Formulario de madurez contra el ransomware

¿Se realiza una copia de seguridad diaria de  los sistemas y datos importantes en una ubicación externa con la capacidad de restaurar varias versiones al menos 30 días?

¿Las copias de seguridad de datos  se prueban anualmente?

¿Se bloquea  el contenido web malicioso  mediante el filtrado de DNS  a través de métodos como solucionadores de  DNS  y firewalls de DNS?

¿Se gestionan los ajustes de seguridad del navegador web?

¿Se realizan ejercicios teóricos anuales que incluyen escenarios de respuesta al phishing?

¿Los usuarios están capacitados para reconocer amenazas cibernéticas como el phishing?

¿Se filtra el correo electrónico para protegerlo contra contenido malicioso?

¿Se monitorea el tráfico de la red perimetral?

¿Se monitorea el tráfico de la red interna?

¿Las redes están segmentadas para proteger los activos de misión crítica?

¿Ha establecido la organización una línea base de tráfico de red y se utiliza para identificar actividad anómala?

¿Se han inventariado los activos de hardware y software de la organización y se gestiona el inventario?

¿La organización ha eliminado todo el hardware y software no compatible de su entorno operativo?

¿La organización detecta hardware no autorizado y alerta a las partes interesadas clave?

¿La organización pone en cuarentena y/o elimina todo el hardware no autorizado?

¿Se utilizan configuraciones seguras documentadas y aprobadas para administrar los activos de hardware y software de la organización?

¿Se utilizan imágenes de referencia estándar para controlar las configuraciones de hardware y software?

¿La organización administra las configuraciones del sistema utilizando guías de fortalecimiento de la seguridad?

¿Todo el software de cara al público tiene parches para vulnerabilidades dentro de los 15 días para las vulnerabilidades calificadas como «Críticas» y 30 días para las vulnerabilidades calificadas como «Altas»?

¿Todo el software interno y los firewalls están parcheados para detectar vulnerabilidades dentro de los 30 días, tanto para las vulnerabilidades clasificadas como «Críticas» como para las clasificadas como «Altas»?

¿Todo el software y los cortafuegos tienen parches para las vulnerabilidades en un plazo de 15 días para las vulnerabilidades calificadas como «Críticas» y de 30 días para las vulnerabilidades calificadas como «Altas»?

¿Todo el software y los firewalls están parcheados para las vulnerabilidades dentro de los 3 días para las vulnerabilidades calificadas como «Críticas» y 7 días para las vulnerabilidades calificadas como «Altas»?

¿Se implementan contraseñas seguras y únicas en toda la organización?

¿Se implementa la autenticación de dos factores para todos los usuarios privilegiados (por ejemplo, administradores de sistemas) y remotos?

¿Se implementa la autenticación de dos factores para todos los usuarios?

¿Se aplica el principio de privilegio mínimo a través de políticas y procedimientos?

¿Se aplica el privilegio mínimo a través de restricciones técnicas (basadas en la tecnología)?

¿Se mantienen registros de auditoría para todas las cuentas privilegiadas (por ejemplo, administrador del sistema)?

¿Se lleva a cabo capacitación en seguridad basada en roles?

¿Se está detectando hardware no autorizado?

¿Se les aconseja a los usuarios que intentan instalar hardware no autorizado que no instalen hardware no autorizado?

¿Existe una lista de software defectuoso conocido (una «Lista de bloqueo») y el software de esa lista está bloqueado?

¿La organización ha documentado una lista de software aprobado conocido (una «Lista de permitidos»)?

¿La lista de permitidos está organizada por editor de software y se usa para permitir que solo el software aprobado se ejecute en los sistemas de la organización?

¿Ha documentado la organización una lista de software aprobado conocido (una lista de permitidos) organizada por editor de software y número de versión, y se usa esa lista para permitir que solo el software aprobado se ejecute en los sistemas de la organización?

¿La organización ha desarrollado un plan de respuesta a incidentes?

¿Se informan los incidentes de seguridad cibernética y se escalan a las partes interesadas apropiadas?

¿Se han desarrollado procedimientos de recuperación ante desastres?

¿La organización realiza ejercicios de simulación anuales de respuesta a incidentes que incluyen escenarios de respuesta al ransomware?

¿Se realizan ejercicios de simulación de respuesta a incidentes al menos dos veces al año?

¿Se realiza un ejercicio de respuesta a incidentes físicos al menos una vez al año?

¿Se realizan ejercicios de respuesta a incidentes físicos al menos dos veces al año?

¿La organización ha implementado sistemas redundantes donde sea apropiado para el propósito de resiliencia?

¿Se han implementado sistemas y datos redundantes y resilientes en toda la organización?

¿La organización realiza evaluaciones de impacto empresarial?

¿La organización ha definido criterios y tolerancias de riesgo organizacional?

¿La organización considera la herencia de riesgos y la exposición entre sus diversos sistemas interconectados?

¿La organización aplica el análisis de riesgo cuantitativo a las actividades de remediación?