Els estàndards de seguretat de la informació (també estàndards de ciberseguretat) són tècniques generalment descrites en materials publicats que intenten protegir l'entorn cibernètic d'un usuari o d'una organització. Aquest entorn inclou els mateixos usuaris, les xarxes, els dispositius, tot el programari, els processos, la informació emmagatzemada o en trànsit, les aplicacions, els serveis i els sistemes que es poden connectar directament o indirectament a les xarxes.
L'objectiu principal és reduir els riscos, incloent-hi la prevenció o la mitigació dels ciberatacs. Aquests materials publicats inclouen eines, polítiques, conceptes de seguretat, salvaguardes de seguretat, directrius, enfocaments de gestió de riscos, accions, formació, bones pràctiques, garantia i tecnologies.
Història Els estàndards de ciberseguretat han existit durant diverses dècades, ja que els usuaris i els proveïdors han col·laborat en molts fòrums nacionals i internacionals per fer realitat les capacitats, polítiques i pràctiques necessàries, generalment sorgides del treball del Consorci de Stanford per a la Recerca sobre Seguretat i Política de la Informació a la dècada de 1990.
Un estudi d'adopció del marc de seguretat dels EUA del 2016 va informar que el 70% de les organitzacions enquestades utilitzen el marc de ciberseguretat del NIST com la millor pràctica més popular per a la seguretat informàtica de les tecnologies de la informació (TI), però moltes assenyalen que requereix una inversió significativa. Les operacions transfrontereres de ciberexfiltració per part de les agències d'aplicació de la llei per contrarestar les activitats criminals internacionals a la web fosca plantegen qüestions jurisdiccionals complexes que, fins a cert punt, romanen sense resposta. Les tensions entre els esforços de les forces de l'ordre nacionals per dur a terme operacions transfrontereres de ciberexfiltració i la jurisdicció internacional probablement continuaran proporcionant millors normes de ciberseguretat.
Estàndards internacionals Els apartats següents detallen els estàndards internacionals relacionats amb la ciberseguretat.
Família d'estàndards ISO/IEC 27000 La sèrie ISO/IEC 27000 és una família de normes internacionals publicades conjuntament per l'Organització Internacional per a l'Estandardització (ISO) i la Comissió Electrotècnica Internacional (IEC). Aquestes normes proporcionen un marc reconegut mundialment per establir, implementar, mantenir i millorar contínuament un Sistema de Gestió de Seguretat de la Informació (SGSI). La sèrie està dissenyada per ajudar les organitzacions de totes les mides i indústries a protegir els seus actius d'informació de manera sistemàtica i rendible.
Al centre de la sèrie ISO/IEC 27000 hi ha la ISO/IEC 27001, que especifica els requisits per establir i mantenir un SGSI. La norma emfatitza un enfocament basat en el risc per a la gestió de la seguretat de la informació, animant les organitzacions a identificar, avaluar i mitigar els riscos específics del seu entorn operatiu. La sèrie ISO/IEC 27000 es basa en el cicle Planificar-Fer-Verificar-Actuar (PDCA), una metodologia orientada a la millora contínua.
Tot i que la norma ISO/IEC 27001 estableix la línia base per als requisits del SGSI, altres normes de la sèrie proporcionen directrius complementàries i recomanacions específiques per sector. Juntes, formen un ecosistema integral que aborda tot, des de l'avaluació de riscos i la gestió d'incidents fins als controls de privadesa i la seguretat al núvol.
La norma ISO/IEC 27001 està recolzada per la norma ISO/IEC 27002, que serveix com a guia pràctica per implementar els controls descrits a la norma ISO/IEC 27001. Proporciona recomanacions detallades i bones pràctiques per gestionar els riscos de seguretat de la informació en diferents àmbits, com ara la seguretat dels recursos humans, la seguretat física i la seguretat de la xarxa.
Per a les organitzacions centrades en la gestió de riscos, la norma ISO/IEC 27005 ofereix un marc dedicat per identificar, avaluar i tractar els riscos de seguretat de la informació. Complementa la norma ISO/IEC 27001 proporcionant una metodologia específicament adaptada a la gestió de les vulnerabilitats de seguretat de la informació.
En els darrers anys, la computació en núvol ha introduït reptes de seguretat únics, i la norma ISO/IEC 27017 es va desenvolupar per abordar aquestes preocupacions. Aquesta norma proporciona directrius per implementar controls de seguretat de la informació específics del núvol, garantint l'ús segur dels serveis al núvol tant per part dels proveïdors de núvol com dels clients. Juntament amb ella, la norma ISO/IEC 27018 se centra en la protecció de la informació d'identificació personal (PII) en entorns de núvol públic, ajudant les organitzacions a complir les normatives de privadesa i a mantenir la confiança dels clients.
A més, la norma ISO/IEC 27035 aborda la gestió d'incidents, oferint orientació sobre com preparar-se, detectar i respondre eficaçment als incidents de seguretat. Emfatitza els processos estructurats de resposta a incidents per minimitzar els danys potencials i garantir una recuperació oportuna.
Amb l'auge de les regulacions de privadesa de dades com el Reglament general de protecció de dades (RGPD), es va introduir la norma ISO/IEC 27701 com una extensió de la ISO/IEC 27001 i la ISO/IEC 27002. Aquesta norma proporciona directrius per establir i operar un Sistema de gestió de la informació de privadesa (PIMS), alineant la gestió de la seguretat de la informació amb els requisits de privadesa i protecció de dades.
ISO/IEC 15408 Els Criteris Comuns per a l'Avaluació de la Seguretat de les Tecnologies de la Informació ( Criteris Comuns o CC) són un estàndard internacional (ISO/IEC 15408) que s'utilitza per avaluar i certificar les propietats de seguretat dels productes i sistemes informàtics. Proporciona un marc reconegut mundialment per definir els requisits de seguretat, implementar mesures de protecció i avaluar si aquestes mesures compleixen uns criteris especificats.
La norma ISO/IEC 15408 es divideix en cinc parts:
Part 1: Introducció i model general: defineix els conceptes clau, els principis i el marc d'avaluació general. Part 2: Components funcionals de seguretat: proporciona un catàleg de requisits funcionals de seguretat (per exemple, control d'accés, xifratge i funcions d'auditoria). Part 3: Components de garantia de seguretat: especifica els nivells de garantia (EAL1–EAL7), que representen la profunditat i el rigor de les avaluacions de seguretat. Part 4: Marc per a l'especificació dels mètodes i activitats d'avaluació: detalla la metodologia i el marc per dur a terme avaluacions de seguretat, incloses les responsabilitats dels avaluadors i els requisits d'informes. Part 5: Paquets predefinits de requisits de seguretat: ofereix paquets reutilitzables de requisits de seguretat, cosa que simplifica el procés d'avaluació per a tipus de productes comuns.
La certificació segons els Criteris Comuns es facilita mitjançant l'Acord de Reconeixement de Criteris Comuns (CCRA), que garanteix el reconeixement mutu de les certificacions entre els països participants. Això redueix la duplicació d'esforços i costos per als proveïdors que busquen accés al mercat global.
La UE ha adoptat el sistema europeu de certificació de ciberseguretat (EUCC), que es basa en la norma ISO/IEC 15408, per tal d'adaptar-se als estàndards internacionals i alhora abordar els requisits regionals.
IEC 62443 La norma de ciberseguretat IEC 62443 defineix els processos, les tècniques i els requisits per als sistemes d'automatització i control industrial (IACS). Els seus documents són el resultat del procés de creació de normes IEC, on tots els comitès nacionals implicats acorden una norma comuna. Totes les normes i els informes tècnics de la IEC 62443 s'organitzen en sis categories generals: General, Polítiques i procediments, Sistema, Component, Perfils i Avaluació.
La primera categoria inclou informació fonamental com ara conceptes, models i terminologia. La segona categoria de productes de treball està dirigida al propietari de l'actiu. Aquests aborden diversos aspectes de la creació i el manteniment d'un programa de seguretat IACS eficaç. La tercera categoria inclou productes de treball que descriuen les directrius de disseny de sistemes i els requisits per a la integració segura dels sistemes de control. El nucli d'això és la zona, el conducte i el model de disseny. La quarta categoria inclou productes de treball que descriuen el desenvolupament específic del producte i els requisits tècnics dels productes del sistema de control. La cinquena categoria proporciona perfils per als requisits de ciberseguretat específics de la indústria segons la norma IEC 62443-1-5. La sisena categoria defineix metodologies d'avaluació que garanteixen que els resultats de l'avaluació siguin coherents i reproduïbles.
ISO/SAE 21434 La norma ISO/SAE 21434 "Vehicles de carretera - Enginyeria de ciberseguretat" és una norma de ciberseguretat desenvolupada conjuntament pels grups de treball de la ISO i la SAE. Proposa mesures de ciberseguretat per al cicle de vida del desenvolupament dels vehicles de carretera. La norma es va publicar a l'agost de 2021.ISO/SAE 21434:2021 Road vehicles — Cybersecurity engineering
L'estàndard està relacionat amb el reglament de la Unió Europea (UE) sobre ciberseguretat que s'està desenvolupant actualment. En coordinació amb la UE, la CEPE (Comissió Econòmica de les Nacions Unides) ha creat una certificació del Sistema de Gestió de Ciberseguretat (CSMS) obligatòria per a l'homologació de tipus de vehicle. Això es defineix en el Reglament general de les Nacions Unides 155; la ISO/SAE 21434 és una norma tècnica per al desenvolupament d'automòbils que pot demostrar el compliment d'aquests reglaments.
Una derivada d'això es troba en el treball del UNECE WP29, que proporciona regulacions per a la ciberseguretat dels vehicles i les actualitzacions de programari.
ETSI EN 303 645 La norma ETSI EN 303 645 proporciona un conjunt de requisits bàsics per a la seguretat en dispositius de la Internet de les Coses (IoT) de consum. Conté controls tècnics i polítiques organitzatives per a desenvolupadors i fabricants de dispositius de consum connectats a Internet. La norma es va publicar el juny de 2020 i pretén complementar altres normes més específiques. Com que molts dispositius IoT de consum gestionen informació d'identificació personal (PII), la implementació de la norma ajuda a complir amb el Reglament general de protecció de dades (RGPD) de la UE a la UE.
Les disposicions de ciberseguretat d'aquesta norma europea són:
No hi ha contrasenyes predeterminades universals Implementar un mitjà per gestionar els informes de vulnerabilitats Mantenir el programari actualitzat Emmagatzemar de manera segura els paràmetres de seguretat sensibles Comunica't de manera segura Minimitzar les superfícies d'atac exposades Garantir la integritat del programari Assegureu-vos que les dades personals estiguin segures Fer que els sistemes siguin resistents a les interrupcions Examinar les dades de telemetria del sistema Facilitar als usuaris l'eliminació de les dades d'usuari Facilitar la instal·lació i el manteniment dels dispositius Valida les dades d'entrada
L'avaluació de la conformitat d'aquests requisits bàsics es fa mitjançant la norma TS 103 701, que permet l'autocertificació o la certificació per part d'un altre grup.
EN 18031