NIST Cybersecurity Framework (CSF)
El Marco de Ciberseguridad del NIST Cybersecurity Framework es la forma más ampliamente adoptada de organizar un programa de seguridad en un lenguaje sencillo y basado en resultados, sin prescribir exactamente cómo alcanzar dichos resultados. Se articula en torno a seis funciones —Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar— y su verdadera fortaleza radica en que no se trata de una lista de productos que adquirir, sino de una estructura para reflexionar sobre lo que un programa de seguridad maduro realmente debe hacer, a un nivel de madurez que su organización pueda mantener de forma sostenible.
El CSF 2.0 incorporó «Gobernanza» como una función independiente, algo que ya se esperaba desde hacía tiempo: formaliza la idea de que la gestión de riesgos de ciberseguridad es una responsabilidad de liderazgo y gobernanza, y no meramente técnica. Este cambio es importante porque las organizaciones que sacan el máximo partido al CSF son aquellas que lo consideran una forma de alinear la inversión en seguridad con el riesgo empresarial real y de lograr una implicación genuina del liderazgo, en lugar de un cuadro de mando interno del equipo técnico que nadie por encima del nivel de director llega a consultar jamás.
A quién va dirigido
Organizaciones de cualquier tamaño que deseen disponer de una forma creíble y reconocible de describir su postura de seguridad —ante un consejo de administración, una aseguradora, un cliente que realice una diligencia debida o incluso ante sí mismas— sin imponer un régimen de cumplimiento único y universal a una empresa que no lo necesite. El CSF se adapta tanto a una pequeña empresa como a una gran corporación, ya que es deliberadamente flexible en cuanto a su implementación; el marco le indica qué resultados son importantes, no qué herramienta específica debe producirlos.
Cómo lo abordaría yo
Yo empezaría por realizar una evaluación del estado actual en relación con las seis funciones, siendo sincero sobre dónde se encuentra realmente su organización, y no donde el modelo de madurez de un proveedor indique que debería aspirar a estar. A continuación, le ayudaría a establecer perfiles objetivo que se ajusten a su riesgo y a sus recursos reales, ya que perseguir un nivel de madurez que su organización no pueda mantener operativamente es peor que elegir uno realista y ejecutarlo correctamente. A partir de ahí, una hoja de ruta priorizada que subsane primero las deficiencias más importantes, y una forma de realizar un seguimiento del progreso que los directivos puedan seguir realmente sin necesidad de un intérprete. El CSF funciona mejor como un diálogo continuo, no como una evaluación puntual: los riesgos cambian, y el marco está diseñado para ser revisado.
Si desea un marco que los responsables ejecutivos utilicen realmente para tomar decisiones en materia de seguridad, hablemos de por dónde empezar.