Definición y propósito

El Marco de Cumplimiento de Seguridad IoTSF proporciona un conjunto completo de pautas de seguridad y privacidad para ayudar en la creación responsable de productos y servicios IoT. Está diseñado para ser escalable, permitiendo su implementación en varios sectores y en organizaciones de diferentes tamaños. El propósito principal del marco es abordar los desafíos de seguridad asociados con el paisaje IoT en constante crecimiento y evolución.

Órgano de Gobierno

El marco es gobernado y publicado por la Fundación de Seguridad de Internet de las Cosas (IoTSF).

Última actualización

El Marco de Cumplimiento de Seguridad IoTSF se actualizó por última vez en diciembre de 2018.

Aplicable a

El Marco de Cumplimiento de Seguridad IoTSF está diseñado para ser versátil y se aplica a todas las industrias que utilizan tecnologías IoT. Esto incluye, pero no se limita a, la manufactura, atención médica, transporte, ciudades inteligentes y electrónica de consumo.

Controles y requisitos

Los controles y requisitos exactos pueden variar según la versión y los documentos específicos. En términos generales, las pautas del IoTSF abarcan:

• Gobernanza - incluida la evaluación de riesgos, la cultura de seguridad y las colaboraciones con terceros.
• Ciclo de vida seguro del producto - incorporando seguridad en todas las etapas, desde el diseño, el desarrollo, hasta la desmantelación.
• Ciclo de vida de desarrollo de software seguro (SDLC) - metodologías para garantizar la robustez del software.
• Dispositivo seguro - protecciones de hardware, software y datos.
• Servicios para el usuario final - asegurando la privacidad y seguridad del usuario.
• Resiliencia operativa - incluyendo la respuesta a incidentes y la notificación de vulnerabilidades.

Por favor, consulte la documentación oficial de la Revisión 2 del Marco de Cumplimiento de Seguridad IoT para una lista detallada de controles y requisitos.

Tipo de auditoría, frecuencia y duración

El marco sugiere tanto autoevaluaciones como auditorías de terceros dependiendo del perfil de riesgo y el tamaño de la organización. La frecuencia de la auditoría suele estar basada en el riesgo y puede depender de la criticidad del sistema IoT, su entorno y cualquier requisito regulatorio. Los ambientes de alto riesgo pueden necesitar auditorías más frecuentes.

La duración depende en gran medida del tamaño y la complejidad del sistema IoT que se audita y del alcance de la auditoría.