El NCSC informa de avances en el piloto de Cyber Essentials Pathways

El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) afirma que su prueba de concepto de Cyber Essentials Pathways ha demostrado que algunas organizaciones pueden cumplir los objetivos de seguridad del esquema mediante controles alternativos, sin rebajar el nivel exigido para Cyber Essentials Plus.

El piloto se creó para organizaciones grandes cuyos entornos no siempre encajan fácilmente con los requisitos prescriptivos del esquema de referencia. Según el NCSC, el objetivo es mantener la confianza en la certificación y, al mismo tiempo, permitir que las organizaciones demuestren una protección equivalente de distintas formas.

Qué se puso a prueba en el piloto

Durante los últimos 18 meses, el NCSC trabajó con 22 organizaciones, junto con IASME y organismos de certificación, para analizar si los controles no estándar podían evaluarse de forma estructurada y defendible. El trabajo también examinó qué gobernanza, orientación y supervisión serían necesarias si el enfoque se ampliara.

El NCSC afirmó que el ejercicio produjo resultados tanto esperados como inesperados. En varios casos, el proceso ayudó a las organizaciones a mejorar la aplicación de parches, la segmentación y la gestión de sistemas sin soporte. Algunos participantes también reforzaron aspectos como la seguridad de los dispositivos personales utilizados para trabajar, mientras se seguía considerando la certificación.

Conclusiones principales

• Los enfoques alternativos pueden dar lugar a mejoras de seguridad medibles, no solo a cambios relacionados con el cumplimiento.
• Las principales barreras fueron la complejidad, la definición del alcance y la toma de decisiones interna, más que la falta de interés.
• Una colaboración más estrecha entre las organizaciones y los organismos de certificación mejoró la comprensión de los objetivos de control en los que se basa Cyber Essentials.
• Es esencial contar con pruebas claras y proporcionales al evaluar controles equivalentes.
• Por ahora, la supervisión del NCSC sigue siendo importante para mantener la coherencia de las decisiones.

En uno de los casos del piloto, una organización pudo demostrar el cumplimiento de Cyber Essentials Plus mediante el método Pathways. El NCSC también señaló que algunos participantes, después de perfeccionar su enfoque, procedieron a completar la certificación mediante la vía estándar.

En general, el organismo afirma que el piloto indica que Pathways podría ser útil tanto como vía alternativa hacia la certificación como para ayudar a las organizaciones a comprender y mejorar su higiene digital. Su desarrollo posterior dependerá de la orientación y la gobernanza necesarias para respaldar un uso más amplio.