🛡️

Gestión de Riesgos de Ciberseguridad & NIST CSF

Análisis de Vulnerabilidades, MITRE ATT&CK y Cyber Kill Chain por Áreas

1
Ficha Técnica de Ciberseguridad y Análisis de Vulnerabilidades

Identificación de la organización, RUC, sede evaluada, marco de referencia (NIST CSF / SP 800-30) y CISO responsable.

2
Criterios de Evaluación: NIST SP 800-30, MITRE ATT&CK y Cyber Kill Chain

Taxonomía estándar para correlacionar vulnerabilidades técnicas con fases de intrusión y severidad.

Correlación con Fases de Cyber Kill Chain (Lockheed Martin)

Fase Kill Chain Táctica MITRE ATT&CK Descripción Operativa del Riesgo de Ciberseguridad
1. ReconnaissanceReconnaissance (TA0043)Recolección de información pública, escaneos de puertos y descubrimiento de activos expuestos.
2. DeliveryInitial Access (TA0001)Vector de entrega de malware o phishing (ej. correos maliciosos a empleados).
3. ExploitationExecution (TA0002) / ExploitExplotación de vulnerabilidades no parcheadas en servidores web o servicios expuestos.
4. InstallationPersistence (TA0003) / Priv. Esc.Instalación de backdoors, escalamiento de privilegios y persistencia en el dominio.
5. Actions on ObjectivesExfiltration (TA0010) / ImpactCifrado masivo para ransomware, exfiltración de bases de datos o sabotaje operativo.
BAJO (1 - 4)RIESGO TÉCNICO BAJO
Vulnerabilidad de baja explotabilidad o impacto menor en la confidencialidad. Se corrige en ciclo regular de parches.
MEDIO (5 - 9)RIESGO TÉCNICO MEDIO
Requiere condiciones específicas de acceso. Requiere remediación en el corto plazo.
ALTO (10 - 15)RIESGO TÉCNICO ALTO
Vulnerabilidad explotable remotamente que compromete un segmento de red o datos internos sensibles.
CRÍTICO (16 - 25)RIESGO CRÍTICO (RCE / RANSOMWARE)
Ejecución remota de código (RCE) sin autenticación o compromiso total del dominio (Active Directory). Mitigación inmediata requerida.
3
Inventario y Segmentación por Áreas Tecnológicas / Perímetros

División de la infraestructura en dominios de seguridad (Redes, DevSecOps, Endpoints, Cloud).

Cód. Área / Dominio Tecnológico Criticidad NIST Responsable Descripción de Activos y Sistemas Incluidos Acción
4
Matriz de Riesgos de Ciberseguridad (MITRE ATT&CK & Kill Chain)

Evaluación de amenazas cibernéticas mapeadas a fases de ataque y cálculo de riesgo inherente.

Cód. Área Afectada Fase Kill Chain / MITRE Amenaza y Vulnerabilidad Técnica Prob. Imp. Riesgo Controles Técnicos Actuales Acción
5
Plan de Tratamiento y Controles de Mitigación (NIST CSF)

Estrategias de contramedidas técnicas (Hardening, EDR, MFA, WAF, SIEM) y cálculo de riesgo residual.

Cód. Tratamiento Acciones Técnicas de Ciberseguridad a Implementar Responsable Plazo Prob (Res) Imp (Res) Riesgo Residual
6
Registro de Hallazgos y Vulnerabilidades Detectadas (CVSS 3.1)

Reporte técnico estructurado con código CVE, puntuación CVSS 3.1 y listas desplegables normalizadas.

8
Cuantificación Financiera del Riesgo Cibernético (ALE / SLE)

Estimación monetaria de brechas de datos, multas regulatorias y costos de interrupción de negocio.

Pérdida Anual Esperada (ALE Total)
$ 0.00
Inversión en Controles de Ciber
$ 0.00
Exposición Financiera Neta
$ 0.00
Cód. Riesgo / Incidente Asociado Pérdida por Incidente (SLE) Frecuencia Anual (ARO) Pérdida Anual (ALE) Costo de Solución / Herramienta Justificación Financiera y Retorno (ROI)
7
Resumen Ejecutivo de Ciberseguridad, Mapa 5x5 y Firmas

Consolidado general de riesgos de ciberseguridad para la toma de decisiones gerenciales.

BAJO
0
MEDIO
0
ALTO
0
CRÍTICO
0
TOTAL RIESGOS
0

Mapa de Calor: Matriz de Ciberseguridad 5x5

Ubicación visual de los riesgos de ciberseguridad según su probabilidad e impacto en el negocio.

Probabilidad \ Impacto 1 - Insignificante 2 - Menor 3 - Moderado 4 - Mayor 5 - Crítico
Elaborado por (Auditor / Red Teamer)
(Firma / Sello)
Nombre del Auditor Líder
Especialista en Ciberseguridad / OSCP
Aprobado por (Gerencia / CISO)
(Firma / Sello)
Nombre del CISO / Gerente General
Director de Seguridad de la Información