La Comisión Nacional del Mercado de Valores (CNMV) ha difundido recientemente el Código de Buen Gobierno de la Ciberseguridad elaborado por el Foro Nacional de Ciberseguridad. Un documento oficial que tiene el objetivo proponer a las organizaciones prácticas dirigidas a sustentar un modelo de gestión para este sector tanto en las redes como en los sistemas de información.
Asimismo, pretende contribuir a la mejora del proceso de toma de decisiones en este ámbito por parte de los órganos de gobierno de las organizaciones y, en especial, por el órgano de administración.
Tres grandes bloques
Desarrollado por un grupo de expertos en esta materia, se han analizado las distintas normativas y estándares existentes desde una perspectiva práctica y actual con el fin de mejorar el buen gobierno corporativo en esta cuestión.
Este código ofrece recomendaciones de alcance general, organizadas en tres principios básicos para que pueda ser utilizado por cualquier organización que persiga realizar una adecuada gobernanza de la ciberseguridad:
- Estrategia y organización: detalla los principios más importantes sobre los que los órganos de gobierno deben construir la estrategia y organización de la ciberseguridad. Estos principios están relacionados, de manera directa, con la gestión de la ciberseguridad.
- Gestión: conjunto de actividades, controles y decisiones fundamentales que deben las organizaciones para garantizar que disponen de una madurez adecuada en ciberseguridad, incluyendo la prevención, detección, respuesta y recuperación ante incidentes. Estos principios deben ser aplicados por la dirección de la organización desde la unidad de ciberseguridad o seguridad de la información.
- Supervisión: señala los elementos mínimos que deben validar los órganos de gobierno de la organización, así como los requerimientos básicos que debe cubrir la información requerida para poder realizar esta validación. Concreta cómo debería realizarse la supervisión de forma continua por parte de la dirección de las organizaciones y la unidad de ciberseguridad o seguridad de la información.
El Código no pretende constituirse en un nuevo estándar de controles que deben implementarse para obtener con un determinado nivel de cumplimiento, sino que recoge trece principios que permitirían a las organizaciones verificar su madurez para lograr los objetivos necesarios.
Por último, la adopción de estos principios supone además una señal de madurez en ciberseguridad y contribuir tanto a una mejor gestión del riesgo como a la protección de sus objetivos y los de aquellos grupos de interés que puedan verse afectados por las actividades de la organización», detalla el Foro.
Contenido relacionado: Ley de ciberseguridad 5G: el avance en la protección de datos
