¿Qué son y cómo implementar los Controles de CIS?

Es importante recordar que las tendencias de riesgos de ciberseguridad pueden cambiar con el tiempo y que es importante estar al tanto de las últimas amenazas y vulnerabilidades para poder proteger adecuadamente los sistemas, datos y activos TI de una empresa.  Además, te queremos hablar sobre las tendencias de riesgos de ciberseguridad que se observaron en 2022 y que podrían continuar en 2023.

Estas tendencias incluyen:

• Aumento de ataques de ransomware: Los ataques de ransomware siguen siendo una de las principales amenazas de ciberseguridad en todo el mundo. En 2022, se observó un aumento en la sofisticación de los ataques de ransomware y un aumento en el tamaño de los rescates. Esta tendencia podría continuar en 2023, lo que podría tener graves consecuencias financieras y operativas para las empresas afectadas.
• Amenazas de la cadena de suministro: Los ataques de la cadena de suministro han aumentado en frecuencia y gravedad en los últimos años, y es probable que esta tendencia continúe en 2023. Los atacantes pueden aprovechar las vulnerabilidades en la cadena de suministro de una empresa para acceder a sus sistemas, datos y activos críticos.
• Aumento de la ingeniería social: La ingeniería social sigue siendo una técnica popular utilizada por los atacantes para obtener acceso no autorizado a los sistemas y datos de una empresa. En 2022, se observó un aumento en la sofisticación de las técnicas de ingeniería social utilizadas por los atacantes, y es probable que esta tendencia continúe en 2023.

Los CIS Controls ofrecen una serie de beneficios para robustecer la seguridad de las organizaciones y mitigar el riesgo de ataques según las tendencias mencionadas con anterioridad. Además, ayuda a crear pilares concretos para las organizaciones que los implementan.

Algunos de estos beneficios son:

• Mejora de la seguridad: Los CIS Controls ofrecen un conjunto completo de prácticas y recomendaciones que ayudan a mejorar la postura de seguridad de la organización y a reducir el riesgo de amenazas cibernéticas.
• Reducción de costos: La implementación de los CIS Controls puede ayudar a reducir los costos relacionados con la gestión de la seguridad, como la pérdida de ingresos y la recuperación de datos después de un incidente de seguridad.
• Cumplimiento regulatorio: Los CIS Controls están alineados con muchos marcos regulatorios y normativos, como el GDPR y la Ley de Protección de Datos Personales, lo que ayuda a las organizaciones a cumplir con los requisitos legales, considerando que el Chile ya está en vigencia la ley de protección de datos personales (Ley 19.628)
• Protección de la reputación: La implementación de los CIS Controls ayuda a proteger la reputación de la organización, ya que demuestra a los clientes y socios que se toma en serio la seguridad de la información y que se toman medidas adecuadas para protegerla.
• Fácil de implementar: Los CIS Controls son fáciles de implementar y están diseñados para adaptarse a las necesidades específicas de cada organización, lo que los hace accesibles para cualquier empresa, independientemente de su tamaño o presupuesto.
• Orientación clara: Los CIS Controls ofrecen una orientación clara y detallada sobre las mejores prácticas en seguridad de la información, lo que ayuda a las organizaciones a establecer prioridades y tomar medidas concretas para mejorar su seguridad.
• Enfoque basado en el riesgo: Los CIS Controls se basan en un enfoque basado en el riesgo, lo que significa que se centran en las amenazas y vulnerabilidades más críticas para la organización, lo que ayuda a enfocar los recursos y esfuerzos de seguridad en áreas donde se necesitan más.
• Aumento de la Internet de las cosas (IoT): El uso de dispositivos IoT sigue aumentando en todo el mundo, y esto presenta nuevos riesgos de ciberseguridad. Los dispositivos IoT a menudo tienen vulnerabilidades de seguridad significativas y pueden ser utilizados por los atacantes para acceder a otros sistemas en una red.

En Virtual Secure te ayudamos medir la madurez de ciberseguridad de tu organización, en donde te acompañamos a medir los siguientes puntos:

• Identificar los activos críticos: Identificamos los activos críticos de tu organización, incluyendo sistemas, aplicaciones, datos y recursos. Estos activos críticos son aquellos que son esenciales para el funcionamiento de tu negocio y deben ser protegidos adecuadamente.
• Evaluar la postura actual de seguridad: Evaluamos la postura actual de seguridad de tu organización utilizando un marco de seguridad reconocido, como el CIS Controls, NIST Cybersecurity Framework, ISO 27001, entre otros. La evaluación la realizamos abarcaando todos los activos críticos de la organización y así identificar las fortalezas y debilidades según tu enfoque de seguridad.
• Establecer objetivos de madurez: Establecemos objetivos de madurez para cada una de las áreas evaluadas en la evaluación de la postura actual de seguridad. Los objetivos de madurez la basamos en las mejores prácticas y hacemos en conjunto que sean alcanzables y medibles.
• Desarrollar un plan de acción: Desarrollamos un plan de acción para cerrar las brechas de seguridad identificadas en la evaluación de la postura actual de seguridad y gestionamos acciones para lograr los objetivos de madurez establecidos. Creamos un plan de acción para establecer prioridades y plazos claros para cada acción.
• Implementar el plan de acción: Implementamos el plan de acción y realizamos acompañamiento para los cambios en su enfoque de seguridad para lograr los objetivos de madurez establecidos.
• Evaluar y ajustar: Evaluamos si así lo requieres de forma regular, el progreso en la implementación del plan de acción y ajuste al plan según sea necesario para asegurar que tu empresa esté en camino hacia una postura de seguridad más madura.

Medir la madurez de ciberseguridad de tu empresa es un proceso continuo y debe ser parte de una estrategia integral de seguridad de la información. La adopción de marcos de seguridad reconocidos, como los CIS Controls, puede ayudar a tu empresa a establecer una base sólida para la evaluación y mejora de su postura de seguridad; y en Virtual Secure te apoyamos con este proceso y actividades tan importante para la ciberseguridad de tu organización.