NIST CSF Informed by Drata: convierta los resultados de sus controles en exposición financiera
Introducción
De las evidencias de los controles a la exposición financiera.
Conecte X-Analytics a Drata y este agente convierte los resultados de sus controles en un perfil de marco informado por Drata y en una lista priorizada de acciones, cada una con la exposición que reduce.
Bob Vescio, director de Innovación de X-Analytics, muestra paso a paso el agente NIST CSF Informed by Drata del X-Analytics AI Toolbox.
Qué hace
El agente NIST CSF Informed by Drata es un agente de IA del X-Analytics AI Toolbox que lee sus resultados del Drata Control Framework, los utiliza para informar su perfil de NIST CSF 2.0 o CIS CSC 8.1 y devuelve su exposición al riesgo cibernético en términos financieros, junto con una lista priorizada de acciones.
El resultado es una línea directa desde las evidencias de controles que usted ya genera hasta la exposición financiera que representan y las acciones que la reducen.
Funciona con una conexión a Drata, que se configura una sola vez (nuestra guía de configuración explica los cuatro pasos). Como Drata confirma la implementación de los controles en lugar de medir su rendimiento, informa la eficacia de sus controles hasta un límite máximo definido, y el agente indica con claridad dónde se sitúa ese límite.
Cómo funciona
- Seleccione su espacio de trabajo. El agente le pregunta qué espacio de trabajo de Drata debe leer. Los equipos suelen tener varios, separados por unidad de negocio o por alcance de auditoría. Usted elige el que representa la entidad que su perfil mide.
- Observe cómo avanza la alineación. El agente recorre el marco subcontrol por subcontrol y alinea cada uno con los DCF que le corresponden. En la ejecución de CIS, 1.1 se alinea con DCF 20, 1.2 con DCF 182, y así sucesivamente hasta completar los 18 controles.
- Revise, sobrescriba y confirme. El agente coloca cada valor informado por Drata junto al que tiene hoy su perfil, para que vea todas las diferencias antes de que cambie nada. Sobrescriba los valores donde sus propias evidencias indiquen otra cosa y, después, apruebe.
Hay una decisión de diseño que conviene entender, porque es el punto en el que se encuentran las evidencias de cumplimiento y la medición del riesgo. Drata responde a una pregunta precisa de forma continua y con evidencias: ¿está implementado este control? La eficacia de los controles responde a una pregunta más amplia, que tiene en cuenta lo bien que funciona un control, la constancia con la que se mantiene y qué parte de la cadena de ataque cubre.
| Estado de implementación de los controles | Eficacia de los controles | |
|---|---|---|
| Pregunta que responde | ¿El control está implementado? | ¿Cuánto riesgo reduce el control? |
| Evidencias en las que se basa | Supervisión continua, respaldada por evidencias | Evidencias de implementación, además de resultados de pruebas, cobertura e historial operativo |
| Cómo se expresa | Listo o no presente | Un porcentaje en una escala uniforme |
| Para qué sirve | Preparación para auditorías y cobertura de controles | Exposición financiera y acciones priorizadas |
| De dónde procede | Drata | X-Analytics, informado por Drata |
Por eso, el agente limita al 60 % todos los valores informados por Drata. Un DCF listo otorga a su control un reconocimiento considerable, y el 40 % restante queda disponible para las evidencias que solo usted tiene: sus resultados de pruebas, su cobertura en todos los activos y su historial operativo. Su exposición refleja lo que respaldan las evidencias, y nada más.
Lo que obtiene
- Su exposición en términos financieros. La eficacia de los controles sirve de base para la exposición a pérdidas anualizada, de modo que su trabajo de cumplimiento y su cifra de exposición apuntan a lo mismo.
- Acciones priorizadas. Acciones candidatas sobre los controles, ordenadas según la exposición que reduce cada una. Así se responde a la pregunta que las listas por severidad dejan abierta: de todo lo que tiene delante, qué acción rinde más.
- Una conversación con el consejo en términos de negocio. Llega con el beneficio financiero del trabajo que su equipo ya realizó, medido con evidencias que su auditor acepta. Cuando alguien cuestione una cifra, puede indicar qué parte procede de evidencias continuas y qué parte de su propia evaluación.
- Acciones de vuelta en Drata. Las acciones priorizadas que reducen el riesgo vuelven a Drata como tareas, de modo que el trabajo que más exposición elimina llega al lugar donde su equipo ya gestiona el trabajo de cumplimiento.
Preguntas frecuentes
¿Qué es el agente NIST CSF Informed by Drata de X-Analytics?
Es un agente de IA del X-Analytics AI Toolbox que lee sus resultados del Drata Control Framework, los utiliza para informar su perfil de NIST CSF 2.0 o CIS CSC 8.1 y devuelve su exposición al riesgo cibernético en términos financieros, junto con una lista priorizada de acciones.
¿Funciona tanto con NIST CSF 2.0 como con CIS CSC 8.1?
Sí. Cada marco tiene su propio agente, y ambos leen la misma conexión a Drata, por lo que una sola configuración sirve para cualquiera de los dos perfiles.
¿Qué necesito para usarlo?
Una conexión entre Drata y X-Analytics, y al menos un perfil de X-Analytics configurado.
¿Por qué los valores informados por Drata tienen un límite máximo del 60 %?
Porque las evidencias de implementación respaldan una parte de la valoración de la eficacia y sus propias evidencias respaldan el resto. Un DCF listo confirma que un control está implementado; lo bien que funciona y con qué constancia es otra cuestión. Limitar el valor informado mantiene su exposición dentro de lo que respaldan las evidencias y deja margen para lo que usted sabe.
¿Puedo sobrescribir lo que informa Drata?
Sí, en cualquier subcontrol y en ambos sentidos. Tome como ejemplo CIS 18.5: su perfil tiene un 23 %, Drata informa un 60 % y sus pruebas de penetración del último trimestre sitúan la respuesta honesta más cerca del 43 %. Usted introduce 43 y ese valor informa su perfil. Si opera un control por encima de lo que las evidencias de implementación pueden mostrar por sí solas, lo que hace es subir el valor.
¿Sustituye a Drata o a mi programa de GRC actual?
Ambos se mantienen. Drata sigue siendo su sistema de supervisión continua de controles y de evidencias, y sus flujos de trabajo de GRC continúan como hasta ahora. X-Analytics lee los resultados de controles que usted ya genera. Sin reemplazar nada.
¿Qué datos de Drata lee X-Analytics?
Cuatro permisos de solo lectura: drata_workspaces_list, drata_frameworks_list, drata_controls_list y drata_controls_get. El agente lee los nombres de los espacios de trabajo, las definiciones de los marcos y los resultados del Drata Control Framework. Usted define el alcance al crear la clave de API.
¿Puede el agente actualizar mi perfil sin mi aprobación?
Todas las herramientas de IA de Drata en X-Analytics mantienen la intervención humana (human-in-the-loop). El agente presenta cada valor informado por Drata y su diferencia, y su perfil solo cambia cuando usted lo autoriza.
¿Con qué frecuencia debo ejecutarlo?
Siempre que cambie su postura de controles: después de un sprint de remediación, antes de un ciclo del consejo o de auditoría, o cada mes. Drata actualiza el estado de los controles de forma continua, por lo que una nueva ejecución refleja su programa tal como está ese día.
Vea el recorrido completo
El video anterior muestra paso a paso cómo seleccionar un espacio de trabajo, revisar los valores informados por Drata frente a su perfil actual, sobrescribirlos donde sus propias evidencias indiquen otra cosa y confirmar el resultado.
Conectar Drata requiere cuatro pasos, que se explican en nuestra guía de configuración. El Partner POV de Drata explica por qué ambas empresas lo desarrollaron conjuntamente.
¿Preguntas sobre el agente? Comuníquese con su equipo de Éxito del Cliente de X-Analytics en customersuccess@x-analytics.com.