Cumplimiento de NIST SP 800-53r5, NIST SP 800-161r1 y NIST CSF v2.0

NIST y la gestión de riesgos de terceros

El Instituto Nacional de Normas y Tecnología (NIST) es una agencia federal del Departamento de Comercio de Estados Unidos. Entre las responsabilidades del NIST se incluye el establecimiento de normas y directrices relacionadas con la informática y las tecnologías de la información para los organismos federales. Dado que el NIST publica y mantiene recursos clave para gestionar los riesgos de ciberseguridad aplicables a cualquier empresa, muchas organizaciones del sector privado consideran que el cumplimiento de estas normas y directrices es una prioridad absoluta.

Varias publicaciones especiales del NIST tienen controles específicos que requieren que las organizaciones establezcan e implementen los procesos para identificar, evaluar y gestionar el riesgo de la cadena de suministro. Estas publicaciones especiales del NIST incluyen:

SP 800-53 Rev. 5: Controles de seguridad y privacidad para sistemas de información y organizaciones
SP 800-161 Rev. 1: Prácticas de gestión de riesgos de la cadena de suministro de ciberseguridad para sistemas y organizaciones
Marco de Ciberseguridad v2.0

Dado que las directrices del NIST se complementan entre sí, las organizaciones que se estandarizan en una publicación especial y la cruzan con las demás, en efecto, cumplen múltiples requisitos utilizando un único marco. La plataforma de gestión de riesgos de terceros de Prevalent puede utilizarse para cumplir los requisitos del NIST y reforzar la seguridad de la cadena de suministro.

Requisitos pertinentes

Evaluar si los controles de seguridad se aplican correctamente, funcionan según lo previsto y cumplen los requisitos.
Supervisar continuamente los controles de seguridad para determinar su eficacia.
Determinar los requisitos de ciberseguridad para los proveedores
Promulgar requisitos de ciberseguridad mediante acuerdos formales (por ejemplo, contratos).
Comunicar a los proveedores cómo se verificarán y validarán los requisitos de ciberseguridad.
Verificar que se cumplen los requisitos de ciberseguridad mediante metodologías de evaluación.

NIST SP 800-53r5 y SP 800-161r1 TPRM Controles Cross-Mapping

En las tablas resumen que figuran a continuación se asignan las funciones disponibles en la plataforma de gestión de riesgos de terceros prevalentes a controles de terceros, vendedores o proveedores seleccionados presentes en la norma SP 800-53, con asignación cruzada a la norma SP 800-161.

SP 800-53 r5 Número de control con correspondencia cruzada SP 800-161r1	Cómo ayudamos
Control SP 800 53 con superposición SP 800-161 CA-2 (1) Evaluaciones de control \| Evaluaciones especializadas CA-2 (3) Evaluaciones de control \| Aprovechamiento de los resultados de organizaciones externas	El Plataforma de gestión de riesgos de terceros más utilizada includes more than 100 standardized risk assessment survey templates – including for NIST, ISO and many others — a custom survey creation wizard, and a questionnaire that automatically maps responses to any compliance regulation or framework. All assessments are based on industry standards and address all information security topics as they pertain to supply chain partner security controls. Prevalent Vendor Threat Monitor (VTM) rastrea y analiza continuamente las amenazas observables externamente para proveedores y otros terceros. El servicio complementa y valida los datos de control de seguridad notificados por los proveedores desde la plataforma Prevalent mediante la supervisión de Internet y la Web oscura en busca de ciberamenazas y vulnerabilidades. También correlaciona los resultados de la evaluación con la investigación sobre riesgos operativos, financieros, legales y de marca en un registro de riesgos unificado que permite el triaje y la respuesta centralizados a los riesgos. Con la plataforma Prevalent, puede comunicarse eficazmente con los proveedores y coordinar los esfuerzos de corrección. Capture y audite las conversaciones; registre las fechas estimadas de finalización; acepte o rechace los envíos en función de cada respuesta; asigne tareas en función de los riesgos, los documentos o las entidades; y relacione la documentación y las pruebas con los riesgos.
Control SP 800 53 con superposición SP 800-161 CA-7 (3) Monitorización continua \| Análisis de tendencias	Prevalent VTM revela incidentes cibernéticos de terceros para 550.000 empresas rastreadas activamente mediante la supervisión de más de 1.500 foros delictivos; miles de páginas cebolla, más de 80 foros de acceso especial a la web oscura; más de 65 feeds de amenazas; y más de 50 sitios de pegado de credenciales filtradas, así como varias comunidades de seguridad, repositorios de código y bases de datos de vulnerabilidades. A continuación, Prevalent normaliza, correlaciona y analiza la información procedente de múltiples entradas, incluidas las evaluaciones de riesgos internas y externas y la supervisión externa de Prevalent Vendor Threat Monitor y BitSight. Este modelo unificado proporciona contexto, cuantificación, gestión y ayuda para la corrección.
Control SP 800 53 con superposición SP 800-161 CP-2 (3) Plan de Contingencia \| Coordinar con Proveedores de Servicios Externos	El Prevalent Third-Party Incident Response Service enables you to rapidly identify and mitigate the impact of supply chain breaches by centrally managing vendors, proactively conducting event assessments, scoring identified risks, and accessing remediation guidance. La plataforma Prevalent incluye funciones unificadas para evaluar, analizar y abordar los puntos débiles de los planes de resistencia empresarial de los proveedores. Esto le permite trabajar de forma proactiva con su comunidad de proveedores para prepararse ante pandemias, desastres medioambientales y otras posibles crisis. Además de facilitar evaluaciones automatizadas y periódicas basadas en el control interno, la plataforma Prevalent proporciona supervisión de ciberseguridad, empresarial, reputacional y financiera, evaluando continuamente a terceros para identificar posibles puntos débiles que puedan ser explotados por ciberdelincuentes. Toda la información sobre riesgos se centraliza, correlaciona y analiza en un único registro de riesgos que automatiza la elaboración de informes y la respuesta, y cuenta con un modelo flexible de puntuación ponderada basado en la probabilidad de un suceso y su impacto.
Control SP 800 53 con superposición SP 800-161 IR-4 (3) Gestión de incidentes \| Coordinación de la cadena de suministro	El Prevalent Third-Party Incident Response Service enables you to rapidly identify and mitigate the impact supply chain breaches by centrally managing vendors, proactively conducting event assessments, scoring identified risks, and accessing remediation guidance. La plataforma Prevalent incluye funciones unificadas para evaluar, analizar y abordar los puntos débiles de los planes de resistencia empresarial de los proveedores. Esto le permite trabajar de forma proactiva con su comunidad de proveedores para prepararse ante pandemias, desastres medioambientales y otras posibles crisis. Además de facilitar evaluaciones automatizadas y periódicas basadas en el control interno, la plataforma Prevalent proporciona supervisión de ciberseguridad, empresarial, reputacional y financiera, evaluando continuamente a terceros para identificar posibles puntos débiles que puedan ser explotados por ciberdelincuentes. Toda la información sobre riesgos se centraliza, correlaciona y analiza en un único registro de riesgos que automatiza la elaboración de informes y la respuesta, y cuenta con un modelo flexible de puntuación ponderada basado en la probabilidad de un suceso y su impacto.
Control SP 800 53 con superposición SP 800-161 IR-5 Supervisión de incidentes	Prevalent Contract Essentials es una solución SaaS que centraliza la distribución, discusión, retención y revisión de los contratos con proveedores. También incluye funciones de flujo de trabajo para automatizar el ciclo de vida de los contratos, desde la incorporación hasta la baja. Con Contract Essentials, sus equipos jurídicos y de adquisiciones disponen de una única solución para garantizar que se aplican las cláusulas contractuales clave y que se gestionan los niveles de servicio y los tiempos de respuesta.
Control SP 800 53 con superposición SP 800-161 IR-6 (1) Notificación de incidentes \| Coordinación de la cadena de suministro	Toda la información sobre riesgos de la plataforma Prevalent se centraliza, correlaciona y analiza en un único registro de riesgos que automatiza la elaboración de informes y la respuesta, y presenta un modelo flexible de puntuación ponderada basado en la probabilidad de que se produzca un suceso y su impacto.
Control SP 800 53 con superposición SP 800-161 IR-8 Plan de respuesta a incidentes	El servicio Prevalent Third-Party Incident Response Service le permite identificar y mitigar rápidamente el impacto de las infracciones en la cadena de suministro mediante la gestión centralizada de proveedores, la realización de evaluaciones de eventos, la puntuación de los riesgos identificados y el acceso a orientaciones de corrección. Los servicios de respuesta a incidentes proporcionan la base para estar bien preparado ante las preguntas de la junta directiva y de los ejecutivos sobre el impacto de los incidentes en la cadena de suministro, y para demostrar a los auditores y reguladores las pruebas de su plan de respuesta ante infracciones de terceros.
Control SP 800 53 con superposición SP 800-161 PM-16 Programa de concienciación sobre amenazas	Prevalent VTM revela incidentes cibernéticos de terceros para 550.000 empresas rastreadas activamente mediante la supervisión de más de 1.500 foros delictivos; miles de páginas cebolla, más de 80 foros de acceso especial a la web oscura; más de 65 feeds de amenazas; y más de 50 sitios de pegado de credenciales filtradas, así como varias comunidades de seguridad, repositorios de código y bases de datos de vulnerabilidades. A continuación, Prevalent normaliza, correlaciona y analiza la información procedente de múltiples entradas, incluidas las evaluaciones de riesgos internas y externas y la supervisión externa de Prevalent Vendor Threat Monitor y BitSight. Este modelo unificado proporciona contexto, cuantificación, gestión y ayuda para la corrección. Toda la información sobre riesgos de la plataforma Prevalent se centraliza, correlaciona y analiza en un único registro de riesgos que automatiza la elaboración de informes y la respuesta, y presenta un modelo flexible de puntuación ponderada basado en la probabilidad de que se produzca un suceso y su impacto.
Control SP 800 53 con superposición SP 800-161 PM-31 Estrategia de vigilancia continua	Prevalent VTM revela incidentes cibernéticos de terceros para 550.000 empresas rastreadas activamente mediante la supervisión de más de 1.500 foros delictivos; miles de páginas cebolla, más de 80 foros de acceso especial a la web oscura; más de 65 feeds de amenazas; y más de 50 sitios de pegado de credenciales filtradas, así como varias comunidades de seguridad, repositorios de código y bases de datos de vulnerabilidades. A continuación, Prevalent normaliza, correlaciona y analiza la información procedente de múltiples entradas, incluidas las evaluaciones de riesgos internas y externas y la supervisión externa de Prevalent Vendor Threat Monitor y BitSight. Este modelo unificado proporciona contexto, cuantificación, gestión y ayuda para la corrección. Toda la información sobre riesgos de la plataforma Prevalent se centraliza, correlaciona y analiza en un único registro de riesgos que automatiza la elaboración de informes y la respuesta, y presenta un modelo flexible de puntuación ponderada basado en la probabilidad de que se produzca un suceso y su impacto.
Control SP 800 53 con superposición SP 800-161 RA-1 Política y procedimientos	La plataforma Prevalent incluye más de 100 plantillas estandarizadas de encuestas de evaluación de riesgos -incluidas las de NIST, ISO y muchas otras-, un asistente de creación de encuestas personalizadas y un cuestionario que asigna las respuestas a cualquier normativa o marco de cumplimiento. Todas las evaluaciones se basan en las normas del sector y abordan todos los temas de seguridad de la información relacionados con los controles de seguridad de los socios de la cadena de suministro. Con la plataforma Prevalent, puede generar automáticamente un registro de riesgos una vez finalizada la encuesta, lo que garantiza que todo el perfil de riesgo (o una versión específica para cada función) pueda visualizarse en el panel de informes centralizado y en tiempo real, y que los informes puedan descargarse y exportarse para determinar el estado de cumplimiento. Esto filtra el ruido innecesario y se centra en las áreas de posible preocupación, proporcionando visibilidad y tendencias para medir la eficacia del programa. A continuación, puede tomar medidas prácticas para reducir el riesgo de los proveedores con recomendaciones y orientación integradas.
Control SP 800 53 con superposición SP 800-161 Evaluación de riesgos RA-3	La plataforma Prevalent incluye más de 100 plantillas estandarizadas de encuestas de evaluación de riesgos -incluidas las de NIST, ISO y muchas otras-, un asistente de creación de encuestas personalizadas y un cuestionario que asigna las respuestas a cualquier normativa o marco de cumplimiento. Todas las evaluaciones se basan en las normas del sector y abordan todos los temas de seguridad de la información relacionados con los controles de seguridad de los socios de la cadena de suministro. Prevalent ofrece a los profesionales de la seguridad, la privacidad y la gestión de riesgos una plataforma automatizada para gestionar el proceso de evaluación de riesgos de proveedores y determinar el cumplimiento por parte de éstos de los requisitos de seguridad informática, normativos y de privacidad de datos. Además de facilitar evaluaciones automatizadas y periódicas basadas en el control interno, la plataforma Prevalent también proporciona supervisión de ciberseguridad, empresarial, de reputación y financiera, evaluando continuamente a terceros para identificar posibles puntos débiles que puedan ser explotados por ciberdelincuentes. Toda la información sobre riesgos de la plataforma Prevalent se centraliza, correlaciona y analiza en un único registro de riesgos que automatiza la elaboración de informes y la respuesta, y presenta un modelo flexible de puntuación ponderada basado en la probabilidad de que se produzca un suceso y su impacto.
Control SP 800 53 con superposición SP 800-161 RA-7 Respuesta al riesgo	La plataforma Prevalent cuenta con una guía integrada para remediar los fallos de control u otros riesgos identificados a niveles aceptables para su organización. Prevalent también permite a los evaluadores de riesgos comunicarse con terceros acerca de las correcciones, documentar conversaciones y actualizaciones, y almacenar documentación de control de apoyo en un repositorio centralizado.
Control SP 800 53 con superposición SP 800-161 RA-9 Análisis de criticidad	Prevalent ofrece un cuestionario de evaluación de riesgos inherentes con una puntuación clara basada en ocho criterios para captar, seguir y cuantificar los riesgos de todos los terceros. Los criterios de evaluación incluyen: Tipo de contenido necesario para validar los controles Importancia crítica para el rendimiento y las operaciones de la empresa Ubicación(es) y consideraciones legales o reglamentarias relacionadas Nivel de dependencia de cuartas partes (para evitar el riesgo de concentración) Exposición a procesos operativos o de cara al cliente *Interacción con datos protegidos Situación económica y salud Reputación Mediante la evaluación de riesgos inherentes, puede establecer automáticamente niveles de proveedores, fijar niveles adecuados de diligencia adicional y determinar el alcance de las evaluaciones periódicas posteriores. La lógica de clasificación por niveles basada en reglas permite clasificar a los proveedores en función de una serie de consideraciones de interacción de datos, financieras, normativas y de reputación.
Control SP 800 53 con superposición SP 800-161 SA-4 (3) Proceso de adquisición \| Plan de supervisión continua de los controles	Además de facilitar evaluaciones automatizadas y periódicas basadas en el control interno, la plataforma Prevalent también proporciona supervisión de ciberseguridad, empresarial, de reputación y financiera, evaluando continuamente a terceros para identificar posibles puntos débiles que puedan ser explotados por ciberdelincuentes. Toda la información sobre riesgos de la plataforma Prevalent se centraliza, correlaciona y analiza en un único registro de riesgos que automatiza la elaboración de informes y la respuesta, y presenta un modelo flexible de puntuación ponderada basado en la probabilidad de que se produzca un suceso y su impacto.
Control SP 800 53 con superposición SP 800-161 SI-4 (1) Supervisión del sistema \| Conocimiento integrado de la situación	Prevalent VTM rastrea y analiza continuamente las amenazas observables externamente para proveedores y otros terceros. El servicio complementa y valida los datos de control de seguridad notificados por los proveedores desde la plataforma Prevalent mediante la supervisión de Internet y la web oscura en busca de ciberamenazas y vulnerabilidades, y la correlación de los resultados de la evaluación con la investigación sobre riesgos operativos, financieros, legales y de marca en un registro de riesgos unificado que permite la clasificación y respuesta centralizadas a los riesgos. Toda la información sobre riesgos de la plataforma Prevalent se centraliza, correlaciona y analiza en un único registro de riesgos que automatiza la elaboración de informes y la respuesta, y presenta un modelo flexible de puntuación ponderada basado en la probabilidad de que se produzca un suceso y su impacto.
Control SP 800 53 con superposición SP 800-161 SI-5 Alertas, avisos y directivas de seguridad	Prevalent VTM rastrea y analiza continuamente las amenazas observables externamente para proveedores y otros terceros. El servicio complementa y valida los datos de control de seguridad notificados por los proveedores desde la plataforma Prevalent mediante la supervisión de Internet y la web oscura en busca de ciberamenazas y vulnerabilidades, y la correlación de los resultados de la evaluación con la investigación sobre riesgos operativos, financieros, legales y de marca en un registro de riesgos unificado que permite la clasificación y respuesta centralizadas a los riesgos. Toda la información sobre riesgos de la plataforma Prevalent se centraliza, correlaciona y analiza en un único registro de riesgos que automatiza la elaboración de informes y la respuesta, y presenta un modelo flexible de puntuación ponderada basado en la probabilidad de que se produzca un suceso y su impacto.

SP 800-53 r5 Número de control con correspondencia cruzada SP 800-161r1

Cómo ayudamos