Evaluación de Madurez en Ciberseguridad NIST Framework 2.0

1

Nombre de la empresa* This field is required.

2

Tamaño de la empresa* This field is required.

3

Correo electrónico de contacto* This field is required.

ciberseguridad@unipago.com.do

4

¿Existe una estrategia formal de ciberseguridad alineada a los objetivos del negocio?* This field is required.Nivel 1: No existe una estrategia de ciberseguridad definida. Nivel 2: Existe una estrategia informal o no alineada al negocio. Nivel 3: La estrategia está documentada y parcialmente alineada al negocio. Nivel 4: La estrategia está formalizada, alineada y aplicada consistentemente. Nivel 5: La estrategia se revisa, mide y optimiza continuamente según el negocio

5

¿Se han definido roles y responsabilidades claras para la gestión de ciberseguridad?* This field is required.Nivel 1: No existen roles ni responsabilidades definidos. Nivel 2: Existen roles informales o poco claros. Nivel 3: Los roles están definidos pero no completamente implementados. Nivel 4: Los roles están claros, documentados y aplicados. Nivel 5: Los roles se revisan y optimizan continuamente según necesidades.

6

¿La organización cuenta con políticas de seguridad documentadas y actualizadas?* This field is required.Nivel 1: No existen políticas de seguridad documentadas. Nivel 2: Existen políticas básicas o desactualizadas. Nivel 3: Las políticas están documentadas pero no completamente actualizadas. Nivel 4: Las políticas están actualizadas y se aplican consistentemente. Nivel 5: Las políticas se revisan y mejoran continuamente.

7

¿Se gestionan los riesgos de ciberseguridad dentro del marco de riesgo empresarial?* This field is required.Nivel 1: No se gestionan riesgos de ciberseguridad. Nivel 2: Se gestionan riesgos de forma aislada. Nivel 3: Existe gestión de riesgos parcialmente integrada al negocio. Nivel 4: La gestión de riesgos está integrada al marco empresarial. Nivel 5: La gestión de riesgos es continua, medida y optimizada.

8

¿Se monitorea y revisa regularmente el desempeño del programa de ciberseguridad?* This field is required.Nivel 1: No se monitorea el programa de ciberseguridad. Nivel 2: Se monitorea de forma ocasional o informal. Nivel 3: Se monitorea periódicamente con métricas básicas. Nivel 4: Se monitorea con indicadores definidos y revisiones regulares. Nivel 5: Se mide, analiza y optimiza continuamente el desempeño.

9

¿Se mantiene un inventario actualizado de activos (hardware, software, datos)?* This field is required.Nivel 1: No existe inventario de activos. Nivel 2: Existe un inventario parcial o desactualizado. Nivel 3: El inventario está definido pero no completamente actualizado. Nivel 4: El inventario está completo y actualizado regularmente. Nivel 5: El inventario es automatizado y actualizado en tiempo real.

10

¿Se identifican y clasifican los activos críticos del negocio?* This field is required.Nivel 1: No se identifican activos críticos. Nivel 2: Se identifican de forma informal o incompleta. Nivel 3: Existe clasificación parcial de activos críticos. Nivel 4: Los activos críticos están identificados y clasificados. Nivel 5: La clasificación se revisa y ajusta continuamente.

11

¿Se realizan evaluaciones periódicas de riesgos de ciberseguridad?* This field is required.Nivel 1: No se realizan evaluaciones de riesgos. Nivel 2: Se realizan de forma ocasional o informal. Nivel 3: Se realizan evaluaciones periódicas básicas. Nivel 4: Se realizan evaluaciones estructuradas y completas. Nivel 5: Las evaluaciones son continuas y basadas en inteligencia.

12

¿Se identifican amenazas internas y externas relevantes?* This field is required.Nivel 1: No se identifican amenazas. Nivel 2: Se identifican amenazas de forma básica. Nivel 3: Se identifican amenazas relevantes parcialmente. Nivel 4: Se identifican y analizan amenazas de forma estructurada. Nivel 5: Se anticipan amenazas usando inteligencia y análisis continuo.

13

¿Se analizan vulnerabilidades y su impacto en la organización?* This field is required.Nivel 1: No se analizan vulnerabilidades. Nivel 2: Se analizan de forma ocasional. Nivel 3: Se analizan vulnerabilidades básicas. Nivel 4: Se analizan de forma estructurada y priorizada. Nivel 5: Se gestionan proactivamente con análisis continuo.

14

¿Se implementan controles de acceso basados en roles (RBAC)?* This field is required.Nivel 1: No existen controles de acceso por roles. Nivel 2: Se aplican controles básicos o limitados. Nivel 3: RBAC implementado en sistemas clave. Nivel 4: RBAC aplicado de forma consistente en toda la organización. Nivel 5: RBAC optimizado y revisado continuamente.

15

¿Se utilizan mecanismos de autenticación robusta (ej. MFA)?* This field is required.Nivel 1: No se utilizan mecanismos robustos de autenticación. Nivel 2: MFA implementado de forma limitada. Nivel 3: MFA aplicado en sistemas críticos. Nivel 4: MFA aplicado de forma generalizada. Nivel 5: MFA optimizado y adaptado al riesgo.

16

¿Se protege la información sensible mediante cifrado?* This field is required.Nivel 1: No se utiliza cifrado. Nivel 2: Cifrado aplicado de forma limitada. Nivel 3: Cifrado en datos sensibles clave. Nivel 4: Cifrado aplicado de forma consistente. Nivel 5: Cifrado optimizado con gestión avanzada.

17

¿Se capacita regularmente al personal en ciberseguridad?* This field is required.Nivel 1: No se capacita al personal. Nivel 2: Capacitación ocasional o informal. Nivel 3: Capacitación periódica básica. Nivel 4: Programa estructurado de capacitación. Nivel 5: Capacitación continua y adaptada al riesgo.

18

¿Se aplican controles de seguridad en sistemas y endpoints?* This field is required.Nivel 1: No existen controles de seguridad. Nivel 2: Controles básicos en algunos sistemas. Nivel 3: Controles implementados en sistemas clave. Nivel 4: Controles aplicados de forma generalizada. Nivel 5: Controles optimizados y monitoreados continuamente.

19

¿Se monitorean continuamente los sistemas y redes?* This field is required.Nivel 1: No se realiza monitoreo. Nivel 2: Monitoreo limitado o manual. Nivel 3: Monitoreo básico continuo. Nivel 4: Monitoreo estructurado y automatizado. Nivel 5: Monitoreo avanzado con análisis continuo.

20

¿Se detectan anomalías en el comportamiento de usuarios o sistemas?* This field is required.Nivel 1: No se detectan anomalías. Nivel 2: Detección manual o limitada. Nivel 3: Detección básica de anomalías. Nivel 4: Detección automatizada y estructurada. Nivel 5: Detección avanzada con análisis de comportamiento.

21

¿Se utilizan herramientas de detección de amenazas (SIEM, EDR)?* This field is required.Nivel 1: No se utilizan herramientas. Nivel 2: Uso limitado de herramientas. Nivel 3: Herramientas implementadas parcialmente. Nivel 4: Herramientas desplegadas y gestionadas. Nivel 5: Herramientas optimizadas e integradas.

22

¿Se correlacionan eventos de seguridad para identificar incidentes?* This field is required.Nivel 1: No se correlacionan eventos. Nivel 2: Correlación manual o limitada. Nivel 3: Correlación básica automatizada. Nivel 4: Correlación avanzada estructurada. Nivel 5: Correlación optimizada con inteligencia.

23

¿Se generan alertas oportunas ante posibles incidentes?* This field is required.Nivel 1: No se generan alertas. Nivel 2: Alertas limitadas o tardías. Nivel 3: Alertas básicas configuradas. Nivel 4: Alertas oportunas y gestionadas. Nivel 5: Alertas optimizadas y automatizadas.

24

¿Existe un plan formal de respuesta a incidentes?* This field is required.Nivel 1: No existe plan de respuesta. Nivel 2: Plan informal o incompleto. Nivel 3: Plan documentado básico. Nivel 4: Plan formal y aplicado. Nivel 5: Plan probado y optimizado.

25

¿Se gestionan y priorizan los incidentes de seguridad?* This field is required.Nivel 1: No se gestionan incidentes. Nivel 2: Gestión informal. Nivel 3: Gestión básica con priorización limitada. Nivel 4: Gestión estructurada y priorizada. Nivel 5: Gestión optimizada basada en riesgo.

26

¿Se comunican los incidentes a las partes interesadas?* This field is required.Nivel 1: No se comunican incidentes. Nivel 2: Comunicación informal. Nivel 3: Comunicación básica definida. Nivel 4: Comunicación estructurada y oportuna. Nivel 5: Comunicación optimizada y coordinada.

27

¿Se aplican medidas de contención y mitigación efectivas?* This field is required.Nivel 1: No se aplican medidas. Nivel 2: Medidas reactivas básicas. Nivel 3: Medidas definidas parcialmente. Nivel 4: Medidas efectivas y estructuradas. Nivel 5: Medidas optimizadas y mejoradas continuamente.

28

¿Se documentan y analizan los incidentes para mejora?* This field is required.Nivel 1: No se documentan incidentes. Nivel 2: Documentación básica. Nivel 3: Análisis parcial de incidentes. Nivel 4: Documentación y análisis estructurado. Nivel 5: Mejora continua basada en incidentes.

29

¿Existe un plan de recuperación ante incidentes o desastres?* This field is required.Nivel 1: No existe plan de recuperación. Nivel 2: Plan básico o incompleto. Nivel 3: Plan documentado. Nivel 4: Plan probado y aplicado. Nivel 5: Plan optimizado continuamente.

30

¿Se realizan respaldos periódicos de la información?* This field is required.Nivel 1: No se realizan respaldos. Nivel 2: Respaldos ocasionales. Nivel 3: Respaldos periódicos definidos. Nivel 4: Respaldos automatizados y gestionados. Nivel 5: Respaldos optimizados y verificados continuamente.

31

¿Se prueban los planes de recuperación regularmente?* This field is required.Nivel 1: No se prueban planes. Nivel 2: Pruebas ocasionales. Nivel 3: Pruebas periódicas básicas. Nivel 4: Pruebas estructuradas y documentadas. Nivel 5: Pruebas continuas con mejora.

32

¿Se restauran sistemas de manera oportuna tras incidentes?* This field is required.Nivel 1: No se restauran sistemas adecuadamente. Nivel 2: Restauración lenta o manual. Nivel 3: Restauración definida parcialmente. Nivel 4: Restauración oportuna y efectiva. Nivel 5: Restauración optimizada y automatizada.

33

¿Se implementan mejoras después de incidentes?* This field is required.Nivel 1: No se implementan mejoras. Nivel 2: Mejoras ocasionales. Nivel 3: Mejoras definidas parcialmente. Nivel 4: Mejora continua estructurada. Nivel 5: Mejora optimizada basada en análisis.

34

Score GOVERN

35

Score IDENTIFY

36

Score PROTECT

37

Score DETECT

38

Score RESPOND

39

Score RECOVER

40

Score GLOBAL

41

Inicial

42

Básico / Gestionado

43

Definido

44

Gestionado y Medido

45

Optimizado

46

Gestionado y Medido

47

Optimizado

48

Maturity Level