Función Govern de NIST CSF 2.0: qué cambió y cómo aplicarla

La función Govern es el gran cambio del NIST Cybersecurity Framework 2.0, publicado en febrero de 2024: el primer cambio estructural del marco desde el original de 2014. Añade una sexta función (abreviada GV) que se sitúa por encima y alrededor de las cinco existentes, y establece el contexto organizativo, la estrategia de gestión de riesgos, las funciones, las políticas y la supervisión de las que dependen las demás funciones. En términos prácticos, Govern es donde la ciberseguridad deja de ser un proyecto de TI y se convierte en un riesgo empresarial gobernado, con responsabilidades asignadas, un apetito de riesgo definido y supervisión del consejo. Si buscas un «PDF que explique la función Govern», la fuente autorizada es la propia publicación gratuita de CSF 2.0 del NIST y su herramienta de referencia en nist.gov/cyberframework; a continuación tienes la explicación de trabajo que realmente necesitas para actuar.

Las seis funciones de CSF 2.0 (y por qué cambió el número)

La gente sigue preguntando por «las cinco funciones del NIST CSF» o «las seis funciones principales»: ambas cosas son correctas según la versión a la que te refieras. CSF 1.1 tenía cinco; CSF 2.0 tiene seis. El conjunto completo es:

• Govern (GV): nueva en 2.0. Establece y supervisa la estrategia, las expectativas y la política de gestión del riesgo de ciberseguridad.
• Identify (ID): entender los activos, los proveedores y los riesgos.
• Protect (PR): salvaguardas para limitar o contener el impacto de los eventos.
• Detect (DE): encontrar y analizar posibles ataques y compromisos.
• Respond (RS): actuar ante un incidente detectado.
• Recover (RC): restaurar los activos y las operaciones afectados por un incidente.

El cambio importante es conceptual: el NIST representa Govern como un anillo que rodea a las otras cinco, no como un paso de una secuencia. La gobernanza orienta cómo identificas, proteges, detectas, respondes y te recuperas: no es una fase que terminas y dejas atrás. Gran parte de lo que en CSF 1.1 vivía en la función Identify, en las categorías «Governance» y «Risk Management Strategy», se extrajo y se elevó a esta nueva función de primer nivel, por eso el cambio es estructural y no cosmético.

Qué hay dentro de Govern: las seis categorías

Govern se divide en seis categorías. Conocerlas por su nombre te permite asociar directamente los artefactos de tu programa actual a cada una:

• Organizational Context (GV.OC): la misión, las expectativas de las partes interesadas, los requisitos legales/regulatorios y las dependencias que condicionan las decisiones de riesgo.
• Risk Management Strategy (GV.RM): las declaraciones de apetito y tolerancia al riesgo, y cómo se toman y comunican las decisiones de riesgo.
• Roles, Responsibilities, and Authorities (GV.RR): quién es responsable de qué, incluida la rendición de cuentas de la dirección y la asignación de recursos.
• Policy (GV.PO): el establecimiento, la comunicación y la aplicación de la política de ciberseguridad.
• Oversight (GV.OV): cómo revisa la dirección el rendimiento de la estrategia y la ajusta según los resultados.
• Cybersecurity Supply Chain Risk Management (GV.SC): la C-SCRM como un programa gobernado, no como una casilla improvisada de compras.

Dos de ellas merecen énfasis porque es donde la mayoría de los programas son más débiles. GV.OV (Oversight) es el ciclo de retroalimentación: te obliga a medir si tu estrategia funciona y a informar de ello hacia arriba, que es exactamente lo que los consejos esperan ahora después de que las normas de divulgación de la SEC situaran el ciberriesgo en la misma categoría que el riesgo financiero material. GV.SC da al riesgo de la cadena de suministro su propio lugar; en CSF 1.1 estaba enterrado, y elevarlo refleja la realidad de que la mayoría de las grandes brechas entran hoy a través de un tercero.

Cómo se relaciona Govern con los 7 pasos del RMF

Los lectores confunden con frecuencia el CSF con el Risk Management Framework (RMF) del NIST. Son complementarios, no lo mismo. Los 7 pasos del RMF (de NIST SP 800-37) son: Prepare, Categorize, Select, Implement, Assess, Authorize y Monitor. El RMF es un proceso detallado a nivel de controles (principalmente para sistemas federales que buscan una autorización para operar) construido en torno a los controles de NIST SP 800-53. El CSF es de más alto nivel y está basado en resultados, pensado para que cualquier organización comunique y priorice el riesgo.

La conexión: el paso «Prepare» del RMF y la función Govern del CSF cubren gran parte del mismo terreno: establecer el contexto, las funciones y la estrategia de riesgo antes de tocar un solo control técnico. Si usas el RMF, trata Govern como el lenguaje con el que informas de los resultados del RMF a directivos que no quieren oír hablar de líneas base de controles. Govern es la sala del consejo; el RMF es la planta de ingeniería.

No existe una «lista oficial de controles de CSF 2.0»: esto es lo que debes usar

Una búsqueda habitual es «lista de controles NIST CSF 2.0 en Excel». Hay que ser preciso: CSF no publica controles. Publica Funciones → Categorías → Subcategorías (declaraciones de resultados), más Informative References que asocian cada Subcategoría a conjuntos de controles reales como NIST SP 800-53, CIS Controls e ISO/IEC 27001. Así que cuando alguien te pasa una «lista de controles del CSF», normalmente se refiere a una de dos cosas:

• El propio CSF Core: las seis funciones y sus subcategorías, disponible como hoja de cálculo descargable en la web del NIST. Es el andamiaje de tu evaluación.
• Una tabla de correspondencias que asocia las subcategorías del CSF al marco de controles que realmente implantas (800-53, CIS, ISO 27001).

Usa la CSF 2.0 Reference Tool gratuita del NIST para exportar el Core y sus correspondencias en JSON o Excel en lugar de fiarte de un PDF de terceros de antigüedad desconocida. Así tu «lista de controles» se puede rastrear hasta la fuente y sigue alineada cuando el NIST actualiza las Informative References.

Un primer paso práctico para implantar Govern

No intentes implantar las seis categorías de Govern a la vez. Prioriza según lo que es más probable que le pidan demostrar a tu organización:

• Empieza por GV.RR (funciones). Escribe, en una página, quién responde del riesgo de ciberseguridad a nivel directivo y quién es responsable de cada dominio de riesgo. Si no puedes nombrar a un único directivo responsable, esa es tu primera carencia.
• Después GV.RM (estrategia de riesgo). Redacta una declaración de apetito de riesgo de un párrafo que tu dirección vaya a firmar de verdad. «Aceptamos X, no aceptamos Y»: concreta, no aspiracional.
• Después GV.OC (contexto). Enumera tus obligaciones legales/regulatorias y tus tres principales dependencias de la misión. Esto delimita todo lo demás.
• Después GV.PO y GV.OV. Confirma que tus políticas se corresponden con lo anterior y que la dirección revisa el rendimiento con una cadencia fija: trimestral es un valor por defecto razonable.
• Después GV.SC. Inventaría tus proveedores críticos y sus accesos, y exige cláusulas de seguridad en los contratos.

Para cada una, evalúate según los cuatro Tiers del CSF (Partial, Risk Informed, Repeatable, Adaptive) y registra evidencias. Eso te da un perfil actual defendible y un perfil objetivo: exactamente el artefacto que piden auditores y consejos.

Si quieres pasar de leer sobre Govern a puntuar tu propio programa en las seis funciones, la NIST CSF 2.0 Assessment gratuita de PlayCISO te guía por cada función y categoría (incluidos los nuevos resultados de Govern) y produce un perfil actual frente a objetivo que puedes llevar directamente a una revisión con la dirección.

Preguntas frecuentes

¿Cuáles son las seis funciones de NIST CSF 2.0?

La gente sigue preguntando por «las cinco funciones del NIST CSF» o «las seis funciones principales»: ambas cosas son correctas según la versión a la que te refieras. CSF 1.1 tenía cinco; CSF 2.0 tiene seis. El conjunto completo es: Govern (GV): nueva en 2.0. Establece y supervisa la estrategia, las expectativas y la política de gestión del riesgo de ciberseguridad.

¿Cuáles son las seis categorías de la función Govern?

Govern se divide en seis categorías. Conocerlas por su nombre te permite asociar directamente los artefactos de tu programa actual a cada una: Organizational Context (GV.OC): la misión, las expectativas de las partes interesadas, los requisitos legales/regulatorios y las dependencias que condicionan las decisiones de riesgo.

¿Existe una lista oficial de controles de NIST CSF 2.0?

Una búsqueda habitual es «lista de controles NIST CSF 2.0 en Excel». Hay que ser preciso: CSF no publica controles. Publica Funciones → Categorías → Subcategorías (declaraciones de resultados), más Informative References que asocian cada Subcategoría a conjuntos de controles reales como NIST SP 800-53, CIS Controls e ISO/IEC 27001.

¿Cómo se implanta la función Govern?

No intentes implantar las seis categorías de Govern a la vez. Prioriza según lo que es más probable que le pidan demostrar a tu organización: Empieza por GV.RR (funciones). Escribe, en una página, quién responde del riesgo de ciberseguridad a nivel directivo y quién es responsable de cada dominio de riesgo.