En el trabajo de desarrollo de la seguridad de la información, es habitual encontrarse desde el principio con preguntas sobre qué aspectos deberíamos tener en cuenta, qué hacer y en qué orden. Los distintos marcos de referencia de seguridad de la información ayudan precisamente a prepararse para ello. Reúnen las mejores prácticas en una estructura ya desarrollada, sobre la cual la organización puede comenzar a construir su trabajo de seguridad.
En esta entrada del blog repaso los marcos de referencia de seguridad de la información más habituales y explico por qué son importantes para las organizaciones, especialmente hoy en día.
¿Qué es un marco de referencia de seguridad de la información?
Un marco de referencia de seguridad de la información es un conjunto estructurado de requisitos, controles y prácticas que permite a una organización identificar sus riesgos, proteger su información y sistemas más importantes, y demostrar la adecuación de su actividad. Algunos marcos son normas o recomendaciones voluntarias, mientras que otros se basan en la legislación y son obligatorios para las organizaciones incluidas en su ámbito de aplicación.
Un marco de referencia no protege nada por sí mismo, pero permite a la organización observar la seguridad de la información como un conjunto gestionado. Sin un marco que seguir, el trabajo de seguridad de la información tiende a convertirse fácilmente en medidas técnicas aisladas, cuya cobertura o efectividad resulta casi imposible de evaluar.
Los marcos de referencia de seguridad de la información más habituales
Existen decenas de marcos de referencia, y muchos de ellos se solapan parcialmente en su contenido. Desde la perspectiva de una organización finlandesa, los siguientes son los más habituales.
ISO/IEC 27001
ISO 27001 es la norma de seguridad de la información más conocida del mundo. Define los requisitos para el sistema de gestión de la seguridad de la información (ISMS, Information Security Management System), es decir, para la forma en que una organización dirige, planifica, implementa, supervisa y mejora continuamente su seguridad de la información. El anexo A de la norma contiene actualmente 93 controles, divididos en ámbitos organizativos, de personal, físicos y técnicos.
Para muchas organizaciones, el certificado ISO 27001 es la forma más clara de demostrar que la seguridad de la información se gestiona y se implementa de manera sistemática. Sin embargo, la certificación no es el único motivo para aprovechar la norma, ya que su estructura funciona como una base excelente también sin una auditoría oficial.
La Ley de Ciberseguridad y la Directiva NIS2
La Ley de Ciberseguridad entró en vigor en Finlandia en abril de 2025 e incorporó a la legislación nacional los requisitos de la Directiva NIS2 de la UE. Las organizaciones incluidas en su ámbito de aplicación deben gestionar sus riesgos de ciberseguridad, informar a las autoridades de los incidentes significativos y velar, por ejemplo, por la seguridad de la cadena de suministro, la continuidad del negocio y la formación del personal. La responsabilidad recae expresamente en la dirección de la organización.
Aunque una organización no esté incluida directamente en el ámbito de aplicación de la ley, los requisitos suelen trasladarse a lo largo de la cadena de suministro. Un cliente que sí esté sujeto a la ley suele exigir también a sus proveedores pruebas del nivel de seguridad de la información.
NIST Cybersecurity Framework (CSF 2.0)
El marco de referencia de ciberseguridad del organismo estadounidense NIST se utiliza ampliamente también en Europa. La versión 2.0, publicada en 2024, estructura la ciberseguridad en seis funciones: gobernar, identificar, proteger, detectar, responder y recuperar. La fortaleza de este marco reside en su claridad, ya que ayuda a determinar si el trabajo de seguridad de la información de la organización está equilibrado o si se centra demasiado, por ejemplo, en la protección.
CIS Controls
CIS Controls es una lista priorizada de 18 conjuntos de medidas de protección basados en ataques reales. Los grupos de implementación (IG1–IG3) indican por dónde conviene que empiece cada organización según su tamaño y recursos. Para una pequeña o mediana organización, IG1 es una buena lista de verificación de nivel básico: inventario de dispositivos y software, gestión de permisos de acceso, actualizaciones, copias de seguridad y concienciación sobre seguridad de la información. A diferencia de ISO 27001 o NIST CSF, CIS Controls no es un marco de referencia administrativo de seguridad de la información. No indica cómo gestionar la seguridad de la información, sino qué medidas de protección concretas conviene implementar. Por eso funciona mejor como complemento de un marco administrativo, como apoyo a la implementación práctica.
GDPR
El Reglamento General de Protección de Datos de la UE no es, en sentido estricto, un marco de referencia de seguridad de la información, pero exige medidas técnicas y organizativas adecuadas para el tratamiento de datos personales. En la práctica, la protección de datos y la seguridad de la información van en gran medida de la mano. Los mismos controles sirven para ambos fines.
¿Por qué son importantes los marcos de referencia para las organizaciones?
Muchas organizaciones perciben los marcos de referencia como algo pesado y burocrático. Personalmente veo el asunto justo al contrario: un marco de referencia bien elegido ahorra tiempo y dinero, porque permite dirigir los recursos hacia los aspectos correctos.
Las ventajas de un marco de referencia en resumen:
- Visión global de los riesgos. El marco de referencia ayuda a identificar los puntos ciegos que las soluciones técnicas aisladas no logran revelar.
- Priorización. No es necesario hacerlo todo a la vez. El marco ayuda a distinguir los asuntos críticos de aquellos que pueden esperar a una revisión posterior.
- Responsabilidades claras. Cuando las tareas y los responsables están definidos, la seguridad de la información no recae únicamente sobre una persona.
- Demostración del cumplimiento. Clientes, socios, aseguradoras y autoridades piden cada vez con más frecuencia pruebas del nivel de seguridad de la información. Una actividad documentada y basada en un marco de referencia responde a estas exigencias.
- Capacidad de control para la dirección. El marco de referencia proporciona a la dirección la comprensión y los indicadores necesarios para hacer seguimiento de la seguridad de la información como parte de la gestión de riesgos del negocio. La dirección de la organización es, en última instancia, siempre responsable de la seguridad de la información.
- Mejora continua. La seguridad de la información no es un proyecto que se completa en un plazo determinado. Su desarrollo y mantenimiento son un proceso continuo.
El modelo Digiturvamalli como sistema ISMS
Elegir un marco de referencia es solo el principio. El mayor reto consiste en convertir los requisitos en acciones concretas y en mantener actualizado el trabajo de seguridad de la información año tras año. La documentación dispersa en hojas de cálculo Excel y carpetas queda obsoleta rápidamente, y es posible que nadie sepa con certeza qué versión está vigente. Para responder a estas necesidades se han desarrollado los sistemas de gestión de la seguridad de la información, es decir, las herramientas ISMS.
Como ejemplo, el Digiturvamalli, que utilizamos nosotros mismos y también nuestros clientes, es un sistema de gestión de la seguridad de la información que funciona como servicio SaaS. La biblioteca de requisitos del Digiturvamalli incluye más de 80 marcos de requisitos, entre ellos ISO 27001, NIS2 y la Ley de Ciberseguridad, el GDPR, NIST CSF, CIS Controls, la Ley de Gestión de la Información y Julkri. La organización elige los marcos relevantes para su actividad, y el Digiturvamalli desglosa sus requisitos en tareas concretas, instrucciones y costes de trabajo.
Resumen
Los marcos de referencia de seguridad de la información indican qué debería incluir la seguridad de la información y permiten demostrar el nivel de seguridad de la propia organización. ISO 27001, la Ley de Ciberseguridad, NIST CSF, CIS Controls y otros marcos no compiten entre sí, sino que se complementan. Lo esencial es elegir el marco o los marcos adecuados para la propia organización e implementar sus requisitos como parte del trabajo diario.
¿No estás seguro de qué marco de referencia encajaría mejor con tu organización o de cómo empezar a abordar este tema? Hablemos brevemente y analicemos juntos la situación. ¡Reserva en mi calendario el momento que mejor te venga!
Mika Hakkarainen
CTO, cofundador y consigliere
Mika Hakkarainen es el director de tecnología de Above IT, cofundador de la empresa y asesor de departamentos de TI. Cuenta con casi 30 años de experiencia en el sector de las TI en diversas organizaciones, tanto en Finlandia como en el extranjero. Mika ayuda a los clientes a mejorar tanto la seguridad técnica como la administrativa de la información.
