NIST Publica Importante Actualización de Su Ampliamente Utilizado Marco de Ciberseguridad

El gráfico del Marco de Ciberseguridad del NIST tiene secciones externas etiquetadas como Identificar, Proteger, Detectar, Responder y Recuperar; el círculo interno se etiqueta como Gobernar.

A los cinco pilares principales de un programa de ciberseguridad exitoso, el NIST ha agregado ahora un sexto: la función de "gobernar", que enfatiza que la ciberseguridad es una fuente importante de riesgo empresarial y una consideración para la alta dirección.

La principal guía de ciberseguridad del mundo está recibiendo su primera revisión completa desde su lanzamiento hace casi una década.

Tras considerar más de un año de comentarios de la comunidad, el Instituto Nacional de Estándares y Tecnología (NIST) ha publicado una versión preliminar del Marco de Ciberseguridad (CSF) 2.0, una nueva versión de una herramienta que se lanzó por primera vez en 2014 para ayudar a las organizaciones a comprender, reducir y comunicar el riesgo de ciberseguridad. La actualización preliminar, que el NIST ha publicado para comentarios públicos, refleja los cambios en el panorama de la ciberseguridad y facilita la implementación del CSF, para todas las organizaciones.

"Con esta actualización, estamos tratando de reflejar el uso actual del Marco de Ciberseguridad y anticipar su uso futuro", dijo Cherilyn Pascoe del NIST, la desarrolladora principal del marco. "El CSF se desarrolló para la infraestructura crítica, como las industrias bancarias y energéticas, pero ha demostrado ser útil en todas partes, desde escuelas y pequeñas empresas hasta gobiernos locales y extranjeros. Queremos asegurarnos de que sea una herramienta útil para todos los sectores, no solo los designados como críticos."

El NIST aceptará comentarios públicos sobre el borrador del marco hasta el 4 de noviembre de 2023. El NIST no tiene previsto publicar otro borrador. Pronto se anunciará un taller programado para el otoño, que servirá como otra oportunidad para que el público proporcione comentarios sobre el borrador. Los desarrolladores planean publicar la versión final del CSF 2.0 a principios de 2024.

El CSF proporciona orientación de alto nivel, incluyendo un lenguaje común y una metodología sistemática para gestionar el riesgo de ciberseguridad en todos los sectores y facilitar la comunicación entre el personal técnico y no técnico. Incluye actividades que pueden incorporarse en programas de ciberseguridad y adaptarse a las necesidades particulares de una organización. En la década desde su publicación inicial, el CSF ha sido descargado más de dos millones de veces por usuarios de más de 185 países y se ha traducido a al menos nueve idiomas.

Si bien las respuestas a la solicitud de información (de las siglas en inglés "RFI": Request for Information) del NIST sobre el CSF en febrero de 2022 indicaron que el marco sigue siendo una herramienta eficaz para reducir el riesgo de ciberseguridad, muchos respondientes sugirieron que una actualización podría ayudar a los usuarios a adaptarse a la innovación tecnológica y a un panorama de amenazas en constante evolución.

"Muchos comentaristas dijeron que deberíamos mantener y desarrollar los atributos clave del CSF, incluyendo su naturaleza flexible y voluntaria", dijo Pascoe. "Al mismo tiempo, muchos de ellos solicitaron más orientación sobre la implementación del CSF y asegurarse de que pudiera abordar cuestiones emergentes de ciberseguridad, como los riesgos de la cadena de suministro y la amenaza generalizada de ransomware. Debido a que estos problemas afectan a muchas organizaciones, incluidas las pequeñas empresas, nos dimos cuenta de que teníamos que mejorar nuestro enfoque."

El borrador del CSF 2.0 refleja una serie de cambios importantes, incluyendo:

• El alcance del marco se ha ampliado explícitamente desde la protección de la infraestructura crítica, como hospitales y plantas de energía, para brindar ciberseguridad a todas las organizaciones, independientemente de su tipo o tamaño. Esta diferencia se refleja en el título oficial del CSF, que ha cambiado a "El Marco de Ciberseguridad", su nombre coloquial, en lugar del más limitado "Marco para la Mejora de la Ciberseguridad de la Infraestructura Crítica".

• Hasta ahora, el CSF ha descrito los cinco pilares principales de un programa de ciberseguridad exitoso utilizando cinco funciones principales: identificar, proteger, detectar, responder y recuperar. A estos, el NIST ha agregado ahora una sexta función, la función de gobernar, que abarca cómo una organización puede tomar y ejecutar sus propias decisiones internas para respaldar su estrategia de ciberseguridad. Se enfatiza que la ciberseguridad es una fuente importante de riesgo empresarial, al mismo nivel que los riesgos legales, financieros y otros, como consideraciones para la alta dirección.

• El borrador proporciona orientación mejorada y ampliada sobre la implementación del CSF, especialmente para crear perfiles que adapten el CSF a situaciones particulares. La comunidad de ciberseguridad ha solicitado ayuda para utilizarlo en sectores económicos y casos de uso específicos, donde los perfiles pueden ser útiles. Importante, el borrador ahora incluye ejemplos de implementación para las subcategorías de cada función para ayudar a las organizaciones, especialmente a las empresas más pequeñas, a utilizar el marco de manera efectiva.

Uno de los objetivos principales del CSF 2.0 es explicar cómo las organizaciones pueden aprovechar otros marcos de tecnología, estándares y directrices, tanto del NIST como de otras fuentes, para implementar el CSF. Para reforzar este esfuerzo, se ha lanzado la Herramienta de Referencia del CSF 2.0. Este recurso en línea permite a los usuarios explorar, buscar y exportar los datos principales del CSF en formatos legibles por humanos y por máquinas. En el futuro, esta herramienta proporcionará "Referencias Informativas" para mostrar las relaciones entre el CSF y otros recursos, facilitando su uso junto con otras directrices para gestionar el riesgo de ciberseguridad.

Pascoe dijo que el equipo de desarrollo está animando a cualquier persona con recomendaciones sobre el CSF actualizado a responder con comentarios antes de la fecha límite del 4 de noviembre.

"Esta es una oportunidad para que los usuarios den su opinión sobre el borrador del CSF 2.0", dijo. "Ahora es el momento de participar si aún no lo has hecho."

Nota del editor (23 de agosto de 2023): Esta noticia ha sido actualizada para reflejar que la Herramienta de Referencia del CSF 2.0, mencionada originalmente como una característica próxima, está ahora disponible.

Fuente y créditos: NIST Drafts Major Update to Its Widely Used Cybersecurity Framework | NIST

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó un LLM, al ser una traducción automática puede contener errores gramaticales o de otro tipo, me pueden enviar un mensaje.