NIST SP800

SP 800 es una serie, no un único manual. Para volver a una recomendación necesitamos el número y la revisión exacta; de lo contrario terminamos comparando runas de grimorios diferentes. (。ヘ°)

Del NIST, instituto nacional de estándares y tecnología de EEUU. El NIST SP 800 (Special Publication 800) es una serie de documentos publicados por el Instituto Nacional de Estándares y Tecnología (NIST) de los Estados Unidos que proporciona recomendaciones y guías detalladas en el campo de la seguridad informática y la gestión de riesgos de tecnología de la información.

A grandes rasgos, el NIST SP 800 incluye información sobre:

1. Seguridad de la Información
   • Guías para protección de sistemas informáticos
   • Mejores prácticas para ciberseguridad
   • Metodologías de gestión de riesgos
   • Controles de seguridad para diferentes tipos de sistemas
2. Criptografía
   • Recomendaciones criptográficas; no todo estándar NIST se publica en la serie SP 800
   • Recomendaciones para gestión de claves
   • Protocolos de seguridad criptográfica
3. Gestión de Riesgos
   • Frameworks para identificar y mitigar riesgos de seguridad
   • Evaluación de vulnerabilidades
   • Estrategias de respuesta a incidentes
4. Cumplimiento Normativo
   • Lineamientos para diferentes sectores (gobierno, salud, financiero)
   • Requisitos de seguridad para infraestructuras críticas

Su importancia radica en que:

• Es una referencia global para profesionales de ciberseguridad
• Proporciona estándares consensuados por expertos
• Ayuda a organizaciones a implementar prácticas robustas de seguridad
• Las publicaciones se revisan de forma individual; comprobar si una edición es final, borrador, sustituida o retirada

NIST 800-53r5

Una importante a mencionar es la 800-53r5. Es un catálogo comprehensivo de controles de seguridad y privacidad para sistemas de información. Posee una estructura compuesta por 20 familias de control de seguridad, aplicable a organizaciones de diversos sectores y fue diseñada pensada en sistemas federales de los EE.UU., sin embargo, puede adaptarse a otros contextos; no todos sus controles se aplican de la misma forma a cualquier sistema.

Tiene un enfoque basado en riesgos, controles adaptables a diferentes niveles de impacto, integración de seguridad física y lógica, consideraciones de privacidad.

Las 20 familias de Rev.5 son:

Código	Familia
AC	Access Control
AT	Awareness and Training
AU	Audit and Accountability
CA	Assessment, Authorization, and Monitoring
CM	Configuration Management
CP	Contingency Planning
IA	Identification and Authentication
IR	Incident Response
MA	Maintenance
MP	Media Protection
PE	Physical and Environmental Protection
PL	Planning
PM	Program Management
PS	Personnel Security
PT	Personally Identifiable Information Processing and Transparency
RA	Risk Assessment
SA	System and Services Acquisition
SC	System and Communications Protection
SI	System and Information Integrity
SR	Supply Chain Risk Management

La tabla corrige las familias inventadas SD y DS del apunte anterior e incorpora PT y SR. El catálogo distingue controles y mejoras de controles; no conviene memorizar cantidades parciales sin indicar la edición. NIST SP 800-53 Rev.5, tabla 1.

La recomendación de mejores prácticas que nos entrega es el de entender los flujos de datos, dependencias del sistema y vulnerabilidades potenciales. Como resumen de trabajo propio —no como cuatro pasos oficiales de SP 800-53—:

• Descubrir y clasificar la información sensible
• Mapear la información y los permisos
• Administrar el control de accesos
• Monitorear los datos, actividad de archivos y comportamiento de usuarios.

Véase también

• 01 Introducción — Ejemplo de otra publicación de la serie SP800: respuesta a incidentes.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi · Nao · Sena]         |
| SEAL: sha256/12: 3b1f793ee31d          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+