¿Qué es el certificado?

Una evaluación de ciberseguridad es el examen independiente de la postura de seguridad de una organización o sistema. No es necesario que esté vinculado a un esquema de certificación específico: pruebas de penetración, evaluación de vulnerabilidad, revisión de arquitectura, evaluación de madurez (por ejemplo, NIST CSF, CIS Controls) o un ejercicio del equipo rojo se incluyen en este título. El resultado es un informe de hallazgos y recomendaciones, no un certificado.

¿Quién lo necesita?

Organizaciones que desean medir su postura de seguridad
Empresas que desean un análisis de deficiencias antes de la certificación
Empresas con obligación contractual de realizar pruebas de penetración periódicas
Equipos que desean verificar un nuevo sistema o producto antes de su lanzamiento.
Organizaciones reevaluando su postura después de un incidente

¿Es obligatorio?

No es obligatorio en sí mismo. Sin embargo, muchos marcos y regulaciones imponen una obligación de prueba periódica: PCI DSS requiere pruebas de penetración y escaneo, ISO/IEC 27001 espera una revisión de cumplimiento técnico y regulaciones como NIS2 requieren que se evalúe la efectividad de las medidas de gestión de riesgos.

Alcance de la norma

Definición del alcance y las reglas de enfrentamiento
Compilación del inventario de activos y la superficie de ataque.
Escaneo y validación de vulnerabilidades
Pruebas de penetración: red externa, red interna, aplicación web, aplicación móvil, inalámbrica
Revisión de configuración y refuerzo
Revisión de la gestión de identidades y accesos
Evaluación de arquitectura y segmentación.
Ingeniería social y pruebas de concientización (si están dentro del alcance)
Evaluación de madurez (contra marcos como NIST CSF, CIS Controls)
Priorizar y reportar hallazgos por nivel de riesgo
Pruebas de verificación posteriores a la remediación

Proceso de certificación

1Determinación del alcance y el programaSe determinan los sitios y procesos que se auditarán y la duración de la auditoría que requiere el esquema.
2PreevaluaciónOpcionalmente se lleva a cabo un análisis de deficiencias; Las lagunas se hacen visibles antes de la auditoría principal.
3Auditoría in situLa revisión de registros, la observación del sitio y las entrevistas a los trabajadores se llevan a cabo según la lista de verificación del plan.
4Reporte de los hallazgosLos resultados se informan según la clasificación del esquema. El resultado de estos sistemas es un informe de auditoría, no un certificado.
5Acción correctiva y seguimientoSe presenta un plan de acciones correctivas para los hallazgos; se cierra con una auditoría de seguimiento en el marco del plan.

Periodo de validez

El período de validez de los informes de auditoría lo establece el plan y suele oscilar entre uno y dos años. El informe se utiliza durante el período que acepta la marca compradora.

Documentos necesarios

Detalles de la organización y del sitio
Plantilla y patrón de turnos
Permisos y licencias legales
Políticas y procedimientos relevantes
Registros de nómina, tiempo y personal.

Coste de la certificación

No existe un precio de lista fijo; el coste se calcula según las siguientes variables y se proporciona por escrito en el presupuesto.

El número de sitios a auditar y la plantilla.
La duración de la auditoría que prescribe el plan.
Si se solicita una evaluación previa (análisis de deficiencias)
Si se requiere una auditoría de seguimiento

Acreditación

La mayoría de estos sistemas producen informes de auditoría, no documentos, y están sujetos al propio sistema de aprobación del propietario del sistema (por ejemplo, Sedex, amfori, RBA); La acreditación en el sentido clásico no se encuentra en todos los sistemas. La competencia del auditor y la validez del informe están determinadas por las normas del propietario del plan.

El alcance en el que se puede ofrecer este esquema varía según su producto y actividad; se confirma por escrito en la etapa de presupuesto.

Alcance y autorizaciones

Certificaciones relacionadas

Preguntas frecuentes

¿Son lo mismo una prueba de penetración y un análisis de vulnerabilidad?

No. Un análisis de vulnerabilidades enumera las debilidades conocidas utilizando herramientas automatizadas. Una prueba de penetración verifica con experiencia humana si estos hallazgos son realmente explotables y descubre rutas de ataque encadenadas. Los dos difieren en profundidad y costo.

¿Recibo un certificado como resultado de la evaluación?

No se emite ningún certificado; Se elabora un informe de conclusiones y recomendaciones. Algunos clientes solicitan una carta de certificación que confirme la realización de la prueba, pero esto no es un certificado de conformidad.

¿Con qué frecuencia debo hacerme esto?

La frecuencia depende del marco al que está sujeto y de su tasa de cambio. La práctica común es una prueba anual; sin embargo, se espera una prueba provisional siempre que haya un cambio significativo en la arquitectura o la aplicación.

Evaluación de ciberseguridad (Cybersecurity Assessment)