Modelo de madurez en ciberseguridad para prevenir ciberataques en aplicaciones web basado en Iso 27032 y Nist

Abstract

El crecimiento de las aplicaciones web ha dado lugar a nuevos riesgos en materia de ciberseguridad para las organizaciones. Por ello, se necesita una herramienta que ayude a identificar y fortalecer sus competencias en ciberseguridad, para cumplir con los estándares y mitigar los riesgos que podrían comprometer los tres principios de la ciberseguridad. El objetivo del proyecto es diseñar una herramienta de evaluación que sea empleada por las organizaciones para calcular el estado y nivel de madurez actual en ciberseguridad de sus aplicaciones web y guiarlos para mejorar dicho nivel. La solución estará disponible en un entorno en la nube, permitiendo así la disponibilidad de uso. El desarrollo de esta herramienta comenzó con la identificación de problemas de seguridad y una investigación exhaustiva de modelos de madurez en ciberseguridad aplicables a entornos web. Se seleccionaron marcos de referencia como el NIST y la norma ISO 27032, que fueron empleados para construir un cuestionario capaz de medir la seguridad de las aplicaciones web y proporcionar recomendaciones según los resultados. El modelo fue sometido a un proceso de validación donde 15 expertos evaluaron una aplicación web de sus respectivas organizaciones y respondieron un cuestionario. Las respuestas fueron positivas, demostrando que el modelo cumple con su propósito de ser una herramienta útil para las organizaciones que desean evaluar el nivel de seguridad en sus aplicaciones web. Estos hallazgos resaltan la efectividad del modelo propuesto para prevenir ciberataques y mejorar la protección de los datos de los usuarios.

During the last years, the number of cyberattacks, especially on web applications, has been increasing. Cyber agents target both large and small companies, which is why it is necessary for organizations to have a tool to help them prevent cyberattacks on their web applications such as a cybersecurity maturity model. The proposed model was built considering frameworks and methodologies such as those provided by NIST and ISO, and it defines four levels of cybersecurity maturity: initial, defined, established, and improved. Additionally, the model includes twelve domains and four categories to be considered as a multidimensional model. The proposed model stands out for incorporating two quality standards, the CSF of NIST and the ISO 27032 standard, and being available as part of a technological solution, a web application. This allows anyone to use the model without requiring assistance from the development team, with a track record of assessments and instant results that include recommendations for each domain on how to improve the maturity level and an assessment history. As a result of the validation, fifteen experts participated in the process where they evaluated a web application of their organization and answered a Google questionnaire. The responses were positive, demonstrating that the model fulfills its purpose of being a useful tool for organizations, enabling a quick and automated evaluation of security in their web applications. This contributes to the prevention of cyberattacks and the protection of the sensitive data of its users.