¿QUÉ ES EL NIST?

 Si has trabajado en ciberseguridad durante algún tiempo habrás oído hablar del NIST. Que no es otra cosa que el instituto nacional de estándares y tecnología de Estados Unidos. 

La encantadora gente que trabaja aquí es la responsable de promover y mejorar la industria tecnológica, y cada cierto tiempo sacan publicaciones donde comparten sus estudios de forma altruista para que tú pobre mortal, tengas que complicarte un poco más la vida para cumplir sus estándares. 

NIST

Aunque por otro lado, hay que pensar que estos seres de luz también le complican la existencia a los malos que se quieren lucrar con nuestra información y secretos.

                                                                       Gente del NIST

Cada vez que sacan una publicación sube el pan.  

La última publicación realmente intersante del NIST es la 800-207 Zero Trust Architecture (ZTA) dónde nos describe como crear una infraestructura donde cada elemento individual debe de ser confiable por si mismo, sin necesidad de estar enlazado o dentro de un entorno seguro. De esta forma, en el momento actual en el que las grandes (y no tan grandes) corporaciones están migrando sus servicios esenciales a la nube, es tan importante tenerlo presente en la fase de diseño. 

Recordar que se pueden externalizar servicios como la autenticación, gestión de identidad,... de forma que el acceso a nuestra información pase a ser controlada por un tercero en el que "simplemente" confiamos porque pagamos. Ahora bien:

Si hacemos una abstracción, los entornos puramente en la nube o híbridos pueden ser eslabones de una misma cadena. La cadena sustenta nuestra empresa y su seguridad ¿Os suena la expresión: un sistema es tan seguro como su eslabón más débil? Bien, esta publicación expone como trabajar para que la integración entre sistemas sea lo más segura posible usando estas nuevas redes ZTA. 

Recordar que los datos pueden estar en tres estados: En reposo, en tránsito y en proceso. Hay que poner medidas de seguridad en todos ellos.

"Nada más que añadir, Señoría"

Y lanzo dos preguntas al aire: ¿Sabes cuanto tiempo y cómo guardan los registros de acceso/actividad las empresas SaaS que estás usando en estos momentos? ¿Y los dispositivos que usas para acceder a tus servicios en la nube?  Toda esa información suele no estar protegida y puede ser usada con malas intenciones.

He preparado una infografía que da una visión rápida de que es el NIST, como funciona y cuales son sus publicaciones más relevantes en el ámbito de ciberseguridad.