NIST SP 800-37 Rev. 2

Finalidad, alcance y autoridad

RMF conecta decisiones organizativas con sistemas y controles comunes. Sus siete pasos pueden repetirse e interactuar. Integra seguridad y privacidad. Su contexto federal no convierte sus obligaciones en universales para cualquier país, entidad o sistema de seguridad nacional. [1]

Principios y lógica operativa [1]

1. Prepare · Preparar

Fijar roles, estrategia, prioridades, límites del sistema, controles comunes y restricciones. Evitar que los equipos partan de supuestos incompatibles.

2. Categorize · Categorizar

Determinar impacto según el método aplicable y documentar tipos de información y razonamiento. Categorizar consecuencias no equivale a contar vulnerabilidades.

3. Select · Seleccionar

Elegir y adaptar controles a la base aplicable. Definir parámetros, responsabilidades, herencia y seguimiento. Justificar controles comunes, específicos e híbridos.

4. Implement · Implementar

Poner controles en funcionamiento y describir su implementación real y desviaciones. El diseño previsto no basta como evidencia.

5. Assess · Evaluar

Comprobar implementación, funcionamiento y resultados. Planificar evaluación, reunir pruebas, comunicar deficiencias y determinar la independencia necesaria del evaluador.

6. Authorize · Autorizar

Entregar información de riesgo a la autoridad competente para decidir, con condiciones cuando proceda. Evaluar controles no convierte automáticamente al evaluador en propietario del riesgo.

7. Monitor · Supervisar

Seguir cambios, controles y deficiencias; actualizar planes y autorización. Un cambio importante puede invalidar supuestos anteriores.

Aplicación · recomendaciones editoriales

Empezar por autoridad y límites del sistema. Mantener trazabilidad desde categorización hasta decisión residual. La herencia de controles debe probarse. Revisar ante cambios relevantes de misión, arquitectura, amenaza o eficacia.

Pruebas para el CISO · expediente propuesto

Proponemos planes de seguridad y privacidad, resultados de evaluación, hallazgos pendientes, plan de acciones e hitos y condiciones de autorización. Asignar responsables y fechas. En identidad externalizada, separar funciones del proveedor y obligaciones propias de administración y respuesta.

Errores frecuentes y límites

No convertir RMF en documentación al final del proyecto, autorización permanente o aceptación automática de certificados del proveedor. Los pasos oficiales detallan entradas, resultados y responsabilidades adicionales.

Fuentes oficiales y ruta de lectura

Apartados que consultar en la fuente: Chapter 3; Appendices D–F.

1. NIST SP 800-37 Rev. 2 · 2018-12 · Risk Management Framework