El Cybersecurity Framework de NIST

El NIST Cybersecurity Framework (CSF) es un marco voluntario basado en el riesgo, publicado por el Instituto Nacional de Estándares y Tecnología de EE. UU. Es deliberadamente independiente de la tecnología y adaptable a organizaciones de cualquier tamaño o sector.

Su fortaleza es una estructura sencilla y fácil de recordar para organizar un programa de seguridad. Creado originalmente para infraestructuras críticas, ahora se utiliza ampliamente en todo el mundo como lenguaje común para el riesgo de ciberseguridad.

El núcleo del CSF es el Núcleo, organizado en funciones de alto nivel. Las cinco clásicas son:

• Identificar — comprender sus activos y riesgos.
• Proteger — establecer medidas de protección.
• Detectar — encontrar los eventos cuando ocurren.
• Responder — actuar ante los incidentes detectados.
• Recuperar — restaurar y aprender.

CSF 2.0 (2024) añade una sexta función, Gobernar, que engloba las demás con supervisión y estrategia.

Identificar desarrolla el conocimiento de la organización necesario para gestionar el riesgo. No puede proteger lo que no sabe que tiene.

• Gestión de activos: hardware, software, datos y servicios.
• Entorno empresarial y dependencias críticas.
• Evaluación del riesgo y estrategia de gestión del riesgo.
• Riesgo de la cadena de suministro.

Esta función responde a la pregunta ¿qué tenemos y qué lo amenaza? Todo lo que sigue depende de hacerlo bien.

Proteger implementa medidas de protección para limitar o contener el impacto de un evento. Aquí se concentra la mayoría de los controles preventivos:

• Gestión de identidades y control de acceso (mínimo privilegio, MFA).
• Concienciación y formación.
• Seguridad de los datos, cifrado en reposo y en tránsito.
• Mantenimiento y tecnología de protección (hardening y aplicación de parches).

Proteger reduce la probabilidad y el alcance de los incidentes antes de que ocurran.

Detectar define actividades para identificar oportunamente un evento de ciberseguridad. La prevención acaba fallando, por lo que la detección es esencial.

• Monitorización continua de la seguridad (SIEM, EDR y sensores de red).
• Detección de anomalías y eventos, conociendo la línea base.
• Procesos de detección probados y mantenidos.

La métrica aquí es el tiempo de detección: cuanto más tiempo pase una amenaza sin ser detectada, mayor será el daño que cause.

Responder abarca las acciones que se llevan a cabo una vez detectado un incidente para contener su impacto.

• Planificación de la respuesta: un plan documentado de respuesta a incidentes.
• Comunicaciones internas y externas, incluidos los asuntos legales y PR.
• Análisis para comprender el alcance y la causa raíz.
• Mitigación para contener y erradicar la amenaza.

Aquí es donde se encuentran los playbooks de SOAR y los runbooks de IR. Una respuesta bien ensayada reduce el impacto de cualquier vulneración.

Recuperar restaura las capacidades afectadas por un incidente e incorpora las lecciones aprendidas al programa.

• Planificación de la recuperación y copias de seguridad probadas.
• Mejoras: la revisión posterior al incidente que actualiza los controles.
• Comunicaciones durante la restauración.

Recuperar cierra el ciclo. El paso de las lecciones aprendidas tras un incidente convierte una vulneración dolorosa en un programa más sólido, en lugar de permitir que se repita el mismo error.

CSF 2.0 introdujo Gobernar como una función que abarca todas las demás. Establece y supervisa la estrategia, las expectativas y las políticas de gestión del riesgo de ciberseguridad de la organización.

• Funciones, responsabilidades y rendición de cuentas.
• Estrategia de gestión del riesgo alineada con los objetivos empresariales.
• Políticas y supervisión, incluida la participación del consejo de administración.

Gobernar refleja que la ciberseguridad es una cuestión de liderazgo y riesgo empresarial, no solo técnica.

Cada función se divide en categorías y subcategorías (resultados específicos), identificadas mediante códigos.

El CSF define niveles de implementación que describen el grado de madurez e integración de su gestión de riesgos, del Nivel 1 al Nivel 4:

• Nivel 1 Parcial — ad hoc y reactivo.
• Nivel 2 Informado por los riesgos — prácticas aprobadas, pero no aplicadas en toda la organización.
• Nivel 3 Repetible — políticas formales aplicadas de manera coherente.
• Nivel 4 Adaptativo — mejora continua, impulsado por las amenazas.

Los niveles no son una puntuación de madurez que deba maximizarse sin más; elija el nivel que corresponda a sus riesgos y recursos.

El CSF se vuelve práctico mediante los perfiles. Cree dos y compárelos:

• Un perfil actual — los resultados que obtiene hoy.
• Un perfil objetivo — los resultados que necesita en función de sus riesgos y objetivos empresariales.

La diferencia entre ambos constituye su hoja de ruta priorizada. Este análisis de brechas convierte el marco abstracto en un plan concreto y presupuestado: cierre primero las brechas de mayor riesgo. Así es como el CSF impulsa las decisiones de inversión en lugar de quedarse como un documento de referencia.

Asigne una actividad a la Función correcta del CSF.

El Marco de Ciberseguridad del NIST:

• Es una estructura voluntaria, basada en riesgos y neutral respecto de la tecnología para organizar un programa de seguridad.
• Sus Funciones principales son Identificar, Proteger, Detectar, Responder y Recuperar, además de Gobernar (añadida en el CSF 2.0), que las engloba a todas.
• Identificar permite conocer los activos y los riesgos; Proteger previene; Detectar encuentra eventos; Responder contiene; Recuperar restaura y permite aprender.
• Las Funciones se descomponen en Categorías y Subcategorías (resultados codificados); un Perfil es el conjunto al que usted aspira.
• Los niveles de implementación (del Nivel 1 Parcial al Nivel 4 Adaptativo) describen la madurez; elija el nivel que corresponda a sus riesgos y no lo maximice sin más.