Marco
NIST Cybersecurity Framework 2.0
Estructura ejecutiva para gobernanza, resultados de ciberseguridad y prioridades de inversión.
En esta página
Finalidad, alcance y autoridad
CSF permite describir resultados y comunicar brechas. No prescribe configuraciones ni constituye una certificación. Core, perfiles y niveles tienen funciones diferentes. Su adopción contractual o normativa puede generar obligaciones; utilizarlo no demuestra cumplimiento. [1]
Principios y lógica operativa [1]
1. Govern · Gobernar
Definir contexto, estrategia de riesgo, responsabilidades, política, supervisión y riesgo de proveedores. Establecer quién acepta el riesgo. La gobernanza orienta todas las funciones, no termina al comenzar las operaciones.
2. Identify · Identificar
Comprender activos, riesgos y mejoras. Incluir servicios, información y dependencias. Relacionar pérdida de confidencialidad, integridad o disponibilidad con consecuencias operativas.
3. Protect · Proteger
Gestionar identidades, permisos, formación, datos, plataformas y resiliencia. Seleccionar salvaguardas según escenarios relevantes. Comprar una herramienta no demuestra que el resultado se haya alcanzado.
4. Detect · Detectar
Supervisar actividad y analizar eventos adversos. Definir pruebas para declarar incidentes, correlacionar fuentes y reconocer carencias de visibilidad. Más alertas no equivalen a mejor detección.
5. Respond · Responder
Gestionar, investigar, comunicar y mitigar. Asignar autoridad y coordinar actores internos y externos. Considerar consecuencias de la contención y canales posiblemente comprometidos.
6. Recover · Recuperar
Ejecutar y verificar la recuperación, comunicando avances. Restablecer disponibilidad y confiar en los datos restaurados requieren comprobaciones distintas.
Aplicación · recomendaciones editoriales
Crear perfiles actual y objetivo para un servicio delimitado. Priorizar brechas, asignar recursos y actualizar con nuevas pruebas. Los niveles Partial, Risk Informed, Repeatable y Adaptive describen rigor de gestión; no son una puntuación automática ni una obligación universal de alcanzar el máximo.
Pruebas para el CISO · expediente propuesto
Proponemos un expediente con alcance, resultados actuales y deseados, pruebas, brechas priorizadas, responsables, inversiones y criterios de revisión. Preguntar qué consecuencia reduce cada inversión. En un servicio hipotético de comunicaciones, ensayar recuperación puede ser prioritario frente a comprar otra herramienta.
Errores frecuentes y límites
Evitar una secuencia rígida entre funciones, equiparar mapeos con equivalencia de controles o declarar certificación. Consultar el Core para cada categoría y subcategoría: esta guía explica su lógica de gestión, no sustituye todos los resultados oficiales.
Fuentes oficiales y ruta de lectura
Apartados que consultar en la fuente: Sections 1–5; Appendices A–B.
Comentario de estudio original, no reproducción íntegra. Consulte la fuente para cada requisito, ampliación, condición y excepción. La aplicabilidad depende de la organización y de sus obligaciones.