Metodología de CyberCheck NIST

Identifica y documenta los activos físicos (hardware) y lógicos (software, datos, sistemas) de la organización, asigna responsables y los clasifica según su criticidad para el negocio. Sin saber qué se tiene, no se puede proteger.

Define la política de ciberseguridad de la organización, establece roles y responsabilidades, y asegura que la gestión del riesgo esté alineada con los objetivos del negocio. Es la base normativa del programa de seguridad.

Identifica las amenazas y vulnerabilidades de los activos, evalúa su probabilidad e impacto, y documenta los riesgos priorizados. Permite tomar decisiones informadas sobre dónde invertir en controles de seguridad.

Identifica y gestiona los riesgos de ciberseguridad asociados a proveedores tecnológicos y terceros con acceso a sistemas o datos. Incluye evaluación de sus prácticas de seguridad antes de contratarlos.

Gestiona las identidades y credenciales de los usuarios, implementa autenticación para acceder a sistemas, controla los accesos según el rol de cada persona y asegura el acceso remoto. Principio de mínimo privilegio.

Capacita al personal en ciberseguridad, realiza simulacros (ej. phishing), y evalúa el nivel de conocimiento. El factor humano es la principal vulnerabilidad; la formación reduce el riesgo de incidentes por error o descuido.

Protege los datos en reposo y en tránsito mediante cifrado, realiza y verifica copias de seguridad, controla el acceso a bases de datos y garantiza la integridad de la información durante su almacenamiento y transmisión.

Verifica el cumplimiento de las políticas de seguridad establecidas y define procesos formales para gestionar la pérdida o fuga de información. Convierte las políticas en prácticas operativas verificables.

Mantiene actualizados los sistemas operativos y aplicaciones con parches de seguridad, y registra formalmente las actualizaciones aplicadas. Los sistemas sin parchear son el vector de ataque más común en MYPEs.

Implementa herramientas de seguridad (antivirus, EDR, cifrado) y controles perimetrales (firewall, segmentación de red) para limitar la superficie de ataque y bloquear amenazas antes de que alcancen activos críticos.

Identifica comportamientos inusuales en la red o sistemas (accesos fuera de horario, transferencias masivas de datos), detecta y registra eventos sospechosos, y clasifica los incidentes según su nivel de criticidad.

Monitorea activamente los sistemas de información, revisa periódicamente los registros de actividad (logs), utiliza herramientas especializadas (SIEM) y supervisa accesos a plataformas externas críticas como la banca o correo corporativo.

Define procedimientos formales para detectar y escalar incidentes de seguridad, y valida periódicamente que los mecanismos de detección funcionan correctamente. Sin procesos definidos, la detección es aleatoria e ineficaz.

Define un plan formal de respuesta ante incidentes de seguridad con roles y responsables asignados. Es el protocolo de acción que la organización sigue cuando ocurre un ataque: quién hace qué, cuándo y cómo.

Registra formalmente los incidentes cuando ocurren y define procesos para comunicarlos internamente a los niveles directivos correspondientes. La comunicación oportuna reduce el tiempo de respuesta y el impacto del incidente.

Analiza las causas raíz de los incidentes ocurridos y evalúa su impacto operativo y económico. El análisis post-incidente permite aprender de los errores y evitar que el mismo tipo de ataque se repita.

Contiene el incidente para limitar su propagación y posteriormente elimina las vulnerabilidades explotadas. La contención detiene el daño; la eliminación previene la reincidencia.

Incorpora las lecciones aprendidas de cada incidente para mejorar las capacidades de respuesta, y actualiza el plan de respuesta con base en la experiencia acumulada. La mejora continua fortalece la resiliencia.

Define un plan formal de recuperación ante incidentes, establece los tiempos máximos de recuperación (RTO) y pérdida aceptable de datos (RPO), y prueba periódicamente el plan para verificar su efectividad.

Incorpora lecciones aprendidas para mejorar los procesos de recuperación y actualiza los planes de continuidad operativa con base en los incidentes experimentados. Convierte cada crisis en oportunidad de mejora.

Documenta el proceso de recuperación ejecutado tras cada incidente y comunica formalmente el estado de recuperación a las partes interesadas (clientes, directivos, proveedores). La transparencia mantiene la confianza.