Certificar los Servicios de Seguridad Gestionados de un SOC no implica necesariamente llegar al mismo punto. La CCN-STIC 896 permite certificar distintos servicios y, en función de cuáles se hayan certificado, el CCN establece tres niveles de madurez: SOC Básico, SOC Avanzado y SOC Completo.
La diferencia entre ellos no responde al tamaño del centro, al número de analistas o al volumen de alertas que gestiona. La clave está en las capacidades que puede acreditar a través de sus servicios certificados.
Entender esta estructura permite abordar la certificación con una perspectiva más amplia. Antes de decidir qué servicios certificar, conviene saber qué nivel reflejan las capacidades actuales del SOC y qué sería necesario incorporar para avanzar con el siguiente.
Tres niveles y cinco servicios
El punto de partida es el SOC Básico, que requiere disponer de los servicios certificados de Gestión de la Ciberseguridad y de Detección.
La combinación tiene sentido desde el punto de vista operativo. Gestión proporciona la capa desde la que se establecen la estrategia, los objetivos, la gobernanza y los mecanismos de coordinación de servicios, seguimiento y mejora del SOC. Detección constituye el núcleo de la actividad orientada a identificar, analizar y notificar amenazas y eventos de seguridad.
El siguiente escalón es el SOC Avanzado. A Gestión y Detección se incorporan los servicios de Prevención y Respuesta.
El salto es relevante. El SOC ya no acredita únicamente capacidad para gobernar o coordinar su actividad y detectar amenazas, sino también capacidades dirigidas a anticiparse a ellas y actuar una vez identificadas.
Por último, el SOC Completo incorpora el servicio de Protección a los cuatro anteriores. De este modo, quedan cubiertas las cinco categorías contempladas: Gestión de la Ciberseguridad, Prevención, Protección, Detección y Respuesta.
Esta clasificación permite utilizar los niveles de madurez como algo más que un reconocimiento. También ofrece una referencia para analizar cómo están distribuidas las capacidades del SOC.
El salto entre niveles empieza por identificar qué capacidad falta
Para un SOC que ya dispone de Gestión y Detección certificadas, avanzar hacia un nivel Avanzado tiene una traducción muy concreta y es que debe acreditar también los servicios de Prevención y Respuesta.
Esto permite realizar un análisis bastante más útil que limitarse a plantear como objetivo ‘subir de nivel’.
El ejercicio consiste en revisar por separado los servicios que faltan.
Si el objetivo es incorporar Prevención, habrá que comprobar qué capacidades de este ámbito ya existen, cómo se están prestando y qué distancia las separa de los requisitos establecidos en la CCN-STIC 896.
Con Respuesta sucede lo mismo. Puede que el SOC ya realice actividades relacionadas con este servicio, pero será necesario comprobar si su alcance, procedimientos, recursos y evidencias permiten acreditarlo conforme a la guía.
El paso de Avanzado a Completo concentra el análisis en Protección. En este caso, la organización ya habrá certificado los otros cuatro servicios y podrá centrar el trabajo en determinar qué necesita para incorporar el quinto.
Visto de esta manera, el modelo de madurez ofrece una hoja de ruta bastante clara: identificar los servicios que ya pueden acreditarse, localizar las capacidades que faltan y trabajar específicamente sobre ellas.
Revisión práctica del nivel de madurez
Para saber dónde se encuentra realmente un SOC, puede hacerse una primera revisión tomando como referencia los cinco servicios de la CCN-STIC 896.
Gestión de la Ciberseguridad
¿Existe una estructura definida para gobernar, coordinar, supervisar y mejorar la actividad del SOC?
Detección
¿Se dispone de capacidades y procedimientos consolidados para identificar, analizar y notificar amenazas y eventos de seguridad?
Si ambas respuestas pueden respaldarse con las capacidades y evidencias exigidas por la guía, existe la base sobre la que se articula un SOC Básico.
A partir de ahí:
Prevención
¿Qué capacidades preventivas están realmente implantadas y cuáles podrían acreditarse?
Respuesta
¿Existe capacidad operativa y procedimientos para actuar ante los incidentes detectados?
La incorporación y certificación de ambos servicios permite avanzar hacia el nivel Avanzado.
Por último:
Protección
¿Dispone el SOC de las capacidades asociadas a este servicio y están suficientemente consolidadas para abordar su certificación?
Este último servicio completa el conjunto necesario para optar al reconocimiento como SOC Completo.
El objetivo de esta revisión no es asignarse internamente una categoría. El reconocimiento del nivel de madurez corresponde al CCN y se solicita una vez obtenida la certificación de los servicios necesarios. Su utilidad está en detectar qué capacidades separan al SOC de ese siguiente nivel y poder concentrar ahí el esfuerzo.
Un SOC que quiera evolucionar desde Básico hasta Completo no tiene, por tanto, que abordar toda la CCN-STIC 896 de una vez. Puede utilizar la estructura de servicios para establecer un itinerario progresivo, priorizando aquellos que permitan ampliar de manera coherente sus capacidades.
