La Agencia de la Unión Europea para la Ciberseguridad (en adelante, “ENISA”, por sus siglas en inglés) ha publicado un Manual titulado Handbook for Cyber Stress Tests (Manual para Pruebas de Ciberestrés). El documento ofrece un enfoque estructurado para que las autoridades nacionales evalúen la capacidad de respuesta y recuperación de las entidades que operan en sectores críticos frente a incidentes de ciberseguridad.
El objetivo principal del Manual de ENISA es proporcionar una guía práctica para la realización de pruebas de ciberestrés, consistentes en evaluar de forma específica la resiliencia operativa de organizaciones ante escenarios plausibles de cibercrisis. El Manual pretende proporcionar a las organizaciones un enfoque alineado con los requisitos de normativas como NIS2, DORA o la Directiva CER.
Algunas cuestiones de interés del Manual son:
- Enfoque basado en escenarios de riesgo: El Manual define las pruebas de ciberestrés y las diferencia de conceptos como las pruebas de penetración o simulaciones. Las pruebas de ciberestrés se centran en evaluar cómo una organización puede resistir y recuperarse ante incidentes críticos, mediante escenarios hipotéticos, pero realistas, lo que permite identificar debilidades.
- El Manual ofrece un método estructurado para ejecutar las pruebas de ciberestrés, distinguiendo cinco etapas diferentes: (I) Definición del alcance y los objetivos de la prueba; (II) Diseño de la prueba y selección de escenarios; (III) Ejecución (principalmente a través de cuestionarios técnicos); (IV) Análisis de resultados e identificación de brechas (V) Seguimiento y remediación de los problemas detectados.
- La ENISA subraya que este tipo de prueba está pensada como un complemento a otras herramientas de supervisión y control, que puede facilitar el diálogo entre autoridades y sectores regulados, y fomentar un entorno colaborativo en materia de ciberseguridad.
