NIST Cybersecurity Framework (CSF)

El NIST Cybersecurity Framework (CSF) es un marco de trabajo desarrollado por el Instituto Nacional de Estándares y Tecnología de EE.UU. (NIST) para ayudar a las organizaciones a gestionar y reducir los riesgos de ciberseguridad.

A diferencia de ISO 27001 (que es un estándar de gestión), el NIST CSF es un marco flexible basado en riesgos que puede ser adaptado por organizaciones de cualquier tamaño y sector. Es ampliamente utilizado en Estados Unidos y cada vez más en todo el mundo.

Historia del NIST CSF

El NIST CSF fue creado en respuesta a la Orden Ejecutiva 13636 de EE.UU. (2013), que buscaba mejorar la ciberseguridad de las infraestructuras críticas. La primera versión se publicó en 2014, y desde entonces ha sido actualizada (la versión 2.0 se publicó en 2024).

Estructura del NIST CSF

El marco se organiza en tres niveles principales:

1. Núcleo (Core)

El núcleo define las actividades y resultados deseados en ciberseguridad. Se organiza en 5 funciones principales:

Función 1: Identificar (Identify)

Desarrollar la comprensión de la organización para gestionar el riesgo.

Actividades: Inventario de activos, identificar riesgos, entender el contexto empresarial.
Relacionado con: Gestión de Riesgos, Superficie de Ataque.

Función 2: Proteger (Protect)

Implementar salvaguardas para asegurar la entrega de servicios críticos.

Actividades: Control de acceso, formación, cifrado, protección de datos, mantenimiento.
Relacionado con: Control de Seguridad, Cifrado, Principio de Mínimo Privilegio, Defensa en profundidad.

Función 3: Detectar (Detect)

Desarrollar actividades para identificar la ocurrencia de un evento de ciberseguridad.

Actividades: Monitoreo continuo, detección de anomalías, análisis de logs.
Relacionado con: Gestión de Vulnerabilidades, Factor Humano (reporte de incidentes).

Función 4: Responder (Respond)

Desarrollar actividades para tomar acción ante un incidente de ciberseguridad.

Actividades: Plan de respuesta, comunicación, análisis forense, mejora continua.
Relacionado con: Respuesta a incidentes, Gestión de Riesgos.

Función 5: Recuperar (Recover)

Desarrollar actividades para restaurar las capacidades afectadas por un incidente.

Actividades: Plan de recuperación, comunicaciones, mejora de la resiliencia.
Relacionado con: Copias de seguridad, planes de continuidad de negocio.

2. Niveles de Implementación (Tiers)

Los niveles describen el grado en que una organización ha integrado el CSF en su gestión de riesgos:

| Nivel | Descripción | |-------|-------------| | Nivel 1 (Parcial) | Riesgos gestionados de forma ad-hoc, sin un enfoque formal. | | Nivel 2 (Informado por riesgos) | Gestión de riesgos aprobada por la dirección, pero no estandarizada. | | Nivel 3 (Repetible) | Gestión de riesgos formal y repetible en toda la organización. | | Nivel 4 (Adaptable) | Gestión de riesgos proactiva, adaptable y en mejora continua. |

3. Perfiles (Profiles)

Un perfil es una alineación de las funciones, categorías y subcategorías del núcleo con los requisitos de la organización.

**Perfil Actual**: Estado actual de la ciberseguridad.
**Perfil Objetivo**: Estado deseado de la ciberseguridad.

La diferencia entre ambos perfiles ayuda a identificar brechas y priorizar acciones.

NIST CSF vs. ISO 27001

| Característica | NIST CSF | ISO 27001 | |----------------|----------|-----------| | Tipo | Marco de trabajo (framework) | Estándar de gestión | | Certificación | No certificable (no hay certificación oficial) | Certificable (organizaciones pueden obtener certificación) | | Enfoque | Flexible, basado en riesgos | Estructurado, basado en requisitos | | Origen | EE.UU. (NIST) | Internacional (ISO) | | Estructura | 5 funciones (Identificar, Proteger, Detectar, Responder, Recuperar) | 7 capítulos + Anexo A (114 controles) | | Público | Organizaciones de cualquier sector | Organizaciones de cualquier sector | | Relación | Se pueden complementar: algunas organizaciones usan NIST CSF para guiar la implementación y ISO 27001 para certificación |

Beneficios del NIST CSF

**Flexibilidad**: Se adapta a cualquier organización, grande o pequeña.
**Lenguaje común**: Facilita la comunicación sobre ciberseguridad entre diferentes áreas (TI, dirección, legales).
**Enfoque en riesgos**: Prioriza la inversión en seguridad donde más se necesita.
**Mejora continua**: El ciclo de evaluación y mejora ayuda a mantener la seguridad actualizada.
Ampliamente reconocido: Utilizado por el gobierno de EE.UU. y muchas empresas globales.

Ejemplo práctico

Escenario: Una empresa manufacturera quiere implementar el NIST CSF para mejorar su ciberseguridad.

Pasos: 1. **Identificar**: Inventariar todos los sistemas (SCADA, redes, servidores). 2. **Proteger**: Implementar firewalls, segmentación de red y MFA. 3. **Detectar**: Instalar un SIEM para monitorear accesos anómalos. 4. **Responder**: Crear un plan de respuesta a incidentes y formar al equipo. 5. **Recuperar**: Establecer copias de seguridad y un plan de recuperación ante desastres.

Resultado: La empresa reduce su riesgo y cumple con requisitos regulatorios del sector industrial.

Relación con otros conceptos

Gestión de Riesgos: El NIST CSF se basa en la gestión de riesgos.
Control de Seguridad: Los controles son las actividades de las funciones "Proteger" y "Detectar".
Defensa en profundidad: Se alinea con la función "Proteger" (múltiples capas).
Zero Trust: Es compatible con el enfoque del NIST CSF.
Gestión de Vulnerabilidades: Se alinea con "Identificar" y "Detectar".
Factor Humano: La concienciación y formación son parte de "Proteger".

Véase también

Esta página forma parte de la Categoría:Conceptos de seguridad.