Normativa · Comunicación 2021/196 · comunicaciones

Artículo 2021/196ANEXO COMUNCACION 2021/196 - GUÍA DE LOS ESTÁNDARES MÍNIMOS DE GESTIÓN RELATIVOS A SEGURIDAD DE LA INFORMACIÓN.

Guía de los Estandares Mínimos de Gestion relativos a Seguridad de la Informacion. Tabla de contenidos Tabla de contenidos ...................................................................................................................... 2 Introducción .................................................................................................................................. 4 Presentación del Marco de Ciberseguridad .............................................................................. 4 Estructura de la guía.................................................................................................................. 4 Propósito de esta guía ............................................................................................................... 5 Desarrollo de la guía...................................................................................................................... 5 I) Sobre la Política de la Seguridad de la Información .......................................................... 5 II) Dirección de la Seguridad de la Información .................................................................... 6 EMG relacionados ................................................................................................................. 6 EMG 3.7 – Estrategia y política de Seguridad de la Información ...................................... 6 EMG 56.7 – Principios generales para el manejo del riesgo operacional ......................... 6 EMG 57 – Implementación de las políticas y procedimientos de gestión de riesgos ....... 6 Correspondencia con el MCS ................................................................................................ 7 Modelo de Madurez .......................................................................................................... 8 III) Marco de gestión de riesgos ......................................................................................... 9 EMG relacionados ................................................................................................................. 9 EMG 6.8 – 6.9 – Definición del marco de gestión de riesgos ............................................ 9 EMG 15.6 – Implementación del Sistema de Gestión Integral de Riesgos ....................... 9 Correspondencia con el MCS ................................................................................................ 9 Modelo de Madurez ........................................................................................................ 11 IV) Auditoría Interna ......................................................................................................... 13 EMG relacionados ............................................................................................................... 13 EMG 21 – Control interno de los procesos de TI y Seguridad de la Información............ 13 Requerimientos de auditoría interna .................................................................................. 13 Correspondencia con el MCS .............................................................................................. 13 Modelo de Madurez ........................................................................................................ 14 V) Función de Seguridad de la Información......................................................................... 15 EMG relacionados ............................................................................................................... 15 EMG 63 – Gestión integral e independiente de Seguridad de la Información................ 15 Correspondencia con el MCS .............................................................................................. 15 VI) Función de Gestión de Tecnologías............................................................................. 19 EMG 61 – Gestión de Riesgo de las Tecnologías de la Información................................ 19 EMG 78 – Adquisición e implementación de soluciones tecnológicas ........................... 19 Correspondenia con el MCS ................................................................................................ 20 Modelo de Madurez ........................................................................................................ 21 VII) Plan de contingencia y continuidad del negocio ......................................................... 24 EMG relacionados ............................................................................................................ 24 EMG 62 – Plan de contingencia y continuidad del negocio ............................................ 24 Correspondencia con el MCS .............................................................................................. 24 Modelo de Madurez ........................................................................................................ 25 Referencias .................................................................................................................................. 27 Introducción La información, como otros activos importantes del negocio, es esencial en una organización y requiere en consecuencia una protección adecuada. Esto es especialmente importante en el sector financiero y en ambientes de negocio cada vez más interconectados. La gestión de la Seguridad de la Información es un trabajo permanente, que requiere la participación de todos los integrantes de la organización, y un proceso de mejora continua y sistematizada para minimizar los riesgos específicos que puedan comprometer la integridad, disponibilidad o confidencialidad de la información. Las instituciones financieras son responsables de tomar las medidas necesarias para proteger la Información que ellos administran. Para ello, deberán establecer un marco de gestión, proporcional a la naturaleza, tamaño, complejidad y perfil de riesgo de los negocios de la institución. Por esta razón, los Estándares Mínimos de Gestión (EMG) [1] recogen las prácticas de gestión que el supervisor espera encontrar en las entidades supervisadas, organizando las mismas por componente de la metodología CERT. Presentación del Marco de Ciberseguridad El Marco de Ciberseguridad (MCS) versión 4.0 [2] elaborado por la Agencia para el Desarrollo del Gobierno de Gestión Electrónica y la Sociedad de la Información y el Conocimiento (AGESIC), es una recopilación de requisitos y pautas de buenas prácticas para la mejora de la gestión de la Seguridad de la Información. Es de acceso libre y está basado en el Marco de Ciberseguridad definido por el Instituto Nacional de Estándares y Tecnología (NIST) de los Estados Unidos de Norteamérica [3]. Provee un enfoque homogéneo y sistemático para reducir el riesgo de Seguridad de la Información, ha sido alineado a las mejores prácticas internacionales, como ISO/IEC 27001:2013 [4], COBIT 5 para Seguridad de la Información y NIST SP 800-53 rev.4 [5] y ha sido adaptado por la AGESIC tomando en cuenta la normativa vigente en nuestro país. El MCS también incluye un Modelo de Madurez que incluye 5 niveles (del 0 al 4 donde 4 es el más alto), que puede ser utilizado por las instituciones para su autoevaluación periódica y para priorizar la implementación de las acciones vinculadas a Seguridad de la Información. Se incluye en esta guía, para aquellas categorías que estén incluidas en el Modelo de Madurez, las pautas aplicables a las Instituciones Financieras del mencionado Modelo a los efectos de facilitar el proceso de adopción de las prácticas más relevantes y por consiguiente el cumplimiento de los EMG. Estructura de la guía La guía está dividida en secciones, una primera sección específica para la política de seguridad de la información y lo que se espera de ella. A continuación, se incluye una sección para cada una de las principales temáticas vinculadas a la Seguridad de la Información que aparecen en los EMG. En cada sección se presenta el detalle de los estándares mínimos de gestión vinculados a la temática y posteriormente se presentan las subcategorías del MCS vinculadas y, para aquellas que corresponda, las pautas del modelo de madurez para los distintos niveles. El vínculo entre un EMG y las categorías del MCS no necesariamente implica que para el cumplimiento de un EMG se deberán cumplir todos los requisitos y/o pautas del modelo de madurez, ya que esto dependerá de la realidad de la institución y de los riesgos a los que está expuesta. La vinculación con el MCS y su modelo de madurez debe ser tomada como una guía de mejora, como un mapa del camino a recorrer para la maduración de su Sistema de Gestión de Seguridad de la Información (SGSI), en el que la institución deberá definir cuál es su objetivo y cuales prácticas se adecúan a la naturaleza, tamaño, complejidad y perfil de riesgo de los negocios de la institución. Propósito de esta guía La presente guía está dirigida a las áreas de Seguridad de la Información y sus responsables de las Instituciones de Intermediación Financiera y a las Administradoras de Crédito de Mayores Activos. Su propósito es facilitar la interpretación de lo que el supervisor espera encontrar en las entidades supervisadas, traduciendo y relacionando los EMG en las subcategorías, requisitos y pautas del Marco de Ciberseguridad. En la guía, las instituciones podrán encontrar el vínculo entre los EMG y el MCS, y la información más importante del MCS, filtrada y priorizada para su implementación. El vínculo al MCS permitirá a las instituciones encontrar, en el propio documento del Marco de Referencia del MCS, referencias a otras normas, requisitos detallados y una guía de implementación, e información detallada adicional para facilitar la comprensión, interpretación e implementación de los EMG. Desarrollo de la guía I) Sobre la Política de la Seguridad de la Información El objetivo de la Política de Seguridad de la Información es proporcionar orientación y apoyo de la dirección para la gestión de la Seguridad de la Información, de acuerdo con los requisitos del negocio, las regulaciones y leyes pertinentes. El Directorio debe establecer una orientación clara y demostrar su apoyo y compromiso con la Seguridad de la Información, aprobando, publicando, revisando y comunicando a intervalos planificados una política de seguridad para toda la organización. La misma debe establecer al menos:  El compromiso de la dirección con la Seguridad de la Información  El enfoque de la Institución para gestionar la Seguridad de la Información La misma debe contener al menos:  Una definición clara del concepto de Seguridad de la Información para la Institución.  Una declaración de la dirección en apoyo a los objetivos y principios de la Seguridad de la Información alineada con los objetivos del negocio.  Una mención a un marco para la evaluación y gestión del riesgo.  Una breve explicación de las políticas de seguridad asociadas, por ejemplo: políticas para el desarrollo seguro, para la gestión claves criptográficas, etc.  Definición de responsables en la gestión e la Seguridad de la Información.  Referencias a documentación que sustente la política. En caso de que la política fuera distribuida fuera de la organización se debe tomar especial cuidado para no divulgar información sensible. II) Dirección de la Seguridad de la Información EMG relacionados EMG 3.7 – Estrategia y política de Seguridad de la Información El directorio es el órgano que ejerce la administración efectiva de la entidad. Es el responsable último de definir la estrategia de negocios y controlar su implementación. El estándar 3 establece que “El Directorio debe aprobar los objetivos estratégicos de la institución y supervisar su implementación, tanto a nivel individual como en base consolidada, cuando corresponda. Para ello el Directorio debe:” …. “3.7 Aprobar una estrategia y políticas de Seguridad de la Información adecuadas a la estrategia general de la institución y asegurar que la Alta Gerencia implemente los procedimientos que las hacen aplicables.” EMG 56.7 – Principios generales para el manejo del riesgo operacional En los EMG, los riesgos de Seguridad de la Información se encuentran incluidos dentro de los riesgos operativos. Por lo tanto, en los estándares 56 y 57, se establecen los requisitos para la implementación de principios, políticas y procedimientos de riesgo operacional incluyendo requerimientos específicos sobre Seguridad de la Información. “El Directorio debe aprobar los principios generales para el manejo del riesgo operacional, el apetito de riesgo y las políticas de la institución en base individual y consolidada y revisarlos periódicamente. Asimismo, debe revisar regularmente la exposición al riesgo operacional y asegurar que los niveles de riesgos se encuentran dentro del marco establecido. Para ello el Directorio debe:” … “56.7. Aprobar políticas en relación a seguridad de la información y revisar periódicamente la efectividad de su implementación. Las mismas deben:  Reconocer explícitamente los riesgos vinculados a la gestión de activos de información y la necesidad de que su gestión sea consistente con la naturaleza y el nivel de complejidad de las operaciones.  Constituir una guía clara en relación a la gestión de seguridad de la información  Promover una adecuada cultura de seguridad de la información.” EMG 57 – Implementación de las políticas y procedimientos de gestión de riesgos “La Alta Gerencia debe implementar las políticas aprobadas por el Directorio y desarrollar procedimientos apropiados para la identificación, medición, monitoreo y control del riesgo operacional. Estas políticas y procedimientos deben considerar el riesgo operacional en todas las actividades de la institución. Para ello la Alta Gerencia debe: …  EMG 57.2. Asignar responsabilidades en forma explícita para el manejo del riesgo operacional, independientemente de la estructura que se defina. En particular, se asignan y definen roles y responsabilidades sobre la seguridad de la información.  EMG 57.5. Establecer que la función de seguridad de la información debe ser independiente funcional y presupuestalmente del área de TI.” Correspondencia con el MCS Estos EMG, que establecen requisitos sobre la estrategia, políticas y gobernanza de la Seguridad de la Información, se relacionan con las subcategorías del MCS presentadas en la tabla siguiente. A los efectos de facilitar la interpretación, se incluyen a continuación las referencias y requisitos que el MCS establece para cada una de ellas. Subcategoría Referencias Requisitos ID.GA-6. Los roles y responsabilidades de COBIT 5 APO01.02, DSS06.03 OR.1 Designar un seguridad de la información y ciberseguridad ISO/IEC 27001:2013 A.6.1.1 Responsable de la Seguridad se encuentran asignados. NIST SP 800-53 Rev. 4 CP-2, PS-7, PM-11 de la Información. OR.2 Conformar un Comité de Seguridad de la Información. GA.1 Identificar formalmente los activos ID.GO-1. La política de seguridad de la COBIT 5 APO01.03, EDM01.01, EDM01.02 PS.1 Adoptar una Política de información se encuentra establecida. ISO/IEC 27001:2013 A.5.1.1 Seguridad de la Información. NIST SP 800-53 Rev. 4 -1 controles de todas las familias ID.GO-2. Los roles y las responsabilidades de COBIT 5 APO13.12 OR.1 Designar un la seguridad de la información están ISO/IEC 27001:2013 A.6.1.1, A.7.2.1 Responsable de la Seguridad coordinados y alineados con roles internos y NIST SP 800-53 Rev. 4 PM-1, PS-7 de la Información. socios externos. OR.2 Conformar un Comité de Seguridad de la Información. ID.GO-4. Construcción de procesos de COBIT 5 DSS04.02 - gobernanza y administración de riesgos NIST SP 800-53 Rev. 4 PM-9, PM-11 dirigidos a atender los problemas de ciberseguridad. ID.AN-3. Se establecen y se comunican las COBIT 5 APO02.01, APO02.06, APO03.01 PL.1 Establecer objetivos prioridades para la misión de la organización, NIST SP 800-53 Rev. 4 PM-11, SA-14 anuales con relación a la sus objetivos y actividades. seguridad de la información. Modelo de Madurez A los efectos de facilitar la priorización e interpretación, se incluyen a continuación las pautas del modelo de madurez que el MCS establece para cada una de ellas. Subcategoría Nivel 1 Nivel 2 Nivel 3 Nivel 4 ID.GA-6. Los roles y Se ha designado al El CSI sesiona Se definen formalmente y Se realizan actividades responsabilidades RSI y al CSI. periódicamente y documentan las de control interno para de seguridad de la Se definen los se registran las responsabilidades del RSI y del verificar la segregación información y propietarios de los reuniones. CSI. de roles en conflicto y ciberseguridad se activos, los cuales Se definen otros roles y áreas de encuentran son responsables por responsabilidades de seguridad responsabilidad. asignados. su protección. de la información que incluyen, El resultado de estas por ejemplo, responsable por la actividades son gestión de riesgos de seguridad, comunicadas al RSI y responsable de la gestión de demás interesados. incidentes, responsable de la gestión de vulnerabilidades y parches, responsable de monitoreo, entre otros. Los roles y responsabilidades se encuentran documentados. ID.GO-1. La política Se cuenta con una Se definen La política de seguridad de la Se ha desarrollado un de seguridad de la política de seguridad formalmente información y las políticas conjunto razonable de información se de la información políticas sobre específicas son revisadas cuando políticas y encuentra aprobada por la temas específicos ocurren cambios significativos procedimientos establecida. Dirección. La política que dan soporte a (ambiente de negocio, ambiente específicos alineados al de seguridad de la la política de técnico, normativa, etc.) para Marco de información se seguridad de la analizar su vigencia, idoneidad y Ciberseguridad y a la difunde al personal. información. pertinencia, siendo deseable que guía de implementación las mismas sean revisadas conformando un SGSI. formalmente a intervalos Se definen indicadores regulares. El resultado de estas para medir la revisiones de documentan y efectividad del SGSI y se comunican al CSI y demás partes planifica y realiza la interesadas. revisión formal de éste por parte del CSI. ID.GO-2. Los roles y El RSI coordina las El RSI es referente El RSI, o quien este determine, El RSI coordina las las actividades de de la temática ante coordina las tareas de gestión de actividades del plan responsabilidades seguridad de la su organización y riesgos con los responsables de anual (las cuales se de la seguridad de la información de su participa en la gestión de riesgos de seguridad y documentan) con los información están organización. gestión de con los propietarios de los principales actores coordinados y incidentes y la activos de información. involucrados de su alineados con roles gestión de riesgos organización (directores internos y socios de seguridad. de área, gerentes, otros externos. El RSI, o quien este RSI, etc.). determine, oficia como punto de contacto con el CERTuy o CSIRT según corresponda. ID.AN-3. Se Se establecen Los objetivos de Se difunden los objetivos anuales Los objetivos de establecen y se objetivos anuales en seguridad de la de seguridad de la información al seguridad de la comunican las relación con la información se personal y/o partes interesadas. información se llevan a prioridades para la seguridad de la llevan a cabo Se trabaja en el plan de cabo mediante misión de la información, mediante un plan acción de forma articulada con proyectos formales de organización, sus documentados y de acción. actores de la organización para seguridad de la objetivos y discutidos a nivel del cumplir con los objetivos. información. actividades. CSI. Se establecen Se define una estrategia acciones para lograr de seguridad de la el cumplimiento de información y los objetivos. ciberseguridad alineada a la estrategia a mediano-largo plazo y ésta es difundida. III) Marco de gestión de riesgos EMG relacionados EMG 6.8 – 6.9 – Definición del marco de gestión de riesgos “El Directorio debe aprobar el marco de gestión de riesgos que contenga la declaración de apetito de riesgo consistente con los objetivos estratégicos, los límites de riesgo y políticas asociadas que permitan y el control de todos los riesgos que puedan afectar el cumplimiento de los objetivos de la entidad, tanto a nivel individual como en base consolidada. Para ello el Directorio debe:” … “6.8 Asegurar que existe una gestión de la Seguridad de la Información cuyos objetivos se encuentran alineados con los del negocio.” “6.9 Asegurar que existe un sistema de Evaluación de Riesgos que garantiza el logro de los objetivos de TI y de Seguridad de la Información y que permita a la institución responder a las amenazas que pueden afectar estos servicios.” EMG 15.6 – Implementación del Sistema de Gestión Integral de Riesgos “La Alta Gerencia debe implementar un sistema de gestión integral de riesgos que contemple el apetito de riesgo, involucre a todo el personal y sea proactivo. Para ello la Alta Gerencia debe:” … “15.6 Implementar procedimientos sobre las políticas de Seguridad de la Información aprobadas por el Directorio.” Correspondencia con el MCS Estos EMG, que establecen requisitos sobre el marco de gestión de riesgos de la Institución, se relacionan con las siguientes subcategorías del MCS: Subcategoría Referencias Requisitos ID.GO-4. Construcción de procesos de COBIT 5 DSS04.02 - gobernanza y administración de riesgos NIST SP 800-53 Rev. 4 PM-9, dirigidos a atender los problemas de PM-11 ciberseguridad. ID.GR-1. Los procesos de gestión de COBIT 5 APO12.04, - riesgos se encuentran establecidos, APO12.05, APO13.02, gestionados y aprobados por todos los BAI02.03, BAI04.02 interesados de la organización. NIST SP 800-53 Rev. 4 PM-9 ID.GR-2. Se determina y se expresa de COBIT 5 APO12.06 - forma clara la tolerancia al riesgo a nivel NIST SP 800-53 Rev. 4 PM-9 de toda la organización. ID.GR-3. La tolerancia al riesgo de la NIST SP 800-53 Rev. 4 PM-8, - organización es determinada por su rol y PM-9, PM-11, SA-14 pertenencia a la infraestructura crítica y por la evaluación de riesgos específicos del sector al que pertenece. ID.ER-4. Identificación del impacto COBIT 5 DSS04.02 GR.1 Desarrollar un proceso de evaluación y potencial en el negocio y la probabilidad NIST SP 800-53 Rev. 4 RA-2, tratamiento de riesgos de seguridad y, de acuerdo de ocurrencia. RA-3, PM-9, PM-11, SA-14 a su resultado, implementar las acciones correctivas y preventivas correspondientes, así como elaborar y actualizar el plan de acción. CO.4 Planificar la continuidad de las operaciones y recuperación ante desastres. ID.ER-5. Las amenazas, vulnerabilidades, COBIT 5 APO12.02 GR.1 Desarrollar un proceso de evaluación y probabilidad de ocurrencia e impactos, se ISO/IEC 27001:2013 A.12.6.1 tratamiento de riesgos de seguridad y, de acuerdo utilizan para determinar el riesgo. NIST SP 800-53 Rev. 4 RA-2, a su resultado, implementar las acciones RA-3, PM-16 correctivas y preventivas correspondientes, así como elaborar y actualizar el plan de acción. ID.ER-6. Identificación y priorización de COBIT 5 APO12.05, GR.1 Desarrollar un proceso de evaluación y las respuestas a los riesgos. APO13.02 tratamiento de riesgos de seguridad y, de acuerdo NIST SP 800-53 Rev. 4 PM-4, a su resultado, implementar las acciones PM-9 correctivas y preventivas correspondientes, así como elaborar y actualizar el plan de acción. Modelo de Madurez A los efectos de facilitar la priorización e interpretación, se incluyen a continuación las pautas del modelo de madurez que el MCS establece para cada una de ellas. Subcategoría Nivel 1 Nivel 2 Nivel 3 Nivel 4 ID.ER-4. Identificación del La identificación de Se cuenta con un Los riesgos se revisan Se cuenta con el BIA impacto potencial en el negocio y los principales inventario de riesgos con una frecuencia al definido, la probabilidad de ocurrencia. riesgos incluye el de seguridad de la menos semestral. La considerando al impacto potencial en información que revisión se menos el impacto a el negocio incluye el impacto documenta nivel de imagen, determinado de potencial en el formalmente. Se económico y en los forma cualitativa (por negocio, trabaja en la usuarios. Se ha ejemplo: alto, medio- determinado al elaboración de un definido un alto, medio y bajo) y menos en forma BIA. Este análisis responsable de la la probabilidad de cualitativa. incluye la gestión de los riesgos ocurrencia (por identificación de los de seguridad de la ejemplo: alta, media, procesos críticos y información que baja). sistemas de trabaja en forma información que los coordinada con el soportan. RSI, los responsables de los activos de información y el CSI. El responsable de gestión de riesgos de seguridad de la información identifica los riesgos de seguridad de la información de todos los activos de información de la organización. El resultado de la revisión de los riesgos se eleva formalmente al CSI, a la Dirección y demás partes interesadas. La revisión periódica de los riesgos y del BIA aporta información para la toma de decisiones. ID.ER-5. Las amenazas, Ver ID.ER-4 (nivel 1) Ver ID.ER-4 (nivel 2) Ver ID.ER-4 (nivel 3) Ver ID.ER-4 (nivel 4) vulnerabilidades, probabilidad de ocurrencia e impactos, se utilizan para determinar el riesgo. ID.ER-6. Identificación y Se han definido Las respuestas a los Las respuestas a los La implementación priorización de las respuestas a controles para la riesgos se incluyen riesgos se revisan de los controles se los riesgos. mitigación de riesgos en el inventario de con una frecuencia al realiza de acuerdo a y respuesta a las riesgos de seguridad menos semestral y la la prioridad explícita principales amenazas de la información. Se revisión se y formal establecida identificadas. Los agregan respuestas a documenta por la Dirección. Se controles podrán ser riesgos de seguridad formalmente y es ha definido un físicos, lógicos o de la información comunicada al CSI y a responsable de la administrativos. que se encuentran las otras partes gestión de los riesgos fuera del alcance del interesadas. de seguridad de la centro de datos. información que trabaja en forma coordinada con el RSI, los propietarios de los activos de información y el CSI. IV) Auditoría Interna EMG relacionados EMG 21 – Control interno de los procesos de TI y Seguridad de la Información La Auditoría Interna en su rol de tercera línea de defensa, debe realizar revisiones independientes sobre el Sistema de Gestión de Seguridad de la Información, a los efectos de asegurar al Directorio que la gestión de la Seguridad de la Información es eficaz y que se aplican consistentemente las políticas y procesos definidos. En particular el estándar 21 establece que: “La función de Auditoría Interna debe proporcionar fiabilidad al Directorio y al Comité de Auditoría sobre la calidad y eficacia de los sistemas y procesos de control interno, sobre los procesos de gestión del riesgo, cumplimiento y gobierno corporativo de la institución ayudando con ello al Directorio y al Comité de Auditoría a proteger su organización y reputación. Para el cumplimiento el Auditor Interno debe:” … “Deberá evaluar la efectividad y eficiencia, al menos de:  …  Los procesos de TI y de Gestión de Seguridad de la Información.  …” Requerimientos de auditoría interna En los diversos marcos o normas de Seguridad de la Información y/o Ciberseguridad, se hace distinto énfasis en los requerimientos de control y auditoría interna de los procesos del SGSI. En lo que refiere a auditoría interna, y alineados con el enfoque dado en la norma UNIT-ISO-IEC 27001, el supervisor espera que los procesos, procedimientos y controles más críticos del SGSI sean auditados de acuerdo a un programa de auditoría que tome en cuenta el estado e importancia de los procesos, los resultados de las auditorías previas, así como también las observaciones que pudiera haber realizado el supervisor. Se espera también que las direcciones o gerencias responsables de las áreas auditadas se aseguren de que las acciones para eliminar las no conformidades detectadas y sus causas sean gestionadas sin demoras innecesarias y que el Comité de Auditoría realice el seguimiento de las mismas y tome las medidas necesarias para que se lleven a cabo (EMG 20). En cuanto a los procesos, procedimientos y controles que se consideran más relevantes, en la sección “Modelo de madurez” se encontrará una guía basada en las subcategorías del MCS, que si bien no pretende ser completa, está alineada con las expectativas de supervisión y las mejores prácticas utilizadas como referencia. Correspondencia con el MCS Este EMG, que asigna la responsabilidad de evaluar la efectividad y eficiencia de los procesos de TI y Gestión de Seguridad de la Información a la Auditoría Interna específicamente, no tiene una correlación directa con las subcategorías del MCS o sus requisitos. Como consecuencia no se presenta la sección de subcategorías y requisitos del MCS como para los otros EMG. Modelo de Madurez Como parte del modelo de madurez del MCS existen pautas que establecen la realización de actividades de control interno para los procesos y controles de Seguridad de la Información y Tecnología. Como mínimo, para los más críticos de esos procesos y controles, se espera que la Auditoría Interna participe de la evaluación periódica de su efectividad y eficiencia. A continuación se reproducen las subcategorías del MCS asociadas a los mismos y las pautas del nivel 4 del modelo de madurez que son las que establecen la realización de esas actividades. Subcategoría Nivel 4 ID.GA-6. Los roles y Se realizan actividades de control interno para verificar la segregación de roles en responsabilidades de seguridad de conflicto y áreas de responsabilidad. la información y ciberseguridad se El resultado de estas actividades son comunicadas al RSI y demás interesados. encuentran asignados. ID.GO-3. Los requisitos legales y Se realizan actividades de control interno para verificar el cumplimiento del SGSI. regulatorios sobre la Los resultados de las revisiones se utilizan para la mejora continua del SGSI y apoyan a la ciberseguridad, incluyendo las toma de decisiones. obligaciones de privacidad son comprendidos y se gestionan. PR.CA-1. Las identidades y Se realizan revisiones proactivas periódicas de los privilegios de acceso de los usuarios, credenciales para usuarios y especialmente los privilegiados, según un procedimiento formal. Los resultados de las dispositivos autorizados son revisiones se documentan formalmente y se comunican al RSI, a las gerencias y demás gestionadas. partes interesadas. Existe sinergia entre las áreas de gestión humana, las gerencias y los responsables de la revisión de privilegios para obtener en tiempo y forma la información para las revisiones. Se realizan actividades de control interno para verificar la realización de revisiones de privilegios. PR.CA-2. Se gestiona y protege el Se revisan periódicamente los registros de accesos realizados a los centros de datos y acceso físico a los activos. áreas seguras, según un procedimiento formal. La revisión periódica de accesos retroalimenta la gestión del acceso físico. Se realizan actividades de control interno para verificar el cumplimiento de los procedimientos establecidos. PR.CF-1. Todos los usuarios se Se realizan actividades de control interno para verificar el desarrollo de las campañas. encuentran entrenados e Se evalúa el nivel de conocimiento adquirido por el personal mediante actividades de informados. evaluación periódicas. Estas actividades son aprobadas por el CSI y apoyadas por la Dirección. PR.TP-1. Los registros de auditoría Se establecen los requisitos de retención de los registros y se implementan. (logs) se documentan, Se toman medidas para facilitar el análisis de grandes volúmenes de información. implementan y son revisados de Se cuenta con mecanismos para revisar las actividades de los administradores. Se realizan conformidad con la política. actividades de control interno para verificar el cumplimiento con la política y los procedimientos. El resultado de las revisiones se comunica al RSI y demás partes interesadas. RE.PR-1. El plan de respuesta se Se realizan revisiones de control interno para verificar el cumplimiento del plan y/o ejecuta durante o luego de un procedimiento de respuesta. evento. La Dirección, el RSI y el CSI reciben información periódica sobre incidentes de seguridad de la información. Dicha información apoya la toma de decisiones y se registran lecciones aprendidas que son utilizadas para la mejora continua de la respuesta a incidentes. V) Función de Seguridad de la Información EMG relacionados EMG 63 – Gestión integral e independiente de Seguridad de la Información La función de Seguridad de la Información se ubica en general en la segunda línea de defensa. Siendo básicamente su función principal alinear la Seguridad de la Información con los objetivos de negocio. Es responsable de velar porque la Institución cuente con las herramientas para una adecuada gestión de la Seguridad de la Información y promover una adecuada cultura de seguridad colaborando con el fortalecimiento del rol de la primera línea de defensa. Las tareas pueden ser delegadas, sin embargo, sigue siendo responsable y debe poder determinar que cualquier tarea delegada se ha cumplido correctamente. Los requerimientos específicos sobre esta función se establecen en el EMG 63: “La institución debe contar con una gestión integral e independiente de la seguridad de la información. Para ello debe:  Mantener actualizada la clasificación de sus activos de información. Debe asignarse dueño y custodio a todo dato y software necesario para reconstruir las informaciones emitidas para el Banco Central del Uruguay, los registros contables y cada uno de los movimientos que dan origen a los mismos (hasta el grado de detalle establecido en la normativa vigente).  Implementar estándares, procedimientos y directrices que permitan preservar la confidencialidad, integridad y disponibilidad de la información, teniendo en cuenta aspectos de seguridad física y lógica.  Identificar, evaluar, tratar y monitorear los riesgos asociados a la gestión de sus activos de información, de manera que se incluya un análisis sobre las amenazas y vulnerabilidades presentes.  Contar con indicadores y medidas que contribuyan al monitoreo de la gestión de la seguridad de la información.  Generar concientización y asegurar una adecuada capacitación al personal que permita involucrar a todos en la gestión de los riesgos asociados a los activos de información.  Asegurar el cumplimiento de las políticas de seguridad de la información en el caso de actividades tercerizadas, y velar por la seguridad de los datos procesados externamente.  Contar con una política, procedimientos e indicadores de gestión de incidentes de seguridad, y llevar a cabo pruebas frecuentemente de manera de tener actualizados las actividades a realizar.” Correspondencia con el MCS Este EMG, que define las características que el supervisor espera que cumpla la gestión de la Seguridad de la Información, se corresponde con las subcategorías del MCS incluidas en la tabla que luce a continuación. En consideración de la cantidad, y a los efectos de evitar extender innecesariamente la presente guía, para esta sección no se incluyen las pautas del Modelo de Madurez, ya que las mismas pueden ser consultadas en el Marco de Referencia del MCS. Subcategoría Referencias Requisitos ID.GA-2. Las plataformas de COBIT 5 BAI09.01, BAI09.02, GA.1 Identificar formalmente los activos de la software y aplicaciones se BAI09.05 organización junto con la definición de su responsable. encuentran inventariadas. ISO/IEC 27001:2013 A.8.1.1, A.8.1.2 GA.3 Pautar el uso aceptable de los activos. NIST SP 800-53 Rev. 4 CM-8 CN.4 Gestionar las licencias de software. ID.GA-5. Los activos (por COBIT 5 APO03.03, APO03.04, GA.2 Clasificar y proteger la información de acuerdo a ejemplo: hardware, dispositivos, BAI09.02 la normativa y a los criterios de valoración definidos. datos y software) se encuentran ISO/IEC 27001:2013 A.8.2.1 clasificados en función del tipo NIST SP 800-53 Rev. 4 CP-2, RA-2, de información que contienen o SA-14 procesan y en el valor que poseen para el negocio. ID.GO-3. Los requisitos legales y COBIT 5 MEA03.01, MEA03.04 CN.1 Cumplir con los requisitos normativos. regulatorios sobre la ISO/IEC 27001:2013 A.18.1 ciberseguridad, incluyendo las NIST SP 800-53 Rev. 4 -1 controles obligaciones de privacidad, son de todas las familias (excepto PM- comprendidos y se gestionan. 1) ID.ER-1. Se identifican y COBIT 5 APO12.01, APO12.02, SO.1 Gestionar las vulnerabilidades técnicas. documentan las vulnerabilidades APO12.03, APO12.04 CN.2 Realizar auditorías independientes de seguridad de los activos. ISO/IEC 27001:2013 A.12.6.1, de la información. A.18.2.3 CN.3 Revisar regularmente los sistemas de información NIST SP 800-53 Rev. 4 CA-2, CA-7, mediante pruebas de intrusión (ethical hacking) y CA-8, RA-3, RA-5, SA-5, SA-11, SI-2, evaluación de vulnerabilidades. SI-4, SI-5 ID.ER-2. Recepción de ISO/IEC 27001:2013 A.6.1.4 OR.3 Definir los mecanismos para el contacto formal información sobre amenazas y NIST SP 800-53 Rev. 4 PM-15, PM- con autoridades y equipo de respuesta. vulnerabilidades por parte de 16, SI-5 GH.2 Concientizar y formar en materia de seguridad de grupos y fuentes especializadas. la información a todo el personal. COBIT 5 APO12.01, APO12.02, GR.1 Desarrollar un proceso de evaluación y ID.ER-3. Identificación y APO12.03, APO12.04 tratamiento de riesgos de seguridad y, de acuerdo a su documentación de las amenazas NIST SP 800-53 Rev. 4 RA-3, SI-5, resultado, implementar las acciones correctivas y internas y externas. PM-12, PM-16 preventivas correspondientes, así como elaborar y actualizar el plan de acción. PR.CA-1. Las identidades y COBIT 5 DSS05.04, DSS06.03 CA.1 Gestionar el acceso lógico. credenciales para usuarios y ISO/IEC 27001:2013 A.9.2.1, CA.2 Revisar los privilegios de acceso lógico. dispositivos autorizados son A.9.2.2, A.9.2.4, A.9.3.1, A.9.4.2, gestionadas. A.9.4.3 NIST SP 800-53 Rev. 4 AC-2, Familia IA PR.CA-2. Se gestiona y protege el COBIT 5 DSS01.04, DSS05.05 SF.1 Implementar controles de acceso físico a las acceso físico a los activos. ISO/IEC 27001:2013 A.11.1.1, instalaciones y equipos ubicados en los centros de A.11.1.2, A.11.1.4, A.11.1.6, datos y áreas relacionadas. A.11.2.3 NIST SP 800-53 Rev. 4 PE-2, PE-3, PE-4, PE-5, PE-6, PE-9 PR.CA-3. Gestión de acceso COBIT 5 APO13.01, DSS01.04, OR.6 Establecer controles para proteger la información remoto. DSS05.03 a la que se accede de forma remota. ISO/IEC 27001:2013 A.6.2.2, SC.6 Establecer acuerdos de no divulgación. A.13.1.1, A.13.2.1 NIST SP 800-53 Rev. 4 AC 17, AC-19, AC-20 PR.CF-1. Todos los usuarios se COBIT 5 APO07.03, BAI05.07 GH.2 Concientizar y formar en materia de seguridad de encuentran entrenados e ISO/IEC 27001:2013 A.7.2.2 la información a todo el personal. informados. NIST SP 800-53 Rev. 4 AT-2, PM-13 PR.CF-2. Los usuarios COBIT 5 APO07.02, DSS06.03 GH.2 Concientizar y formar en materia de seguridad de privilegiados comprenden sus ISO/IEC 27001:2013 A.6.1.1, A.7.2.2 la información a todo el personal. roles y responsabilidades. NIST SP 800-53 Rev. 4 AT-3, PM-13 PR.CF-4. La gerencia ejecutiva COBIT 5 APO07.03 GH.2 Concientizar y formar en materia de seguridad de comprende sus roles y ISO/IEC 27001:2013 A.6.1.1, A.7.2.2 la información a todo el personal. responsabilidades. NIST SP 800-53 Rev. 4 AT-3, PM-13 PR.CF-5. El personal de COBIT 5 APO07.03 GH.2 Concientizar y formar en materia de seguridad de seguridad física y de seguridad ISO/IEC 27001:2013 A.6.1.1, A.7.2.2 la información a todo el personal. de la información comprende NIST SP 800-53 Rev. 4 AT-3, PM-13 sus roles y responsabilidades. PR.SD-5. Se implementan COBIT 5 APO01.06 GH.1 Establecer acuerdos contractuales con el personal medidas de protección contra ISO/IEC 27001:2013 A.6.1.2, donde figuren sus responsabilidades y las de la fuga de datos. A.7.1.1, A.7.1.2, A.7.3.1, A.8.2.2, organización respecto a la seguridad de la información. A.8.2.3, A.9.1.1, A.9.1.2, A.9.2.3, SC.6 Establecer acuerdos de no divulgación. A.9.4.1, A.9.4.4, A.9.4.5, A.13.1.3, A.13.2.1, A.13.2.3, A.13.2.4, A.14.1.2, A.14.1.3 NIST SP 800-53 Rev. 4 AC-4, AC-5, AC-6, PE-19, PS-3, PS-6, SC-7, SC-8, SC-13, SC-31, SI-4 PR.PI-11. La ciberseguridad se COBIT 5 APO07.01, APO07.02, SC.6 Establecer acuerdos de no divulgación. encuentra incluida en las APO07.03, APO07.04, APO07.05 GH.1 Establecer acuerdos contractuales con el personal prácticas de RRHH. ISO/IEC 27001:2013 A.7.1.1, donde figuren sus responsabilidades y las de la A.7.3.1, A.8.1.4 organización respecto a la seguridad de la información. NIST SP 800-53 Rev. 4 Familia PS PR.PI-12. Existe un plan de ISO/IEC 27001:2013 A.12.6.1, SO.1 Gestionar las vulnerabilidades técnicas. gestión de vulnerabilidades. A.18.2.2NIST SP 800-53 Rev. 4 RA-3, RA-5, SI-2 DE.AE-2. Los eventos detectados ISO/IEC 27001:2013 A.16.1.1, GI.2 Contar con mecanismos que permitan evaluar los son analizados para entender los A.16.1.4 eventos de seguridad de la información y decidir si se objetivos y métodos de ataque. NIST SP 800-53 Rev. 4 AU-6, CA-7, clasifican como incidentes de seguridad de la IR-4, SI- 4 información. SO.7 Registrar y monitorear los eventos de los sistemas. SC.15 Todo sitio Web que contenga u oficie de enlace a un trámite en línea debe tener un firewall de aplicación Web (Web Application Firewall – WAF). DE.AE-4. Se determina el COBIT 5 APO12.06 GI.1 Planificar la gestión de los incidentes de seguridad impacto de los eventos. NIST SP 800-53 Rev. 4 CP-2, IR-4, de la información. RA-3, SI-4 GR.1 Desarrollar un proceso de evaluación y tratamiento de riesgos de seguridad y, de acuerdo a su resultado, implementar las acciones correctivas y preventivas correspondientes, así como elaborar y actualizar el plan de acción. SF.3 Contar con un sistema de gestión y monitoreo centralizado capaz de alertar fallas en componentes críticos. DE.AE-5. Se establecen los COBIT 5 APO12.06 GI.1 Planificar la gestión de los incidentes de seguridad umbrales de alerta de NIST SP 800-53 Rev. 4 IR-4, IR-5, IR- de la información. incidentes. 8 GI.5 Responder ante incidentes de seguridad de la información. GR.1 Desarrollar un proceso de evaluación y tratamiento de riesgos de seguridad y, de acuerdo a su resultado, implementar las acciones correctivas y preventivas correspondientes, así como elaborar y actualizar el plan de acción. SO.7 Registrar y monitorear los eventos de los sistemas. DE.MC-1. Se monitorea la red COBIT 5 DSS05.07 SF.3 Contar con un sistema de gestión y monitoreo para detectar potenciales NIST SP 800-53 Rev. 4 AC-2, AU-12, centralizado capaz de alertar fallas en componentes eventos de ciberseguridad. CA-7, CM-3, SC-5, SC-7, SI-4 críticos. DE.MC-2. Se monitorea el NIST SP 800-53 Rev. 4 CA-7, PE-3, SF.1 Implementar controles de acceso físico a las ambiente físico para detectar PE-6, PE-20 instalaciones y equipos ubicados en los centros de potenciales eventos de datos y áreas relacionadas. ciberseguridad. SF.3 Contar con un sistema de gestión y monitoreo centralizado capaz de alertar fallas en componentes críticos. DE.MC-3. Se monitorea la ISO/IEC 27001:2013 A.12.4.1 SO.7 Registrar y monitorear los eventos de los actividad del personal para NIST SP 800-53 Rev. 4 AC-2, AU-12, sistemas. detectar potenciales eventos de AU-13, CA-7, CM-10, CM-11 ciberseguridad. DE.MC-4. Se detecta el código COBIT 5 DSS05.01 SO.5 Controlar software malicioso. malicioso. ISO/IEC 27001:2013 A.12.2.1 NIST SP 800-53 Rev. 4 SI-3 DE.MC-6. Se controla la actividad COBIT 5 APO07.06 RP.1 Definir acuerdos de niveles de servicio (SLA) con de los proveedores de servicios ISO/IEC 27001:2013 A.14.2.7, los proveedores de servicios críticos. externos para detectar posibles A.15.2.1 RP.2 Establecer pautas, realizar seguimiento y revisión eventos de ciberseguridad. NIST SP 800-53 Rev. 4 CA-7, PS-7, de los servicios de los proveedores, y gestionar sus SA-4, SA- 9, SI-4 cambios. DE.MC-8. Se realizan escaneos COBIT 5 BAI03.10 CN.3 Revisar regularmente los sistemas de información de vulnerabilidades. ISO/IEC 27001:2013 A.12.6.1 mediante pruebas de intrusión NIST SP 800-53 Rev. 4 RA-5 DE.PD-1. Los roles y las COBIT 5 DSS05.01 SO.7 Registrar y monitorear los eventos de los responsabilidades de detección ISO/IEC 27001:2013 A.6.1.1 sistemas. se encuentran definidos para NIST SP 800-53 Rev. 4 CA-2, CA-7, asegurar responsabilidades. PM-14 DE.PD-4. La información de la COBIT 5 APO12.06 OR.3 Definir los mecanismos para el contacto formal detección de eventos es ISO/IEC 27001:2013 A.16.1.2 con autoridades y equipo de respuesta. comunicada a las partes NIST SP 800-53 Rev. 4 AU-6, CA-2, GI.2 Contar con mecanismos que permitan evaluar los pertinentes. CA-7, RA-5, SI-4 eventos de seguridad de la información y decidir si se clasifican como incidentes de seguridad de la información. GI.3 Informar de forma completa e inmediata la existencia de un potencial incidente de seguridad informática al CERTuy o equipo de respuesta externo correspondiente. GI.4 Registrar y reportar las violaciones a la seguridad de la información, confirmadas o sospechadas de acuerdo a los procedimientos correspondientes. RE.PR-1. El plan de respuesta se COBIT 5 BAI01.10 GI.5 Responder ante incidentes de seguridad de la ejecuta durante o luego de un ISO/IEC 27001:2013 A.16.1.5 información. evento. NIST SP 800-53 Rev. 4 CP-2, CP-10, IR-4, IR-8 RE.CO-1. El personal conoce sus ISO/IEC 27001:2013 A.6.1.1, GH.2 Concientizar y formar en materia de seguridad de roles y el orden de operaciones A.16.1.1 la información a todo el personal. cuando es necesaria una NIST SP 800-53 Rev. 4 CP-2, CP-3, GI.1 Planificar la gestión de los incidentes de seguridad respuesta. IR-3, IR-8 de la información. GI.3 Informar de forma completa e inmediata la existencia de un potencial incidente de seguridad informática al CERTuy o equipo de respuesta externo correspondiente. GI.5 Responder ante incidentes de seguridad de la información. RE.CO-2. Los eventos son ISO/IEC 27001:2013 A.6.1.3, OR.3 Definir los mecanismos para el contacto formal reportados consistentemente A.16.1.2 con autoridades y equipo de respuesta. con los criterios establecidos. NIST SP 800-53 Rev. 4 AU-6, IR-6, GI.1 Planificar la gestión de los incidentes de seguridad IR-8 de la información. GI.4 Registrar y reportar las violaciones a la seguridad de la información, confirmadas o sospechadas de acuerdo a los procedimientos correspondientes. RE.CO-4. La coordinación con las NIST SP 800-53 Rev. 4 CP-2, IR-4, IR- OR.3 Definir los mecanismos para el contacto formal partes interesadas se realiza 8 con autoridades y equipo de respuesta. consistentemente con los planes GI.1 Planificar la gestión de los incidentes de seguridad de respuesta. de la información. GI.5 Responder ante incidentes de seguridad de la información. RE.AN-1. Se investigan las COBIT 5 DSS02.07 GI.2 Contar con mecanismos que permitan evaluar los notificaciones de los sistemas de ISO/IEC 27001:2013 A.12.4.1, eventos de seguridad de la información y decidir si se detección. A.12.4.3, A.16.1.5 clasifican como incidentes de seguridad de la NIST SP 800-53 Rev. 4 AU-6, CA-7, información. IR-4, IR-5, PE-6, SI-4 GI.5 Responder ante incidentes de seguridad de la información. SO.7 Registrar y monitorear los eventos de los sistemas. RE.AN-2. El impacto del ISO/IEC 27001:2013 A.16.1.6 GI.2 Contar con mecanismos que permitan evaluar los incidente es comprendido. NIST SP 800-53 Rev. 4 CP-2, IR-4 eventos de seguridad de la información y decidir si se clasifican como incidentes de seguridad de la información. GI.5 Responder ante incidentes de seguridad de la información. RE.MI-1. Se logra contener los ISO/IEC 27001:2013 A.16.1.5 GI.5 Responder ante incidentes de seguridad de la incidentes. NIST SP 800-53 Rev. 4 IR-4 información. RE.MI-2. Se logra mitigar los ISO/IEC 27001:2013 A.12.2.1, GI.5 Responder ante incidentes de seguridad de la incidentes. A.16.1.5 información. NIST SP 800-53 Rev. 4 IR-4 VI) Función de Gestión de Tecnologías de la Información EMG relacionados EMG 61 – Gestión de servicios de TI La adecuada gestión de los riesgos operativos y de Seguridad de la Información derivados de la gestión de los servicios de TI es el foco del estándar 61: “El área de TI debe proporcionar los servicios en un ambiente seguro, que incluya no solamente las condiciones operativas del área de TI sino también factores tales como confiabilidad, confidencialidad, integridad y disponibilidad. Incluye además el soporte y la capacitación a los usuarios del servicio y la habilidad para manejar problemas e incidentes, operaciones, desempeño del sistema, planificación de la capacidad y administración de los datos e instalaciones“. Se espera además que: “Las prácticas de manejo de riesgos promoverán operaciones de TI efectivas, seguras y sólidas, que aseguren la continuidad de las operaciones y la confiabilidad y disponibilidad de la información. El manejo del riesgo operacional derivado de los sistemas debe comprender a toda la organización y proveedores externos. Debe asegurar que se cumpla con los siguientes requerimientos:  Proporcionar un nivel de servicio que satisfaga las necesidades del negocio.  Establecer controles adecuados de los datos a nivel de la operación, entradas, proceso y salidas.  Asegurar la calidad de los procesos y/o los programas que monitorean la capacidad y el desempeño del servicio de TI.  Asegurar la calidad de la asistencia proporcionada a los usuarios, incluida la habilidad para manejar problemas.  Contar con adecuadas políticas operativas, procedimientos y manuales.  Contar con una arquitectura adecuada y asegurar las conexiones con redes de comunicación. En el caso de servicios prestados por terceros, debe asegurar que:  Se han documentado adecuadamente a través de contratos, las condiciones y niveles mínimos de servicio a ser obtenidos del proveedor.  Se han establecido controles adecuados sobre los proveedores externos y que la institución es capaz de monitorear los mismos.  El servicio a los requerimientos de los usuarios es adecuado.  El proveedor es capaz de proveer y mantener el desempeño de los niveles de servicios adecuado a las necesidades de los usuarios.” EMG 78 –Adquisición e implementación de soluciones tecnológicas La definición, adquisición e implementación de soluciones tecnológicas y su integración con los procesos de negocio de la institución son el foco de la sección Estándares de Tecnología y en particular del estándar 78: “La Gerencia de TI debe tener la habilidad para identificar las necesidades y para desarrollar, adquirir, instalar y mantener soluciones de TI apropiadas de acuerdo a las necesidades de la entidad. Para ello debe:  Tener procesos para identificar necesidades e implementar, controlar y mantener soluciones de TI adecuadas. Esto incluye compras de hardware o software realizadas por el proveedor interno o externo de TI, desarrollo y programación realizado por la institución o un proveedor externo, compra de servicios a vendedores independientes, centros de procesamiento de datos vinculados a la institución o una combinación de estas actividades.  Implementar una metodología de desarrollo de sistemas de la institución que incluye un análisis y gestión adecuada de los riesgos tecnológicos asociados.  Implementar procesos que aseguren que se mejoran y reemplazan componentes de TI en forma prudente y dentro de un ambiente controlado. El comportamiento en el desarrollo y adquisición y en el manejo de los riesgos asociados debe basarse en la evaluación de factores como: o El nivel y calidad de la supervisión y soporte al desarrollo y adquisición de sistemas por parte de la dirección. o La adecuación de las estructuras organizacionales y gerenciales para establecer conocimiento y responsabilidad por las iniciativas en materia de sistemas y tecnologías de TI. o El volumen, naturaleza y extensión de la exposición al riesgo de la institución financiera en el área del desarrollo y adquisición de sistemas. o La adecuación de los estándares de desarrollo, ciclo de vida y programación de los sistemas de la institución. o La calidad de las prácticas de administración de proyectos que son seguidos por los desarrolladores, operadores, nivel gerencial/propietario (entendiendo por propietario al usuario final dueño de la aplicación), vendedores independientes o proveedores vinculados (entendiéndose por proveedor vinculado a una empresa externa vinculada al grupo) de servicios de TI y los usuarios finales. o La independencia de la función de aseguramiento de calidad y la adecuación de los controles sobre los cambios de programas. o La calidad y exactitud de la documentación de los sistemas. o La integridad y seguridad del software de red, de base y aplicaciones. o El desarrollo de soluciones de TI que satisfagan las necesidades de los usuarios finales. o El grado de compromiso del usuario final en el proceso de desarrollo de los sistemas.  Tener un proceso que comprende todas las fases necesarias para implementar un cambio de sistemas incluyendo investigación de las alternativas disponibles, selección de la opción más adecuada para la organización como un todo, conversión a un nuevo sistema o integración de un nuevo sistema con los existentes.  Evaluar en los proveedores externos de servicios de TI los aspectos vinculados a la calidad de las entregas de software y documentación y a la adecuación de la capacitación proporcionada a los clientes.” Correspondencia con el MCS Estos EMGs se vinculan con las siguientes subcategorías: Subcategoría Referencias Requisitos PR.CA-5. Protección de la ISO/IEC 27001:2013 SC.13 Debe existir segregación a nivel de servicios de integridad de la red A.13.1.1, A.13.1.3, A.13.2.1 información. incorporando segregación ISO/IEC 27799:2016 cuando es apropiado. A.13.2.1 NIST SP 800-53 Rev. 4 AC-4, SC-7 PR.SD-4. Se mantiene una COBIT 5 APO13.01 SO.3 Gestionar la capacidad de los servicios que se encuentran adecuada capacidad para ISO/IEC 27001:2013 A.12.3.1 operativos. asegurar la disponibilidad. ISO/IEC 27799:2016 A.12.3.1 NIST SP 800-53 Rev. 4 AU-4, CP-2, SC-5 PR.SD-6. Se realizan ISO/IEC 27001:2013 SO.5 Controlar software malicioso. chequeos de integridad para A.12.2.1, A.12.5.1, SO.8 Gestionar la instalación de software. verificar software, firmware A.14.1.2, A.14.1.3 e integridad de la ISO/IEC 27799:2016 información. A.12.2.1, A.14.1.2 PR.PI-2. Se implementa el COBIT 5 APO13.01 AD.1 Incluir requisitos de seguridad de la información durante ciclo de vida de desarrollo ISO/IEC 27001:2013 A.6.1.5, todo el ciclo de vida de los proyectos de desarrollo o para gestionar los sistemas. A.14.1.1, adquisiciones de software. A.14.2.1, A.14.2.5 OR.4 Abordar la seguridad de la información en la gestión de NIST SP 800-53 Rev. 4 SA-3, los proyectos. SA-4, SA-8, SA-10, SA-11, SA- 12, SA-15, SA-17, PL-8 PR.PI-3. Existen procesos de COBIT 5 BAI06.01, BAI01.06 SO.2 Gestionar formalmente los cambios. gestión del cambio en las ISO/IEC 27001:2013 SO.8 Gestionar la instalación de software. configuraciones. A.12.1.2, A.12.5.1, A.12.6.2, A.14.2.2, A.14.2.3, A.14.2.4 ISO/IEC 27799:2016 A.12.1.2 NIST SP 800-53 Rev. 4 CM-3, CM-4, SA-10 PR.PI-5. Las políticas y COBIT 5 DSS01.04, DSS05.05 SF.2 Implementar controles ambientales en los centros de reglamentos relacionados ISO/IEC 27001:2013 datos y áreas relacionadas. con el medio ambiente A.11.1.4, A.11.2.1, A.11.2.2, SF.3 Contar con un sistema de gestión y monitoreo físico operativo se cumplen. A.11.2.3 centralizado capaz de alertar fallas en componentes críticos. ISO/IEC 27799:2016 A.11.2.1, A.11.2.3 NIST SP 800-53 Rev. 4 PE-10, PE-12, PE-13, PE-14, PE-15, PE-18 PR.TP-4. Las redes y COBIT 5 DSS05.02, APO13.01 SC.8 Garantizar que los correos electrónicos en tránsito entre comunicaciones se ISO/IEC 27001:2013 dos MTAs, o entre un MUA y un MTA, no comprometa la encuentran protegidas A.13.1.1, A.13.2.1 confidencialidad de la información cuando esto sea posible. ISO/IEC 27799:2016 A.13.2.1 SC.12 Los servicios de Webmail deben implementarse sobre el NIST SP 800-53 Rev. 4 AC-4, protocolo HTTPS utilizando un certificado de seguridad válido. AC-17, AC-18, CP-8, SC-7 Cuando la información a transmitir vía email represente un riesgo alto para la organización, se recomienda implementar un modelo de cifrado a nivel de mensaje. SC.15 Todo sitio Web que contenga u oficie de enlace a un trámite en línea debe tener un firewall de aplicación Web (Web Application Firewall – WAF). DE.MC-6. Se controla la COBIT 5 APO07.06 RP.1 Definir acuerdos de niveles de servicio (SLA) con los actividad de los ISO/IEC 27001:2013 proveedores de servicios críticos. proveedores de servicios A.14.2.7, A.15.2.1 RP.2 Establecer pautas, realizar seguimiento y revisión de los externos para detectar NIST SP 800-53 Rev. 4 CA-7, servicios de los proveedores, y gestionar sus cambios. posibles eventos de PS-7, SA-4, SA- 9, SI-4 ciberseguridad. Modelo de Madurez A los efectos de facilitar la priorización e interpretación, se incluyen a continuación las pautas del modelo de madurez que el MCS establece para cada una de ellas. Subcategoría Nivel 1 Nivel 2 Nivel 3 Nivel 4 PR.CA-5. La red se encuentra Se identifican los Se conoce y se analiza el Existe un procedimiento Protección de la segmentada al posibles dominios de tráfico en los diferentes documentado de integridad de la menos en redes con red en función de las dominios de la red. Se monitoreo de los red incorporando contacto directo con necesidades de la protegen las diferentes segmentos segregación redes externas (por organización. comunicaciones apoyado, si es viable, por cuando es ejemplo, Internet) y Se establece la entrantes y salientes herramientas apropiado. redes privadas de la segmentación de las entre los diferentes automatizadas. organización. Existe redes en función de segmentos. Se trabaja El procedimiento de un diagrama de red los dominios en la definición de contención de incidentes actualizado. definidos para controles de detección se encuentra alineado con proteger la de amenazas. la política de gestión de infraestructura y los Se definen alertas incidentes. Se registran los servicios de red. cuando el tráfico no incidentes que se detectan Se genera una autorizado es en los diferentes postura de manejo bloqueado o detectado. segmentos para aprender de tráfico por Se define un de ellos y retroalimentar defecto entre procedimiento de las lecciones aprendidas segmentos. contención de facilitando la toma de incidentes en el decisiones. segmento cuando se detectan las amenazas. PR.SD-4. Se La capacidad actual Se toman en cuenta Se planifica y define el Se cuenta con un plan de mantiene una instalada para la las necesidades de proceso de gestión de la capacidad formal. adecuada prestación de los capacidad al capacidad actual. Se Se define un proceso de capacidad para servicios críticos es momento de identifica al responsable estimación de la capacidad asegurar la suficiente. dimensionar los del proceso de gestión que acompaña al plan. disponibilidad. servicios críticos que de la capacidad, sus La información se utiliza se hayan roles y para generar pronósticos. identificado, de responsabilidades. El plan se revisa a acuerdo a las intervalos regulares. necesidades actuales Se proponen acciones para del negocio. la mejora continua de la Se realizan gestión de la capacidad. mediciones objetivas para detectar problemas de capacidad. PR.SD-6. Se Se definen pautas La posibilidad de Se trabaja en la Se cuenta con listas de realizan chequeos para la instalación instalar software en elaboración de listas de software autorizado y/o de integridad para de software. los equipos queda software autorizado y prohibido, revisadas por el verificar software, Los equipos del restringida a los prohibido. Se cuenta RSI. Todos los servidores firmware e personal cuentan usuarios que se con una solución cuentan con algún tipo de integridad de la con protección encuentran antivirus centralizada y protección o detección de información antivirus. autorizados para ese existe un responsable malware. Se realizan Se realizan tareas de fin. Se define un de ella. Se define una actividades de control concientización procedimiento y los política de protección interno sobre la solución sobre prevención responsables para la contra software antivirus y sobre el ante software instalación de malicioso. Se cuenta software instalado con el malicioso software en con algún mecanismo fin de determinar el producción. Los de control de acceso a cumplimiento con las servidores que sitios Web maliciosos políticas y procedimientos. ofician de y/o no autorizados. Los resultados de estas distribuidores de revisiones son enviados al archivos (por RSI y demás partes ejemplo, servidores interesadas. En caso de de archivos o correo desvíos se determinan las electrónico), cuentan acciones correctivas. con una solución antivirus. PR.PI-2. Se Se utilizan La seguridad de la Se define un Se realizan actividades de implementa el lineamientos información se toma procedimiento control interno para ciclo de vida de generales para el en cuenta en la documentado de determinar el nivel de desarrollo para desarrollo de los especificación de pruebas, contemplando cumplimiento con la gestionar los sistemas incluyendo requisitos. la participación de metodología y sistemas. principios básicos de Se incorporan usuarios, directa o procedimientos definidos. la gestión de principios de mediante algún rol que El resultado de estas proyectos (ágiles, desarrollo seguro de los represente. actividades se comunica al sistemas. RSI y demás partes tradicionales o Se controlan las Se definen los criterios interesadas. Se toman ambas). versiones de de aceptación de los acciones correctivas frente Los usuarios software. productos. a desvíos. participan Se sistematizan las directamente o actividades de mediante algún rol pruebas. que los represente en el ciclo de vida de los sistemas. PR.PI-3. Existen Existen medidas Se define versionado Se define una política de Se cuenta con procesos de para comunicar y y líneas base de gestión de cambios que herramientas para dar gestión del cambio autorizar los configuración de los contempla también los soporte a la gestión de los en las cambios en el productos de cambios de emergencia cambios. Se realizan configuraciones ámbito tecnológico. software que en el ámbito actividades de control permiten la tecnológico. interno para revisar el trazabilidad de los Se cuenta con un cumplimiento con los cambios. procedimiento procedimientos actuales. El documentado para la resultado de estas gestión de los cambios. actividades es comunicado Los cambios a las líneas al RSI y demás partes base se registran. interesadas. Se toman medidas correctivas ante desvíos. PR.PI-5. Las Existen medidas de Se implementan Se define una política de Se realizan actividades de políticas y control del medio herramientas seguridad del control interno para reglamentos ambiente físico en automatizadas que equipamiento. verificar el cumplimiento relacionados con el los centros de datos. apoyan el monitoreo Se cuenta con un de la política y medio ambiente de los controles procedimiento procedimientos asociados. físico operativo se relacionados al documentado de Los resultados del cumplen. medio ambiente monitoreo que incluye monitoreo son utilizados físico. el uso de herramientas para mejorar los automatizadas. procedimientos y retroalimentación de las lecciones aprendidas. PR.TP-4. Las redes La comunicación Todas las El WAF de producción El análisis de los registros y comunicaciones entre MTAs se aplicaciones Web ha evolucionado de del WAF incluye se encuentran encuentra cifrada disponibles en modo detección a modo automatismos que protegidas. como método Internet se bloqueo. favorecen las actividades preferido de encuentran Se cuenta con un WAF de revisión. Se establece comunicación. protegidas mediante instalado en ambiente un procedimiento para la Los servicios de el uso de WAF, al de prueba para la preservación y gestión de Webmail se menos configurados realización de pruebas los registros del WAF. encuentran en modo funcionales y otro WAF implementados “detección”. en ambiente de sobre el protocolo producción donde se HTTPS utilizando un impactan las reglas certificado válido. actualizadas luego de ser probadas. Los registros de los WAF se encuentran centralizados. DE.MC-6. Se Se toman acciones Existen SLA con Existen SLA con los Se realiza una revisión controla la ante desvíos proveedores de proveedores de periódica de los contratos actividad detectados en el servicios críticos del servicios y SLA de los proveedores de los proveedores servicio de un centro de datos. críticos del centro de de servicios críticos para de servicios proveedor de un En los contratos con datos donde se evaluar la adherencia a externos para servicio crítico del los proveedores de establece el los acuerdos. detectar posibles centro de datos. servicios críticos, se régimen de cobertura La información que surge eventos de incluyen cláusulas de para los servicios de la revisión apoya a la ciberseguridad. seguridad de la críticos toma de decisiones. información. conforme las necesidades de la organización. En todos los contratos se incluyen cláusulas de seguridad de la información. Los contratos con los proveedores son revisados ante cambios del servicio. VII) Plan de contingencia y continuidad del negocio EMG relacionados EMG 62 – Plan de contingencia y continuidad del negocio Las instituciones financieras son críticas para la continuidad de las actividades del sistema financiero y de la economía nacional. Como consecuencia, el supervisor espera que las mismas realicen una gestión de la continuidad del negocio acorde a la naturaleza, tamaño, complejidad y perfil de riesgo de la institución. En particular, espera que la misma cumpla al menos los requisitos que aparecen en este estándar: “La institución debe contar con un plan de contingencia y de continuidad de los negocios que permita operar ante la ocurrencia de eventos externos severos Para ello debe: 62.1 Contar con un Análisis de Impacto al Negocio con el cual se identifiquen las actividades críticas de la organización” 62.2 Establecer planes que ante distintos escenarios de desastre aseguren la continuidad del negocio. Los mismos deben diseñarse para permitir la recuperación de las operaciones y para no interrumpir el servicio prestado por los centros de procesamiento de datos, redes, proveedores externos y unidades de negocios. 62.3 Abarcar en sus planes la continuidad de los servicios tercerizados. 62.4 Establecer los planes de respaldo de información que aseguren su recuperabilidad 62.5 Revisar periódicamente la aplicabilidad de estos planes. Para eso, se debe realizar una prueba (paralela o completa) del plan por lo menos anualmente debidamente documentada y analizada al culminarse.” Correspondencia con el MCS Este EMG se vincula con las siguientes subcategorías: Subcategoría Referencias Requisitos ID.AN-5. Se establecen COBIT 5 DSS04.02 CO.1 Contar con componentes redundantes que contribuyan al requisitos de resiliencia para ISO/IEC 27001:2013 A.11.1.4, normal funcionamiento del centro de datos. soportar la entrega de A.17.1.1, A.17.1.2, A.17.2.1 CO.2 Los sistemas críticos de la infraestructura de servicios críticos. ISO/IEC 27799:2016 A.17.1.1, telecomunicaciones, como el cableado, routers y switches (LAN, A.17.1.2 SAN, etc.), deben contar con redundancia. NIST SP 800-53 Rev. 4 CP-2, CO.3 Establecer los medios necesarios para garantizar la CP-11, SA-14 continuidad de las operaciones. CO.4 Planificar la continuidad de las operaciones y recuperación ante desastres. CO.5 Definir las ventanas de tiempo soportadas para la continuidad de las operaciones. PR.PI-4. Se realizan y COBIT 5 APO13.01 SO.6 Respaldar la información y realizar pruebas de mantienen respaldos de la ISO/IEC 27001:2013 A.12.3.1, restauración periódicas. información y se testean A.17.1.2, A.17.1.3, A.18.1.3 periódicamente. ISO/IEC 27799:2016 A.12.3.1, A.17.1.2 NIST SP 800-53 Rev. 4 CP-4, CP-6, CP-9 PR.PI-9. Existen y se COBIT 5 DSS04.03 GI.1 Planificar la gestión de los incidentes de seguridad de la gestionan planes de ISO/IEC 27001:2013 A.16.1.1, información. respuesta a incidentes A.17.1.1, A.17.1.2 GI.4 Registrar y reportar las violaciones a la seguridad de la (respuesta a incidentes y ISO/IEC 27799:2016 información, confirmadas o sospechadas de acuerdo a los continuidad del negocio) y A.17.1.1, A.17.1.2 procedimientos correspondientes. planes de recuperación NIST SP 800-53 Rev. 4 CP-2, GI.5 Responder ante incidentes de seguridad de la información. (recuperación de incidentes IR-8 CO.4 Planificar la continuidad de las operaciones y recuperación y recuperación de ante desastres. desastres). PR.PI-10. Los planes de ISO/IEC 27001:2013 A.17.1.3 CO.4 Planificar la continuidad de las operaciones y recuperación respuesta y recuperación se NIST SP 800-53 Rev.4 CP-4, ante desastres. testean regularmente. IR-3, PM-14 GI.5 Responder ante incidentes de seguridad de la información. RC.PR-1. El plan de COBIT 5 DSS02.05, DSS03.04 GI.5 Responder ante incidentes de seguridad de la información. recuperación se ejecuta ISO/IEC 27001:2013 A.16.1.5 GI.6 Establecer los mecanismos para recuperarse luego de un durante o luego de un NIST SP 800-53 Rev. 4 CP-10, incidente. evento. IR-4, IR-8 CO.4 Planificar la continuidad de las operaciones y recuperación ante desastres. RC.CO-1. Se gestionan las COBIT 5 EDM03.02 CO.6 Definir los mecanismos de comunicación e interlocutores relaciones públicas. válidos. Modelo de Madurez A los efectos de facilitar la priorización e interpretación, se incluyen a continuación las pautas del modelo de madurez que el MCS establece para cada una de ellas. Subcategoría Nivel 1 Nivel 2 Nivel 3 Nivel 4 ID.AN-5. Se El centro de datos Se han definido las Se cuenta con un plan de Se definen y ejecutan establecen cuenta con UPS y ventanas de tiempo contingencia y pruebas al plan de requisitos de componentes máximo soportadas recuperación aprobado contingencia y resiliencia para redundantes en lo por el negocio sin por la Dirección. Su recuperación. Todos los soportar la entrega que refiere a poder operar. alcance está asociado al involucrados están de servicios críticos. conexión eléctrica, El centro de datos menos a los procesos interiorizados en el plan y su componentes de cuenta con generador críticos de la ejecución. acondicionamiento eléctrico capaz de organización. Se Las pruebas son tomadas térmico e alimentar a todos los comienzan las pruebas como insumo para las infraestructura de componentes críticos. del plan para uno o lecciones aprendidas y comunicaciones. La Dirección apoya la varios de los procesos retroalimentan la toma de planificación de la críticos. decisiones. contingencia, por ejemplo, facilitando la participación de recursos humanos y proveyendo los recursos materiales necesarios. PR.PI-4. Se realizan Se realizan respaldos Se cuenta con Los respaldos son La política y el y mantienen periódicos de al soluciones probados regularmente. procedimiento de respaldo respaldos de la menos los activos de automatizadas para Se ha determinado el uso se encuentran alineados al información y se información del asistir en la realización de almacenamiento plan de contingencia y al testean centro de datos de los respaldos. externo para copias de plan de recuperación, los periódicamente. (aplicaciones, bases Los respaldos se respaldos. cuales aseguran que de datos, máquinas almacenan en lugares Existe una política y resuelven los requisitos de virtuales, etc.). seguros y con acceso procedimiento recuperación de la restringido. documentado de organización ante un evento respaldos y de pruebas anormal. de recuperación, que La política y procedimiento incluye las frecuencias. de respaldos se revisan con Se establece el grado regularmente. (completo, diferencial, etc.) y los requisitos de retención de los respaldos. El procedimiento de respaldos se actualiza ante cambios de requerimientos del negocio o cambios de infraestructura o sistemas que requieran acciones de respaldo. PR.PI-9. Existen y se Los incidentes de Se cuenta con ciertas Se define una política de Se ha definido el gestionan planes de seguridad se reportan medidas de gestión de incidentes de responsable de la respuesta respuesta a internamente de contingencia y seguridad de la a incidentes que opera incidentes acuerdo a recuperación (por información y se difunde. coordinadamente con el (respuesta a lineamientos pre ejemplo, respaldos de Se define un plan de RSI. incidentes y establecidos. la información, entre respuesta para la gestión El responsable de la continuidad del Se instruye al otros). de incidentes. respuesta a incidentes negocio) y planes de personal sobre los Se conocen los Se cuenta con opera de forma coordinada recuperación mecanismos de procesos críticos del herramientas que con el CERTuy o CSIRT que (recuperación de reporte de incidentes. negocio. apoyan la gestión de los corresponda. incidentes y Los incidentes se incidentes. Se ha definido el o los recuperación de registran. Se define un plan de responsables del desastres). contingencia y de mantenimiento del plan de recuperación. contingencia y de Se realizan pruebas recuperación. puntuales de los planes. El plan de contingencia y de recuperación y el plan de respuesta a incidentes son probados anualmente. Se realizan actividades de control interno para verificar el cumplimiento con la política y procedimientos relacionados. El resultado de estas actividades se informa al RSI y se toman acciones correctivas frente a desvíos y para la mejora continua. PR.PI-10. Los planes El personal conoce las Se cuenta con un plan El plan de respuesta a El plan de respuesta a de respuesta y actividades básicas de respuesta a incidentes se encuentra incidentes se encuentra recuperación se necesarias que deben incidentes y se documentado. alineado al plan de testean realizar si se detecta o instruye al personal Existen evidencias de contingencia y regularmente. sospecha un sobre su uso. escenarios de falla o recuperación, y se realizan incidente. incidentes en los que se pruebas al menos anuales ejecutaron las de ambos. actividades del Se registran las pruebas. procedimiento de El resultado de las pruebas acuerdo al caso o se retroalimenta las lecciones diseñaron escenarios aprendidas y sirven para la simulados para ello. mejora continua de los Se registran los planes y procedimientos. resultados en todos los casos. RC.PR-1. El plan de Existen medidas de Se trabaja en la Existe un plan de Se define un responsable de recuperación se continuidad en el elaboración de un contingencia y respuesta a incidentes que ejecuta durante o centro de datos plan y/o recuperación. Se realizan lleva adelante las tareas de luego de un evento. (alimentación procedimiento de algunas pruebas (que se recuperación en redundante de respuesta a registran) al plan de coordinación con los actores energía eléctrica, incidentes. contingencia y involucrados. medidas de control Existen lineamientos recuperación. El plan y/o procedimiento ambiental y establecidos para la de respuesta y el plan de redundancia en las ejecución de contingencia y recuperación telecomunicaciones) actividades de son probados anualmente. que favorecen a la recuperación ante Los resultados de las recuperación luego de incidentes. pruebas son comunicados a un evento de la Dirección y otras partes ciberseguridad. interesadas. Se informa al CERTuy La información de las o CSIRT que pruebas retroalimentan las corresponda sobre los lecciones aprendidas que se incidentes utilizan para la mejora detectados. continua de los planes y procedimientos. RC.CO-1. Se La comunicación Se ha definido un Se ha definido un plan de Se realizan ensayos de crisis gestiona las externa de las único interlocutor comunicaciones ante poniendo en práctica el plan relaciones públicas. situaciones de crisis o (vocero) autorizado a crisis junto con un y el procedimiento de incidentes es llevada comunicar una procedimiento que cubre comunicación. a cabo situación de crisis o la evaluación del evento, Se realizan revisiones de exclusivamente por la situación que afecta la las notificaciones, nivel control interno para Dirección o por quien ciberseguridad o de comunicación verificar el cumplimiento del ésta haya seguridad de la requerido, mensajes, plan y procedimiento de determinado. Las información de la audiencia, interesados y comunicaciones ante crisis. áreas técnicas no organización. monitoreo de las Los resultados de las realizan comunicación Se difunde al personal comunicaciones. revisiones se registran y se externa salvo quién es el vocero y El plan y el utilizan para la mejora autorización expresa. cuál es la vía de procedimiento son continua. contacto. difundidos a los actores La Dirección participa correspondientes. activamente en las actualizaciones del plan, en especial, en la aprobación y modo de difusión de los mensajes. Referencias 1. Banco Central del Uruguay (2017). Estándares Mínimos De Gestión Para Instituciones De Intermediación Financiera. Recuperado de: https://www.bcu.gub.uy/Servicios- Financieros-SSF/Documents/estandares_minimos_010717.pdf 2. AGESIC (2018). Marco de ciberseguridad. Marco de Referencia. Versión 4.0. Recuperado de: https://www.gub.uy/agencia-gobierno-electronico-sociedad- informacion-conocimiento/comunicacion/noticias/leer-confianza-nueva-version-del- marco-ciberseguridad 3. NIST (2018). NIST Framework for Improving Critical Infrastructure Cybersecurity. Recuperado de: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04162018.pdf 4. UNIT-ISO/IEC (2013). NORMA UNIT-ISO/IEC 27001:2013 - Tecnología de la información - Técnicas de seguridad - Sistemas de Gestión de la seguridad de la información – Requisitos. Recuperado de: https://www.unit.org.uy/normalizacion/norma/100000740/ 5. NIST (2013). NIST Special Publication 800-53. Revision 4. Security and Privacy Controls for Federal Information Systems and Organizations. Recuperado de: https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-53r4.pdf

Rige desde: la fuente no lo dice; el texto es el de la copia consultada el 12 de octubre de 2026
Copia: Comunicación 2021/196
Texto oficial: https://www.bcu.gub.uy/Comunicados/seggco21196_Anexo.pdf

Banco Central del Uruguay, www.bcu.gub.uy, información regulatoria pública. Condiciones de uso: https://www.bcu.gub.uy/Paginas/Condiciones-de-uso.aspx. Cambios de finterlace: el texto se extrajo del PDF y se partió en artículos. No se cambió ninguna palabra del texto. Fuentes y licencias.

Quién lo cita

Los documentos que citan cada artículo los ve el nivel Suscriptor individual. Qué se ve con cada nivel

Qué normas se nombran con él

Qué normas nombran cada artículo las ve el nivel Suscriptor individual. Qué se ve con cada nivel

Versiones

El historial de cada artículo lo ve el nivel Suscriptor individual. Qué se ve con cada nivel