CSC1: Inventario de dispositivos autorizados y no autorizados.
CSC2:Inventario de software autorizado y no autorizado.
CSC3: Configuraciones seguras para hardware y software.
CSC4: Análisis y gestión de vulnerabilidades continuo.
Objetivo
Este servicio consiste en una revisión a profundidad de los controles críticos de seguridad (CSC) con la finalidad de determinar las deficiencias de la actual postura de seguridad informática de la organización.
¿CÓMO FUNCIONA?
Se revisan los 197 sub controles de los 20 controles críticos (CSC) a detalle, lo que permite evaluar los que se ha implementado y en donde sigue habiendo lagunas en la actual infraestructura tecnológica.
Esta evaluación se lleva a cabo a través de una serie de interacciones con las partes interesadas clave, entrevistas con el personal de infraestructura o TI, revisiones a fondo de las arquitecturas de red, procesos, políticas y procedimientos.
Esta evaluación se lleva a cabo a través de una serie de interacciones con las partes interesadas clave, entrevistas con el personal de infraestructura o TI, revisiones a fondo de las arquitecturas de red, procesos, políticas y procedimientos.
BENEFICIOS
Establecer las acciones a seguir para minimizar los riesgos de las amenazas cibernéticas.
Adoptar y operar estos controles críticos de seguridad permite a la organización una fácil documentación de aquellos procesos que son necesarios para el cumplimiento normativo.
Adoptar y operar estos controles críticos de seguridad permite a la organización una fácil documentación de aquellos procesos que son necesarios para el cumplimiento normativo.
¿Por qué Ejecutar una Revisión?
El Departamento de Defensa de los Estados Unidos logro la reducción del 88% de los riesgos basados en vulnerabilidades a través de la implementación de los controles críticos de seguridad.
-
1. Muy Alta
-
2. AltaCSC5: Uso controlado de privilegios administrativos.
CSC6: Mantenimiento, monitoreo y análisis de registros de auditoría.
CSC7: Protecciones para correo y navegadores web.
CSC8: Defensas contra malware.
CSC9: Limitación y control de puertos de red. -
3. MediaCSC10: Uso controlado de privilegios administrativos.
CSC11: Configuraciones seguras para dispositivos de red.
CSC12: Defensas del perímetro.
CSC13: Protección de datos.
CSC14: Acceso controlado básico en la necesidad ("Need to Know").
CSC15: Control de acceso inalámbrico. -
4. BajaCSC16: Monitoreo y control de cuentas.
CSC17: Habilidades para evaluaciones de seguridad y capacitación adecuada para cubrir las brechas.
CSC18: Seguridad de aplicaciones de software.
CSC19: Gestión y respuestas de incidentes.
CSC20: Pruebas de penetración y ejercicios Team Red.
