Elegir su nivel de madurez objetivo de Essential Eight

El Modelo de Madurez Essential Eight de ASD establece tres niveles para cada una de las ocho estrategias de mitigación. Un error común es tratarlos como calificaciones, con el Nivel Tres como meta para todos. No son calificaciones. Cada nivel está diseñado para frenar un tipo distinto de adversario, y el objetivo adecuado depende de su entorno de amenazas.

Qué pretende cada nivel

• El Nivel Uno frena a los adversarios que usan técnicas comunes de forma oportunista: exploits de amplia disponibilidad, credenciales robadas y documentos maliciosos enviados a cualquiera.
• El Nivel Dos frena a los adversarios dispuestos a invertir más tiempo y esfuerzo, y a atacar a una organización concreta, pero que siguen dependiendo sobre todo de técnicas conocidas.
• El Nivel Tres frena a los adversarios adaptativos, menos dependientes de herramientas públicas, que explotan rápidamente nuevas vulnerabilidades y trabajan para evadir la detección.

Los requisitos se endurecen en cada nivel: plazos más cortos para aplicar parches, MFA para más usuarios y sistemas y métodos resistentes al phishing, control de aplicaciones en más sistemas y tipos de archivo, y restricciones más estrictas sobre los privilegios administrativos y las copias de seguridad.

Cómo elegir

1. Parta de la amenaza. ¿Quién querría lo que usted custodia? Los datos gubernamentales, las infraestructuras críticas, los servicios financieros y la propiedad intelectual de alto valor atraen a adversarios más capaces.
2. Revise sus obligaciones. Se espera que las entidades no corporativas de la Commonwealth australiana alcancen el Nivel de madurez Dos. Clientes, reguladores y aseguradoras pueden fijar sus propias expectativas.
3. Sea realista con su capacidad. El Nivel Tres requiere esfuerzo de ingeniería y disciplina operativa que un equipo de TI pequeño quizá no pueda sostener.
4. Elija un único objetivo para las ocho. ASD recomienda alcanzar el mismo nivel en todas las estrategias antes de subir cualquiera de ellas. Un programa de parches de Nivel Tres con control de aplicaciones en Nivel Cero sigue dejando la puerta abierta.

Trayectorias habituales

• La mayoría de las organizaciones: Nivel Uno en las ocho y, después, Nivel Dos.
• Organizaciones que manejan datos gubernamentales o críticos sensibles: Nivel Dos como línea base, con requisitos seleccionados del Nivel Tres en los sistemas de mayor riesgo.
• Entornos de alta amenaza: Nivel Tres, normalmente alcanzado sistema por sistema.

Registrar la decisión

Si opera un SGSI conforme a ISO 27001, registre el nivel elegido y su razonamiento en su evaluación de riesgos y en la Declaración de Aplicabilidad. Así auditores y evaluadores disponen de la justificación, y Essential Eight pasa a ser la norma de implementación de los controles correspondientes del Anexo A, como explica nuestro análisis de Essential Eight frente a ISO 27001.

Errores comunes al fijar un objetivo

• Perseguir el Nivel Tres en una sola estrategia mientras otras permanecen en Nivel Cero. Los atacantes usan la estrategia más débil, no la más fuerte.
• Contar la cobertura en lugar de la eficacia. Un control de aplicaciones desplegado en la mitad de las estaciones de trabajo no equivale al Nivel Uno; cada requisito debe cumplirse en todos los sistemas incluidos en el alcance.
• Ignorar las excepciones. Cada excepción (un sistema heredado sin parches, un usuario exento del bloqueo de macros) necesita un responsable, controles compensatorios y una fecha de fin, o el nivel de madurez es ficción.
• Evaluar mediante entrevistas. La guía de evaluación de ASD ordena las evidencias: probar un control directamente es lo más sólido, mientras que la documentación y las entrevistas son lo más débil. Las autoevaluaciones basadas en lo que dice la gente exageran la madurez.
• Fijar el objetivo una sola vez. Las amenazas cambian, y el modelo de madurez también; ASD lo actualiza periódicamente. Revise el objetivo cada año junto con su evaluación de riesgos.

Puntos clave

• Cada nivel de madurez apunta a un adversario distinto; elija según la amenaza y la obligación.
• Alcance el mismo nivel en las ocho estrategias antes de subir cualquiera.
• El Nivel Dos suele ser el primer objetivo.

Medir el progreso

Evalúe cada estrategia con la Essential Eight Assessment Process Guide de ASD, usando pruebas en sistemas siempre que sea posible. Una estrategia solo alcanza un nivel cuando se cumplen todos los requisitos de ese nivel y de los inferiores. Registre el nivel más bajo alcanzado entre las ocho como cifra principal.

La página de cada estrategia enumera sus controles ISM por nivel de madurez, por ejemplo Aplicar parches a aplicaciones y Autenticación multifactor. La guía de Essential Eight trata la evaluación con más detalle.

Preguntas

¿Qué nivel de madurez de Essential Eight debemos fijar como objetivo?

Elija según la amenaza: el Nivel Uno para atacantes oportunistas que usan herramientas comunes, el Nivel Dos para adversarios dispuestos a invertir más esfuerzo y el Nivel Tres para adversarios adaptativos. El Nivel Dos suele ser el primer objetivo y la expectativa para las entidades no corporativas de la Commonwealth australiana.

¿Pueden las distintas estrategias estar en niveles de madurez diferentes?

Pueden evaluarse por separado, pero ASD recomienda alcanzar el mismo nivel en las ocho antes de subir cualquiera de ellas.

¿Cuánto tiempo se tarda en alcanzar el Nivel de madurez Dos?

Depende del punto de partida y del tamaño del entorno. Las organizaciones que ya están en el Nivel Uno en las ocho estrategias suelen alcanzar el Nivel Dos en meses; quienes parten de cero deben planificar más tiempo, estrategia por estrategia.