Función Govern de NIST CSF 2.0: qué cambió y qué hacer

En febrero de 2024, el NIST publicó CSF 2.0 y añadió Govern (GV) como sexta función, junto a las cinco originales: Identify, Protect, Detect, Respond y Recover. Fue el primer cambio estructural del marco desde el original de 2014. Govern no es solo una casilla más en un diagrama; es la capa que establece, comunica y supervisa la estrategia, las expectativas y la política de gestión del riesgo de ciberseguridad de la organización. En la práctica, Govern responde a la pregunta que las otras cinco funciones dan por respondida: ¿quién decidió que así es como gestionamos el ciberriesgo y cómo sabemos que funciona? Si has gestionado tu programa con el antiguo modelo de cinco funciones, la lectura honesta es que probablemente ya hacías trabajo de gobernanza: CSF 2.0 solo le da un lugar y un conjunto de categorías con las que medirlo.

Las seis funciones de NIST CSF 2.0, y por qué el número cambia tanto en las búsquedas

La gente busca «cinco funciones del NIST CSF», «seis funciones» e incluso «siete pasos», así que aclaremos la confusión directamente, porque son tres cosas distintas:

• Cinco funciones se refiere a CSF 1.0/1.1 (2014–2018): Identify, Protect, Detect, Respond, Recover.
• Seis funciones es CSF 2.0 (febrero de 2024): las mismas cinco más Govern.
• Siete pasos es un documento del NIST totalmente distinto: el Risk Management Framework (RMF) de SP 800-37: Prepare, Categorize, Select, Implement, Assess, Authorize y Monitor. El RMF es un proceso obligatorio para los sistemas federales; el CSF es un marco voluntario basado en resultados. No los confundas.

Las funciones de CSF 2.0 se entienden mejor como una rueda, no como una escalera. Govern está en el centro. Identify, Protect, Detect, Respond y Recover son los radios operativos. Govern orienta a las cinco y se nutre de ellas: fija el apetito de riesgo que determina qué identificas como crítico, la política que obliga a lo que proteges y la autoridad de escalado que condiciona cómo respondes.

Qué contiene realmente Govern: las seis categorías

Govern se organiza en seis categorías. Conocerlas por su nombre importa porque son aquello frente a lo que te evaluará un auditor o un consejo:

• Organizational Context (GV.OC): entender la misión, las partes interesadas, los requisitos legales/regulatorios y las dependencias críticas que condicionan las decisiones de riesgo.
• Risk Management Strategy (GV.RM): establecer declaraciones de apetito y tolerancia al riesgo, y usarlas para priorizar.
• Roles, Responsibilities, and Authorities (GV.RR): hacer explícita la rendición de cuentas en ciberseguridad, también a nivel de la dirección y del consejo.
• Policy (GV.PO): establecer y mantener la política de ciberseguridad de la organización.
• Oversight (GV.OV): revisar si la estrategia y sus resultados funcionan de verdad, y ajustarla.
• Cybersecurity Supply Chain Risk Management (GV.SC): gestionar el riesgo de terceros y proveedores como una disciplina gobernada y continua.

La incorporación más importante aquí es GV.SC. En CSF 1.1, el riesgo de la cadena de suministro estaba disperso y poco ponderado. CSF 2.0 lo eleva a una categoría de gobernanza completa: una respuesta directa a la realidad de la era SolarWinds de que tu superficie de ataque incluye a cada proveedor con un token en tu entorno.

Por qué se añadió Govern y qué corrige

El problema práctico que CSF 1.1 dejó sin resolver fue la rendición de cuentas. Las organizaciones podían mostrar controles Protect y Detect sólidos sin tener un apetito de riesgo documentado, ni un directivo responsable con nombre, ni una cadencia para que el consejo revisara si la estrategia seguía siendo válida. Así acabas con un SOC muy instrumentado que no informa a nadie con capacidad para cambiar las prioridades.

Govern saca a la luz tres cosas:

• Un apetito de riesgo por escrito (GV.RM). No «nos tomamos la seguridad en serio», sino una declaración real como «no aceptaremos ningún sistema expuesto a internet sin MFA, y aceptamos hasta X horas de RTO para las aplicaciones de nivel 2». Es lo que te permite defender una decisión de no arreglar algo.
• Autoridad con nombre (GV.RR). ¿Quién aprueba aceptar una vulnerabilidad crítica más allá de su SLA de remediación? Si la respuesta es «depende», GV.RR es tu carencia.
• Cadencia de supervisión (GV.OV). Un ciclo definido en el que los resultados retroalimentan la estrategia. Es el mecanismo que impide que el marco se convierta en un artefacto de auditoría puntual.

Un ejemplo práctico: llevar una decisión real a través de Govern

Supón que tu equipo encuentra una vulnerabilidad crítica de RCE en una aplicación expuesta a internet propiedad de un proveedor externo. Así la encauza CSF 2.0, y por eso Govern marca la diferencia entre el caos y una decisión limpia:

• GV.SC ya te dijo que este proveedor es de nivel 1 y está obligado por contrato a parchear las críticas en 72 horas, así que conoces tu margen de presión antes de coger el teléfono.
• GV.RR te dice que es el VP de Ingeniería, y no el analista de guardia, quien tiene la autoridad para aceptar el riesgo si el proveedor no cumple el plazo.
• GV.RM te da el umbral de tolerancia: una RCE expuesta a internet sin parchear más allá de 72 horas incumple tu apetito declarado, lo que activa un escalado obligatorio en lugar de una decisión a criterio.
• Detect y Respond se encargan de la contención técnica: controles compensatorios, monitorización, aislamiento.
• GV.OV es donde este incidente se revisa después para preguntarse si tus SLA y tolerancias con los proveedores deben endurecerse.

Sin Govern, ese mismo incidente se convierte en una discusión sobre quién puede decidir, mantenida durante el incidente y bajo presión. Ese es el modo de fallo que Govern está diseñado para eliminar.

Cómo poner en práctica Govern sin intentar abarcarlo todo

No necesitas un consultor ni un programa de seis meses. Empieza con una revisión de carencias frente a las seis categorías de Govern, priorizada por lo que desbloquea más decisiones:

• Semanas 1–2: redacta o localiza tus declaraciones de apetito y tolerancia al riesgo (GV.RM). Si no existen, es tu artefacto individual de mayor efecto.
• Semana 3: construye una matriz RACI para las decisiones de ciberriesgo: excepciones de vulnerabilidades, escalado de incidentes, aprobación de excepciones (GV.RR). Hazla circular entre las personas nombradas y obtén su conformidad explícita.
• Semana 4: inventaría tus proveedores de nivel 1 y confirma que cada uno tiene requisitos de seguridad en el contrato (GV.SC). Marca los que no los tienen.
• De forma continua: establece una revisión de supervisión trimestral en la que las métricas suban a la dirección (GV.OV), y agrupa las políticas de seguridad dispersas bajo un único responsable (GV.PO).

Unas palabras sobre las herramientas: muchos equipos buscan una «hoja de cálculo de controles de NIST CSF 2.0» o una «lista de controles» para seguir esto. Es un artefacto de partida razonable: el NIST publica el Core completo como referencia descargable, y las Informative References asocian cada subcategoría a controles de SP 800-53, ISO 27001 y CIS. Pero una hoja de cálculo es un marcador, no un programa. El valor está en las decisiones que documenta Govern, no en una celda en verde.

Si quieres ver dónde está tu programa frente a las seis funciones (incluidas las nuevas categorías de Govern) antes de dedicar tiempo a un análisis de carencias completo, la NIST CSF 2.0 Assessment gratuita de PlayCISO te guía por el Core y muestra tu perfil actual en más o menos lo que se tarda en leer este artículo. Es una forma rápida y honesta de descubrir qué categoría de Govern es realmente tu eslabón más débil.

Preguntas frecuentes

¿Cuáles son las seis funciones de NIST CSF 2.0?

La gente busca «cinco funciones del NIST CSF», «seis funciones» e incluso «siete pasos», así que aclaremos la confusión directamente, porque son tres cosas distintas: Cinco funciones se refiere a CSF 1.0/1.1 (2014–2018): Identify, Protect, Detect, Respond, Recover.

¿Cuáles son las seis categorías de Govern?

Govern se organiza en seis categorías. Conocerlas por su nombre importa porque son aquello frente a lo que te evaluará un auditor o un consejo: Organizational Context (GV.OC): entender la misión, las partes interesadas, los requisitos legales/regulatorios y las dependencias críticas que condicionan las decisiones de riesgo.

¿Por qué se añadió Govern a NIST CSF 2.0?

El problema práctico que CSF 1.1 dejó sin resolver fue la rendición de cuentas. Las organizaciones podían mostrar controles Protect y Detect sólidos sin tener un apetito de riesgo documentado, ni un directivo responsable con nombre, ni una cadencia para que el consejo revisara si la estrategia seguía siendo válida.

¿Cómo se pone en práctica Govern?

No necesitas un consultor ni un programa de seis meses. Empieza con una revisión de carencias frente a las seis categorías de Govern, priorizada por lo que desbloquea más decisiones: Semanas 1–2: redacta o localiza tus declaraciones de apetito y tolerancia al riesgo (GV.RM).