Qué es NIST CSF 2.0 y cómo lo usa una empresa mediana

Las seis funciones

Gobernar (Govern)

Quién decide, con qué mandato, con qué políticas y ante quién responde. Es la función que la versión 2.0 agregó, y la que convierte al marco en algo que le habla a la gerencia y no solo al área técnica.

Identificar (Identify)

Qué activos, datos, proveedores y riesgos existen. Sin este paso las otras cinco funciones se aplican a ciegas.

Proteger (Protect)

Los controles que reducen la probabilidad de un incidente: accesos, capacitación, cifrado, mantención, respaldo.

Detectar (Detect)

Cómo se descubre que algo está pasando. Es la función más débil en la mayoría de las medianas empresas: los incidentes se detectan cuando ya son visibles.

Responder (Respond)

Qué se hace durante el incidente: contención, comunicación, análisis, reporte.

Recuperar (Recover)

Cómo se vuelve a operar y qué se aprende. Conecta directamente con la continuidad del negocio.

Qué cambió en la versión 2.0

El primer cambio es la función Gobernar, que no existía en la 1.1. NIST la agregó al constatar que la mayoría de los programas de ciberseguridad no fallaban por falta de controles técnicos sino por falta de dirección: nadie decidía prioridades, nadie respondía, nadie reportaba a la gerencia.

El segundo es de alcance. La versión anterior se llamaba marco para mejorar la ciberseguridad de la infraestructura crítica, y esa etiqueta hacía que muchas empresas medianas asumieran que no era para ellas. La 2.0 quitó esa limitación y se dirige explícitamente a organizaciones de cualquier tamaño y sector.

Cómo se usa: perfiles y niveles

El marco no se aplica de una vez ni completo. La forma habitual es construir dos perfiles: el perfil actual, que describe qué se está haciendo hoy en cada función, y el perfil objetivo, que describe adónde tiene que llegar esta empresa en particular según su exposición. La distancia entre ambos es el plan de trabajo.

A eso se suman los niveles de implementación, del 1 al 4 —parcial, informado por riesgo, repetible y adaptativo—, que describen qué tan sistemática es la gestión. Se parecen mucho a una evaluación de madurez, y de hecho se usan para lo mismo: fijar un punto de partida honesto y medir avance.

Un error frecuente es aspirar al nivel 4 en las seis funciones. NIST es explícito en que el nivel objetivo depende del riesgo y los recursos de cada organización; para una mediana empresa, llegar a nivel 3 en gobernar, identificar y proteger suele valer más que perseguir el máximo en todo.

En qué se diferencia de ISO 27001

Se confunden porque ambos ordenan la seguridad, pero sirven para cosas distintas. NIST CSF describe qué capacidades tener y en qué estado; es un mapa. ISO 27001 exige un sistema de gestión y lo certifica un tercero; es un contrato con evidencia.

No compiten: es habitual usar el marco para diagnosticar y priorizar, y la norma cuando aparece una exigencia comercial concreta de certificación. Si un cliente pide un certificado, NIST CSF no sirve — no existe tal cosa. Si lo que hace falta es saber por dónde empezar, ISO 27001 es un camino más largo y más caro para responder esa pregunta.

Cómo se relaciona con la norma chilena

Ninguna ley chilena obliga a usar NIST CSF. Lo que sí ocurre es que sus funciones se mapean bien contra lo que sí es obligatorio: Responder cubre los plazos de reporte de la Ley 21.663, Proteger e Identificar cubren las medidas técnicas y organizativas del artículo 14 quinquies de la Ley 21.719, y Gobernar aporta la designación de responsables que ambas empujan.

Ese mapeo es la utilidad práctica del marco en Chile: en vez de tratar cada ley como una lista suelta de obligaciones, se administran dentro de una misma estructura, con un solo inventario y un solo plan.

Preguntas frecuentes