Se crea el Departamento de Educación, Habilidades y Empleo de Australia (DESE) RFFR (Adaptación adecuada al riesgo) a finales de 2019. Este programa de certificación tiene como objetivo garantizar que los proveedores, como las instituciones educativas, cumplan con los requisitos contractuales de seguridad de la información de DESE.
El esquema RFFR tiene como objetivo complementar los requisitos básicos de ISO/IEC 27001 con controles adicionales establecidos por el gobierno australiano. Manual de seguridad de la información (ISM) con la evolución de los requisitos legales, técnicos y de seguridad para sistema de gestión de la seguridad de la información (SGSI) para los proveedores.
También debes desarrollar un Declaración de aplicabilidad (SoA) que considera los riesgos y demandas de seguridad únicos de su empresa y la aplicabilidad de las salvaguardas detalladas en el Manual de seguridad de la información de Australia. Se deben tener en cuenta los elementos centrales del RFFR, como el Los ocho elementos esenciales del Centro Australiano de Seguridad Cibernética técnicas, soberanía de datos y seguridad del personal.
El DESE ha exigido que las organizaciones cumplan con su esquema de Sistema de Gestión de Seguridad de la Información (SGSI), por lo que son reconocidas como un SGSI DESE.
Un SGSI proporciona las herramientas que necesita para salvaguardar y gestionar la información de su empresa a través de una gestión de riesgos eficaz.
Permite el cumplimiento de muchas leyes, regulaciones y esquemas de certificación y se enfoca en proteger tres aspectos clave de la información; Confidencialidad, Integridad y Disponibilidad.
ISO 27001 es un estándar universal reconocido mundialmente. Fue creado para ayudar a las organizaciones a proteger su información de manera eficiente y sistemática.
Proporciona a cualquier organización, independientemente de su tamaño o sector, un marco de seguridad cibernética y un enfoque para proteger sus activos de información más importantes.
Nuestro sistema de gestión integrado incluye herramientas de gestión de riesgos y un banco de riesgos precargado, que le permite adoptar, adaptar y agregar el Anexo A de ISO 27001 según los requisitos de su empresa.
La herramienta de mapa de riesgos ISMS.online ofrece una visión completa de arriba hacia abajo del riesgo organizacional. Mapea los factores de riesgo y las oportunidades en las metas y objetivos estratégicos de su organización. Permitiéndole realizar un análisis exhaustivo de brechas.
Además, ISMS.online permite monitorear los riesgos de seguridad de la información de su organización, su postura y el cumplimiento de ISO 27001. El panel inteligente es intuitivo y accesible a través de un navegador web para que pueda ver el estado de seguridad de su información en cualquier momento y lugar.
Durante el proceso de certificación RFFR ISMS, los auditores examinarán sus sistemas y la documentación de respaldo. Por lo tanto, las organizaciones deben controlar tres hitos clave a lo largo del proceso de acreditación.
Los proveedores pueden utilizar los hitos para determinar el nivel actual de ciberseguridad de su organización e identificar áreas de mejora.
Los proveedores y subcontratistas se clasifican en categorías para obtener la acreditación utilizando el enfoque Right Fit For Risk (RFFR).
Averiguar qué categoría se aplica a usted significará que deberá considerar los siguientes factores de riesgo (entre otros):
| Categoría | Categoría 1 | Categoría 2A | Categoría 2B |
|---|---|---|---|
| Carga anual de casos | 2,000 o más | Menos de 2,000 | Menos de 2,000 |
| Perfil de riesgo | Mayor riesgo | Riesgo medio | Riesgo bajo |
| Base de acreditación | SGSI (Sistema de gestión de seguridad de la información) conforme a ISO 27001 – certificado de forma independiente | SGSI conforme a ISO 27001 – autoevaluado | Carta de afirmación de la dirección |
| Mantenimiento de acreditaciones | Auditoría de vigilancia anual y recertificación trienal | Autoevaluación anual | Carta anual de aseveración de la gerencia |
| Hitos a completar | 1, 2 and 3 | 1,2 y 3 | 1 y 3 |
El primer hito y paso siempre debe ser una evaluación de la madurez empresarial. El modelo de madurez Essential Eight de la Dirección Australiana de Señales (ASD) determina cómo su organización utiliza la información y gestiona la seguridad. La madurez inicial de la seguridad de la información de su organización se evalúa según el modelo de madurez ASD Essential Eight.
Para alcanzar el hito 2, necesitará un sistema de gestión de seguridad de la información personalizado además del cumplimiento y la acreditación totales de ISO 27001.
También necesitará una Declaración de Aplicabilidad (SoA) en el hito 2. La cláusula 27001 de ISO 6.1.3 señala la necesidad de una SoA, que puede entenderse vagamente como una lista de verificación para los 114 controles de seguridad diseñados para abordar riesgos específicos para una organización.
Debe demostrar que los controles SGSI e ISO 27001 (cuando corresponda a la organización) se han implementado de manera efectiva para superar el hito 3.
Descubra lo fácil que es gestionar su
cumplimiento de RFFR en ISMS.online
Reserva tu demostración
Una organización y todos sus subcontratistas acreditados por RFFR deben mantener su estado de certificación presentando informes anuales y siendo monitoreados para determinar el cumplimiento de los estándares RFFR.
Una organización con una acreditación existente debe completar las auditorías anuales y trienales de acuerdo con las fechas en que se otorgó la acreditación.
| Tipo de acreditación | Anualmente | Cada 3 años |
|---|---|---|
| ISMS certificados (proveedores de categoría 1 y proveedores de sistemas de habilidades y empleo de terceros) | Auditoría de vigilancia o auditoría de cambio de alcance por parte del Organismo de Evaluación de Certificación (CAB) que cubre la SoA actualizada del proveedor o del vendedor de TPES | Recertificación por CAB (Organismos de Evaluación de la Conformidad)
Reacreditación de proveedor o vendedor de TPES por parte del DESE |
| SGSI autoevaluado (Proveedores de Categoría 2A) | Informe de autoevaluación (incluida la descripción de los cambios desde el último informe) que cubre el SoA actualizado del Proveedor
DESE determina si es necesario actualizar a un SGSI certificado | Informe de autoevaluación Reacreditación por DESE |
| Certificación de gestión (Proveedores de categoría 2B) | Carta de afirmación anual de la dirección (incluida la descripción de los cambios desde la última certificación)
DESE determina si es necesario ampliar a un SGSI autoevaluado | Carta de afirmación de la dirección Reacreditación por DESE |
El enfoque RFFR requiere que usted establezca y mantenga un conjunto de estándares de seguridad básicos para mantener y mejorar su postura de seguridad.
Las ocho estrategias australianas de seguridad cibernética esencial y las expectativas centrales ayudarán a su organización a crear un marco de seguridad sólido.
Según los requisitos de RFFR, existen ciertos procesos que debes seguir al contratar gente nueva:
Las organizaciones deben garantizar que las medidas de seguridad física minimicen el riesgo de que la información y los activos físicos sean:
Todas las organizaciones deben cumplir con los requisitos de seguridad física. Las instalaciones deben ser de calidad comercial y estar ubicadas en Australia. Trabajar desde casa requiere que las organizaciones se aseguren de que el entorno doméstico sea tan seguro como el de la oficina a la hora de proteger al personal, los datos de los programas y el hardware de TI.
Las organizaciones deben implementar medidas de seguridad para garantizar la seguridad cibernética, incluidas las estrategias de seguridad cibernética de los 'Ocho Esenciales', la gestión de riesgos de seguridad de la información, el monitoreo de la seguridad de la información, la gestión de incidentes de seguridad cibernética y los controles de acceso restringido.
Reserva una sesión práctica personalizada
en base a tus necesidades y objetivos
Reserva tu demostración
Para ayudar a las organizaciones a poner en orden la seguridad de su información, The Centro Australiano de Seguridad Cibernética (ACSC) desarrolló las estrategias de los 'Ocho Esenciales' para ayudar a proteger las empresas.
Se debe determinar el perfil de riesgo de ciberseguridad de una organización y se deben desarrollar planes para alcanzar los niveles objetivo para cada una de las ocho estrategias de ciberseguridad esenciales.
Es importante tener en cuenta que los Ocho Esenciales serán obligatorios para todas las agencias y departamentos del gobierno federal australiano.
Se evita que programas no autorizados se ejecuten en su sistema controlando su ejecución. Esto evita que se ejecuten programas desconocidos y potencialmente maliciosos en su sistema.
Las aplicaciones pueden explotarse para ejecutar código malicioso si tienen vulnerabilidades de seguridad conocidas. Mantener su entorno seguro requiere utilizar la última versión de las aplicaciones y aplicar parches inmediatamente después de que se hayan identificado las vulnerabilidades.
Sólo se permitirá la ejecución de macros provenientes de ubicaciones confiables con acceso de escritura limitado o aquellas firmadas con un certificado confiable. Esta estrategia bloquea el código malicioso entregado por las macros de Microsoft Office.
La funcionalidad vulnerable debe protegerse eliminando funciones innecesarias en Microsoft Office, navegadores web y visores de PDF. Flash, anuncios y contenido Java son vehículos comunes para entregar código malicioso.
Las cuentas de administrador tienen las claves de su infraestructura de TI y, por lo tanto, requieren acceso limitado. Se debe minimizar el número de cuentas de administrador y los privilegios otorgados a cada una.
Los sistemas operativos pueden verse aún más comprometidos debido a vulnerabilidades de seguridad conocidas. Es importante remediar estos problemas tan pronto como se identifiquen. Puede limitar el alcance de las violaciones de seguridad cibernética utilizando los sistemas operativos más recientes y aplicando parches de seguridad tan pronto como se identifiquen. Evite el uso de sistemas operativos obsoletos.
Una autenticación de usuario sólida dificulta que los atacantes accedan a la información y a los sistemas. MFA requiere una combinación de dos o más factores, incluida información secreta (como una combinación de contraseña e ID), un dispositivo físico vinculado a datos (como una aplicación de autenticación basada en huellas dactilares en un teléfono inteligente registrado o un código SMS de un solo uso) y una persona física vinculada a datos (como el reconocimiento facial o las huellas dactilares).
Se utiliza una estrategia de respaldo para preservar datos y sistemas críticos. Esta estrategia garantiza que se pueda acceder a la información después de un incidente de ciberseguridad.
Los datos, el software y los ajustes de configuración se respaldan y almacenan por separado de su entorno principal. Las copias de seguridad se prueban de forma rutinaria para garantizar que se puedan recuperar y que todos los datos críticos estén incluidos en el programa de copia de seguridad.
Reserva una sesión práctica personalizada
en base a tus necesidades y objetivos
Reserva tu demostración
Una organización debe desarrollar un enfoque formal para la gestión de incidentes de seguridad de la información que cumpla con las recomendaciones del Manual de seguridad de la información (ISM).
El director de seguridad de la información, el director de información, el profesional de seguridad cibernética o el gerente de tecnología de la información de una organización pueden utilizar el ISM para desarrollar un marco de seguridad cibernética para proteger su información y sus sistemas de las amenazas cibernéticas.
Se deben implementar mecanismos apropiados de detección de incidentes y respuesta para registrar y reportar incidentes cibernéticos a las partes interesadas internas y externas.
Es esencial que las organizaciones recuerden que siguen siendo responsables de garantizar que cualquier subcontratista que preste servicios en su nombre cumpla, cumpla y mantenga los estándares de seguridad de la organización.
Una organización debe reconocer que las partes externas que brindan servicios a la organización o en nombre de ella pueden tener el potencial de acceder a instalaciones, sistemas o información que requiere protección. Las organizaciones deben garantizar que los requisitos de seguridad RFFR estén implementados y funcionen correctamente en toda su cadena de suministro.
Cualquier empresa que utilice una aplicación de terceros o un servicio en la nube para procesar, almacenar o difundir datos confidenciales debe asegurarse de que el sistema sea seguro antes de utilizarlo. Antes de utilizar cualquier software o servicio de terceros, las organizaciones deben evaluar el riesgo por sí mismas e implementar controles de seguridad adecuados.
ISMS.online puede ayudarlo a cumplir con los requisitos de seguridad de la información y de cumplimiento de su organización ayudándolo con la implementación de la seguridad de la información para evaluar sus brechas de seguridad y sus procesos de seguridad.
Para ayudarle a alcanzar sus objetivos RFFR ISMS, nuestros beneficios clave incluyen:
Descubra lo fácil que es con ISMS.online – RESERVAR UNA DEMOSTRACIÓN.
Reserva una sesión práctica personalizada
en base a tus necesidades y objetivos
Reserva tu demostración
Desde la migración, hemos podido reducir el tiempo dedicado a la administración.
