NIST 800-53: Una guía para el cumplimiento

La norma NIST 800-53 ofrece una guía sólida sobre cómo las organizaciones deben seleccionar y mantener controles de seguridad y privacidad personalizados para sus sistemas de información. NIST SP 800-53 Revisión 5 es uno de los muchos documentos de cumplimiento con los que debe familiarizarse si trabaja con tecnología de la información.

Esta publicación lo desglosa para usted en partes digeribles que enfatizan el significado práctico y la aplicación del estándar.

¿Qué es NIST 800-53?

NIST 800-53 es un estándar de cumplimiento de seguridad creado por el Departamento de Comercio de EE. UU. y el Instituto Nacional de Estándares y Tecnología en respuesta a las capacidades tecnológicas en rápido desarrollo de los adversarios nacionales. Compila controles recomendados por el Laboratorio de Tecnología de la Información (ITL).

NIST 800-53 es obligatorio para todos los sistemas de información federales de EE. UU., excepto aquellos relacionados con la seguridad nacional, y es neutral en cuanto a la tecnología. Sin embargo, sus directrices pueden ser adoptadas por cualquier organización que opere un sistema de información con datos sensibles o regulados. Proporciona un catálogo de controles de privacidad y seguridad para proteger contra una variedad de amenazas, desde desastres naturales hasta ataques hostiles.

La norma ha evolucionado para integrar controles de privacidad y seguridad y para promover la integración con otros enfoques de ciberseguridad y gestión de riesgos. En particular, se ajusta al ámbito de los Federal Information Processing Standards (FIPS); FIPS requiere que las organizaciones implementen una línea base mínima de controles de seguridad como se define en NIST 800-53. El estándar NIST también ayuda a las organizaciones a cumplir con la Federal Information Security Modernization Act (FISMA), que detalla pautas de seguridad y privacidad como parte de la administración de programas federales.

A medida que la infraestructura de información continúa expandiéndose e integrándose, la necesidad de incorporar privacidad y seguridad en cada aplicación también crece, independientemente de si se trata de un sistema federal o privado. Con el conjunto completo de controles y directrices en NIST 800-53, las organizaciones privadas no necesitan reinventar la rueda para mantener la ciberseguridad.

¿Cuál es el objetivo de NIST 800-53?

El objetivo del estándar de seguridad y privacidad es triple:

• Para proporcionar un catálogo integral y flexible de controles para la protección actual y futura basada en la tecnología cambiante y las amenazas
• Para desarrollar una base para evaluar técnicas y procesos para determinar la efectividad del control
• Para mejorar la comunicación entre organizaciones mediante un léxico común para la discusión de conceptos de gestión de riesgos

Los controles establecidos por la Publicación Especial (SP) 800-53 de NIST están diseñados para mejorar la gestión de riesgos de cualquier organización o sistema que procese, almacene o transmita información.

¿Quién debe cumplir con NIST 800-53?

El estándar es obligatorio para los sistemas de información federales, organizaciones y agencias. Cualquier organización que trabaje con el gobierno federal también debe cumplir con NIST 800-53 para mantener la relación.

Sin embargo, la norma proporciona un marco sólido para que cualquier organización desarrolle, mantenga y mejore sus prácticas de seguridad de la información, incluyendo gobiernos estatales, locales y tribales y empresas privadas, desde PYMES hasta grandes empresas.

¿Cuáles son los beneficios de NIST 800-53?

El beneficio más significativo del estándar es un sistema de información más seguro. Las organizaciones privadas cumplen voluntariamente con NIST 800-53 porque sus 18 familias de controles les ayudan a enfrentar el desafío de seleccionar los controles básicos de seguridad adecuados, políticas y procedimientos para proteger la seguridad de la información y la privacidad.

Además, le anima a analizar cada control de seguridad y privacidad que seleccione para asegurar su aplicabilidad a su infraestructura y entorno. Este proceso de personalización ayuda a garantizar no solo la seguridad y el cumplimiento, sino también el éxito empresarial. Promueve la aplicación consistente y rentable de controles en toda su infraestructura de tecnología de la información.

Finalmente, seguir las pautas de NIST 800-53 le ayuda a construir una base sólida para el cumplimiento de otras regulaciones y programas como HIPAA, DFARS, PCI DSS y GDPR.

¿Qué datos protege NIST SP 800-53?

Aunque la norma no proporciona una lista de tipos específicos de información, sí ofrece recomendaciones para clasificar los tipos de datos que su organización crea, almacena y transmite. Por ejemplo, una clasificación podría ser “protegida”; estos datos podrían incluir nombres de clientes, fechas de nacimiento y números de Seguridad Social.

Controles de seguridad NIST 800-53

NIST 800-53 ofrece un catálogo de controles de seguridad y privacidad y orientación para su selección. Cada organización debe elegir controles basados en los requisitos de protección de sus distintos tipos de contenido. Esto requiere una cuidadosa evaluación de riesgos y análisis del impacto de los incidentes en diferentes datos y sistemas de información. FIPS 199 define tres niveles de impacto:

• Bajo — La pérdida tendría un impacto adverso limitado.
• Moderado — La pérdida tendría un impacto adverso grave.
• Alto — La pérdida tendría un impacto catastrófico.

Familias de Seguridad y Control

Los controles NIST 800-53 se distribuyen en las siguientes 20 familias:

Consejos para el cumplimiento de NIST 800-53

Las siguientes mejores prácticas le ayudarán a seleccionar e implementar los controles de seguridad y privacidad adecuados para el cumplimiento de NIST SP 800-53.

• Identifique sus datos sensibles. Descubra qué tipo de datos maneja su organización, dónde se almacenan y cómo se reciben, mantienen y transmiten. Los datos sensibles pueden estar distribuidos en múltiples sistemas y aplicaciones; no necesariamente están solo donde usted cree que están.
• Clasifique los datos sensibles. Categorice y etiquete sus datos de acuerdo con su valor y sensibilidad. Asigne a cada tipo de información un valor de impacto (bajo, moderado o alto) para cada objetivo de seguridad (confidencialidad, integridad y disponibilidad), y categorícelo en el nivel de impacto más alto. Consulte FIPS 199 para obtener las categorías de seguridad apropiadas y los niveles de impacto que se relacionan con los objetivos organizacionales, la misión y el éxito empresarial. Automatice el descubrimiento y la clasificación para agilizar el proceso y asegurar resultados consistentes y fiables.
• Evalúe su nivel actual de ciberseguridad con una evaluación de riesgos. A un alto nivel, risk assessment implica identificar riesgos, evaluar la probabilidad de su ocurrencia y su impacto potencial, tomar medidas para remediar los riesgos más graves y luego evaluar la efectividad de esas medidas.
• Documente un plan para mejorar sus políticas y procedimientos. Seleccione controles basados en las necesidades específicas de su negocio. La extensión y el rigor del proceso de selección deben ser proporcionales al nivel de impacto del riesgo que se está mitigando. Documente su plan y la justificación de cada elección de control y política.
• Proporcione formación continua a los empleados. Eduque a todos los empleados sobre la gobernanza de acceso y las mejores prácticas de ciberseguridad, como identificar y reportar malware.
• Haga del cumplimiento un proceso continuo. Una vez que haya puesto su sistema en conformidad con NIST 800-53, mantenga y mejore su cumplimiento con auditorías regulares del sistema, especialmente después de un incidente de seguridad.

Conclusión

Todas las agencias y organizaciones federales deben cumplir con NIST 800-53, y si tratas con ellas, también necesitarás estar en conformidad. El cumplimiento no es un requisito para las organizaciones que no hacen negocios con el gobierno federal, pero cumplir con el estándar te ayudará a establecer una base sólida para el cumplimiento de una amplia gama de otras regulaciones, como HIPAA y GDPR, así que no necesitarás reinventar la rueda cada vez.

FAQ

1. ¿Qué es la serie NIST 800?

La serie NIST 800 es un conjunto de documentos que describen las políticas, procedimientos y directrices del gobierno federal de los Estados Unidos para la seguridad de los sistemas de información.

1. ¿Qué es NIST 800-53?

NIST 800-53 es una norma regulatoria que define el mínimo de controles de seguridad para todos los sistemas de información federales de EE. UU. excepto aquellos relacionados con la seguridad nacional. Establece la base mínima de controles de seguridad requeridos por el Estándar Federal de Procesamiento de Información (FIPS).

1. ¿Cuál es el propósito de NIST 800-53?

NIST 800-53 ayuda a organizaciones de todo tipo a diseñar y gestionar adecuadamente sus sistemas de seguridad de la información y cumplir con la Ley de Modernización de la Seguridad de la Información Federal (FISMA). Ofrece un extenso catálogo de controles para fortalecer la seguridad y la privacidad.

1. ¿Cuántos controles se detallan en NIST 800-53?

NIST 800-53 tiene 20 familias de controles compuestas por más de 1,000 controles separados. Cada familia está relacionada con un tema específico, como el control de acceso.

1. ¿Cuál es la versión actual de NIST 800-53?

NIST 800-53 Revisión 5 fue publicada en septiembre de 2020.

1. ¿Quién debe cumplir con NIST 800-53?

NIST 800-53 es obligatorio solo para los sistemas de información federales en todas las agencias y organizaciones. Sin embargo, las directrices son muy útiles también para los gobiernos estatales, locales y tribales, así como para las empresas privadas.