Evitando conceptos erróneos comunes en terminología de ciberseguridad

Las palabras son difíciles. El inglés es difícil. Cómo logramos comunicar algo es casi un milagro.

A veces desearía ser Oscar Wilde o Mark Twain o cualquiera de los otros grandes autores que parecen poder describir sin esfuerzo un personaje o escenario para que el lector pueda imaginar perfectamente lo que quieren decir.

En su lugar, temo ser más como Shakespeare, quien inventaba palabras y retorcía otras para ajustarlas a su metro insano, de modo que personas promedio como yo luchamos por entender los significados intencionales (incidentalmente, amo a Shakespeare).

Desafortunadamente, mi campo elegido parece lleno de compañeros shakespeareanos: personas que usan palabras lanzando sopa de alfabeto contra una pared y leyendo los resultados como se leen hojas de té, solo que con menos precisión.

¿Qué significa realmente eso?

Cuando creé la base de datos de términos de ciberseguridad, que es la columna vertebral del Glosario de Ciberseguridad de NIST, me sorprendió cuánta confusión había incluso sobre términos ubicuos como «riesgo» y «seguridad». ¡Todavía no hay consenso real sobre lo que significa la palabra «ciberseguridad»!

Así que he compilado una lista de algunos términos comúnmente mal utilizados en el campo de la ciberseguridad (estas son descripciones no oficiales destinadas a ser informativas):

Datos vs. Información vs. Conocimiento

Datos generalmente se considera los bits y bytes que componen la información. Información convierte múltiples bits y bytes en algo útil. Por ejemplo, un sensor de temperatura puede leer «102», pero la información nos dice que son 102 grados Fahrenheit en un sensor de temperatura que estaba en la boca de un humano. Conocimiento es lo que permite a la información convertirse en acción. Dice que 102 grados Fahrenheit para un ser humano es demasiado alto. Las líneas entre datos, información y conocimiento son borrosas, pero hay quienes defienden esas líneas ferozmente.

Amenaza vs. Riesgo

Una amenaza se usa para significar algo malo que podría pasar o una entidad que podría causar que algo malo pase (también llamado «actor de amenaza»). Riesgo incluye la probabilidad de que lo malo pueda pasar y el/los resultado(s) potencial(es). A menudo la gente usa (incorrectamente) estas palabras indistintamente.

Gestión de riesgos

El proceso de responder al potencial de que algo malo pueda pasar. Generalmente hay cuatro opciones: aceptar el riesgo, transferirlo, evitarlo o mitigarlo. Dependiendo de con quién hables, hay al menos ocho opciones, pero estas son las cuatro tradicionales. Cuando un profesional de ciberseguridad habla de gestión de riesgos, puede referirse al proceso descrito en el Marco de Gestión de Riesgos.

Ciberseguridad

Básicamente, la protección de sistemas informáticos (incluyendo redes, internet y cualquier cosa «inteligente»). Sin embargo, se ha usado como término paraguas que también abarca aseguramiento de información, protección de datos y privacidad. Este término probablemente seguirá cambiando hasta que alguien pueda explicar adecuadamente qué es «ciber».

Aseguramiento de información (o seguridad)

La protección de cualquier hecho, noticia, conocimiento, o a veces datos, en cualquier forma —papel, electrónico, tableta de piedra, señales, memorizado, etc. A menudo confundido con y puesto bajo el paraguas de la ciberseguridad.

Estándar

Mucha gente nombra incorrectamente las publicaciones especiales de NIST como estándares, pero es un poco más complicado. NIST desarrolla estándares formales —Estándares Federales de Procesamiento de Información (FIPS), como FIPS 200 y FIPS 140-3, por ejemplo. NIST también participa en el desarrollo de estándares industriales e internacionales. La palabra estándar también puede usarse para significar un nivel de calidad o una norma aceptada. En este último caso, las publicaciones de NIST a menudo se usan como estándar. Es una diferencia sutil, pero importante. Aun así, en general, es mejor evitar llamar a las publicaciones especiales de NIST (SPs), informes internos/interagencias (IRs), documentos técnicos, o cualquier cosa que no sea un FIPS un estándar y en su lugar usar los términos «publicación», «documento» u «orientación».

Requisitos vs. Controles

Ambos términos pueden usarse para identificar actividades, procesos, prácticas o capacidades específicas que una organización puede tener o hacer para gestionar su riesgo de ciberseguridad. Los controles pueden o no ser obligatorios, mientras que los requisitos generalmente lo son. Siempre es mejor verificar qué término usa un documento. Por ejemplo, mucha gente se refiere a los requisitos de NIST SP 800-171 como controles, lo cual es incorrecto.

Auditoría vs. Evaluación

En ciberseguridad, el término auditoría a menudo tiene un matiz más formal y negativo que en otras disciplinas. Las auditorías se hacen después de un incidente como una filtración de datos (generalmente una auditoría interna), a petición de un cliente (usualmente una auditoría externa realizada por el cliente), o para obtener una certificación (una auditoría de terceros). Las evaluaciones son típicamente, pero no siempre, más como un chequeo de salud amigable. Abarcando cualquier número de actividades, las evaluaciones pueden ser estrechas o amplias, con tanto rigor como la empresa evaluada desee, o sea apropiado para la situación. Una excepción a esta regla general es en el programa de Certificación del Modelo de Madurez de Ciberseguridad (CMMC), que usa la palabra evaluación como el método formal por el cual se evalúa una empresa.

Cumplimiento

El cumplimiento típicamente se refiere a cumplir un requisito (interno o externo, a veces regulatorio) y a menudo se muestra con una certificación o atestación de algún tipo. La gente a menudo usa frases como «cumplimiento NIST». Esto puede ser engañoso ya que muchos lo interpretan como que NIST está aplicando un requisito o certificando o atestiguando la seguridad de los productos o procesos de una empresa. Lo que típicamente se quiere decir con «cumplimiento NIST» es que la empresa ha usado las prácticas y procedimientos en publicaciones de NIST, a menudo para cumplir algún requisito. Aunque esto puede verse como una actividad de cumplimiento, generalmente es mejor evitar la confusión declarando qué regla o requisito es el sujeto del cumplimiento. Por ejemplo, se puede seguir NIST SP 800-171 para cumplir con DFARS. Una excepción es con algoritmos y módulos criptográficos, en cuyo caso la terminología correcta es validado y cumplimiento indica que el producto en general no ha sido evaluado formalmente.

Las palabras en inglés evolucionan casi tan rápido como los memes en internet —un millón de shakespeareanos llevando el idioma inglés al matadero para ser masacrado, manipulado y doblado en guiones apenas reconocibles. En el campo de la ciberseguridad, parece que esto se hace con abandono imprudente. Pero entender algunos de estos términos clave y cómo se usan ayudará a entender y comunicar sus necesidades de ciberseguridad.