NIST SP 800-53
La norma NIST SP 800-53 es el catálogo principal de controles de seguridad y privacidad en el que se basa la mayor parte de la seguridad de la información federal de EE. UU., y constituye la base sobre la que se asientan la FISMA, el FedRAMP y el Marco de Gestión de Riesgos (RMF). Su diseño es exhaustivo y está organizado en familias de controles que abarcan desde el control de acceso y el registro de auditoría hasta la respuesta a incidentes, el riesgo de la cadena de suministro y la seguridad física, con niveles de referencia (bajo, moderado, alto) que adaptan el conjunto de controles al grado real de sensibilidad del sistema.
Si es usted una agencia federal, está implementando esto porque no le queda más remedio. Si es usted un contratista o un proveedor de servicios en la nube que intenta obtener la autorización para que un sistema opere en una red federal —mediante una Autorización para Operar (ATO) o una autorización de FedRAMP—, lo está implementando porque nadie permitirá que su sistema se conecte sin ello. En cualquier caso, la norma 800-53 es compleja, y la brecha entre «hemos leído el control» y «tenemos evidencia que un evaluador aceptará» suele ser el punto en el que los proyectos se estancan.
Donde se desarrolla el verdadero trabajo
Seleccionar la línea de base adecuada para el nivel de impacto real de su sistema es más importante de lo que la gente cree: si se excede, estará creando controles que no necesita; si se queda corto, un evaluador le hará volver al punto de partida. A partir de ahí, el trabajo no consiste tanto en inventar nuevas capacidades de seguridad como en implementar los controles correctamente, adaptándolos de forma sensata a su entorno y —lo que es fundamental— generando la evidencia y la documentación que un evaluador o un funcionario autorizador realmente necesita ver, en el formato que esperan el RMF o el FedRAMP.
Cómo lo abordaría yo
Yo empezaría por la categorización de su sistema y confirmaría que la línea de base es correcta antes que nada, ya que esa decisión determina el rumbo de todo el proyecto. A continuación, una revisión de la implementación control por control: qué está realmente implantado, qué está parcialmente implantado y qué falta, junto con un Plan de Seguridad del Sistema que lo documente con honestidad y un plan de corrección ordenado por riesgo y por lo que realmente impide la autorización. Si se está encaminando hacia una autorización ATO o FedRAMP, le ayudaré a poner en forma el expediente antes de que llegue a manos de un evaluador, no después de que sea rechazado.
Si está siguiendo la norma 800-53 con vistas a obtener una autorización ATO, una autorización FedRAMP o para cumplir con las obligaciones continuas del RMF, póngase en contacto con nosotros y analicemos cuál es la situación real de su sistema.