--- title: Ciberdefensa y activos críticos: NIST, ISO 27001 e IEC 62443 url: https://www.awrisk.com/sectores/defensa-seguridad-nacional/ description: Instalaciones militares, redes clasificadas, sistemas de mando y control e infraestructura industrial de soporte conviven en un mismo entorno. AWRISK centrali --- Militar y seguridad nacional # Seguridad en entornos complejos: sabe qué proteges, dónde está y cuánto riesgo corre Instalaciones militares, redes clasificadas, sistemas de mando y control e infraestructura industrial de soporte conviven en un mismo entorno. AWRISK centraliza el inventario de activos y la gestión del riesgo cibernético, con el SGSI de ISO/IEC 27001, el programa de NIST CSF 2.0 y los conceptos de seguridad industrial de ISA/IEC 62443, instalado dentro de la red de la institución. [Agendar demo para militar y seguridad nacional](https://www.awrisk.com/demo/?sector=defensa-seguridad-nacional) · [Descargar guía](https://www.awrisk.com/recursos/guia-auditoria-iso/) Marco regulatorio que cubrimos - Ley 30999 — Ley de Ciberdefensa y su reglamento (DS 017-2024-PCM) - NIST Cybersecurity Framework 2.0 - ISO/IEC 27001:2022 — Sistema de Gestión de Seguridad de la Información - Serie ISA/IEC 62443 — Seguridad de sistemas de automatización y control industrial - Marco de Confianza Digital (DU 007-2020) e ISO 22301 **Para:** Comandos y direcciones de ciberdefensa, oficiales de seguridad de la información, direcciones de telemática, logística e infraestructura de instituciones armadas, policiales y de seguridad nacional. ## Lo que hoy cuesta tiempo y expone a observaciones ### Inventarios incompletos Equipos de TI, sistemas de control, comunicaciones y sensores se registran en listas distintas, o no se registran. No se puede proteger lo que no se conoce. ### IT y OT gestionados por separado La red administrativa sigue un SGSI, pero los sistemas industriales de energía, agua, combustible o mantenimiento quedan fuera del análisis de riesgo. ### Riesgo que no llega al mando Las vulnerabilidades técnicas no se traducen en impacto sobre la misión, y el comando decide sin una visión consolidada. ### Unidades dispersas y personal que rota Cada destacamento documenta a su manera y cada relevo reinicia el conocimiento acumulado. ## La seguridad en entornos complejos Una institución de defensa no protege una sola red. Protege un ecosistema de sistemas con edades, dueños, tecnologías y niveles de clasificación distintos, que debe seguir funcionando aun bajo ataque. ### Convergencia IT/OT Los sistemas industriales que dan energía, agua, combustible, climatización o mantenimiento a una base se conectan cada vez más a la red administrativa. Un incidente informático puede detener una capacidad física. ### Redes con distintos niveles de clasificación Información pública, reservada y secreta circula por redes separadas o aisladas, con reglas de acceso estrictas y transferencias controladas. ### Sistemas heredados y ciclos de vida largos Equipos que operan décadas, sin parches del fabricante, conviven con tecnología nueva. Hay que compensar con controles lo que no se puede actualizar. ### Despliegue distribuido Unidades, guarniciones y destacamentos remotos con conectividad limitada y personal que rota con frecuencia. ### Amenazas persistentes y avanzadas Adversarios con recursos y paciencia que buscan permanecer ocultos, además del riesgo interno y de la cadena de suministro. ### Exigencias del marco nacional La Ley de Ciberdefensa y el marco de seguridad y confianza digital piden gestión del riesgo, reporte de incidentes y coordinación entre entidades. ## La gestión de activos es el punto de partida NIST CSF 2.0 la ubica en la función Identificar, ISO/IEC 27001 la exige en el control A.5.9 e ISA/IEC 62443 la necesita para trazar zonas y conductos. Sin inventario no hay análisis de riesgo creíble. ### Qué registra AWRISK de cada activo - Identificador único, propietario y custodio para cada activo - Clasificación por confidencialidad, integridad y disponibilidad, y por criticidad para la misión - Mapa de dependencias: qué capacidad operativa cae si este activo falla - Ubicación lógica: red, zona y conducto al que pertenece - Ciclo de vida, soporte del fabricante y vulnerabilidades conocidas - Relación directa con los riesgos, controles y planes de tratamiento [Ver el módulo Asset Manager](https://www.awrisk.com/plataforma/activos/) **Información**Planes, inteligencia, datos de personal y logística, según su nivel de clasificación. **Tecnologías de la información**Servidores, estaciones, redes, aplicaciones y servicios en la nube privada. **Tecnología operacional (OT)**PLC, SCADA, HMI y sensores de energía, agua, combustible, climatización y seguridad física. **Comunicaciones**Enlaces, radios, satélite y sistemas de mando y control. **Infraestructura y personas**Instalaciones, centros de datos, proveedores críticos y roles con acceso privilegiado. ## NIST CSF 2.0, ISO/IEC 27001 e ISA/IEC 62443: cómo se complementan | | NIST CSF 2.0 | ISO/IEC 27001 (SGSI) | ISA/IEC 62443 | | Para qué sirve | Ordenar y comunicar el programa de ciberseguridad con seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. | Implementar un sistema de gestión de seguridad de la información, auditable y certificable, basado en riesgos. | Proteger sistemas de automatización y control industrial durante todo su ciclo de vida. | | Alcance | Toda la organización, con lenguaje común para el mando. | La información y los procesos dentro del alcance del SGSI. | Los sistemas OT/IACS, sus componentes, integradores y proveedores. | | Cómo trata el riesgo | Perfil actual frente a perfil objetivo y niveles de implementación. | Evaluación y tratamiento de riesgos, Declaración de Aplicabilidad con los 93 controles del Anexo A. | Partición en zonas y conductos, nivel de seguridad objetivo por zona y siete requisitos fundamentales. | | Qué entrega | Hoja de ruta priorizada de mejora. | Certificación y mejora continua del sistema de gestión. | Requisitos técnicos verificables para el sistema y sus componentes. | | Cómo lo opera AWRISK | Autoevaluación por función y categoría, brecha y plan de acción. | Activos, riesgos, SoA, documentos, auditorías y no conformidades. | Inventario OT, zonas y conductos, SL objetivo frente a alcanzado y plan de cierre. | - [NIST CSF 2.0](https://www.awrisk.com/marcos/nist-csf/) - [ISO/IEC 27001](https://www.awrisk.com/marcos/iso-27001/) - [ISA/IEC 62443](https://www.awrisk.com/marcos/isa-iec-62443/) ## Conceptos clave de seguridad industrial ISA/IEC 62443 La serie ISA/IEC 62443 se aplica a los sistemas de control que sostienen la operación de una base, un puerto, una central o una planta. Estos son los conceptos que AWRISK lleva al registro de riesgos. Niveles 4 y 5**Red corporativa y SGSI** DMZ**Zona desmilitarizada industrial** Nivel 3**Operaciones del sitio** Nivel 2**Supervisión: SCADA e HMI** Nivel 1**Control: PLC y RTU** Nivel 0**Proceso: sensores y actuadores** Ejemplo ilustrativo de zonas y conductos sobre el modelo de niveles de un sistema industrial. **Zonas y conductos:** Agrupan los activos que comparten requisitos de seguridad (zonas) y controlan las comunicaciones entre ellas (conductos). Es la base de la segmentación y de la defensa en profundidad. **Niveles de seguridad (SL):** Del SL 1, protección ante una violación casual, al SL 4, protección ante un atacante con medios sofisticados, recursos amplios y alta motivación. Se compara el nivel objetivo (SL-T) con el que el sistema alcanza (SL-A). **Roles y responsabilidades:** El propietario del activo define el riesgo y el nivel objetivo (62443-2-1 y 3-2), el integrador construye el sistema (2-4 y 3-3) y el fabricante desarrolla componentes seguros (4-1 y 4-2). ### Los siete requisitos fundamentales - **FR 1**Identificación y control de autenticación - **FR 2**Control de uso - **FR 3**Integridad del sistema - **FR 4**Confidencialidad de los datos - **FR 5**Flujo de datos restringido - **FR 6**Respuesta oportuna a eventos - **FR 7**Disponibilidad de recursos ## Cómo se ve con AWRISK - ### Un inventario único de activos críticos Activos de información, TI, OT, comunicaciones e infraestructura de soporte con propietario, ubicación, clasificación y dependencias. - ### Riesgo cibernético ligado a la misión Cada amenaza y vulnerabilidad se evalúa por su impacto en la capacidad operativa que soporta el activo. - ### Tres marcos, un solo registro Los mismos activos, riesgos y controles alimentan el SGSI, el perfil NIST CSF 2.0 y la evaluación de zonas ISA/IEC 62443. - ### Información que no sale de la institución AWRISK On-Premise funciona en redes aisladas, con roles y permisos según la necesidad de conocer. Ejemplo ilustrativo: riesgos antes y después de aplicar controles. ## Módulos que intervienen Configurados con la taxonomía, la matriz de riesgo y los formatos de tu sector. [Asset Manager AWRISK-AM](https://www.awrisk.com/plataforma/activos/) · [Risk Manager AWRISK-RM](https://www.awrisk.com/plataforma/gestion-de-riesgos/) · [Self Assessment AWRISK-SA](https://www.awrisk.com/plataforma/autoevaluaciones/) · [Events AWRISK-EV](https://www.awrisk.com/plataforma/eventos-e-incidentes/) · [Plans Manager AWRISK-PM](https://www.awrisk.com/plataforma/planes/) · [Audit AWRISK-AU](https://www.awrisk.com/plataforma/auditoria/) · [Document Manager AWRISK-DM](https://www.awrisk.com/plataforma/documentos/) · [Business Continuity AWRISK-BM](https://www.awrisk.com/plataforma/continuidad/) · [Contracts Manager AWRISK-CM](https://www.awrisk.com/plataforma/contratos-y-terceros/) ### Casos de uso frecuentes - Inventario y clasificación de activos críticos para la misión - SGSI conforme a ISO/IEC 27001 en direcciones y unidades - Perfil actual y objetivo de ciberseguridad con NIST CSF 2.0 - Evaluación de zonas y conductos de sistemas industriales (ISA/IEC 62443) - Gestión de incidentes y continuidad de servicios críticos - Riesgo de proveedores y de la cadena de suministro tecnológica ## Normas relacionadas - [NIST CSF 2.0 Programa de ciberseguridad con las seis funciones de NIST CSF 2.0.](https://www.awrisk.com/marcos/nist-csf/) - [ISO/IEC 27001 SGSI con proceso de riesgos auditable de extremo a extremo.](https://www.awrisk.com/marcos/iso-27001/) - [ISA/IEC 62443 Zonas y conductos, niveles de seguridad y requisitos para entornos OT e industriales.](https://www.awrisk.com/marcos/isa-iec-62443/) - [ISO 22301 BIA, estrategias, planes y pruebas de continuidad.](https://www.awrisk.com/marcos/iso-22301/) - [Seguridad y confianza digital Ley 30618, Marco de Confianza Digital y gestión de incidentes.](https://www.awrisk.com/marcos/seguridad-digital/) ## Cómo medir el avance Antes de implementar acordamos una línea base. Estos son los indicadores que solemos seguir en militar y seguridad nacional: - Porcentaje de activos críticos inventariados, clasificados y con propietario - Zonas OT con nivel de seguridad objetivo definido y brecha medida - Avance del perfil objetivo de NIST CSF 2.0 por función - Tiempo de cierre de vulnerabilidades críticas [Estimar el ahorro de horas de tu equipo](https://www.awrisk.com/recursos/calculadora-roi/) ## Preguntas frecuentes ### ¿AWRISK puede operar en una red clasificada o aislada? Sí. AWRISK On-Premise se instala dentro de la infraestructura de la institución y no requiere conexión a internet para su operación. Las funciones que dependen de servicios externos se evalúan caso por caso. ### ¿Cómo se relacionan NIST CSF 2.0, ISO 27001 e ISA/IEC 62443? Son complementarios. NIST CSF 2.0 ordena el programa de ciberseguridad y lo comunica al mando, ISO/IEC 27001 da el sistema de gestión certificable para la información e ISA/IEC 62443 aporta los requisitos técnicos para los sistemas industriales. AWRISK los relaciona sobre el mismo inventario de activos. ### ¿AWRISK escanea la red o los sistemas industriales? No. AWRISK es la plataforma de gobierno, riesgo y cumplimiento: recibe la información de inventario y vulnerabilidades de tus herramientas mediante la API o carga de archivos, y la convierte en riesgo, tratamiento y evidencia. ### ¿Quién puede ver la información? Se configuran roles y permisos por unidad, nivel de clasificación y necesidad de conocer, con bitácora de accesos y cambios. ## Veamos AWRISK aplicado a militar y seguridad nacional Demo en vivo de 30 minutos con un especialista: tu norma, tu próxima auditoría y cómo se vería tu tablero. [Agendar demo en vivo](https://www.awrisk.com/demo/?sector=defensa-seguridad-nacional) · [Escribir por WhatsApp](https://wa.me/51924919800?text=Hola%2C%20quiero%20informaci%C3%B3n%20sobre%20AWRISK) --- Fuente: AWRISK (https://www.awrisk.com/sectores/defensa-seguridad-nacional/). Demo: https://www.awrisk.com/demo/ · Contacto: gerenciacomercial@atixworld.com