NIST CSF 2.0: Qué hay de nuevo en el Cybersecurity Framework

Introducción: por qué NIST CSF 2.0 es importante

Desde su primera versión en 2014, el NIST Cybersecurity Framework (CSF) se ha convertido en el estándar de referencia para gestionar el riesgo de ciberseguridad. Las organizaciones lo utilizan para formular sus programas de seguridad, comunicar riesgos y alinear los controles técnicos con los objetivos empresariales. El 26 de febrero de 2024, NIST lanzó CSF 2.0, marcando la primera actualización importante desde la versión 1.1 en abril de 2018. Esta actualización refleja un cambio fundamental en la forma en que se espera que las organizaciones aborden la ciberseguridad en el complejo entorno digital actual.

Por qué esta es una actualización importante

CSF 2.0 está moldeado por años de uso en el mundo real, amenazas emergentes y realidades empresariales cambiantes. Algunos cambios clave incluyen:

• La gobernanza es ahora una función central, con énfasis en la responsabilidad del liderazgo y la ciberseguridad como un riesgo empresarial, no solo un problema técnico.
• La aplicabilidad del marco se extiende a organizaciones de todo tipo e industrias.
• La gestión del riesgo en la cadena de suministro se eleva a una prioridad estratégica en medio del aumento de amenazas relacionadas con terceros y proveedores.
• Se han añadido nuevos recursos de implementación para ayudar a las organizaciones a adoptar el framework de manera más efectiva.

Quién debería usar CSF 2.0

Mientras que las versiones anteriores del marco abordaban infraestructuras críticas, CSF 2.0 está diseñado para todas las organizaciones, desde empresas globales hasta pequeñas y medianas empresas. Proporciona orientación para organizaciones con distintos niveles de madurez en ciberseguridad, ayudándolas a priorizar acciones basadas en el riesgo, los recursos y los objetivos comerciales. Ya sea que desees construir un programa de seguridad desde cero o mejorar uno existente, CSF 2.0 ofrece una base sólida y escalable. Los escenarios de ejemplo incluyen:

• Una startup de salud construyendo su primer programa de seguridad.
• Un fabricante que enfrenta nuevos requisitos de seguridad en la cadena de suministro por parte de los clientes.
• Un CISO empresarial que alinea la estrategia de seguridad con las discusiones de riesgo a nivel de junta directiva.

¿Qué es el Marco de Ciberseguridad NIST?

El Marco de Ciberseguridad NIST (CSF) es un conjunto voluntario de directrices y mejores prácticas desarrollado por el National Institute of Standards and Technology para ayudar a las organizaciones a comprender, gestionar y reducir el riesgo de ciberseguridad. Más específicamente, organiza las actividades de ciberseguridad en torno a seis Funciones Básicas: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar.

CSF es flexible, basado en riesgos y puede funcionar junto con los programas de seguridad existentes. Las organizaciones pueden adaptarlo para ajustarse a su tamaño, nivel de madurez, industria, entorno regulatorio y tolerancia al riesgo. El marco no prescribe herramientas o controles específicos, pero proporciona un lenguaje común y una estructura que los líderes de seguridad, TI y negocios pueden usar para alinear prioridades y tomar decisiones informadas.

CSF frente a los estándares de cumplimiento

CSF no es una lista de verificación de cumplimiento ni una evaluación de aprobado/reprobado; es un marco de gestión de riesgos. Mientras que los estándares de cumplimiento te indican qué hacer, CSF te ayuda a entender por qué es importante y cómo establecer prioridades basadas en el riesgo. Las organizaciones usan CSF para:

• Evalúe su postura actual de ciberseguridad e identifique brechas.
• Defina los estados objetivo, es decir, establezca metas medibles para dónde debe estar la organización con respecto a cada función de seguridad, basándose en la tolerancia al riesgo y las prioridades comerciales.
• Comunique el riesgo de ciberseguridad a ejecutivos, la junta y otros interesados traduciendo los problemas técnicos de seguridad a un lenguaje empresarial que todos entiendan.
• Apoye los esfuerzos regulatorios y de cumplimiento mapeando los controles CSF a los marcos de cumplimiento para evitar esfuerzos duplicados.

Componentes principales del marco

El Marco de Ciberseguridad NIST se basa en un conjunto de componentes que ayudan a las organizaciones a estructurar, evaluar y mejorar sus programas de ciberseguridad. Estos componentes trabajan juntos para traducir los objetivos de gestión de riesgos de alto nivel en resultados. Las organizaciones pueden usar el Core para definir resultados, los Profiles para evaluar y planificar, y los Tiers para comprender su nivel de gestión de riesgos.

El núcleo del CSF

El núcleo de CSF define los resultados de ciberseguridad que una organización debe esforzarse por alcanzar. Organiza estos resultados en:

Perfiles

Los perfiles ayudan a las organizaciones a mapear sus actividades y objetivos de ciberseguridad al CSF Core de una manera que refleje su realidad actual y sus metas futuras. Estos perfiles deben alinearse con los requisitos comerciales de la organización, la tolerancia al riesgo, las obligaciones legales y regulatorias, y los recursos disponibles.

Al comparar los Perfiles Actual y Objetivo, las organizaciones pueden identificar brechas, establecer prioridades y desarrollar hojas de ruta para fortalecer su postura de seguridad.

Niveles

Los niveles ayudan a las organizaciones a describir el rigor y la sofisticación de sus prácticas de gestión de riesgos de ciberseguridad. No son niveles de madurez y no se espera que las organizaciones progresen a través de ellos. En cambio, una organización debe seleccionar el nivel apropiado para su Perfil.

Cambios importantes en NIST CSF 2.0

Las actualizaciones implementadas en NIST CSF 2.0 reflejan cómo se practica la ciberseguridad hoy en día. Estos cambios hacen que el marco sea más accesible y relevante para organizaciones de todos los tamaños e industrias.

Renombrado para una aplicabilidad más amplia

Uno de los cambios más evidentes en CSF 2.0 es el nombre mismo. NIST eliminó “for Improving Critical Infrastructure” del nombre. Ahora es simplemente el “Cybersecurity Framework” y eso es intencional. Aunque CSF inicialmente estaba dirigido a organizaciones que operan infraestructura crítica, organizaciones de todos los tamaños y sectores también lo habían estado utilizando durante años. El nuevo nombre refleja esa realidad y refuerza la intención de NIST de que el marco sea adecuado para todas las organizaciones.

Guía ampliada para pequeñas y medianas empresas (PYMES)

CSF 2.0 ofrece un mayor apoyo a las pymes que no cuentan con equipos de seguridad dedicados ni presupuestos extensos. Introduce guías de inicio rápido y ejemplos de implementación adaptados a las pymes con madurez y recursos limitados en ciberseguridad. Estas adiciones ayudan a las pymes a centrarse en mejoras prácticas basadas en riesgos en lugar de intentar implementar todo el marco de una vez, facilitando y haciendo posible la adopción.

Lenguaje más claro y terminología actualizada

NIST escuchó los comentarios y simplificó el lenguaje y la estructura del marco, haciéndolo más claro y consistente. Las definiciones son más claras, se reduce la jerga y la terminología se actualiza para reflejar las prácticas, tecnologías y estructuras organizativas modernas de ciberseguridad. Esto hace que el marco sea más fácil de entender y aplicar, especialmente para partes interesadas no técnicas como ejecutivos, gestores de riesgos y miembros del consejo.

Nuevos recursos de implementación

CSF 2.0 incluye recursos mejorados que ayudan a las organizaciones a traducir los requisitos de alto nivel en acciones concretas, haciendo que la implementación sea menos intimidante. Estos incluyen:

• Ejemplos de implementación para cada Subcategoría, con orientación sobre cómo se pueden lograr los resultados.
• Guías de inicio rápido adaptadas a diferentes roles y tipos de organización.
• Herramientas de referencia que relacionan los resultados de CSF con otros marcos que quizás ya estés utilizando.
• Perfiles de la comunidad, que proporcionan orientación específica para la industria y sirven como punto de partida para organizaciones con entornos de riesgo similares.

La nueva función ‘Govern’

Si hay un cambio que indica hacia dónde se dirige la ciberseguridad, es este: Govern ahora es una Función independiente. En versiones anteriores del marco, las actividades relacionadas con la gobernanza estaban dispersas en otras funciones. Al reunirlas en una nueva Función, NIST hace una declaración clara: la ciberseguridad no es solo un problema de TI, sino un riesgo empresarial. La ciberseguridad efectiva requiere la participación del liderazgo, responsabilidad y alineación con los objetivos organizacionales. El liderazgo ejecutivo y la junta tienen un papel definido en establecer la dirección, definir la tolerancia al riesgo y supervisar la estrategia de ciberseguridad.

Categorías dentro de Govern

La función Govern del NIST CSF está compuesta por seis categorías que se centran en el liderazgo, la responsabilidad y la gestión de riesgos a nivel organizacional.

¿Por qué gobernanza ahora?

Con el tiempo, la ciberseguridad ha pasado de ser un asunto de TI a una responsabilidad a nivel de junta directiva. Varias brechas de alto perfil han demostrado que una mala gobernanza puede conducir a consecuencias financieras, operativas y reputacionales. Los desarrollos regulatorios, como las reglas de divulgación de ciberseguridad de la SEC de EE. UU. y la Directiva NIS2 de la UE, ahora requieren explícitamente que la alta dirección y las juntas directivas tomen un papel activo en la supervisión del riesgo de ciberseguridad. Al elevar la gobernanza a una Función Central, CSF 2.0 reconoce formalmente que una ciberseguridad efectiva depende de la participación del liderazgo, la responsabilidad y la integración con la gestión de riesgos empresariales.

Actualizaciones a las cinco funciones originales

Aunque Govern acapara la atención como la nueva incorporación, NIST también refinó las cinco Funciones originales en CSF 2.0 para mejorar la claridad, la usabilidad y el soporte para las prácticas modernas de ciberseguridad.

Identificar (ID)

El enfoque aquí se desplaza hacia la comprensión del contexto organizacional y el riesgo de ciberseguridad. No se trata solo de catalogar activos, sino de saber por qué son importantes y qué riesgos conllevan. La orientación relacionada con la gestión de activos, el entorno empresarial y la evaluación de riesgos se ha refinado para ser más práctica y apoyar mejor la toma de decisiones basada en riesgos.

Proteger (PR)

Las actualizaciones de la función Protect aclaran los controles relacionados con Identity Management y Privileged Access Management, la seguridad de los datos y la formación en concienciación sobre seguridad. La guía está dirigida a entornos modernos como infraestructura en la nube, sistemas híbridos, fuerzas de trabajo remotas y mayor dependencia de servicios de terceros.

Detectar (DE)

La función Detect incluye una guía mejorada sobre monitoreo continuo, detección de anomalías y análisis de eventos adversos. Enfatiza la detección oportuna de eventos de ciberseguridad y la importancia de la visibilidad a través de sistemas, redes y fuentes de datos para reducir el impacto de los incidentes.

Responder (RS)

En la Función de Respuesta, CSF 2.0 ofrece resultados más prácticos para las actividades de respuesta a incidentes, incluyendo la planificación de la respuesta, la gestión de incidentes, el análisis, la mitigación y las comunicaciones internas y externas. Esto ayuda a las organizaciones a responder de manera más efectiva cuando ocurren incidentes de ciberseguridad.

Recuperar (RC)

La recuperación es más que simplemente volver a poner los sistemas en línea. CSF 2.0 amplía la orientación sobre la planificación de la recuperación, las actividades de mejora, la ejecución fluida de los procesos de recuperación y el mantenimiento de una comunicación clara durante todo el período de recuperación para que las partes interesadas sepan en qué estado se encuentran las cosas.

Guía ampliada sobre Perfiles y Niveles

CSF 2.0 amplía cómo las organizaciones deben usar los Perfiles y Niveles de Implementación como herramientas prácticas, no solo como conceptos teóricos.

Creación de perfiles organizacionales

CSF 2.0 ofrece una guía más clara y práctica para desarrollar Perfiles Organizacionales que reflejen tanto las capacidades actuales como los objetivos futuros. Se recomienda a las organizaciones:

• Evalúe su Perfil Actual mapeando las prácticas existentes contra los resultados del CSF. ¿Qué está haciendo bien ya? ¿Dónde están las brechas?
• Defina un Perfil Objetivo basado en los objetivos comerciales, la tolerancia al riesgo y los requisitos regulatorios.
• Realice un análisis de brechas para identificar las diferencias entre los Perfiles Actual y Objetivo.
• Priorice los esfuerzos de remediación según el riesgo, el impacto y los recursos.

Perfiles de la comunidad

Los perfiles comunitarios son nuevos en CSF 2.0 y suponen un cambio radical para las organizaciones que no quieren empezar desde cero. Estos perfiles son desarrollados por grupos industriales, agencias gubernamentales y otras organizaciones sectoriales (sanidad, servicios financieros, manufactura, etc.) para ofrecer orientación adaptada a industrias, tecnologías y casos de uso específicos. Los perfiles comunitarios sirven como un punto de partida práctico o referencia, permitiendo que las organizaciones se beneficien del conocimiento compartido y aborden riesgos comunes dentro de su sector.

Uso efectivo de los niveles

CSF 2.0 refuerza que los Niveles de Implementación están destinados a proporcionar contexto, no a clasificar o puntuar organizaciones. Los niveles ayudan a las organizaciones a describir qué tan eficazmente gestionan el riesgo de ciberseguridad y a comunicar su nivel a las partes interesadas internas y externas, incluidos los consejos, reguladores, clientes y socios.

El marco también aclara que no todas las organizaciones necesitan alcanzar el Nivel 4. Una pequeña organización sin fines de lucro y un banco multinacional no deberían aspirar al mismo Nivel, y eso está perfectamente bien. El Nivel adecuado depende de factores como el apetito de riesgo, el modelo de negocio, las obligaciones regulatorias y los recursos.

Nuevas áreas de enfoque en NIST CSF 2.0

La actualización del NIST Cybersecurity Framework pone un mayor énfasis en áreas que se han vuelto críticas debido a amenazas en evolución, entornos complejos y expectativas regulatorias.

Gestión de riesgos en la cadena de suministro

Los riesgos de la cadena de suministro y de terceros reciben una atención significativa en CSF 2.0 y se abordan en todo el marco. La nueva función Govern incluye categorías dedicadas para gestionar los riesgos de terceros y proveedores, proporcionando a las partes interesadas y a los ejecutivos de nivel C una mayor supervisión de un incidente cibernético. Los equipos de seguridad necesitan saber quién tiene acceso a los sistemas, cómo se utiliza ese acceso y cómo responder si se ve comprometido.

SolarWinds y incidentes similares han puesto de manifiesto cómo las vulnerabilidades en proveedores, desarrolladores de software y socios de servicios pueden tener un impacto generalizado. Como resultado, CSF 2.0 anima a las organizaciones a tratar el riesgo de la cadena de suministro como una preocupación estratégica e integrarlo en la gobernanza y gestión de riesgos en general.

Tecnologías emergentes

CSF 2.0 actualizó sus directrices para reflejar mejor los entornos tecnológicos modernos y abordar los desafíos actuales de seguridad. Esto incluye consideraciones para sistemas basados en la nube, modelos de trabajo remoto e híbrido, despliegues de Internet de las Cosas (IoT) y el creciente uso de inteligencia artificial y aprendizaje automático. El marco proporciona orientación práctica para asegurar estas tecnologías sin pretender que sean solo variaciones de problemas antiguos con nuevos nombres.

Integración de privacidad

La ciberseguridad y la privacidad van de la mano. Una violación de datos es tanto un fallo de seguridad como una violación de la privacidad. CSF 2.0 reconoce esta superposición y ofrece una mayor alineación con el NIST Privacy Framework. Esto permite a las organizaciones integrar consideraciones de privacidad en sus programas de ciberseguridad, gestionando así ambos riesgos de manera coordinada.

Alineación con estándares internacionales

CSF 2.0 se alinea mejor con los estándares internacionales e industriales, facilitando a las organizaciones mapear los resultados de CSF con los marcos de control existentes. Proporciona mapeos adicionales y referencias informativas más claras a estándares como ISO/IEC 27001, CIS Controls y NIST SP 800-171, lo que permite a las organizaciones demostrar cumplimiento con múltiples marcos sin duplicar esfuerzos.

Implementación de NIST CSF 2.0

Ya sea que esté migrando desde CSF 1.1 o comenzando desde cero, aquí le mostramos cómo abordar la implementación de manera práctica y manejable.

Análisis de brechas del CSF 1.1

Si ya está utilizando CSF 1.1, la buena noticia es que CSF 2.0 se basa en lo que conoce. Comience realizando un análisis de brechas frente a CSF 2.0. El siguiente enfoque permite a las organizaciones identificar brechas y áreas prioritarias mientras mantiene la transición fluida.

1. Revise la nueva función de Gobernanza evaluando las prácticas de gobernanza existentes según las Categorías GV, como la estrategia de gestión de riesgos, supervisión y gestión de riesgos en la cadena de suministro. Probablemente ya esté realizando parte de este trabajo; ahora se trata de formalizarlo.
2. Mapee los controles existentes a las Categorías y Subcategorías actualizadas para comprender dónde las prácticas actuales ya están alineadas.
3. Identifique brechas, prestando especial atención a las áreas que recibieron mayor énfasis en CSF 2.0, como la gestión de riesgos de terceros y de la cadena de suministro.
4. Actualice los Perfiles Organizacionales para reflejar la estructura de CSF 2.0. Su Perfil Actual debe tener en cuenta la nueva función Govern y su Perfil Objetivo debe reflejar dónde desea estar bajo el marco actualizado.

Estrategia de adopción por fases

Un enfoque por fases mantiene la implementación manejable y genera impulso a medida que avanzas.

Cómo Netwrix apoya la implementación de NIST CSF 2.0

Netwrix ofrece productos que apoyan directamente las funciones clave del CSF en identidad, datos, gobernanza, monitoreo y respuesta. Ayuda a las organizaciones a obtener visibilidad, controlar el acceso, detectar amenazas y consolidar evidencia para demostrar el cumplimiento.

Identificar: visibilidad de los activos y datos de TI

Un programa sólido de ciberseguridad comienza con conocer qué activos y datos posee, dónde se encuentran y qué riesgos conllevan. Netwrix respalda la Función de Identificación proporcionando una visibilidad profunda en entornos híbridos de TI. Permite a las organizaciones descubrir activos, clasificar datos sensibles y comprender dónde reside la información crítica y regulada en servidores de archivos, bases de datos, SharePoint, Office 365 y almacenamiento en la nube.

• Netwrix Auditor proporciona visibilidad sobre cambios, configuraciones y accesos en sistemas TI como Active Directory, servidores de archivos y Microsoft 365, permitiendo a las organizaciones identificar brechas de seguridad y rastrear la actividad de los usuarios.
• Netwrix Data Classification permite a las organizaciones descubrir y clasificar información sensible, ayudándolas a identificar datos insuficientemente protegidos o regulados en repositorios locales y en la nube.

En conjunto, estas soluciones proporcionan una visibilidad integral de los activos que respalda directamente los requisitos de la Función Identificar para la gestión de activos y la evaluación de riesgos.

Gobernar: controles de acceso y aplicación de políticas

• Netwrix Privilege Secure proporciona Privileged Access Management (PAM), que permite el acceso justo a tiempo y reduce los privilegios administrativos permanentes. También ofrece monitoreo y grabación de sesiones para supervisar y garantizar la responsabilidad de las actividades privilegiadas.
• Con capacidades de remediación de riesgos impulsadas por IA, la plataforma Netwrix 1Secure no solo identifica riesgos de seguridad de datos, sino que también proporciona pasos de remediación personalizados, con un enfoque en permisos de alto riesgo que pueden exponer datos.

Estas capacidades se corresponden directamente con los resultados de Govern relacionados con roles, responsabilidades, supervisión y control de acceso de proveedores o terceros.

Detectar: seguimiento de cambios y detección de anomalías

La monitorización continua y la detección temprana ayudan a limitar el impacto de los incidentes cibernéticos. Netwrix fortalece la función Detect mejorando la visibilidad de actividades sospechosas y cambios inesperados.

• Netwrix Auditor proporciona análisis de seguridad para identificar brechas de seguridad, detectar anomalías en el comportamiento de los usuarios e investigar patrones de amenazas a tiempo para responder a posibles amenazas.
• La plataforma supervisa los cambios en sistemas críticos en tiempo real, incluyendo modificaciones de Active Directory, patrones de acceso a archivos, cambios de configuración y actividad de usuarios privilegiados. También alerta a los equipos de seguridad cuando detecta actividad inusual o desviaciones del comportamiento normal.

Esto admite los resultados de CSF Detect relacionados con la detección de anomalías, la supervisión y el análisis de eventos adversos.

Recuperar: registros de auditoría e informes

La recuperación no se limita a restaurar sistemas; requiere responsabilidad, evidencia forense y comunicación clara. Netwrix soporta la función de recuperación mediante recuperación rápida, soporte de auditoría y capacidades de informes.

• Netwrix Auditor mantiene registros detallados de actividad e historiales de cambios que pueden usarse para análisis forenses e investigación de incidentes, proporcionando a los equipos de seguridad la evidencia que necesitan para entender qué sucedió, quién estuvo involucrado y cómo contener el daño.
• It also offers automated reporting, alerting, and investigation tools to support compliance with regulatory requirements and help IT teams efficiently address audit requests.
• Los informes predefinidos se alinean con los requisitos de PCI DSS, HIPAA, SOX, GDPR y los estándares NIST, facilitando la demostración de la alineación con CSF a juntas, auditores y reguladores durante las fases de Respuesta y Recuperación.
• Netwrix Identity Recovery permite a las organizaciones recuperar rápidamente objetos, atributos e incluso bosques completos de Active Directory y Entra ID para restaurar las operaciones con un tiempo de inactividad mínimo.

Estas capacidades apoyan una gestión eficaz de incidentes, análisis posterior al evento, comunicación de recuperación y resiliencia empresarial, que son resultados clave de las funciones Respond y Recover en CSF 2.0.

Conclusiones clave para las organizaciones

Las organizaciones pueden usar CSF 2.0 para fortalecer los programas de seguridad, la gobernanza, la resiliencia y la comunicación en torno al riesgo. Al considerar implementar o actualizar a NIST CSF 2.0, aquí hay algunos puntos esenciales a tener en cuenta.

1. La gobernanza es fundamental:
   En NIST CSF 2.0, la gobernanza es fundamental. La nueva función Govern formaliza lo que muchas organizaciones han aprendido con la experiencia: la ciberseguridad es un riesgo empresarial que exige responsabilidad del liderazgo y supervisión a nivel de junta, no solo controles técnicos.
2. Accesibilidad mejorada:
   CSF 2.0 está diseñado explícitamente para organizaciones de todos los tamaños y sectores. Las nuevas guías y recursos de implementación hacen que el marco sea más usable tanto para las PYMEs como para las empresas maduras. Ya no necesitas un gran equipo de seguridad para beneficiarte del marco.
3. Enfoque en la cadena de suministro:
   La gestión de riesgos de terceros y proveedores ahora está integrada en todo el marco. Esto refleja el creciente impacto de las dependencias de los proveedores y refuerza que los proveedores deben cumplir con las expectativas de ciberseguridad.
4. Recursos prácticos:
   CSF 2.0 incluye ejemplos de implementación, guías de inicio rápido y Perfiles de la Comunidad que te dan una ventaja inicial. Estos recursos traducen conceptos de alto nivel en pasos prácticos, facilitando la adopción.
5. Alineación global:
   CSF 2.0 incluye un mapeo mejorado a marcos como ISO/IEC 27001, CIS Controls y NIST SP 800-171. Las organizaciones pueden mapear los requisitos de CSF a las obligaciones de cumplimiento en lugar de ejecutar programas de cumplimiento completos por separado.