Fernando.VH en 21:17 20 ago 2026

2026-08-20T21:17:46Z

← Revisión anterior		Revisión del 21:17 20 ago 2026
Línea 1:		Línea 1:
	[[Categoría:Conceptos de seguridad]]		[[Categoría:Conceptos de seguridad]]

	~~= NIST Cybersecurity Framework (CSF) =~~

	El '''NIST Cybersecurity Framework''' (CSF) es un marco de trabajo desarrollado por el Instituto Nacional de Estándares y Tecnología de EE.UU. (NIST) para ayudar a las organizaciones a gestionar y reducir los riesgos de ciberseguridad.		El '''NIST Cybersecurity Framework''' (CSF) es un marco de trabajo desarrollado por el Instituto Nacional de Estándares y Tecnología de EE.UU. (NIST) para ayudar a las organizaciones a gestionar y reducir los riesgos de ciberseguridad.

Fernando.VH: Página creada con «Categoría:Conceptos de seguridad = NIST Cybersecurity Framework (CSF) = El '''NIST Cybersecurity Framework''' (CSF) es un marco de trabajo desarrollado por el Instituto Nacional de Estándares y Tecnología de EE.UU. (NIST) para ayudar a las organizaciones a gestionar y reducir los riesgos de ciberseguridad. A diferencia de ISO 27001 (que es un estándar de gestión), el NIST CSF es un '''marco flexible basado en riesgos''' que puede ser adaptado por organizac…»

2026-08-20T21:17:28Z

Página creada con «Categoría:Conceptos de seguridad = NIST Cybersecurity Framework (CSF) = El '''NIST Cybersecurity Framework''' (CSF) es un marco de trabajo desarrollado por el Instituto Nacional de Estándares y Tecnología de EE.UU. (NIST) para ayudar a las organizaciones a gestionar y reducir los riesgos de ciberseguridad. A diferencia de ISO 27001 (que es un estándar de gestión), el NIST CSF es un '''marco flexible basado en riesgos''' que puede ser adaptado por organizac…»

Página nueva

[[Categoría:Conceptos de seguridad]]

= NIST Cybersecurity Framework (CSF) =

El '''NIST Cybersecurity Framework''' (CSF) es un marco de trabajo desarrollado por el Instituto Nacional de Estándares y Tecnología de EE.UU. (NIST) para ayudar a las organizaciones a gestionar y reducir los riesgos de ciberseguridad.

A diferencia de ISO 27001 (que es un estándar de gestión), el NIST CSF es un '''marco flexible basado en riesgos''' que puede ser adaptado por organizaciones de cualquier tamaño y sector. Es ampliamente utilizado en Estados Unidos y cada vez más en todo el mundo.

== Historia del NIST CSF ==

El NIST CSF fue creado en respuesta a la Orden Ejecutiva 13636 de EE.UU. (2013), que buscaba mejorar la ciberseguridad de las infraestructuras críticas. La primera versión se publicó en 2014, y desde entonces ha sido actualizada (la versión 2.0 se publicó en 2024).

== Estructura del NIST CSF ==

El marco se organiza en tres niveles principales:

=== 1. Núcleo (Core) ===
El núcleo define las actividades y resultados deseados en ciberseguridad. Se organiza en '''5 funciones principales''':

==== Función 1: Identificar (Identify) ====
Desarrollar la comprensión de la organización para gestionar el riesgo.

* Actividades: Inventario de activos, identificar riesgos, entender el contexto empresarial.
* Relacionado con: [[Gestión de Riesgos]], [[Superficie de Ataque]].

==== Función 2: Proteger (Protect) ====
Implementar salvaguardas para asegurar la entrega de servicios críticos.

* Actividades: Control de acceso, formación, cifrado, protección de datos, mantenimiento.
* Relacionado con: [[Control de Seguridad]], [[Cifrado]], [[Principio de Mínimo Privilegio]], [[Defensa en profundidad]].

==== Función 3: Detectar (Detect) ====
Desarrollar actividades para identificar la ocurrencia de un evento de ciberseguridad.

* Actividades: Monitoreo continuo, detección de anomalías, análisis de logs.
* Relacionado con: [[Gestión de Vulnerabilidades]], [[Factor Humano]] (reporte de incidentes).

==== Función 4: Responder (Respond) ====
Desarrollar actividades para tomar acción ante un incidente de ciberseguridad.

* Actividades: Plan de respuesta, comunicación, análisis forense, mejora continua.
* Relacionado con: Respuesta a incidentes, [[Gestión de Riesgos]].

==== Función 5: Recuperar (Recover) ====
Desarrollar actividades para restaurar las capacidades afectadas por un incidente.

* Actividades: Plan de recuperación, comunicaciones, mejora de la resiliencia.
* Relacionado con: Copias de seguridad, planes de continuidad de negocio.

=== 2. Niveles de Implementación (Tiers) ===
Los niveles describen el grado en que una organización ha integrado el CSF en su gestión de riesgos:

| Nivel | Descripción |
|-------|-------------|
| '''Nivel 1 (Parcial)''' | Riesgos gestionados de forma ad-hoc, sin un enfoque formal. |
| '''Nivel 2 (Informado por riesgos)''' | Gestión de riesgos aprobada por la dirección, pero no estandarizada. |
| '''Nivel 3 (Repetible)''' | Gestión de riesgos formal y repetible en toda la organización. |
| '''Nivel 4 (Adaptable)''' | Gestión de riesgos proactiva, adaptable y en mejora continua. |

=== 3. Perfiles (Profiles) ===
Un perfil es una alineación de las funciones, categorías y subcategorías del núcleo con los requisitos de la organización.

* **Perfil Actual**: Estado actual de la ciberseguridad.
* **Perfil Objetivo**: Estado deseado de la ciberseguridad.

La diferencia entre ambos perfiles ayuda a identificar brechas y priorizar acciones.

== NIST CSF vs. ISO 27001 ==

| Característica | NIST CSF | ISO 27001 |
|----------------|----------|-----------|
| '''Tipo''' | Marco de trabajo (framework) | Estándar de gestión |
| '''Certificación''' | No certificable (no hay certificación oficial) | Certificable (organizaciones pueden obtener certificación) |
| '''Enfoque''' | Flexible, basado en riesgos | Estructurado, basado en requisitos |
| '''Origen''' | EE.UU. (NIST) | Internacional (ISO) |
| '''Estructura''' | 5 funciones (Identificar, Proteger, Detectar, Responder, Recuperar) | 7 capítulos + Anexo A (114 controles) |
| '''Público''' | Organizaciones de cualquier sector | Organizaciones de cualquier sector |
| '''Relación''' | Se pueden complementar: algunas organizaciones usan NIST CSF para guiar la implementación y ISO 27001 para certificación |

== Beneficios del NIST CSF ==

* **Flexibilidad**: Se adapta a cualquier organización, grande o pequeña.
* **Lenguaje común**: Facilita la comunicación sobre ciberseguridad entre diferentes áreas (TI, dirección, legales).
* **Enfoque en riesgos**: Prioriza la inversión en seguridad donde más se necesita.
* **Mejora continua**: El ciclo de evaluación y mejora ayuda a mantener la seguridad actualizada.
* '''Ampliamente reconocido''': Utilizado por el gobierno de EE.UU. y muchas empresas globales.

== Ejemplo práctico ==

'''Escenario:''' Una empresa manufacturera quiere implementar el NIST CSF para mejorar su ciberseguridad.

'''Pasos:'''
1. **Identificar**: Inventariar todos los sistemas (SCADA, redes, servidores).
2. **Proteger**: Implementar firewalls, segmentación de red y MFA.
3. **Detectar**: Instalar un SIEM para monitorear accesos anómalos.
4. **Responder**: Crear un plan de respuesta a incidentes y formar al equipo.
5. **Recuperar**: Establecer copias de seguridad y un plan de recuperación ante desastres.

'''Resultado:''' La empresa reduce su riesgo y cumple con requisitos regulatorios del sector industrial.

== Relación con otros conceptos ==

* '''[[Gestión de Riesgos]]''': El NIST CSF se basa en la gestión de riesgos.
* '''[[Control de Seguridad]]''': Los controles son las actividades de las funciones "Proteger" y "Detectar".
* '''[[Defensa en profundidad]]''': Se alinea con la función "Proteger" (múltiples capas).
* '''[[Zero Trust]]''': Es compatible con el enfoque del NIST CSF.
* '''[[Gestión de Vulnerabilidades]]''': Se alinea con "Identificar" y "Detectar".
* '''[[Factor Humano]]''': La concienciación y formación son parte de "Proteger".

== Véase también ==

* [[ISO 27001]]
* [[Gestión de Riesgos]]
* [[Control de Seguridad]]
* [[Defensa en profundidad]]
* [[Zero Trust]]
* [[Gestión de Vulnerabilidades]]

----

''Esta página forma parte de la [[:Categoría:Conceptos de seguridad]].''

NIST CSF - Historial de revisiones

Fernando.VH en 21:17 20 ago 2026