Lista de controles de NIST CSF 2.0: funciones y categorías

Esta es la respuesta que despeja de entrada casi toda la confusión: NIST CSF 2.0 no es una lista de controles. Es una jerarquía de resultados (6 funciones, 22 categorías y 106 subcategorías) que describe qué aspecto tiene una buena ciberseguridad, no los controles técnicos concretos que despliegas. Cuando la gente busca un «PDF con la lista de controles de NIST CSF 2.0» o una «hoja de cálculo de controles», lo que quiere en realidad es la lista de subcategorías (lo más parecido que tiene el CSF a requisitos individuales) más las Informative References que mapean cada una a catálogos de controles reales como NIST SP 800-53 y los CIS Controls. Este artículo te da la estructura, las cifras y cómo convertirlo en algo sobre lo que puedas actuar.

La estructura de CSF 2.0: 6 funciones, 22 categorías, 106 subcategorías

El NIST publicó CSF 2.0 en febrero de 2024, y el cambio principal fue añadir Govern (GV, Gobernar) como sexta función junto a las cinco originales: Identify, Protect, Detect, Respond y Recover. Es la primera función nueva desde el marco original de 2014, y es importante: Govern saca de «Identify» la estrategia de riesgos, los roles, las políticas y la supervisión de la cadena de suministro y les da su propio espacio de primer nivel. Si eres CISO, Govern es ahora la función donde viven los reportes al consejo y el apetito de riesgo.

Las seis funciones se desglosan así:

• Govern (GV): contexto organizacional, estrategia de gestión de riesgos, roles/responsabilidades/autoridades, política, supervisión y gestión del riesgo de ciberseguridad en la cadena de suministro.
• Identify (ID): gestión de activos, evaluación de riesgos y mejora.
• Protect (PR): gestión de identidades y control de acceso, concienciación y formación, seguridad de los datos, seguridad de las plataformas y resiliencia de la infraestructura tecnológica.
• Detect (DE): monitoreo continuo y análisis de eventos adversos.
• Respond (RS): gestión de incidentes, análisis de incidentes, reporte y comunicación de la respuesta a incidentes y mitigación de incidentes.
• Recover (RC): ejecución del plan de recuperación de incidentes y comunicación de la recuperación de incidentes.

Esas 22 categorías se descomponen después en 106 subcategorías: enunciados de resultados escritos en lenguaje claro, cada uno con un identificador como PR.AA-01 («la organización gestiona las identidades y credenciales de los usuarios, servicios y hardware autorizados»; en el original, «Identities and credentials for authorized users, services, and hardware are managed by the organization»). La lista de subcategorías es el artefacto al que se refiere la gente cuando pide los «controles» de CSF 2.0 en PDF o en una hoja de cálculo.

¿Cuántos controles NIST hay realmente?

Aquí es donde chocan las búsquedas. Hay dos cosas «NIST» muy distintas:

• NIST CSF 2.0: 106 subcategorías (resultados). Voluntario, de nivel de marco y aplicable a cualquier sector.
• NIST SP 800-53 Rev. 5: más de 1.000 controles y mejoras de controles organizados en 20 familias de controles (AC Access Control, AU Audit & Accountability, CM Configuration Management, IR Incident Response, etc.). Son los controles prescriptivos y comprobables que deben implementar los sistemas federales, y son las «20 familias de controles» que busca la gente.

La relación es la parte útil: el NIST publica Informative References que mapean las subcategorías del CSF a controles concretos de 800-53. Así, PR.AA-01 se mapea a controles de 800-53 de las familias IA (Identification and Authentication) y AC (Access Control). Ese mapeo es la forma de pasar de un resultado estratégico al control concreto que comprobará un auditor. No trates el CSF y 800-53 como competidores: el CSF es el mapa y 800-53 es el terreno.

Las otras listas que se confunden con el CSF: los CIS Controls y los «cyber essentials»

En las mismas búsquedas aparecen dos cosas más, y conviene distinguirlas para no reinventarlas:

• El «SANS Top 20» es ahora CIS Controls v8: 18 controles (eran 20 con la antigua marca SANS/CIS Critical Security Controls). Son salvaguardas técnicas priorizadas y ordenadas: inventario de activos de la empresa, inventario de activos de software, protección de datos, configuración segura, gestión de cuentas, gestión del control de acceso, gestión continua de vulnerabilidades, gestión de logs de auditoría, etc. Si alguien te da una subcategoría del CSF y pregunta «¿qué desplegamos realmente?», los CIS Controls suelen ser la respuesta nítida.
• Los «5 controles cyber essentials» se refieren a los cinco controles técnicos del esquema británico Cyber Essentials: firewalls, configuración segura, control de acceso de usuarios, protección contra malware y gestión de actualizaciones de seguridad (parcheo). Son un suelo, no un marco: la línea base mínima de higiene, útil para organizaciones pequeñas a las que el CSF completo o 800-53 les resultan abrumadores.

La pila práctica para la mayoría de los equipos: usa CSF 2.0 para organizar el gobierno y comunicar el riesgo a la dirección, CIS Controls v8 para priorizar qué construir primero y 800-53 cuando necesites un lenguaje de controles apto para auditoría.

Convertir la lista de subcategorías en una hoja de cálculo de trabajo

La razón por la que la gente quiere una «hoja de cálculo de controles de CSF 2.0» es hacer una evaluación de brechas. Este es un diseño de columnas que funciona de verdad, en lugar de un PDF estático:

• ID de subcategoría (p. ej., GV.RM-01)
• Enunciado del resultado (copiado literalmente del CSF Core)
• Puntuación actual: en tu propia escala de implementación (por ejemplo, de 0 no implantado a 3 totalmente implantado)
• Puntuación objetivo: dónde necesitas estar según tu apetito de riesgo
• Evidencia: la política, el ticket o la configuración que lo demuestra
• Responsable y brecha / siguiente acción

Usa tu propia escala en estas columnas, no los Implementation Tiers del CSF. Los Tiers del NIST (1 Partial, 2 Risk Informed, 3 Repeatable, 4 Adaptive) describen el rigor de las prácticas generales de gobierno y gestión del riesgo de ciberseguridad de tu organización, y el NIST dice que no son niveles de madurez, así que no corresponden a subcategorías individuales. Las columnas de puntuación actual frente a objetivo son lo que hace que el CSF sea accionable. No necesitas la máxima puntuación en todo: es caro y rara vez está justificado. Una empresa de pagos podría fijarse la máxima puntuación en seguridad de los datos (PR.DS) y monitoreo continuo (DE.CM) y aceptar una más baja en algunas subcategorías de Recover. Documentar esa diferencia deliberada es exactamente el tipo de decisión informada por el riesgo que Govern se creó para recoger.

Un ejemplo práctico de priorización

Supón que tu evaluación muestra estas tres brechas: ID.AM-01 (inventario de hardware) con un 1, PR.AA-05 (permisos de acceso/mínimo privilegio) con un 2 y RC.RP-01 (ejecución del plan de recuperación) con un 1. ¿Cuál corriges primero?

Ordena por dependencias, no por puntuación. No puedes aplicar el mínimo privilegio (PR.AA-05) de forma fiable sin saber qué activos e identidades existen, así que ID.AM-01 va primero, porque varios resultados de Protect y Detect dependen de un inventario fiable. También por eso el CIS Control 1 (inventario de activos) encabeza esa lista. La ejecución del plan de recuperación importa, pero un plan documentado aunque sin probar (que sube la puntuación de RC.RP-01) es una victoria rápida y barata que puedes lograr en paralelo. La clave: la lista de subcategorías del CSF solo se convierte en un motor de priorización cuando le superpones las dependencias y el impacto en el negocio, no cuando te limitas a contar celdas rojas.

Dónde conseguir la fuente oficial

Evita los «PDF de CSF 2.0» republicados por terceros y de fecha desconocida. El NIST publica directamente en su sitio el CSF 2.0 Core, la lista completa de subcategorías y exportaciones legibles por máquina (incluidos los mapeos de Informative References a 800-53 y CIS). Empieza por la página del NIST Cybersecurity Framework, que aloja el documento de CSF 2.0 (NIST CSWP 29) y la CSF 2.0 Reference Tool para navegar y exportar el Core. Los mapeos a otros catálogos están en la Cybersecurity and Privacy Reference Tool (CPRT) del NIST.

Para ver dónde está tu organización en las seis funciones antes de construir la hoja de cálculo completa, la autoevaluación NIST CSF 2.0 de PlayCISO te hace dos preguntas por función y te muestra la más débil.