CSF · ISO/IEC 27032:2023

Marco de Ciberseguridad
ISO 27032

El concepto del Ciberespacio exige tener una visión más amplia de conceptos de la seguridad de la información que hasta el momento se estaban teniendo en cuenta. Este nuevo concepto aúna aspectos relacionados con la interacción de personas, software y servicios en Internet, soportados por entornos TIC distribuidos por todo el mundo con una complejidad y particularidad que hace unos años no era imaginable.

Fase I, Entendimiento de la Organización
Inmersión en procesos y activos
Fase II, Análisis de Riesgos
Amenazas, vulnerabilidades e impacto
Fase III, Plan de Acción
Priorización y medidas de alineamiento
Fase IV, Implementación
Controles y medidas proactivas
La norma

¿Qué es ISO/IEC 27032?

Para abordar los retos de la Ciberseguridad, que consiste en la seguridad en el Ciberespacio, surge la norma ISO/IEC 27032, que define las Guías en este ámbito y se centra en dos áreas: por un lado, en cubrir los espacios o huecos no cubiertos por normas anteriores de seguridad en este ámbito conceptual más amplio, en el que aparecen nuevos ataques y los riesgos asociados a éstos; y, por otro lado, el proceso de colaboración entre los agentes que operan en el entorno actual, en lo que se denomina comúnmente un Marco de Ciberseguridad o CSF, CyberSecurity Framework.

Atendiendo al reto de los escenarios actuales de la Ciberseguridad y gracias a la amplia experiencia del equipo de Internet Security Auditors, diseñamos una metodología que permite implementar CSF basado en el estándar ISO/IEC 27032:2023 que incluye cuatro focos de trabajo o dominios:

Seguridad de la Información
Seguridad de las Redes
Seguridad en Internet
Protección de las Infraestructuras Críticas para la Información
Enfoque

Gestión de riesgos en cuatro áreas

El Marco de Ciberseguridad que se desarrollará tendrá un acercamiento en la gestión de riesgos en 4 áreas:

Prevención
La prevención se basa en la implantación de medidas y controles que limiten y contengan los impactos de posibles eventos de ciberseguridad.
Protección y Detección
Donde se implementan controles destinados a la gestión de la seguridad y la monitorización de eventos de seguridad con el fin de detectar y protegerse ante este tipo de eventos.
Respuesta y Comunicación
Debemos estar preparados ante posibles incidentes relacionados con la ciberseguridad y constará de acciones para mitigar elementos adversos una vez se hayan materializado.
Recuperación y Aprendizaje
Acciones para restaurar los sistemas y servicios relacionados con el ciberespacio y se definirán procedimientos para reducir la probabilidad de ocurrencia de estos incidentes.
Metodología

Fases de la metodología

Entendimiento organización
Análisis de Riesgos
Plan de Acción
Implantación
Nuestros servicios

Cómo trabajamos

01Entendimiento de la Organización
En esta primera fase se realiza un trabajo importante de inmersión en los procesos de la empresa para conocer el funcionamiento de éstos y que uso realizan del Ciberespacio sus servicios. Para llevar a cabo esta tarea será necesario:
  • Revisar productos y servicios
  • Revisar el marco normativo de seguridad en uso
  • Recopilar y revisar documentación de seguridad
  • Conocer los flujos de información en los procesos
  • Conocer las medidas técnicas de seguridad implementadas, etc
Esta fase permitirá también disponer de un inventario de activos de los servicios en el alcance.
02Análisis de Riesgos
La toma de decisiones en cuanto a los controles y medidas de seguridad que se van a implementar debe estar basada en la gestión de los riesgos y el alineamiento con las necesidades de la empresa. Es por ello que, en esta fase, se llevará a cabo esta evaluación considerando, entre otros, aspectos como:
  • Activos críticos
  • Amenazas
  • Vulnerabilidades
  • Impacto y riesgo
  • Responsabilidades
Esta tarea se lleva a cabo con alineamientos a normas reconocidas a nivel internacional, que permiten su mantenimiento y gestión en el tiempo.
03Plan de Acción
En esta fase, y gracias al trabajo realizado en las fases anteriores, se redactará el plan que permita conocer la priorización y medidas que deberán desarrollarse para la consecución de los alineamientos de la ISO/IEC 27032:2023 en base a las exigencias del negocio.

Este Plan afrontará diferentes estrategias que incluirán y deberán aplicarse a diferentes niveles de la organización, incluyendo:
  • Políticas
  • Identificación de roles
  • Métodos de implementación
  • Procesos afectados
  • Controles tecnológicos
04Implementación
Como tal, esta es la etapa que más esfuerzos va a requerir habitualmente dado que es en la que todas las acciones definidas en la fase anterior se plasmarán en el Plan de Acción. Es importante tener presente que la ISO/IEC 27032:2023 pretende obligar a quien la implemente, a ser proactivo en las medidas de seguridad, con énfasis importante en los mecanismos de prevención en los procesos que hacen uso del Ciberespacio.

Esta fase del proyecto se focalizará entonces en la implementación de controles que deberán tener en cuenta el nivel de madurez en la gestión de la seguridad existente y que considerará, entre otros, aspectos como:
  • Existencia de Política de Seguridad
  • Procedimientos de Seguridad en SDLC
  • Marcos existentes para el intercambio de información
  • Planes de concienciación del personal
  • Metodología de AARR
  • Monitorización TIC
  • Gestión de incidentes
Además de esto, en esta fase del proyecto se establecerán controles adicionales que incluirán:
  • Controles a nivel de aplicación: gestión de sesiones, validación de datos, protección ante ataques, procesos de autenticación, etc.
  • Controles a nivel de servidores: configuraciones seguras, gestión de parches, monitorización., revisiones periódicas, etc.
  • Controles para los usuarios finales: Actualizaciones de SO, uso de aplicaciones, antivirus, herramientas y configuraciones de seguridad, etc.
  • Controles contra ataques de Ingeniería social: Programas de concienciación, pruebas regulares, controles de seguridad, etc.

Alcance del servicio

Qué engloba este servicio

Inventario de activos

Identificación y catalogación de todos los activos de servicios en el alcance del ciberespacio de la organización.

Análisis de riesgos

Evaluación de activos críticos, amenazas, vulnerabilidades e impacto alineada con normas internacionales.

Controles de aplicación

Gestión de sesiones, validación de datos, protección ante ataques y procesos de autenticación robustos.

Controles de servidores

Configuraciones seguras (hardening), gestión de parches, monitorización continua y revisiones periódicas.

Controles para usuarios finales

Actualizaciones de sistemas operativos, uso seguro de aplicaciones, antivirus y configuraciones de seguridad.

Ingeniería social

Programas de concienciación, pruebas regulares de phishing y controles de seguridad contra ataques sociales.

Testimonios

Lo que dicen nuestros clientes

Preguntas frecuentes

Resolvemos tus dudas

¿Qué es ISO/IEC 27032?

ISO/IEC 27032:2023 es una norma internacional que define guías para abordar los retos de la ciberseguridad, cubriendo espacios no cubiertos por normas anteriores y estableciendo procesos de colaboración entre los distintos agentes que operan en el ciberespacio. Se estructura en cuatro dominios: seguridad de la información, seguridad de redes, seguridad en Internet y protección de infraestructuras críticas.

¿Cuál es la diferencia entre ISO 27001 e ISO 27032?

ISO 27001 se centra en la gestión de la seguridad de la información mediante un Sistema de Gestión (SGSI), mientras que ISO 27032 aborda específicamente la ciberseguridad en el ciberespacio, integrando aspectos de interacción entre personas, software y servicios en Internet. Ambas normas son complementarias y pueden implementarse conjuntamente.

¿A quién va dirigido este servicio?

A cualquier organización que opere en el ciberespacio, tenga servicios y productos digitales, esté regulada por normativas de seguridad o necesite un marco integral de ciberseguridad. Es especialmente relevante para empresas con dependencia tecnológica significativa y presencia en Internet.

¿Cuáles son los cuatro dominios del marco de ciberseguridad?

Los cuatro dominios son: Seguridad de la Información (protección de activos contra acceso no autorizado), Seguridad de las Redes (protección de infraestructuras de red), Seguridad en Internet (protección de usuarios y servicios online) y Protección de Infraestructuras Críticas (salvaguarda de sistemas que soportan funciones esenciales).

¿Es certificable ISO 27032?

ISO/IEC 27032 es una norma de directrices y buenas prácticas, no un estándar de requisitos certificable como ISO 27001. Sin embargo, su implementación demuestra madurez en ciberseguridad y puede complementar certificaciones como ISO 27001 o marcos como NIST CSF 2.0.

Contacto

¿Necesitas implementar un Marco de Ciberseguridad?

Cuéntanos tu situación y nuestro equipo se pondrá en contacto contigo para orientarte o agendar una llamada técnica.

Oficinas
Barcelona · Madrid · Bogotá
R
Ricardo Andrés Cárdenas
Hace 2 meses

Trabajar con Internet Security Auditors ha sido una experiencia altamente satisfactoria. Su acompañamiento en la migración a ISO/IEC 27001:2022 y el proceso de certificación PCI DSS ha sido fundamental para fortalecer nuestro SGSI.

A
Andrés Mejía
Hace 3 meses

Su equipo combina una sólida experiencia técnica con una gran disposición al trabajo colaborativo, lo que ha fortalecido nuestra postura de seguridad y el cumplimiento normativo.

V
Victoria Villarreal Palazón
Hace 4 meses

Han sido nuestro socio indispensable para la implementación de los requisitos de RGPD. Destacaría su disponibilidad para resolver dudas y su capacidad para elaborar un marco legal con acciones concretas y comprensibles.

M
Miguel Acosta
Hace 5 meses

Todo el proceso de Attestation of Compliance de PCI DSS fue extremadamente rápido, eficiente y profesional. Sin duda, recomendamos sus servicios a cualquier empresa que necesite soluciones en ciberseguridad.

S
Sergio Sainz de la Maza
Hace 6 meses

Llevamos más de 10 años trabajando con Internet Security Auditors por su experiencia, compromiso y cercanía. Los recomiendo sin dudarlo.

Solicitar información

Nos pondremos en contacto contigo lo antes posible.
Presencia Global

Nuestras oficinas

Barcelona

C. Santander, 101. Edificio A-2
E-08030 Barcelona (España)

+34 93 305 13 18
Madrid

C. Arequipa, 1
E-28043 Madrid (España)

+34 91 763 40 47
Bogotá

Transversal 22 # 98-82, Ed. Porta 100 Of. 1003
110221 Bogotá (Colombia)

+57 601 638 68 88
25
años de experiencia en ciberseguridad
Contacta con nosotros