Por qué tu empresa necesita un marco de trabajo de ciberseguridad: NIST, CIS, ISO 27001 y COBIT explicados
Por Pascualito Mateo
Muchas empresas dominicanas invierten en herramientas de seguridad —firewall, antivirus, respaldo en la nube— sin tener un mapa que conecte esas inversiones con los riesgos reales del negocio. El resultado es previsible: controles dispersos, prioridades que cambian según el incidente más reciente, y una sensación de estar siempre reaccionando en lugar de anticipando. Ahí es donde entra un marco de trabajo de ciberseguridad: no es un documento más para cumplir un requisito, es la estructura que le da orden, medición y sentido de negocio a todo lo demás.
El NIST Cybersecurity Framework (actualmente en su versión 2.0) es probablemente el punto de partida más citado a nivel mundial, y no por casualidad: organiza la ciberseguridad en seis funciones fáciles de comunicar incluso a una junta directiva sin formación técnica —Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar—. Su gran aporte en la versión 2.0 fue elevar el "Gobernar" a función propia, reconociendo que la ciberseguridad empieza con decisiones de liderazgo y asignación de responsabilidades, no con la compra de un producto. Es un marco flexible, aplicable a una empresa de diez empleados o a una de mil, y sirve como lenguaje común entre el equipo técnico y la dirección.
Los CIS Controls (versión 8.1) toman un enfoque más práctico y priorizado: en lugar de un modelo conceptual, ofrecen una lista concreta de acciones ordenadas por impacto, agrupadas en tres niveles de implementación (Grupos de Implementación 1, 2 y 3) según el tamaño y la madurez de la organización. Para una pyme que apenas empieza a formalizar su seguridad, el Grupo de Implementación 1 de CIS es, en la práctica, la higiene básica que previene la mayoría de los incidentes: inventario de activos, gestión de cuentas, configuración segura y respaldo de datos. Es el marco que responde a la pregunta ¿por dónde empiezo? de forma concreta y medible.
ISO/IEC 27001:2022 juega un papel distinto: es un estándar certificable, con un Sistema de Gestión de Seguridad de la Información (SGSI) que se audita externamente. Mientras NIST y CIS son guías de buenas prácticas, ISO 27001 permite demostrar formalmente —a clientes, socios, reguladores o inversionistas— que la seguridad de la información se gestiona bajo un proceso reconocido internacionalmente. Para empresas que exportan servicios, procesan datos de clientes extranjeros o participan en licitaciones donde la certificación es un requisito de entrada, ISO 27001 deja de ser opcional y se convierte en una puerta de acceso a nuevos mercados.
Un cuarto marco que suele quedar fuera de estas conversaciones, pero que es clave cuando se piensa en el negocio y no solo en la tecnología, es COBIT. A diferencia de los anteriores, COBIT no se centra en controles técnicos sino en el gobierno de TI en general: cómo se alinean las decisiones tecnológicas con los objetivos estratégicos de la empresa, cómo se mide el retorno de la inversión en seguridad, y cómo se rinden cuentas ante la junta directiva o los accionistas. En la práctica, muchas organizaciones combinan estos marcos en lugar de elegir uno solo: COBIT o NIST para el gobierno y la estrategia, CIS Controls para la implementación técnica priorizada, e ISO 27001 cuando se necesita una certificación formal frente a terceros.
La pregunta que toda empresa debería hacerse no es cuál marco es "el mejor", sino cuál resuelve el problema que tiene hoy: si necesita ordenar prioridades y comunicarlas a la dirección, NIST CSF 2.0; si necesita saber por dónde empezar con recursos limitados, CIS Controls; si necesita demostrar cumplimiento formal ante clientes o reguladores, ISO 27001; y si necesita justificar la inversión en seguridad en términos de negocio ante la alta dirección, COBIT. En Axentia acompañamos a empresas dominicanas precisamente en ese primer paso, ayudándolas a elegir e implementar el marco que corresponde a su tamaño, su industria y sus objetivos, para que la ciberseguridad deje de ser un gasto reactivo y se convierta en una ventaja competitiva medible.
