Catálogo de controles
NIST SP 800-53 Rev. 5
Catálogo de controles de seguridad y privacidad para convertir decisiones en salvaguardas comprobables.
En esta página
Finalidad, alcance y autoridad
No exige aplicar todo el catálogo. Seleccionar y adaptar la base pertinente; SP 800-53B trata bases y SP 800-53A evaluación. La editorial oficial incluye la versión 5.2.0 junto a Rev. 5. Registrar qué versión se usa: el PDF inicial no recoge necesariamente cambios posteriores. [1]
Principios y lógica operativa [1]
1. Estructura y parámetros
Leer control, ampliaciones, discusión y relaciones. Completar valores y selecciones definidos por la organización. Una frecuencia o responsabilidad sin resolver impide una especificación operativa. No todas las ampliaciones son obligatorias.
2. Funcionalidad y confianza
Comprobar tanto la protección como las pruebas de eficacia. Combinar política, configuración, observación, ensayos y revisión según el riesgo.
3. Responsabilidad y herencia
Distinguir controles comunes, específicos e híbridos. Identificar quién implementa, opera y evalúa cada parte. Una plataforma compartida no asume necesariamente las decisiones de acceso de la aplicación.
4. Ejemplos de estudio
AC-2: cuentas; AC-6: mínimo privilegio; AU-6: análisis de auditoría; CM-2: configuración base; CP-4: pruebas de contingencia; IR-4: gestión de incidentes. Son puntos de estudio, no una base suficiente.
Las 20 familias de controles [1]
| ID | Las 20 familias de controles | Pregunta de gestión |
|---|---|---|
| AC | Control de acceso | ¿Quién accede a qué y quién lo revisa? |
| AT | Concienciación y formación | ¿Puede cada persona cumplir su función de seguridad? |
| AU | Auditoría y responsabilidad | ¿Se puede reconstruir y revisar la actividad? |
| CA | Evaluación, autorización y seguimiento | ¿Quién prueba controles y acepta el riesgo? |
| CM | Gestión de configuración | ¿Cuál es el estado aprobado y cómo se tratan desviaciones? |
| CP | Contingencia | ¿Se recuperan las funciones esenciales según sus necesidades? |
| IA | Identificación y autenticación | ¿Cómo se establece y verifica identidad? |
| IR | Respuesta a incidentes | ¿Quién coordina gestión y escalado? |
| MA | Mantenimiento | ¿Cómo se controla también el mantenimiento remoto? |
| MP | Protección de soportes | ¿Cómo se manejan, transportan y borran soportes? |
| PE | Protección física y ambiental | ¿Cómo se protegen instalaciones y suministros? |
| PL | Planificación | ¿Están documentados los acuerdos de seguridad y privacidad? |
| PM | Gestión del programa | ¿Quién dirige recursos y supervisión? |
| PS | Seguridad del personal | ¿Cómo se ajustan responsabilidades ante cambios laborales? |
| PT | Datos personales y transparencia | ¿Por qué se tratan datos y cómo se informa? |
| RA | Evaluación de riesgo | ¿Qué amenazas e impactos orientan prioridades? |
| SA | Adquisición de sistemas y servicios | ¿Los requisitos acompañan compra y desarrollo? |
| SC | Protección de sistemas y comunicaciones | ¿Cómo se protegen fronteras y comunicaciones? |
| SI | Integridad de sistemas e información | ¿Cómo se abordan fallos, actividad maliciosa e integridad? |
| SR | Riesgo de cadena de suministro | ¿Cómo se evalúan dependencias de proveedores y productos? |
Aplicación · recomendaciones editoriales
Proponemos registrar identificador, versión, aplicabilidad, parámetros, responsable, componentes heredados, pruebas, evaluación y fecha de corrección. Para una cuenta privilegiada, seguir aprobación, alta, permisos, uso, revisión y retirada. Una captura aislada no acredita todo el ciclo.
Pruebas para el CISO · expediente propuesto
Pedir pruebas del control seleccionado: estado aprobado y detección de desviaciones; ensayo de recuperación y correcciones; registros útiles y proceso de revisión. Documentar excepciones y alternativas mediante gestión del riesgo.
Errores frecuentes y límites
Evitar seleccionar todo, equiparar política con implementación o inferir equivalencia desde una tabla de correspondencias. Se cubren estructura, las 20 familias y controles seleccionados, no se reproducen todos los controles y ampliaciones.
Fuentes oficiales y ruta de lectura
Apartados que consultar en la fuente: Chapter 2; Chapter 3 control families; official release notes.
Comentario de estudio original, no reproducción íntegra. Consulte la fuente para cada requisito, ampliación, condición y excepción. La aplicabilidad depende de la organización y de sus obligaciones.