El NIST CSF me persiguió varios años antes de que le prestara atención. Aparecía citado en auditorías, en slides de vendors, en los requisitos de puestos que me interesaban. Siempre lo dejaba para después: un PDF largo, en inglés, que en teoría ordenaba la ciberseguridad de una organización y que en la práctica me dormía en la tercera página.
Hasta que este cuatrimestre en la facultad me tocó estudiarlo en serio, y casi sin querer empecé a encontrarlo en mi laburo de IAM. Ahí entendí lo que me venía faltando: el marco no es una lista de controles, es un idioma.
De dónde sale y por qué existe
El CSF nació en 2014, empujado por una orden ejecutiva de la Casa Blanca después de una seguidilla de ataques a infraestructura crítica: energía, banca, salud. La idea era darle a esos sectores un lenguaje común para hablar de riesgo cibernético, sin imponer controles obligatorios. Salió la versión 1.0, después una 1.1 en 2018, y el 26 de febrero de 2024 llegó la 2.0, la revisión más grande desde el inicio.
Un detalle que conviene tener presente: el marco es voluntario. Ninguna ley obliga a usarlo. Pero cuando una regulación, un cliente o una auditoría te piden "alineación con NIST", esto es lo que tienen en la cabeza.
Tres piezas, una sola estructura
Para no perderse conviene separar el marco en tres componentes. El primero es el Core, el corazón: una taxonomía de resultados que cualquier organización debería poder lograr, organizada en tres niveles:
- Funciones: las seis grandes — Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar.
- Categorías: 22, agrupan resultados por tema dentro de cada función.
- Subcategorías: 106, el nivel más fino. Cada una describe un resultado deseado y concreto.
Después están los Profiles: describís el estado actual de tu organización y el estado al que querés llegar. La distancia entre ambos es, literalmente, tu plan de trabajo.
Y los Tiers: cuatro niveles de madurez, de Parcial a Adaptativo. Acá no hay un "bien" o "mal" absoluto: una organización chica puede vivir perfectamente en Tier 2, y una que procesa pagos quizá necesita llegar a 4 en las funciones que la mantienen viva.
Qué cambió con la 2.0
Lo más visible: pasamos de cinco funciones a seis. Gobernar (Govern) subió a primer nivel y se llevó puesta la gobernanza que antes estaba desperdigada: estrategia de riesgo, roles y responsabilidades, políticas, supervisión y gestión del riesgo de la cadena de suministro (GV.SC).
El segundo cambio es de alcance. La 1.1 estaba pensada para infraestructura crítica; la 2.0 se declara útil para cualquier organización, de una PYME a un ministerio. No es marketing: NIST publicó guías de inicio rápido pensadas para empresas chicas.
El tercero toca la cadena de suministro. El marco reconoce algo que en el laburo vemos todo el tiempo: tu seguridad vale lo que vale la del proveedor más débil que tiene acceso a tus sistemas.
En números: 5 a 6 funciones, 23 a 22 categorías, 108 a 106 subcategorías. Se consolidaron varias, y apareció la categoría PR.AA (Identidad, Autenticación y Control de Acceso), que concentró lo que antes estaba repartido entre control de acceso y tecnología de protección. Para alguien que labura en IAM, esa reorganización sola ya es noticia.
Por qué no es una checklist
La tentación es convertir el marco en un Excel con 106 filas y poner tildes. Es la forma más rápida de no sacarle nada.
Las subcategorías describen resultados, no cómo lograrlos. Decir "PR.AA-03: el acceso a los activos se gestiona, aprueba, autoriza y audita según política" no te dice qué producto comprar ni qué comando correr. Eso es a propósito: dos organizaciones pueden cumplir el mismo resultado con herramientas y procesos completamente distintos.
Para los que vienen de otros marcos, NIST publica los informative references: mapeos oficiales hacia ISO/IEC 27001, NIST SP 800-53, CIS Controls v8 y COBIT, entre otros. Si tu empresa ya tiene ISO, el CSF te sirve como traductor, no como reemplazo. Y en el Reference Tool online cada subcategoría trae implementation examples, con ejemplos pensados para distintos niveles de madurez.
El CSF no te dice qué comprar ni cómo configurarlo. Te dice qué resultados necesitás y te deja elegir el cómo.
Cómo lo aplico en mi trabajo
Mi día a día es identidad: NetIQ, OneIdentity, Active Directory, certificaciones de acceso, PAM. Cuando tuve que explicar por qué las campañas de certificación no podían seguir siendo un ejercicio anual de dos semanas, el marco me dio el vocabulario para no sonar como un ingeniero pidiendo plata.
| Lo que hago | Subcategoría que le corresponde |
|---|---|
| Onboarding y offboarding automatizados, con revisión de cuentas | PR.AA-01: identidades y credenciales de usuarios, servicios y hardware gestionadas |
| Certificación periódica de accesos por dueño de aplicación | PR.AA-03: acceso a activos gestionado, aprobado, autorizado y auditado |
| Check-out/check-in de credenciales, rotación y registro de sesiones en PAM | PR.AA-05: permisos administrados con menor privilegio y separación de funciones |
| Campañas de revisión de roles alineadas con el apetito de riesgo | GV.RM: estrategia de gestión de riesgo establecida y comunicada |
| Revisión de accesos de proveedores y partners | GV.SC: gestión de riesgo de la cadena de suministro |
Después está el uso más práctico que le encontré: los profiles como gap analysis. Definís el target (cómo debería verse la identidad en una organización sana), relevás el current (qué tenemos hoy, sin maquillaje), y el delta es tu roadmap. Es la forma más ordenada que conozco de convertir una opinión en un plan con fechas.
Y no es solo IAM. La función Responder me llevó a leer la NIST SP 800-61, la guía de manejo de incidentes, y a ordenar playbooks que hasta entonces eran conocimiento suelto en la cabeza de dos personas. En el lab de Wazuh de mi casa, la función Detectar dejó de ser teoría: ahora tengo un SIEM al que le puedo disparar eventos y ver si las reglas hacen ruido cuando tienen que hacerlo.
El marco no te salva solo
Si tengo que resumir el cuatrimestre: el CSF no va a detener ningún ataque por sí solo. Lo que sí hace es darte el lenguaje para que la seguridad deje de ser una conversación entre dos ingenieros a las 2 AM y se vuelva una discusión con la gerencia sobre riesgo, prioridades y presupuesto.
Hoy lo primero que hago cuando arranco un proyecto de identidad es preguntarme en qué función estoy parado y a qué subcategoría le estoy moviendo el marcador. Después de eso, el resto es configuración.