NIST CSF frente a CIS Controls frente a ISO 27001
Los tres grandes marcos de seguridad comparados: estructura, número de controles, si son certificables y cuál usar.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Tres nombres que se usan como si fueran intercambiables y no lo son. Uno enmarca el riesgo, otro es una lista de comprobación priorizada y otro es una norma certificable. NIST CSF 2.0 es un marco de riesgo basado en resultados con 6 funciones (Govern, Identify, Protect, Detect, Respond, Recover) y no es certificable. CIS Controls v8.1 es una lista priorizada de 18 controles y unas 153 salvaguardas agrupadas en 3 grupos de implementación, y tampoco es certificable. ISO/IEC 27001:2022 certifica un sistema de gestión e incluye 93 controles en el anexo A, repartidos en 4 temas: es la única de las tres para la que puedes tener un certificado. No compiten: enmarca el programa y la conversación con el consejo con NIST CSF 2.0, implanta debajo las salvaguardas concretas de los CIS Controls empezando por el grupo de implementación 1 y, cuando un cliente o un regulador necesite una prueba independiente, certifica el sistema de gestión con ISO/IEC 27001. Es una herramienta Pro: con una cuenta gratuita tienes 3 usos de herramientas Pro en total y después necesitas Pro.
- Compara los tres marcos en estructura, número de controles y certificación.
- Mira qué papel cumple cada uno: enmarcar el riesgo, implantar salvaguardas o certificar el sistema de gestión.
- Decide cómo combinarlos: NIST CSF para el programa y el consejo, CIS Controls como salvaguardas (empezando por el grupo 1) e ISO 27001 cuando necesites un certificado.
- Lleva los controles a una arquitectura en Architecture Studio.
Preguntas frecuentes
¿Qué diferencia hay entre NIST CSF, CIS Controls e ISO 27001?
NIST CSF 2.0 describe resultados de seguridad en seis funciones y es el mejor para enmarcar y comunicar el riesgo; no prescribe controles concretos ni ofrece certificado. CIS Controls v8.1 es una lista priorizada y prescriptiva de 18 controles y unas 153 salvaguardas, agrupadas en tres grupos de implementación para que escale desde la pequeña empresa hasta la gran corporación. ISO/IEC 27001:2022 certifica un sistema de gestión de seguridad de la información y enumera 93 controles del anexo A en cuatro temas; es la norma con la que te pueden auditar y certificar de forma independiente.
¿Qué marco debería usar?
Usa NIST CSF 2.0 para estructurar tu programa y hablar con el consejo, CIS Controls v8.1 como las salvaguardas concretas que de verdad implantas (empieza por el grupo de implementación 1) y busca la certificación ISO/IEC 27001 cuando clientes, socios o reguladores necesiten una prueba independiente. Se superponen en lugar de competir.
¿Se puede certificar NIST CSF como ISO 27001?
No. NIST CSF 2.0 y los CIS Controls son marcos voluntarios sin certificación acreditada. Solo ISO/IEC 27001 ofrece un certificado formal, emitido por un tercero, de tu sistema de gestión, y por eso los clientes suelen pedir ISO 27001 en concreto.
¿Cuántos controles tiene ISO 27001:2022?
La revisión de 2022 de ISO/IEC 27001 tiene 93 controles en el anexo A, reorganizados en cuatro temas: organizativos (37), de personas (8), físicos (14) y tecnológicos (34). La versión anterior, de 2013, tenía 114 controles en 14 dominios.
¿Es gratis?
No, es una herramienta Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.