Las necesarias hacen funcionar el sitio. Las demás miden qué páginas ayudan y qué anuncios traen a quien necesita a DM11. Tú eliges, y puedes revisarlo desde el pie de página.
NIST CYBERSECURITY FRAMEWORK
Dónde está tu empresa hoy y dónde la dirección decidió que necesita estar. Esa diferencia, medida con método y revisada cada tanto, es la única respuesta honesta a la pregunta que todo directorio hace y que casi ningún área de seguridad logra responder sin una presentación de cuarenta páginas.
El NIST CSF es un framework público y de adopción voluntaria. Lo que DM11 entrega es la evaluación, los dos perfiles, el plan y la rutina de seguimiento, que es lo que le responde al directorio. Cuando el objetivo también incluye un documento para enviar a un cliente, la página de ISO 27001 o la de SOC 2 explican ese camino, y los dos trabajos se apoyan.
Quién conduce la implantación
ISO/IEC 27001 Lead Auditor certificado por BSI
CISA, auditoría de sistemas de información
Especialistas en gestión de riesgos y continuidad del negocio
17 años de gobernanza, riesgos y cumplimiento
QUÉ ES
El Cybersecurity Framework lo publica el instituto estadounidense de estándares y tecnología, y está en la versión 2.0 desde el 26 de febrero de 2024. Organiza la seguridad en funciones, categorías y subcategorías, y cada subcategoría describe un resultado a alcanzar. No es norma certificable ni manual técnico: es la estructura que permite acompañar la seguridad a lo largo del tiempo con un vocabulario que el directorio entiende.
Identificar, proteger, detectar, responder y recuperar ya existían. La versión 2.0 agregó gobernar, y la puso en el centro de las otras cinco. El cambio tiene consecuencia práctica: gobernar trata de quién decide, quién responde y cuál es el apetito de riesgo de la empresa, que es justamente lo que faltaba cuando el framework describía actividad sin describir responsabilidad. Si el material que tienes muestra cinco funciones, es de la versión anterior.
Son 22 categorías y 106 subcategorías, y cada una describe qué debe ser verdad, sin decir con qué tecnología. Eso es deliberado y es la mayor fuerza del framework: no envejece junto con el mercado de herramientas, y ningún proveedor puede usarlo para argumentar que su producto es obligatorio.
El perfil actual registra dónde está la empresa, subcategoría por subcategoría. El perfil objetivo registra dónde decidió estar, que no es lo mismo que el máximo posible. La distancia entre los dos es el plan, es el presupuesto y es lo que se presenta al directorio. Ninguna otra referencia de esta página produce ese artefacto.
Los cuatro niveles describen el rigor con que la empresa gobierna y gestiona el riesgo, y elegir el nivel es una decisión de apetito de riesgo y de recursos, no una escalera para subir por deporte. La mayoría de las empresas no justifica el nivel más alto, y tratarlo como meta es el error de lectura más común. Como el framework es de adopción voluntaria, no produce certificado de conformidad, y por eso su valor aparece en el seguimiento a lo largo del tiempo.
QUIÉN SUELE NECESITARLO
Fíjate que ninguna termina en certificado. El CSF resuelve seguimiento y conversación; cuando el problema es probar algo a un tercero, el camino es otra norma.
Y hoy la respuesta es una presentación larga que nadie logra convertir en decisión. Con los dos perfiles armados, la pregunta pasa a tener una respuesta de una página, con una distancia medida y un costo asociado a cerrarla, que es el formato en que un directorio decide.
Pentest por un lado, adecuación a la ley de datos por otro, un proyecto de continuidad detenido en el medio y herramientas compradas en momentos distintos. El CSF es el paraguas que muestra qué cubren juntos esos frentes, y sobre todo qué no cubre ninguno de ellos.
Común en filiales de empresas estadounidenses y en proveedores de sectores regulados. El pedido suele llegar sin detalle, y la primera entrega útil es traducir qué significa: casi siempre es el perfil actual documentado, y no una promesa de nivel 4.
HISTORIAS
Cambiamos los nombres de los clientes con el mismo sigilo que protegerá a tu empresa después. Los nombres cambian, el patrón de los problemas se repite. Cuando el cliente lo autoriza, damos referencias con nombre en una conversación.
Servicios financieros
Cada trimestre el directorio preguntaba si la empresa estaba segura, y el área de tecnología respondía con un material extenso, lleno de indicadores de herramientas y sin ningún hilo conductor. La pregunta volvía idéntica al trimestre siguiente, porque la respuesta nunca se convertía en decisión de inversión.
Armamos el perfil actual del CSF y condujimos una sesión con la dirección para definir el perfil objetivo, función por función. La discusión fue de apetito de riesgo, no de tecnología, y fue la primera vez que ese grupo definió explícitamente hasta dónde quería llegar en cada frente.
La distancia entre los dos perfiles se volvió una sola página, con costo asociado. El directorio pasó a discutir cuánto cerrar de la diferencia en lugar de preguntar si estaba seguro, y el área de tecnología dejó de defender presupuesto sin referencia.
Filial de multinacional
La casa matriz pidió alineación al CSF. La operación brasileña tenía certificación ISO 27001 vigente y la lectura interna era que el pedido ya estaba atendido: bastaba enviar el certificado y cerrar el asunto.
Mapeamos los controles existentes contra las seis funciones. Identificar, proteger y detectar salieron fuertes, como era de esperar de quien tiene un sistema de gestión certificado. Responder aparecía razonable en el papel y nunca había sido ejercitado, y recuperar estaba prácticamente vacío: había respaldo y no había plan de reanudación del negocio.
El certificado no respondía al pedido, y eso quedó claro en dos semanas en lugar de seis meses de malentendido con la matriz. El proyecto que nació de ahí fue de continuidad, que era la brecha real, y no un control de seguridad más.
Logística
La empresa sufrió un incidente serio y reaccionó invirtiendo fuerte en herramientas de detección, que era donde se había sentido el dolor. Un año después, con la inversión hecha, nadie sabía decir si la empresa aguantaría mejor el mismo evento.
Hicimos la evaluación por las seis funciones y la rueda salió visiblemente torcida: detectar muy por encima del resto, responder sin procedimiento probado y recuperar sin plazo definido para nada. Mostramos que la siguiente unidad de presupuesto rendía más fuera de detección que dentro.
El incidente había comprado la herramienta correcta para el problema equivocado. La empresa siguió detectando bien y pasó a saber qué hacer después de detectar, que era exactamente lo que había faltado la primera vez.
AUTODIAGNÓSTICO
Veintiuna preguntas, y la primera no entra en la nota: sirve para entender tu caso. El resultado aparece completo en la pantalla, con la nota de cada función y una lectura honesta de lo que falta. El CSF no es certificable, y este diagnóstico no es una evaluación: estima tu perfil actual, que es la mitad del trabajo. La otra mitad es que la dirección decida dónde quiere estar. No pedimos correo electrónico para mostrar el resultado.
La lectura de cada área, en las tres franjas de resultado. Es el mismo texto que llega por correo a quien se identifica, publicado aquí para quien quiere entender qué mide la nota antes de responder.
Menos de 50
Una nota baja aquí pesa más de lo que parece, porque gobernar responde por un cuarto del resultado y es la función que la versión 2.0 puso en el centro de las otras cinco. En la práctica dice que la seguridad en tu empresa es asunto de quien ejecuta, y no de quien decide. Lo que suele faltar son cuatro cosas escritas: cuánto riesgo acepta la empresa, quién responde por cada función, cuándo el tema vuelve a la agenda y qué criterio vale para aceptar a un proveedor. El paso concreto cabe en una página, y no en un programa: una hoja con esos cuatro ítems, aprobada en una reunión y fechada, mueve más este número que cualquier proyecto técnico del semestre.
De 50 a 79
Hay gobernanza, y vive en las personas en lugar de vivir en decisiones. El síntoma es conocido: cada director describiría el apetito de riesgo de una manera distinta, y nadie lo nota mientras el equipo no cambia. Lo que suele faltar no es escribir desde cero, es formalizar lo que ya es consenso y fecharlo, además del criterio de proveedor, que la 2.0 llevó dentro de gobernar y casi todo el mundo sigue tratando como asunto de compras. El paso concreto es convertir en acta la próxima conversación que ya iba a ocurrir, con una decisión nombrada y un dueño por frente.
80 o más
La empresa decide sobre seguridad en lugar de reaccionar a ella, lo que es una minoría clara en el mercado. Lo que suele faltar en este rango es un método registrado de medición: quien ya contrató un diagnóstico tiende a dar el ítem por resuelto, y la prueba real es otra, si otra persona lograría repetir la misma medición dentro de un año y llegar a un número comparable. Vale confirmar también si el apetito de riesgo escrito se cita cuando se decide qué no hacer, porque ahí es donde prueba que existe. Y vale la salvedad de siempre: una nota alta en gobernar no es un nivel declarado, porque el nivel se decide con la dirección contra apetito y recursos, no se autodeclara.
Menos de 50
Sin saber qué no puede perder la empresa, toda prioridad se vuelve la preferencia de quien habla más fuerte, y por eso esta función suele explicar notas bajas en proteger y en recuperar. El error de orden más común es empezar por el inventario técnico de equipos, que es largo y rinde poco aquí. El camino más corto es el inverso: sentarse con las áreas de negocio, listar los procesos que se detienen primero y solo entonces preguntar de qué sistemas depende cada uno. Una tarde con tres áreas produce más que un mes de descubrimiento automatizado.
De 50 a 79
El relevamiento existe y envejeció, que es el estado más común de esta función. Una lista armada una vez y actualizada cuando alguien se acuerda deja de valer el día en que un área contrata un servicio en la nube por su cuenta, y nadie se entera hasta el incidente. Lo que suele faltar es el disparador: quién avisa cuando entra un sistema nuevo, y con qué periodicidad se revisa la lista. El paso concreto es fechar la última revisión de cada ítem y marcar la siguiente, porque un ítem sin fecha no denuncia que está viejo.
80 o más
La empresa sabe qué tiene, de quién es y qué duele primero, y esa es la base que hace rendir todo el resto del CSF. El punto de atención de este rango es el borde: lo que contrató directo un área de negocio, lo que corre en el servicio de un tercero y el dato que solo existe en la planilla de alguien rara vez entran en la lista buena. Vale también confrontar el registro de riesgos con las decisiones de los últimos meses, porque un riesgo aceptado sin el nombre de quien lo aceptó vuelve como sorpresa. El próximo paso es revisar cuando el contexto cambia, y no en una fecha de calendario.
Menos de 50
Esta es la función en la que más dinero se gasta y menos decisión se registra, y una nota baja aquí casi siempre significa lo segundo, no lo primero. Probablemente hay controles funcionando, y lo que falta es la regla que dice quién puede ver qué, con una revisión que ocurra y deje rastro. El paso concreto y barato es elegir los tres sistemas más críticos, listar quién tiene acceso a ellos hoy y revisar esa lista con el gerente del área. La conversación sobre cuánto invertir viene después de esa, nunca antes.
De 50 a 79
La protección existe, y depende de que las personas correctas sigan en la empresa. Una regla que vive en la política y una revisión que ocurre cuando sobra tiempo producen exactamente este número. Lo que suele faltar tiene dos frentes: la revisión de accesos con registro de quién revisó y de qué se quitó, y alguna medida del efecto de la capacitación, porque una lista de asistencia mide presencia y no comprensión. El paso concreto es fijar una fecha de revisión de accesos en el calendario del responsable, con la instrucción de registrar lo que se retiró, que es la parte que se vuelve evidencia.
80 o más
Los controles siguen una regla y la regla se revisa, lo que ya resuelve la mayor parte de lo que pide esta función. Lo que suele faltar en este rango es la autocrítica sobre el origen de la inversión: la pregunta sobre prioridad de compra es la menos confiable de este diagnóstico, porque quien responde muchas veces es quien firmó. Vale una prueba simple e incómoda, tomar los tres mayores gastos de seguridad de los últimos dos años y buscar el riesgo identificado que los antecede. Si no existe por escrito, la nota real de esta función es un escalón por debajo de la que acabas de ver.
Menos de 50
Una nota baja aquí suele convivir con una herramienta cara instalada, y esa combinación es la más frecuente del mercado. Monitorear lo que la herramienta entrega por defecto significa vigilar lo que el fabricante consideró probable, y no lo que tu empresa no puede perder. Lo que suele faltar antes de cualquier tecnología es la decisión de qué necesita verse, y viene de la lista de sistemas críticos. El paso concreto es tomar los cinco sistemas más críticos y responder, para cada uno, si hoy alguien sabría decir que fue accedido indebidamente. Las respuestas negativas son tu lista de trabajo.
De 50 a 79
Alguien mira las alertas, y no hay fila. Es la diferencia entre tener atención y tener proceso, y aparece el primer día en que la persona que suele mirar está de vacaciones. Lo que suele faltar es dueño, plazo por gravedad y registro del desenlace, que es lo que permite decir después si una alerta fue tratada o solo cerrada. El paso concreto es definir plazo para dos gravedades apenas, no cinco, y registrar el cierre de cada alerta durante un mes. El volumen real suele sorprender, y es el que dimensiona lo que viene después.
80 o más
La detección nace de lo que importa y las brechas son conocidas, lo que es raro lo suficiente como para decirlo. El riesgo de este rango es el desfase silencioso: el entorno cambia, entra un servicio nuevo, y la cobertura evaluada hace un año pasa a describir una empresa que ya no existe. Vale atar la revisión de cobertura a la entrada de un sistema nuevo, y no al calendario. Y vale revisar el eslabón siguiente, porque una buena detección con una respuesta débil solo adelanta el momento en que la empresa descubre que no sabe qué hacer.
Menos de 50
Sin un plan escrito, la respuesta a un incidente depende de quien esté disponible en el momento y de cuánto aguante esa persona improvisando bajo presión. Es la función en que la distancia entre la nota y la realidad es más cruel, porque nadie descubre el problema en una reunión, lo descubre a las dos de la mañana. Lo que suele faltar primero no es un procedimiento técnico, son contactos y niveles de decisión: quién llama a quién, quién puede decidir apagar un sistema y quién autoriza involucrar a un tercero. El paso concreto es una página con esos nombres y teléfonos, guardada fuera del entorno de la empresa, porque un plan guardado en el sistema que se cayó no es un plan.
De 50 a 79
El documento existe y nunca fue sometido a nada. Un plan no ejercitado envejece en silencio: cambia un teléfono, sale una persona, se reemplaza un proveedor, y el descubrimiento ocurre en el peor momento posible. Lo que suele faltar son dos cosas en la misma sala, alguien de la dirección participando del ejercicio y el acuerdo de comunicación con el cliente y con la autoridad, incluido el plazo de la ley de protección de datos, que corre mientras el equipo técnico todavía está apagando el incendio. El paso concreto es un ejercicio de mesa de noventa minutos con un solo escenario, y la lista de lo que se trabó vale más que cualquier revisión del texto del plan.
80 o más
Hay plan, fue ejercitado y la comunicación está acordada, lo que pone a la empresa por delante de la mayoría de las certificadas. Lo que suele faltar en este rango es variar el escenario: quien repite el mismo ejercicio de ransomware todos los años entrena al equipo para un guion, y no para un incidente. Vale correr un escenario de proveedor comprometido o de filtración por una persona interna, que estresan los niveles de decisión y la comunicación de otra forma. Y vale revisar si las lecciones del último ejercicio se convirtieron en corrección con responsable, porque un ejercicio sin consecuencia es teatro caro.
Menos de 50
Es la función que más aparece vacía, incluso en empresas que ya invirtieron bastante en seguridad, y la razón es que solo se le exige después de que pasó lo peor. Una nota baja aquí significa que hay expectativa de reanudación rápida sin nada que la sostenga, y esa expectativa suele estar en la cabeza de la dirección. Lo que falta antes de cualquier tecnología es una conversación corta con el negocio: cuánto tiempo aguanta detenido cada proceso crítico, dicho por quien responde por el proceso y no por TI. El paso concreto es anotar ese número para los tres procesos más críticos y compararlo con el tiempo que TI llevaría hoy. La diferencia entre los dos es tu proyecto.
De 50 a 79
TI tiene una estimación y el negocio tiene una expectativa, y las dos nunca se confrontaron. Es el origen de la frase que se escucha después de todo incidente largo, la de que nadie imaginaba que tardaría tanto. Lo que suele faltar es el cronómetro: una prueba parcial, hecha por TI y sin involucrar a las áreas, prueba que el dato vuelve y no prueba que la empresa vuelve a operar. El paso concreto es elegir un proceso crítico y probar su reanudación de punta a punta con una persona del área de negocio presente, midiendo el tiempo total hasta la operación normal, y no hasta que el sistema levante.
80 o más
Un plazo acordado con el negocio y una prueba cronometrada ponen esta función en un nivel que pocas empresas alcanzan, y es la que más protege la facturación en un evento serio. Lo que suele faltar en este rango es la dependencia externa: un proveedor crítico sin plazo de reanudación contratado te transfiere un tiempo que no controlas. Vale también cerrar el ciclo que devuelve información a gobernar, porque un análisis posterior al incidente que produce informe sin corrección acompañada hace que el mismo evento vuelva. El próximo paso es verificar, meses después, si las correcciones del último incidente se ejecutaron de verdad.
CÓMO LO CONDUCIMOS
La etapa que separa este trabajo de una evaluación común es la segunda. El perfil objetivo no lo define la tecnología: es decisión de la dirección sobre apetito de riesgo, y conducir esa conversación forma parte de la entrega, porque un perfil objetivo definido solo por TI no sobrevive al primer recorte de presupuesto.
Definimos qué entra en la evaluación y empezamos por gobernar, que es donde la versión 2.0 puso el centro. Quién decide sobre riesgo, quién responde por cada frente, qué ya se decidió formalmente y qué existe solo por costumbre. Sin eso, el resto de la evaluación queda como un retrato sin dueño.
Alcance de la evaluación definido, con las unidades incluidas
Mapa de quién decide y quién responde por cada frente
Registro de qué es decisión formal y qué es práctica informal
Partes interesadas identificadas, dentro y fuera de la empresa
Hito de entregaAlcance aprobado y responsabilidad definida para cada una de las seis funciones.
Evaluamos las 106 subcategorías con evidencia, por entrevista y por verificación, sin aceptar respuesta positiva sin prueba. El resultado es el retrato del estado actual por función y por categoría, en el formato que permite comparación después.
Perfil actual documentado, subcategoría por subcategoría
Evidencia adjunta a cada evaluación positiva
Lectura por función, con las asimetrías visibles
Aprovechamiento de lo que ya existe de ISO 27001, CIS o proyectos anteriores
Hito de entregaPerfil actual cerrado, con evidencia para toda subcategoría evaluada como cumplida.
Conducimos la sesión en que la dirección define dónde quiere estar, función por función, contra apetito de riesgo, obligación contractual y recursos disponibles. Traemos referencias del sector a la conversación, pero la decisión es de la empresa, y debe tomarla quien firma el presupuesto.
Perfil objetivo definido y firmado por la dirección
Nivel elegido por categoría, con la justificación registrada
Distancia entre los dos perfiles cuantificada
Prioridades definidas contra riesgo y contra costo
Hito de entregaPerfil objetivo aprobado por la dirección, con justificación registrada para cada elección.
Convertimos la distancia en un plan con responsable y fecha, ejecutado con tu equipo. Y definimos la cadencia de reevaluación, porque el valor del CSF aparece en la segunda medición y no en la primera: un retrato aislado no muestra ninguna dirección.
Plan de cierre con responsable y fecha por ítem
Ejecución acompañada, con revisión periódica del avance
Material de seguimiento para el directorio, sin jerga
Cadencia de reevaluación definida, con quién la conduce y cuándo
Hito de entregaSegunda medición concluida con el mismo método, mostrando la dirección del movimiento.
CUÁNTO TIEMPO LLEVA
No publicamos plazo estándar, porque plazo publicado se convierte en promesa. Aquí hay una particularidad que vale decir antes: el relevamiento del perfil actual tiene duración previsible, y lo que estira el proyecto es casi siempre la agenda de la dirección para decidir el perfil objetivo. Estos son los tres factores que más mueven el reloj.
Una operación única es un perfil. Un grupo con negocios distintos suele necesitar más de uno, porque el apetito de riesgo de una industria y el de una financiera del mismo grupo no son iguales, y forzar un solo perfil produce un número que no sirve para ninguna de las dos.
Con la agenda garantizada, esa etapa es de semanas. Cuando se delega a TI, el proyecto avanza más rápido y entrega menos, porque el perfil objetivo pasa a ser una opinión técnica en lugar de una decisión de negocio, y no sostiene presupuesto.
Una empresa con ISO 27001 vigente o con los CIS Controls implantados arma el perfil actual mucho más rápido, porque la evidencia ya existe y solo necesita releerse en la estructura del CSF. Sin nada medido, el relevamiento es el tramo más largo.
PREGUNTAS FRECUENTES
Las dudas que aparecen en casi toda primera reunión, respondidas sin rodeos.
No. El framework es voluntario, el NIST no emite certificado de conformidad y no acredita a nadie para emitirlo. Hay mercado vendiendo lo que llama certificación NIST CSF: lo que se entrega ahí es un informe de evaluación hecho por un tercero, que es legítimo y útil, y no es un certificado reconocido. Si tu cliente necesita un documento con peso de tercera parte, el camino es ISO 27001 o SOC 2.
El CSF es el lenguaje y el mapa: organiza la conversación y permite acompañar la evolución a lo largo del tiempo. Los CIS Controls son la lista ordenada de tareas: dicen qué hacer primero. No compiten, y la propia versión 8.1 de los CIS Controls se alineó al CSF 2.0. En la práctica, muchas empresas usan el CSF para hablar con el directorio y CIS para trabajar.
No, y la diferencia es de finalidad. ISO 27001 certifica, así que sirve para probar algo a un tercero. El CSF no certifica, y sirve mejor para acompañar madurez a lo largo del tiempo y para conversar con quien decide el presupuesto. Las empresas maduras suelen usar los dos: el certificado responde al cliente, el perfil responde al directorio.
Está desactualizado, no mal: es la versión 1.1. La versión 2.0, publicada el 26 de febrero de 2024, agregó la función de gobernar y la puso en el centro de las otras cinco. Vale confirmarlo, porque gobernar es justamente la función donde más empresas descubren una brecha, y el material antiguo ni siquiera pregunta por ella.
Casi seguro que no, y tratar los niveles como una escalera es la lectura equivocada más común. Los cuatro niveles describen el rigor con que la empresa gobierna y gestiona el riesgo, y el nivel correcto es el que tu apetito de riesgo y tus recursos justifican. Una empresa en nivel 2 en todo, por decisión consciente y documentada, está mejor que una que apunta al 4 en todo y no llega a ningún lado.
Sirve, y se usa en todo el mundo. Es un framework público y voluntario, sin jurisdicción asociada, y la versión 2.0 fue reescrita explícitamente para organizaciones de cualquier tamaño y sector, mientras que la anterior nació orientada a infraestructura crítica. Lo que no hace es responder a una ley de protección de datos: la obligación legal sigue siendo asunto de un proyecto de adecuación y de asesoría jurídica.
La evaluación por las seis funciones muestra dónde está tu empresa y dónde se concentran las brechas. La conversación siguiente, con la dirección, define dónde necesita estar. La distancia entre las dos cosas es lo que se vuelve plan.
Comparativas sobre este tema
Ver las 13 comparativasNIST, instituto nacional de padrões e tecnologia dos Estados Unidos · NIST CSWP 29, publicado em 26/02/2024 · consultado el
Center for Internet Security · versão 8.1, de junho de 2024 · consultado el
ISO/IEC · ISO/IEC 27001:2022, edição 3, com a emenda 1:2024 · consultado el
Esta página es informativa y describe cómo la DM11 lee y aplica las fuentes anteriores. No reproduce el texto de las normas, no sustituye la lectura del documento oficial y no sustituye una auditoría, una certificación, una evaluación independiente ni el asesoramiento jurídico. Donde la norma exige evaluación formal, quien la conduce es un organismo, auditoría o evaluador acreditado, siempre separado de quien preparó.