Marco de Ciberseguridad del NIST 2.0: Qué exige y cómo implementarlo

El Marco de Ciberseguridad del NIST (NIST CSF) es el estándar voluntario de ciberseguridad más referenciado en el mundo, utilizado por organizaciones de todos los sectores para estructurar la gestión del riesgo de ciberseguridad. En febrero de 2024, el NIST publicó CSF 2.0, la primera revisión importante del marco desde su publicación original en 2014, que añade una sexta función principal y amplía la aplicabilidad del marco mucho más allá de su enfoque original en infraestructuras críticas.

Esta guía explica qué exige realmente NIST CSF 2.0 en sus seis funciones, qué cambió respecto al marco original y cómo lo implementan las organizaciones en la práctica, ya sea que estén construyendo un programa de ciberseguridad desde cero o actualizando una implementación existente de CSF 1.1.

Resumen ejecutivo

Idea principal: NIST CSF 2.0 organiza la gestión del riesgo de ciberseguridad en torno a seis funciones —Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar— y ofrece un enfoque estructurado y basado en riesgos aplicable a organizaciones de cualquier tamaño o sector. Es voluntario y no constituye una regulación en sí mismo, pero subyace o se corresponde directamente con CMMC, FedRAMP, los requisitos de la Regla de Seguridad de HIPAA y la mayoría de los marcos de cumplimiento específicos de cada sector.

Por qué debería importarte: La incorporación más significativa de CSF 2.0 —la función Gobernar— refleja un cambio en cómo los reguladores y auditores evalúan los programas de ciberseguridad: ya no basta con verificar que existan controles técnicos, sino comprobar si la gestión del riesgo de ciberseguridad está realmente integrada en la toma de decisiones organizacional y bajo la supervisión del liderazgo. Las organizaciones que aún operan bajo la estructura de cinco funciones de CSF 1.1 están pasando por alto la expectativa de gobernanza que CSF 2.0 hizo explícita, una expectativa que aparece cada vez más en cuestionarios de seguridad para proveedores, en la suscripción de seguros cibernéticos y en los informes de riesgo a nivel de directorio.

Puntos clave

1. CSF 2.0 añadió una sexta función: Gobernar. El marco original de 2014 organizaba la gestión del riesgo de ciberseguridad en torno a cinco funciones: Identificar, Proteger, Detectar, Responder y Recuperar. CSF 2.0, publicado en febrero de 2024, añadió Gobernar como una sexta función fundamental, estableciendo que la estrategia, los roles, las políticas y la supervisión de la gestión del riesgo de ciberseguridad deben definirse explícitamente e integrarse en la gestión de riesgos empresariales, en lugar de simplemente asumir que existen junto a las otras cinco funciones.
2. CSF 2.0 amplía explícitamente su alcance más allá de las infraestructuras críticas, a todas las organizaciones. El CSF original se desarrolló pensando principalmente en los sectores de infraestructura crítica. El alcance de CSF 2.0 se amplió deliberadamente para servir a cualquier organización, sin importar el sector, el tamaño o la madurez de ciberseguridad existente, reflejando la amplia adopción que el marco ha tenido en realidad desde 2014, mucho más allá de su público objetivo original.
3. NIST CSF es voluntario, pero funciona como un referente de facto entre los marcos de cumplimiento. El marco en sí no es una regulación y no conlleva sanción directa por incumplimiento. Pero su estructura y expectativas de control subyacen o se corresponden estrechamente con CMMC, el Marco de Gestión de Riesgos de FedRAMP, las salvaguardas técnicas de la Regla de Seguridad de HIPAA y numerosos requisitos estatales y sectoriales. Las organizaciones que construyen su programa de ciberseguridad en torno al CSF crean una base que respalda el cumplimiento de múltiples marcos regulatorios de forma simultánea.
4. Cada función se organiza en categorías y subcategorías con resultados específicos. CSF 2.0 no es una lista de controles técnicos específicos: es un marco basado en resultados. Cada una de las seis funciones se desglosa en categorías (áreas de resultados específicas) y subcategorías (resultados deseados más granulares), que las organizaciones luego traducen en controles técnicos y organizacionales concretos, adecuados a su perfil de riesgo y a marcos existentes como NIST SP 800-53.
5. Los niveles de implementación describen la madurez organizacional, no niveles de cumplimiento. CSF 2.0 conserva los cuatro Niveles de Implementación del marco original —Parcial, Informado sobre riesgos, Repetible y Adaptativo— que describen qué tan a fondo están integradas las prácticas de gestión del riesgo de ciberseguridad en la toma de decisiones organizacional. Los niveles no son una certificación ni una puntuación de madurez para validación externa; son una herramienta de autoevaluación para entender y comunicar el estado actual de la organización y sus prioridades de mejora.

Qué cambió de CSF 1.1 a CSF 2.0

El NIST publicó el Marco de Ciberseguridad original en 2014, en respuesta a una orden ejecutiva de 2013 que le indicaba desarrollar un marco voluntario para reducir el riesgo cibernético en las infraestructuras críticas. Rápidamente se convirtió en un estándar de facto mucho más allá de ese alcance original, adoptado por organizaciones de todos los tamaños y sectores, tanto en Estados Unidos como a nivel internacional.

CSF 2.0, publicado en febrero de 2024, refleja una década de experiencia de implementación en el mundo real y varios cambios deliberados:

La incorporación de la función Gobernar. Este es el cambio más sustancial. CSF 1.1 abordaba los conceptos de gobernanza dentro de la función Identificar, pero CSF 2.0 eleva la gobernanza a una función principal propia, estableciendo que la estrategia, las expectativas y las políticas de gestión del riesgo de ciberseguridad de una organización deben entenderse, establecerse, comunicarse y supervisarse, con una clara supervisión a nivel ejecutivo y de directorio.

Aplicabilidad explícita a todas las organizaciones. El lenguaje introductorio de CSF 2.0 elimina el enfoque específico en infraestructuras críticas del marco original, posicionándolo formalmente como aplicable a cualquier organización, sin importar el sector, el tamaño o la madurez en ciberseguridad.

Orientación de implementación ampliada. CSF 2.0 introdujo Ejemplos de Implementación para muchas subcategorías: acciones concretas e ilustrativas que las organizaciones pueden tomar para lograr un resultado determinado, haciendo que el marco sea más práctico para organizaciones sin experiencia interna profunda en ciberseguridad.

Mayor énfasis en la gestión del riesgo de la cadena de suministro. CSF 2.0 amplía significativamente la orientación sobre la gestión del riesgo de ciberseguridad en la cadena de suministro, reflejando el reconocimiento creciente de que el riesgo de terceros y proveedores es un vector de ataque principal en la mayoría de las filtraciones de datos.

Las seis funciones de NIST CSF 2.0

Gobernar (GV). Establece y supervisa la estrategia, las expectativas y las políticas de gestión del riesgo de ciberseguridad de una organización. Esta función abarca el contexto organizacional, la estrategia de gestión de riesgos, los roles y responsabilidades, las políticas, la supervisión y la gestión del riesgo de ciberseguridad en la cadena de suministro. En la práctica, Gobernar es donde una organización define quién es responsable de las decisiones de riesgo de ciberseguridad, cómo se establece la tolerancia al riesgo y cómo se supervisa el programa a nivel de liderazgo.

Identificar (ID). Desarrolla una comprensión organizacional del riesgo de ciberseguridad para los sistemas, activos, datos y capacidades. Esto incluye la gestión de activos (saber qué hardware, software y datos existen y dónde se encuentran), la evaluación de riesgos y la planificación de mejoras. Un inventario preciso y actualizado de sistemas y flujos de datos es la base de la que dependen todas las demás funciones: una organización no puede proteger, detectar amenazas contra, ni recuperar activos que no sabe que tiene.

Proteger (PR). Implementa salvaguardas para garantizar la prestación de servicios críticos y limitar o contener el impacto de un posible evento de ciberseguridad. Abarca la gestión de identidades y el control de acceso, la concientización y capacitación, la seguridad de los datos, la seguridad de las plataformas y la resiliencia de la infraestructura tecnológica. El cifrado, los controles de acceso y las capacidades de prevención de pérdida de datos residen principalmente en esta función.

Detectar (DE). Implementa actividades para identificar la ocurrencia de un evento de ciberseguridad de manera oportuna. Abarca el monitoreo continuo y el análisis de eventos adversos: las capacidades de registro, monitoreo y detección de anomalías que permiten a una organización reconocer cuándo algo ha fallado antes de que se convierta en un incidente de gran escala.

Responder (RS). Implementa actividades para actuar frente a un incidente de ciberseguridad detectado. Abarca la gestión de incidentes, el análisis, la mitigación, y los informes y la comunicación, incluyendo la comunicación interna y externa (con reguladores, clientes y socios) que muchos marcos de cumplimiento exigen por separado tras una filtración de datos.

Recuperar (RC). Implementa actividades para restaurar los activos y las operaciones afectados por un incidente de ciberseguridad. Abarca la planificación de la recuperación de incidentes y la comunicación: los procesos que devuelven los sistemas y los datos a su funcionamiento normal y que mantienen informadas a las partes interesadas durante todo el proceso de recuperación.

Cómo se relaciona NIST CSF 2.0 con otros marcos de cumplimiento

El CSF en sí no conlleva sanción directa por incumplimiento, ya que es voluntario, pero la estructura de sus funciones subyace o se corresponde estrechamente con marcos que sí implican obligaciones de cumplimiento.

CMMC y los controles de NIST SP 800-171 sobre los que se construye se alinean estrechamente con las funciones Proteger y Detectar del CSF, particularmente en torno al control de acceso, el cifrado y el registro de auditoría. El Marco de Gestión de Riesgos subyacente de FedRAMP (NIST SP 800-37) comparte la misma filosofía basada en riesgos que el CSF, y las organizaciones autorizadas por FedRAMP normalmente ya han implementado controles que corresponden directamente a las funciones Identificar y Proteger del CSF. Las categorías de salvaguardas administrativas, físicas y técnicas de la Regla de Seguridad de HIPAA se corresponden estrechamente con las funciones Gobernar, Proteger y Detectar del CSF. Las organizaciones que construyen un programa de ciberseguridad en torno a CSF 2.0 crean una base que respalda el trabajo de cumplimiento en todos estos marcos simultáneamente, en lugar de construir programas separados y aislados para cada requisito regulatorio.

Cómo implementan las organizaciones NIST CSF 2.0 en la práctica

CSF 2.0 no prescribe controles técnicos específicos: define los resultados deseados que las organizaciones logran mediante controles adecuados a su entorno, a menudo extraídos de estándares más detallados como NIST SP 800-53.

La implementación normalmente comienza con la creación de un perfil organizacional: seleccionar qué resultados de CSF son relevantes para el perfil de riesgo, la misión y las obligaciones regulatorias existentes de la organización, y evaluar las prácticas actuales frente a esos resultados. Esto produce un perfil actual (dónde se encuentra la organización hoy) y un perfil objetivo (dónde necesita estar), y la brecha entre ambos define la hoja de ruta de mejora.

Los Niveles de Implementación —Parcial, Informado sobre riesgos, Repetible y Adaptativo— describen qué tan integradas y maduras están las prácticas de gestión de riesgos de una organización, desde reactivas y ad hoc (Parcial) hasta la mejora continua e integración en la toma de decisiones estratégicas (Adaptativo). Los niveles se autoevalúan y se utilizan para la planificación interna y la comunicación externa, no como una certificación ni una medida de aprobación o rechazo.

Cómo Kiteworks respalda la implementación de NIST CSF 2.0

Kiteworks ofrece capacidades que se alinean con las funciones de CSF 2.0 en todos los canales de intercambio de datos sensibles que utiliza una organización: correo electrónico seguro, uso compartido seguro de archivos, transferencia gestionada de archivos, SFTP y formularios seguros de datos.

En Gobernar: la configuración granular de perfiles de usuario, los permisos de colaboración basados en roles y la integración con repositorios externos respaldan las estructuras de políticas y supervisión que exige la función Gobernar de CSF 2.0.

En Identificar: Kiteworks mantiene inventarios precisos de hardware, software, servicios y los flujos de datos que se mueven a través de la plataforma, respaldando la base de gestión de activos que exige la función Identificar del CSF.

En Proteger: la gestión de identidades se aplica mediante controles de acceso granulares basados en roles, autenticación multifactor e integración con proveedores de identidad. El cifrado AES-256 a nivel de archivo y disco, con módulos criptográficos validados según FIPS 140-3 y claves de cifrado propiedad del cliente, protege los datos en reposo y en tránsito. SafeEDIT permite la edición colaborativa segura sin que el archivo salga del entorno gobernado.

En Detectar: el monitoreo continuo, las pruebas de penetración constantes y los patrones patentados de detección de anomalías identifican actividad sospechosa en tiempo real, con integración SIEM y notificaciones automatizadas que respaldan capacidades de detección organizacionales más amplias.

En Responder y Recuperar: un registro de auditoría único, consolidado e inmutable en todos los canales de Kiteworks proporciona la evidencia necesaria para el análisis y los informes de incidentes, mientras que la arquitectura en clúster y de appliance virtual respalda la disponibilidad y resiliencia de las que depende la planificación de recuperación.

Para descubrir cómo Kiteworks puede respaldar la implementación de NIST CSF 2.0 en tu organización, solicita una demostración personalizada.

Recursos adicionales

• Publicación de blog Arquitectura Zero Trust: Nunca confíes, verifica siempre
• Video Microsoft GCC High: las desventajas que están llevando a los contratistas de defensa hacia alternativas más inteligentes
• Publicación de blog Cómo proteger datos clasificados una vez que DSPM los detecta
• Publicación de blog Cómo generar confianza en la IA generativa con un enfoque Zero Trust
• Video La guía definitiva para el almacenamiento seguro de datos sensibles, para líderes de TI