La mentira del cumplimiento: por qué la ISO 27001, NIS2 y NIST CSF no son lo mismo
La mayoría de las organizaciones se ahogan en documentos de política que nadie utiliza. El problema no es la falta de documentación, sino la incapacidad de comprender qué se supone que deben hacer realmente la ley, los sistemas de gestión y los marcos operativos.
La mayoría de los programas de cumplimiento se construyen al revés. Empiezan con el documento. Luego con la plantilla. Después con la solicitud de evidencias. Y al final, con la pregunta que debió haberse hecho primero: ¿Qué estamos intentando controlar realmente?
He visto a organizaciones invertir cantidades enormes de dinero produciendo políticas que nadie lee, procedimientos que nadie sigue y evidencias que nadie comprende.
Los documentos lucen impresionantes. El sistema subyacente, con frecuencia, lo es mucho menos. Eso es teatro del cumplimiento.
El problema no es que las empresas tengan demasiada gobernanza. Es que confunden la documentación con la gobernanza. Y uno de los ejemplos más claros es la manera en que las organizaciones tratan a NIS2, DORA, ISO 27001, NIST CSF y ENS como si fuesen versiones competidoras de una misma lista de verificación.
No lo son. Resuelven problemas distintos.
En la imagen de abajo puede ver un resumen sencillo de cómo se relacionan entre sí los diferentes marcos, normativas, sistemas y directrices. Si le parece intimidante, no se preocupe: le explicaré cada parte paso a paso. Algo que debe tener en cuenta es que no hay una necesidad real de implementar todos los marcos ni de seguir todas las normativas. Algunas normativas, como DORA, no son aplicables, por ejemplo, al sector médico. Y puede ejecutar perfectamente su SGSI (Sistema de Gestión de Seguridad de la Información) basándose exclusivamente en el estándar ISO con unas pocas especificaciones ligeras que le hagan cumplir con la normativa NIS2 (como en el sector público).
Comience por la ley
NIS2 y DORA no son sistemas de gestión. Crean obligaciones regulatorias.
Para una organización dentro del ámbito de aplicación de NIS2, esas obligaciones incluyen medidas de gestión de riesgos, responsabilidades de gobernanza y notificación de incidentes. Para los incidentes significativos, NIS2 exige una alerta temprana en un plazo de 24 horas, una notificación del incidente en un plazo de 72 horas desde que se tiene conocimiento del mismo y un informe final en el plazo de un mes tras la alerta temprana.
DORA aborda el problema desde el sector financiero. Exige a las entidades financieras mantener un marco de gestión de riesgos de TIC, sitúa la responsabilidad última sobre el riesgo de TIC en el órgano de gestión y establece requisitos para la gestión, notificación, pruebas de resistencia y riesgos de terceros en el ámbito de las TIC.
El punto importante es simple:
La ley define las obligaciones.
No se convierte en su modelo operativo simplemente por el hecho de haber descargado la regulación.
Luego construya el sistema de gestión
Aquí es donde pertenece la norma ISO/IEC 27001.
La norma ISO 27001 es un estándar para sistemas de gestión de la seguridad de la información. Define los requisitos para establecer, implementar, mantener y mejorar continuamente un SGSI.
Esa distinción importa.
La norma ISO 27001 no dice: «Compre este cortafuegos».
Pregunta si la organización cuenta con un sistema disciplinado para comprender el riesgo, decidir qué es importante, asignar responsabilidades, seleccionar controles y mejorar el sistema a medida que cambian las circunstancias.
Es por eso que considero que la norma ISO 27001 es el sistema operativo de la gobernanza.
El valor no es el certificado. El valor es la disciplina de gestión que hay detrás de él. Un certificado junto a un registro de riesgos no gestionado no es más que un tigre de papel: parece amenazante y con dientes afilados, pero se arruga ante la menor presión.
Después, proporcione un lenguaje a los equipos operativos
Aquí es donde el marco NIST CSF 2.0 resulta útil. El NIST CSF 2.0 organiza los resultados de ciberseguridad en torno a seis funciones:
Gobernar (Govern). Identificar (Identify). Proteger (Protect). Detectar (Detect). Responder (Respond). Recuperar (Recover).
El NIST es explícito al señalar que el núcleo (Core) del CSF no es una lista de verificación de acciones. Las acciones necesarias para lograr los resultados dependen de la organización, de su riesgo y de sus circunstancias.
Eso hace que sea útil como un lenguaje operativo. El consejo de administración puede preguntar dónde es débil la organización. El CISO puede traducir eso en riesgo. La ingeniería puede traducirlo en arquitectura y controles.
El marco ayuda a que la organización hable un mismo idioma.
No sustituye a la ley. No sustituye al sistema de gestión. Y ciertamente no hace que una organización cumpla con la normativa simplemente porque alguien haya mapeado una hoja de cálculo con él.
Luego está el ENS
El Esquema Nacional de Seguridad de España es donde las comparaciones simplistas empiezan a desmoronarse, y por una buena razón.
El ENS no es simplemente otro marco voluntario.
En virtud del Real Decreto 311/2022, los sistemas se categorizan según el impacto de los incidentes de seguridad y las medidas de seguridad aplicables se seleccionan de acuerdo con la categoría de seguridad del sistema y las dimensiones de seguridad pertinentes. El marco incluye medidas organizativas, operativas y de protección, con refuerzos adicionales dependiendo de la categoría.
Eso hace que el ENS sea más prescriptivo en áreas importantes que un marco de controles seleccionado puramente por riesgos.
Se comporta más como un código de edificación. Aún necesita comprender la estructura que está protegiendo. Pero una vez que el edificio cae dentro de una categoría particular, se aplican ciertos requisitos.
That is very different from saying:
«La ISO 27001 es nuestra certificación, así que ya hemos terminado».
No ha terminado. Ni mucho menos. Simplemente ha resuelto una parte del problema.
Deje de hacerlos competir
El error consiste en intentar elegir un marco y eliminar los demás. Esa es la arquitectura equivocada.
Un modelo mejor es directo.
-
NIS2 y DORA establecen las obligaciones regulatorias.
Le indican de qué es responsable la organización. -
La norma ISO 27001 establece el sistema de gestión.
Proporciona un lugar donde esas obligaciones puedan residir. -
El NIST CSF otorga a la organización un lenguaje operativo.
Ayuda a traducir la gobernanza y el riesgo en resultados que los equipos de seguridad puedan ejecutar. -
El ENS añade requisitos específicos de cada jurisdicción cuando corresponde.
Se convierte en otro conjunto de requerimientos que el sistema de gobernanza subyacente debe absorber.
El objetivo no es crear cinco programas de cumplimiento. El objetivo es construir un único sistema capaz de soportar múltiples obligaciones.
Esa es la diferencia entre arquitectura y burocracia en papel.
Sus políticas no son sus controles
Aquí es donde la mayoría de las organizaciones pierden el rumbo. Crean una política de control de accesos. Luego otra de gestión de incidentes. Después otra para proveedores. Y otra más de continuidad de negocio. Al poco tiempo hay cientos de páginas en SharePoint. Todo el mundo se siente productivo.
Pero hágase una pregunta sencilla: ¿Quién es el propietario del control?
Silencio. Todo el mundo mira tímidamente a su pantalla y espera que alguien responda en su lugar.
Pregunte: ¿Qué evidencia demuestra que opera?
Más silencio. Empieza a sentirse como una clase en la que el profesor hizo una pregunta básica y nadie responde.
Pregunte: ¿Qué ocurre cuando el control falla?
Ahora ha encontrado el verdadero problema de gobernanza. Una política no es un control simplemente por el hecho de existir. Un control tiene un propietario. Tiene un objetivo. Opera en el mundo real. Produce evidencias. Y alguien toma una decisión cuando deja de funcionar. Eso es gobernanza. Todo lo demás es decoración.
Construya arquitectura, no carpetas de anillas
Un sistema de gobernanza sólido debería ser más pequeño de lo que la mayoría de las organizaciones espera. No porque los requisitos sean simples, sino porque la arquitectura es clara.
El objetivo no es producir la biblioteca de documentación más grande posible.
El objetivo es identificar el pequeño número de documentos, decisiones, controles y flujos de evidencias que sostienen el peso del sistema.
Esa es la disciplina. La complejidad es fácil de crear.
Cualquier persona puede añadir otra política. Otro comité. Otra hoja de cálculo. Otro procedimiento de 80 páginas.
La simplicidad es más difícil.
Requiere saber qué se puede eliminar sin debilitar el sistema. Ese es el estándar que aplicamos en Elyrion. Cada pieza de gobernanza necesita una razón de ser.
Debe cumplir al menos una de estas tres condiciones:
- Habilitar un control.
- Respaldar una decisión ejecutiva.
- Satisfacer una obligación legal o regulatoria.
Si no cumple ninguna de ellas, no pertenece a la arquitectura.
Destruya el tigre de papel.
El consejo de administración no necesita más papel
Los altos ejecutivos no necesitan otra presentación de cumplimiento que explique cuántas políticas se revisaron este trimestre.
Necesitan saber dónde está expuesta la organización. Necesitan saber qué riesgos se han asumido. Necesitan saber quién es el propietario de los mismos. Necesitan saber qué controles están operando realmente. Necesitan saber qué podría defender la organización cuando llegue el regulador, el auditor o un incidente.
Esa es una conversación muy diferente.
La sala del consejo de administración no debe ser un teatro para demostrar que la gobernanza existe. Debe ser el lugar donde se toman las decisiones de gobernanza.
Es por eso que preferimos un número reducido de artefactos de carga estructural frente a una biblioteca de documentos que solo sirven para hacer peso en las estanterías.
El sistema debe poder entenderse sin necesidad de que un consultor esté de pie al lado. Debe sobrevivir a los cambios de personal. Debe sobrevivir a una auditoría.
Y, lo más importante, debe sobrevivir a la realidad.
El estándar es sencillo
No construya su programa de seguridad en torno a la auditoría. Constrúyalo en torno al riesgo.
No trate la ISO 27001 como un sustituto de NIS2 o DORA.
No trate el NIST CSF como una certificación.
No trate el ENS como otro marco genérico.
Y no confunda la documentación con el control.
La mejor arquitectura de gobernanza es aquella en la que la ley, el sistema de gestión, el marco operativo y los controles técnicos se refuerzan mutuamente sin crear cuatro burocracias separadas.
Ese es el trabajo.
Construya arquitectura, no carpetas de anillas.
Construye claridad.
¿Listo para trazar su exposición regulatoria real?
La mayoría de los equipos ejecutivos no necesitan otra evaluación de 300 páginas.
Necesitan claridad.
En Elyrion, el diagnóstico ejecutivo rápido Elyrion Clarity™ mapea las obligaciones regulatorias frente a la gobernanza real de la organización, su entorno técnico y su arquitectura de controles.
En un plazo de 2 a 3 semanas, identificamos las brechas materiales, separamos los requisitos legales de las preferencias de los marcos y proporcionamos al equipo ejecutivo una hoja de ruta de remediación priorizada.
Sin promesas de cumplimiento instantáneo.
Sin tigres de papel.
Tan solo una visión clara de qué importa, qué no y qué debe solucionarse primero.