de accesos, la protección de redes y sistemas, la seguridad de las comunicaciones y la protección frente a amenazas y vulnerabilidades.
ISO 27001
SGSI: Seguridad de la información, ciberseguridad y protección de la privacidad
La ISO 27001 es un estándar internacional que establece los requisitos para implementar un Sistema de Gestión de Seguridad de la Información (SGSI), orientado a proteger la confidencialidad, integridad y disponibilidad de los datos en cualquier tipo de organización.
Esta norma proporciona un marco sistemático para identificar riesgos, establecer controles, definir políticas y procedimientos, y asegurar la mejora continua en la gestión de la seguridad de la información.
Los controles de seguridad se organizan en cuatro grandes bloques: controles organizativos, que abarcan políticas, gestión de riesgos, roles, responsabilidades y gobernanza de la seguridad; controles de personas, centrados en la seguridad relacionada con los empleados, como la concienciación, formación, procesos de selección y responsabilidades durante y después del empleo; controles físicos, que cubren la protección de instalaciones, equipos y áreas sensibles frente a accesos no autorizados o daños; y controles tecnológicos, que incluyen las medidas técnicas para proteger sistemas y redes, como gestión de accesos, cifrado, seguridad de comunicaciones, protección contra malware y monitorización de la actividad.
NIS2
Directiva Europea (UE) 2022/2555 del Parlamento Europeo
y del Consejo
La NIS2 es una directiva europea, por lo tanto de obligado cumplimiento para los sectores afectados, que establece un marco común de ciberseguridad para las organizaciones que operan en sectores críticos y proveedores de servicios esenciales.
Abarca un amplio conjunto de sectores divididos en entidades esenciales e importantes, incluyendo infraestructuras críticas como energía, transporte, banca, sanidad, agua, administración pública, infraestructura digital y espacio, así como otros ámbitos como servicios postales, gestión de residuos, industria manufacturera, alimentación, proveedores de servicios digitales y TIC, y organizaciones de investigación. Su aplicación depende además del tamaño y la relevancia de la entidad, por lo que extiende significativamente el alcance de la ciberseguridad a gran parte del tejido empresarial y público.
Su objetivo es garantizar un alto nivel de seguridad en las redes y sistemas de información, promoviendo la identificación y gestión de riesgos, la implementación de medidas de seguridad adecuadas y la notificación de incidentes significativos a las autoridades competentes.
NIST CSF 2
Marco de ciberseguridad 2.0
El NIST Cybersecurity Framework 2.0 (CSF 2.0), desarrollado por el National Institute of Standards and Technology (NIST), es un marco flexible diseñado para ayudar a las organizaciones a gestionar y reducir el riesgo de ciberseguridad. Proporciona un lenguaje común y un enfoque estructurado para identificar, proteger, detectar, responder y recuperarse de amenazas cibernéticas. A diferencia de las normas certificables, es voluntario y adaptable a organizaciones de cualquier tamaño o sector.
El marco se organiza en seis funciones principales: Govern (Gobernar), Identify (Identificar), Protect (Proteger), Detect (Detectar), Respond (Responder) y Recover (Recuperar). Estas funciones se desglosan en categorías y subcategorías que definen resultados y actividades específicas de ciberseguridad. Las organizaciones utilizan perfiles para evaluar su situación actual, definir un estado objetivo e identificar brechas que permitan priorizar mejoras.
La versión 2.0 introduce un mayor énfasis en la gobernanza, integrando la ciberseguridad en la gestión global del riesgo empresarial y en la toma de decisiones estratégicas.
Además, amplía su aplicabilidad más allá de infraestructuras críticas, refuerza la gestión de riesgos en la cadena de suministro y mejora la alineación con otros marcos como ISO 27001 y los CIS Controls, convirtiéndolo en una herramienta práctica para aumentar la madurez y resiliencia en ciberseguridad.
ISO 22301
Sistema de gestión de la continuidad del negocio
La ISO 22301 es una norma internacional publicada por la International Organization for Standardization (ISO) que establece los requisitos para implantar, mantener y mejorar un Sistema de gestión de continuidad de negocio (BCMS). Su objetivo es ayudar a las organizaciones a prepararse para interrupciones, reducir su impacto y garantizar la continuidad de las operaciones críticas.
La norma sigue la estructura de alto nivel de ISO (HLS), lo que facilita su integración con otros sistemas de gestión como ISO 27001. Define requisitos relacionados con el análisis de impacto en el negocio (BIA), la evaluación de riesgos, la planificación de la continuidad, la respuesta ante incidentes y la recuperación. Además, exige la realización de pruebas, ejercicios y revisiones periódicas para asegurar la eficacia del sistema.
ISO 22301 promueve un enfoque basado en el riesgo y en la mejora continua, integrando la continuidad de negocio en la estrategia organizativa. Su adopción permite a las organizaciones aumentar su resiliencia (la capacidad para resistir, adaptarse y recuperarse ante situaciones adversas sin perder sus funciones esenciales), cumplir requisitos regulatorios y generar confianza en clientes y partes interesadas al demostrar su capacidad para mantener servicios críticos en esas situaciones.
Además, la norma impulsa la creación de una cultura organizativa en la que la continuidad del negocio no se limita a la recuperación técnica, sino que incluye la preparación de personas, procesos y proveedores.
Controles CIS
Controles críticos de seguridad v8
Los CIS Critical Security Controls v8 son un conjunto de buenas prácticas de ciberseguridad desarrolladas por el Center for Internet Security (CIS) para ayudar a las organizaciones a prevenir, detectar y responder a las amenazas más comunes. No constituyen una norma certificable, sino una guía práctica y priorizada orientada a mejorar la seguridad de forma efectiva y medible.
La versión 8 se compone de 18 controles que abarcan áreas clave como la gestión de activos, el control de accesos, la protección de datos, la monitorización continua y la respuesta ante incidentes. Estos controles se organizan en niveles de implementación (Implementation Groups: IG1, IG2 e IG3), lo que permite adaptar su aplicación según el tamaño, complejidad y perfil de riesgo de la organización.
Los CIS Controls están diseñados para ser fácilmente aplicables y alinearse con otros marcos y estándares como NIST CSF o ISO 27001. Su enfoque priorizado ayuda a las organizaciones a centrarse primero en las medidas de mayor impacto, facilitando la mejora progresiva de la madurez en ciberseguridad y el fortalecimiento de su postura de seguridad.
Además, el marco se actualiza periódicamente para reflejar la evolución de las amenazas y las tecnologías, incorporando nuevas prácticas basadas en inteligencia de ciberseguridad y experiencia real de incidentes. Esto lo convierte en una referencia especialmente útil como punto de partida o como complemento práctico a marcos más amplios y normativos.
CONTACTO
Teléfono: 644 11 39 35
Correo electrónico: ib.infoseguridad@gmail.com