Estándares y Normas Internacionales de Seguridad Vigentes

Los estándares de seguridad son guías o marcos establecidos por organizaciones reconocidas que definen mejores prácticas y requisitos para proteger datos, sistemas y redes frente a amenazas y vulnerabilidades. Estos estándares son adoptados globalmente por empresas, gobiernos e instituciones para garantizar la seguridad de la información, la infraestructura y las operaciones.

ISO/IEC 27001

Es un estándar internacional desarrollado por la Organización Internacional de Normalización (ISO) y la Comisión Electrotécnica Internacional (IEC). Define los requisitos para establecer, implementar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI).

• Propósito: Ayudar a las organizaciones a identificar riesgos, proteger información crítica y garantizar su disponibilidad, confidencialidad e integridad.
• Ejemplo de aplicación: Una empresa puede utilizar este estándar para crear políticas de acceso a sus sistemas y proteger datos sensibles contra robos o pérdidas.

ISO/IEC 27002

Es un complemento de la ISO/IEC 27001. Proporciona un conjunto detallado de controles y prácticas recomendadas para implementar las políticas definidas en el SGSI.

• Propósito: Asegurar que las empresas tengan guías claras para proteger redes, dispositivos y datos mediante controles específicos.
• Ejemplo de controles:
• Monitoreo de tráfico de red.
• Políticas de contraseñas seguras.
• Configuración de firewalls.

 

NIST Cybersecurity Framework (CSF)

Un marco desarrollado por el Instituto Nacional de Estándares y Tecnología (NIST) de EE. UU. para gestionar y reducir riesgos cibernéticos.

• Propósito: Proporcionar un lenguaje común y sistemático para que las empresas identifiquen, protejan, detecten, respondan y recuperen datos y sistemas.
• Ejemplo: Una organización puede usar este marco para mapear todas las amenazas posibles en su red y crear planes para mitigar cada una.

PCI DSS (Payment Card Industry Data Security Standard)

Un estándar de seguridad creado por las principales compañías de tarjetas de crédito (Visa, Mastercard, American Express, etc.) para proteger los datos de las transacciones electrónicas.

• Propósito: Reducir el fraude en el manejo de datos de tarjetas de pago mediante medidas estrictas como el cifrado y la segmentación de redes.
• Ejemplo: Una tienda en línea debe cumplir con PCI DSS para asegurar que los datos de las tarjetas de sus clientes no sean robados.

GDPR (Reglamento General de Protección de Datos)

Es una regulación de la Unión Europea que establece reglas estrictas para la protección de datos personales de ciudadanos europeos.

• Propósito: Garantizar la privacidad de los datos personales y exigir medidas de seguridad a las empresas que operan en Europa o manejan datos de ciudadanos europeos.
• Ejemplo: Si una empresa panameña tiene clientes europeos, debe cumplir con GDPR, lo que incluye informar a los usuarios sobre el uso de sus datos y proteger sus redes contra accesos no autorizados.

COBIT (Control Objectives for Information and Related Technologies)

Un marco de gobernanza y gestión de TI desarrollado por la asociación ISACA.

• Propósito: Proporcionar a las organizaciones una estructura para alinear la tecnología con los objetivos empresariales, enfocándose en la seguridad y auditoría de redes y sistemas.
• Ejemplo: Una empresa puede usar COBIT para garantizar que su infraestructura de TI cumpla con requisitos de seguridad y control establecidos.

Relación entre estos estándares

• Complementarios: Muchas organizaciones utilizan más de un estándar para cubrir diferentes aspectos de la seguridad. Por ejemplo, una empresa puede usar ISO 27001 para la gestión de seguridad general, PCI DSS para transacciones con tarjetas y el marco NIST para evaluar riesgos cibernéticos.
• Flexibles: Los estándares internacionales son adaptables a las necesidades y tamaño de la organización.