Militar y seguridad nacional
Seguridad en entornos complejos: sabe qué proteges, dónde está y cuánto riesgo corre
Instalaciones militares, redes clasificadas, sistemas de mando y control e infraestructura industrial de soporte conviven en un mismo entorno. AWRISK centraliza el inventario de activos y la gestión del riesgo cibernético, con el SGSI de ISO/IEC 27001, el programa de NIST CSF 2.0 y los conceptos de seguridad industrial de ISA/IEC 62443, instalado dentro de la red de la institución.
Lo que hoy cuesta tiempo y expone a observaciones
Inventarios incompletos
Equipos de TI, sistemas de control, comunicaciones y sensores se registran en listas distintas, o no se registran. No se puede proteger lo que no se conoce.
IT y OT gestionados por separado
La red administrativa sigue un SGSI, pero los sistemas industriales de energía, agua, combustible o mantenimiento quedan fuera del análisis de riesgo.
Riesgo que no llega al mando
Las vulnerabilidades técnicas no se traducen en impacto sobre la misión, y el comando decide sin una visión consolidada.
Unidades dispersas y personal que rota
Cada destacamento documenta a su manera y cada relevo reinicia el conocimiento acumulado.
La seguridad en entornos complejos
Una institución de defensa no protege una sola red. Protege un ecosistema de sistemas con edades, dueños, tecnologías y niveles de clasificación distintos, que debe seguir funcionando aun bajo ataque.
Convergencia IT/OT
Los sistemas industriales que dan energía, agua, combustible, climatización o mantenimiento a una base se conectan cada vez más a la red administrativa. Un incidente informático puede detener una capacidad física.
Redes con distintos niveles de clasificación
Información pública, reservada y secreta circula por redes separadas o aisladas, con reglas de acceso estrictas y transferencias controladas.
Sistemas heredados y ciclos de vida largos
Equipos que operan décadas, sin parches del fabricante, conviven con tecnología nueva. Hay que compensar con controles lo que no se puede actualizar.
Despliegue distribuido
Unidades, guarniciones y destacamentos remotos con conectividad limitada y personal que rota con frecuencia.
Amenazas persistentes y avanzadas
Adversarios con recursos y paciencia que buscan permanecer ocultos, además del riesgo interno y de la cadena de suministro.
Exigencias del marco nacional
La Ley de Ciberdefensa y el marco de seguridad y confianza digital piden gestión del riesgo, reporte de incidentes y coordinación entre entidades.
La gestión de activos es el punto de partida
NIST CSF 2.0 la ubica en la función Identificar, ISO/IEC 27001 la exige en el control A.5.9 e ISA/IEC 62443 la necesita para trazar zonas y conductos. Sin inventario no hay análisis de riesgo creíble.
Qué registra AWRISK de cada activo
- Identificador único, propietario y custodio para cada activo
- Clasificación por confidencialidad, integridad y disponibilidad, y por criticidad para la misión
- Mapa de dependencias: qué capacidad operativa cae si este activo falla
- Ubicación lógica: red, zona y conducto al que pertenece
- Ciclo de vida, soporte del fabricante y vulnerabilidades conocidas
- Relación directa con los riesgos, controles y planes de tratamiento
NIST CSF 2.0, ISO/IEC 27001 e ISA/IEC 62443: cómo se complementan
| NIST CSF 2.0 | ISO/IEC 27001 (SGSI) | ISA/IEC 62443 | |
|---|---|---|---|
| Para qué sirve | Ordenar y comunicar el programa de ciberseguridad con seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. | Implementar un sistema de gestión de seguridad de la información, auditable y certificable, basado en riesgos. | Proteger sistemas de automatización y control industrial durante todo su ciclo de vida. |
| Alcance | Toda la organización, con lenguaje común para el mando. | La información y los procesos dentro del alcance del SGSI. | Los sistemas OT/IACS, sus componentes, integradores y proveedores. |
| Cómo trata el riesgo | Perfil actual frente a perfil objetivo y niveles de implementación. | Evaluación y tratamiento de riesgos, Declaración de Aplicabilidad con los 93 controles del Anexo A. | Partición en zonas y conductos, nivel de seguridad objetivo por zona y siete requisitos fundamentales. |
| Qué entrega | Hoja de ruta priorizada de mejora. | Certificación y mejora continua del sistema de gestión. | Requisitos técnicos verificables para el sistema y sus componentes. |
| Cómo lo opera AWRISK | Autoevaluación por función y categoría, brecha y plan de acción. | Activos, riesgos, SoA, documentos, auditorías y no conformidades. | Inventario OT, zonas y conductos, SL objetivo frente a alcanzado y plan de cierre. |
Conceptos clave de seguridad industrial ISA/IEC 62443
La serie ISA/IEC 62443 se aplica a los sistemas de control que sostienen la operación de una base, un puerto, una central o una planta. Estos son los conceptos que AWRISK lleva al registro de riesgos.
- Zonas y conductos
- Agrupan los activos que comparten requisitos de seguridad (zonas) y controlan las comunicaciones entre ellas (conductos). Es la base de la segmentación y de la defensa en profundidad.
- Niveles de seguridad (SL)
- Del SL 1, protección ante una violación casual, al SL 4, protección ante un atacante con medios sofisticados, recursos amplios y alta motivación. Se compara el nivel objetivo (SL-T) con el que el sistema alcanza (SL-A).
- Roles y responsabilidades
- El propietario del activo define el riesgo y el nivel objetivo (62443-2-1 y 3-2), el integrador construye el sistema (2-4 y 3-3) y el fabricante desarrolla componentes seguros (4-1 y 4-2).
Los siete requisitos fundamentales
- FR 1Identificación y control de autenticación
- FR 2Control de uso
- FR 3Integridad del sistema
- FR 4Confidencialidad de los datos
- FR 5Flujo de datos restringido
- FR 6Respuesta oportuna a eventos
- FR 7Disponibilidad de recursos
Cómo se ve con AWRISK
Un inventario único de activos críticos
Activos de información, TI, OT, comunicaciones e infraestructura de soporte con propietario, ubicación, clasificación y dependencias.
Riesgo cibernético ligado a la misión
Cada amenaza y vulnerabilidad se evalúa por su impacto en la capacidad operativa que soporta el activo.
Tres marcos, un solo registro
Los mismos activos, riesgos y controles alimentan el SGSI, el perfil NIST CSF 2.0 y la evaluación de zonas ISA/IEC 62443.
Información que no sale de la institución
AWRISK On-Premise funciona en redes aisladas, con roles y permisos según la necesidad de conocer.
Ejemplo ilustrativo: riesgos antes y después de aplicar controles.
Módulos que intervienen
Configurados con la taxonomía, la matriz de riesgo y los formatos de tu sector.
Casos de uso frecuentes
- Inventario y clasificación de activos críticos para la misión
- SGSI conforme a ISO/IEC 27001 en direcciones y unidades
- Perfil actual y objetivo de ciberseguridad con NIST CSF 2.0
- Evaluación de zonas y conductos de sistemas industriales (ISA/IEC 62443)
- Gestión de incidentes y continuidad de servicios críticos
- Riesgo de proveedores y de la cadena de suministro tecnológica
Normas relacionadas
- NIST CSF 2.0Programa de ciberseguridad con las seis funciones de NIST CSF 2.0.
- ISO/IEC 27001SGSI con proceso de riesgos auditable de extremo a extremo.
- ISA/IEC 62443Zonas y conductos, niveles de seguridad y requisitos para entornos OT e industriales.
- ISO 22301BIA, estrategias, planes y pruebas de continuidad.
- Seguridad y confianza digitalLey 30618, Marco de Confianza Digital y gestión de incidentes.
Cómo medir el avance
Antes de implementar acordamos una línea base. Estos son los indicadores que solemos seguir en militar y seguridad nacional:
- Porcentaje de activos críticos inventariados, clasificados y con propietario
- Zonas OT con nivel de seguridad objetivo definido y brecha medida
- Avance del perfil objetivo de NIST CSF 2.0 por función
- Tiempo de cierre de vulnerabilidades críticas
Preguntas frecuentes
¿AWRISK puede operar en una red clasificada o aislada?
Sí. AWRISK On-Premise se instala dentro de la infraestructura de la institución y no requiere conexión a internet para su operación. Las funciones que dependen de servicios externos se evalúan caso por caso.
¿Cómo se relacionan NIST CSF 2.0, ISO 27001 e ISA/IEC 62443?
Son complementarios. NIST CSF 2.0 ordena el programa de ciberseguridad y lo comunica al mando, ISO/IEC 27001 da el sistema de gestión certificable para la información e ISA/IEC 62443 aporta los requisitos técnicos para los sistemas industriales. AWRISK los relaciona sobre el mismo inventario de activos.
¿AWRISK escanea la red o los sistemas industriales?
No. AWRISK es la plataforma de gobierno, riesgo y cumplimiento: recibe la información de inventario y vulnerabilidades de tus herramientas mediante la API o carga de archivos, y la convierte en riesgo, tratamiento y evidencia.
¿Quién puede ver la información?
Se configuran roles y permisos por unidad, nivel de clasificación y necesidad de conocer, con bitácora de accesos y cambios.
Veamos AWRISK aplicado a militar y seguridad nacional
Demo en vivo de 30 minutos con un especialista: tu norma, tu próxima auditoría y cómo se vería tu tablero.