Marco de evaluación cibernética

El Marco de Evaluación Cibernética (CAF) es un marco de ciberseguridad desarrollado por el Centro Nacional de Ciberseguridad (NCSC) del Reino Unido para ayudar a las organizaciones a evaluar y reforzar su capacidad para gestionar el riesgo cibernético, proteger los servicios esenciales y mantener la resiliencia operativa. El CAF lo utilizan principalmente las organizaciones responsables de servicios esenciales e infraestructuras críticas, incluidos sectores como la energía, la sanidad, el transporte, el agua, las infraestructuras digitales y los servicios públicos. Los organismos reguladores y las autoridades competentes utilizan el CAF para evaluar si las organizaciones están alcanzando los resultados esperados en materia de ciberseguridad de acuerdo con los requisitos aplicables, entre ellos el Reglamento sobre redes y sistemas de información (NIS). 

A diferencia de un sistema de certificación, el CAF no ofrece una calificación formal de «aprobado» o «suspenso». En su lugar, evalúa la eficacia con la que las organizaciones alcanzan los resultados definidos en materia de ciberseguridad a través de la gobernanza, los procesos, las tecnologías y las prácticas operativas. Las organizaciones pueden utilizar el CAF para autoevaluaciones, actividades de verificación independientes, revisiones normativas e iniciativas de mejora continua. El marco sigue un enfoque basado en resultados, lo que permite a las organizaciones demostrar la eficacia de su seguridad en función de su entorno operativo, en lugar de exigir tecnologías o configuraciones específicas. Esto permite a las organizaciones con diferentes estructuras, perfiles de riesgo y entornos tecnológicos aplicar las medidas de seguridad adecuadas, al tiempo que mantienen la alineación con los objetivos fundamentales de ciberseguridad. 

El marco se articula en torno a cuatro objetivos clave: 

1. Gestión de los riesgos de seguridad 

2. Protección frente a los ciberataques 

3. Detección de incidentes de ciberseguridad 

4. Minimizar el impacto de los incidentes de ciberseguridad 

Cada objetivo incluye principios, resultados contribuyentes e indicadores de buenas prácticas (IGP) que ayudan a las organizaciones a evaluar su madurez en materia de ciberseguridad y a demostrar que aplican prácticas de seguridad eficaces. Las evaluaciones tienen en cuenta ámbitos como la gobernanza, la gestión de riesgos, el control de accesos, la supervisión, la respuesta ante incidentes, la planificación de la recuperación y la gestión de riesgos de terceros. 

Las directrices actualizadas de la CAF introducen los perfiles «básico» y «avanzado», que ayudan a las organizaciones a adaptar sus expectativas en materia de ciberseguridad a su entorno de amenazas y a sus requisitos operativos. 

Perfil básico 
Establece las expectativas básicas para las organizaciones que buscan protegerse frente a las amenazas cibernéticas más comunes. 

Perfil mejorado 
Responde a las expectativas más avanzadas en materia de ciberseguridad de las organizaciones que se enfrentan a amenazas sofisticadas y a entornos operativos de mayor riesgo. 

A medida que el CAF sigue evolucionando, actualizaciones como el CAF 2.0 ofrecen orientaciones adicionales para mejorar la coherencia, la interpretación y la evaluación de las prácticas en todos los sectores. 

Los servicios esenciales dependen de sistemas digitales fiables, lo que convierte a la ciberseguridad en un componente fundamental de la resiliencia operativa. CAF permite a las organizaciones evaluar si las medidas de ciberseguridad se aplican, supervisan y mejoran de forma continua, al tiempo que proporciona pruebas que demuestran la eficacia de la seguridad. 

Al centrarse en resultados cuantificables, el CAF ofrece un marco común para que las organizaciones, los organismos reguladores y las partes interesadas en materia de seguridad evalúen la eficacia de la ciberseguridad de forma coherente. Esto permite a los responsables de la toma de decisiones evaluar la eficacia de la ciberseguridad, priorizar las inversiones y reforzar la resiliencia en función del riesgo operativo. 

El marco presta apoyo a las organizaciones al ofrecerles: 

• Evaluación sistemática de las capacidades de ciberseguridad en todos los sectores críticos 

• Evaluación basada en datos empíricos de los controles de seguridad, las prácticas de gobernanza y la resiliencia operativa 

• Una clara correspondencia entre las inversiones en ciberseguridad y los requisitos de los servicios esenciales 

• Identificación estructurada de las deficiencias de seguridad y las oportunidades de mejora 

• Mayor rendición de cuentas gracias a la definición de responsabilidades, la supervisión y los procesos de gestión de riesgos 

El CAF complementa los marcos y normas de ciberseguridad reconocidos, entre los que se incluyen la norma ISO/IEC 27001 y el Marco de Ciberseguridad del NIST. Las organizaciones pueden aprovechar los programas y controles de seguridad existentes, al tiempo que utilizan los resultados del CAF para evaluar la resiliencia e identificar áreas de mejora. 

Para los responsables de la administración pública y de las infraestructuras críticas, el CAF ofrece un enfoque práctico para reforzar los programas de ciberseguridad, mejorar la preparación operativa y garantizar que los servicios esenciales sigan siendo fiables en un entorno de amenazas en constante evolución. 

Las evaluaciones del CAF analizan cómo interactúan la gobernanza, el personal, los procesos y las tecnologías para proteger los servicios esenciales y alcanzar los objetivos definidos en materia de ciberseguridad. Se espera que las organizaciones aporten pruebas de que las prácticas de ciberseguridad están establecidas, se aplican, se supervisan y se mejoran continuamente. En lugar de evaluar productos o tecnologías concretos, el CAF evalúa si las organizaciones cuentan con la gobernanza, los procesos operativos y las capacidades necesarias para gestionar el riesgo cibernético y garantizar una prestación de servicios segura. 

Las evaluaciones de la CAF suelen analizar: 

• Gobernanza y rendición de cuentas 

• Procesos de gestión de riesgos 

• Controles de seguridad protectores 

• Capacidades de seguimiento y detección 

• Actividades de respuesta ante incidentes y recuperación 

• Datos que respaldan los resultados en materia de ciberseguridad 

Estos elementos ayudan a las organizaciones a demostrar la eficacia de su ciberseguridad, a reforzar la resiliencia operativa y a alcanzar los resultados del CAF. 

El CAF se articula en torno a cuatro objetivos fundamentales que definen las áreas clave necesarias para una ciberresiliencia eficaz. 

Gestión de los riesgos de seguridad 

Este objetivo se centra en garantizar que las organizaciones cuenten con las estructuras de gobernanza, los procesos y la supervisión necesarios para identificar, evaluar y gestionar los riesgos de ciberseguridad. 

Entre las áreas clave se incluyen: 

• Responsabilidades y competencias claras en materia de riesgos de ciberseguridad 

• Procesos de gestión de riesgos bien definidos y alineados con las prioridades de la organización 

• Integración de los aspectos relacionados con la ciberseguridad en las decisiones empresariales y operativas 

• Supervisión de proveedores, dependencias y riesgos de terceros 

• Evaluación periódica de las amenazas, las vulnerabilidades y los posibles efectos en los servicios 

El objetivo es que las organizaciones mantengan una visión clara de los riesgos de ciberseguridad y cuenten con los procesos adecuados para priorizar y abordar los retos de seguridad. 

Protección frente a los ciberataques 

Este objetivo se centra en la aplicación de medidas de seguridad proporcionadas que protejan los sistemas, servicios e información esenciales frente a las amenazas cibernéticas. 

Entre las áreas clave se incluyen: 

• Gestión segura de la configuración de sistemas y dispositivos críticos 

• Controles de identidad y acceso que limitan las actividades no autorizadas 

• Gestión de vulnerabilidades y prácticas de corrección oportuna 

• Protección de la información sensible mediante medidas de seguridad adecuadas 

• Medidas de seguridad que reducen la vulnerabilidad en sistemas, aplicaciones y redes 

El objetivo es que los servicios esenciales funcionen de forma segura, con las medidas de protección adecuadas para reducir la probabilidad y el impacto de los ciberataques. 

Detección de incidentes de ciberseguridad 

Este objetivo evalúa la capacidad de una organización para identificar incidentes de ciberseguridad mediante eficaces capacidades de supervisión, detección y análisis. 

Entre las áreas clave se incluyen: 

• Supervisión de la seguridad en los sistemas y servicios críticos 

• Prácticas de registro y gestión de eventos 

• Capacidades de detección que identifican actividades sospechosas 

• Procedimientos para investigar y escalar incidentes de seguridad 

• Visibilidad sobre la actividad de los usuarios, los dispositivos y el sistema 

El objetivo es que las organizaciones puedan detectar incidentes de ciberseguridad de forma rápida y precisa, lo que permitirá llevar a cabo investigaciones y respuestas oportunas. 

Minimizar el impacto de los incidentes de ciberseguridad 

Este objetivo se centra en la capacidad de una organización para responder a incidentes de ciberseguridad, mantener las operaciones esenciales y recuperarse de forma eficaz. 

Entre las áreas clave se incluyen: 

• Planes de respuesta ante incidentes y procedimientos de escalado documentados 

• Procesos de comunicación para equipos internos, proveedores y autoridades competentes 

• Estrategias de recuperación respaldadas por procedimientos de copia de seguridad y restauración probados 

• Análisis posteriores a los incidentes que identifican oportunidades de mejora 

• Ejercicios periódicos que ponen a prueba y mejoran la capacidad de respuesta 

El objetivo es que las organizaciones puedan limitar las perturbaciones, restablecer los servicios críticos y reforzar su resiliencia tras sufrir incidentes de ciberseguridad. 

Cada objetivo del CAF incluye principios, resultados contribuyentes e indicadores de buenas prácticas (IGP). Estos componentes ayudan a las organizaciones a comprender las prácticas eficaces en materia de ciberseguridad y ofrecen orientación para demostrar su consecución. 

Las IGP describen ejemplos de actividades y prácticas que contribuyen a alcanzar los resultados del CAF. No se trata de requisitos normativos, sino que ayudan a las organizaciones y a los evaluadores a valorar si las medidas de seguridad están diseñadas adecuadamente y funcionan de manera eficaz. 

Las pruebas utilizadas para respaldar las evaluaciones de la CAF pueden incluir: 

• Documentación sobre políticas, normas y gobernanza en materia de ciberseguridad 

• Evaluaciones de riesgos y planes de tratamiento 

• Inventarios de activos y documentación del sistema 

• Revisiones de la gestión de identidades y accesos 

• Registros de supervisión de seguridad y paneles operativos 

• Planes de respuesta ante incidentes y resultados de los simulacros 

• Evaluaciones de seguridad de los proveedores 

• Informes sobre la gestión de vulnerabilidades 

La CAF destaca la importancia de vincular los procesos documentados con la evidencia operativa. Las organizaciones deben poder demostrar que las medidas de seguridad contribuyen de forma activa a la resiliencia en entornos reales. 

Las organizaciones pueden encontrarse con dificultades a la hora de prepararse para las evaluaciones del CAF, sobre todo cuando las prácticas de ciberseguridad no se documentan, miden o integran de forma coherente en los procesos operativos. 

Entre los retos más habituales se encuentran: 

• Inventarios de activos incompletos que limitan la visibilidad de las dependencias críticas 

• Basarse en políticas sin pruebas operativas que las respalden 

• Cobertura limitada de la supervisión en los sistemas esenciales 

• Procedimientos de respuesta ante incidentes y recuperación que no se han probado 

• Supervisión insuficiente de los riesgos relacionados con terceros y proveedores 

• Mejoras de seguridad que no se priorizan en función de su impacto operativo 

Para hacer frente a estos retos es necesario adoptar un enfoque basado en el riesgo y centrado en la consecución de resultados medibles en materia de ciberseguridad. La mejora continua, respaldada por datos contrastados y la rendición de cuentas, permite a las organizaciones reforzar su resiliencia a medida que evolucionan las amenazas y los requisitos operativos. 

El CAF presta apoyo a organizaciones de la administración pública, de infraestructuras críticas y de sectores regulados, proporcionando un enfoque coherente para evaluar la resiliencia en materia de ciberseguridad. Sus resultados pueden adaptarse a diferentes entornos operativos, arquitecturas tecnológicas y perfiles de amenazas, al tiempo que se mantiene un marco común para la gobernanza, la garantía de calidad y la mejora continua. 

El CAF resulta especialmente valioso para las organizaciones encargadas de prestar servicios esenciales, en las que la ciberseguridad influye directamente en la continuidad operativa, la seguridad pública y el cumplimiento de su misión. 

Operaciones de infraestructuras críticas 

Las organizaciones de infraestructuras críticas dependen de sistemas seguros y resilientes para mantener los servicios esenciales. CAF ayuda a los operadores a evaluar si las prácticas de ciberseguridad protegen de forma eficaz la tecnología operativa (OT), los sistemas empresariales y las dependencias de apoyo. 

Entre sus aplicaciones más habituales se encuentran: 

• Sectores de la energía y los servicios públicos que requieren una alta disponibilidad, entornos de control seguros y redes operativas resilientes 

• Servicios de agua y aguas residuales que se basan en la telemetría, los controles de acceso y unas capacidades de recuperación fiables 

• Sistemas de transporte que gestionan operaciones críticas para la seguridad e infraestructuras digitales interconectadas 

Para los operadores de infraestructuras críticas, el CAF ofrece un enfoque estructurado que permite evaluar si las medidas de ciberseguridad garantizan una prestación de servicios fiable. Este marco ayuda a vincular la gobernanza de la ciberseguridad con los requisitos operativos, garantizando que los riesgos se identifiquen, se prioricen y se aborden en función de su impacto en las funciones esenciales. 

Sanidad y Servicios Públicos 

Las organizaciones del sector sanitario y del sector público gestionan información sensible y prestan servicios que exigen un alto nivel de disponibilidad, integridad y protección frente a posibles interrupciones. CAF ayuda a estas organizaciones a evaluar las prácticas de ciberseguridad en los sistemas clínicos, las plataformas administrativas y los servicios dirigidos a los ciudadanos. 

Entre sus aplicaciones más habituales se encuentran: 

• Sistemas sanitarios que requieren la protección de la información de los pacientes, aplicaciones clínicas y servicios en los que el tiempo es un factor determinante 

• Plataformas de servicios públicos que requieren una gestión segura de la identidad y controles de acceso fiables 

• Entornos interinstitucionales que requieren un intercambio seguro de datos y la supervisión de terceros 

Al centrarse en resultados de seguridad cuantificables, el CAF permite a las organizaciones demostrar una gestión eficaz de las capacidades en materia de identidad, acceso, supervisión, respuesta ante incidentes y recuperación. Estas prácticas favorecen la continuidad del servicio, al tiempo que mantienen la confianza del público en los servicios digitales esenciales. 

Infraestructura digital y servicios basados en la nube 

La infraestructura digital moderna se basa en plataformas interconectadas, servicios en la nube y proveedores externos. CAF ayuda a las organizaciones a establecer responsabilidades claras en materia de seguridad y a demostrar que los controles de ciberseguridad funcionan de manera eficaz en entornos tecnológicos complejos. 

Entre sus aplicaciones más habituales se encuentran: 

• Entornos de servicios gestionados que respaldan operaciones esenciales mediante modelos de responsabilidad compartida 

• Arquitecturas híbridas y multinube que requieren controles de seguridad y gobernanza coherentes 

• Plataformas de datos e interfaces de aplicaciones que requieren procesos eficaces de supervisión, protección y respuesta 

CAF ayuda a las organizaciones a mantener la visibilidad en todos los sistemas internos y proveedores externos, vinculando los resultados en materia de ciberseguridad con las pruebas, la rendición de cuentas y el rendimiento operativo. Este enfoque ayuda a las organizaciones a demostrar su resiliencia a medida que los entornos tecnológicos siguen evolucionando. 

Organismos públicos y entidades reguladas 

Los organismos públicos y las organizaciones reguladas utilizan el CAF para reforzar la gobernanza en materia de ciberseguridad, mejorar los procesos de garantía y armonizar las prácticas de seguridad con las responsabilidades operativas. 

Entre sus aplicaciones más habituales se encuentran: 

• Servicios públicos que requieren la protección de información sensible y sistemas críticos 

• Marcos normativos que exigen evaluaciones de ciberseguridad basadas en datos empíricos 

• Organizaciones que desean mejorar su resiliencia mediante programas estructurados de mejora de la seguridad 

A través de su enfoque basado en resultados, el CAF ayuda a las organizaciones a evaluar su madurez en materia de ciberseguridad, a priorizar las mejoras y a demostrar su compromiso continuo con la protección de los servicios esenciales. Al vincular las prácticas de seguridad con resultados cuantificables, el CAF permite a los responsables tomar decisiones fundamentadas que refuerzan la resiliencia operativa y la confianza de la ciudadanía.