NIST CSF 2.0 para pymes: guía práctica en español
El NIST Cybersecurity Framework (CSF) 2.0 es el marco de ciberseguridad del Instituto Nacional de Estándares y Tecnología de EE. UU. Su versión 2.0, publicada en febrero de 2024, está pensada para organizaciones de cualquier tamaño, incluidas las pequeñas y medianas empresas.
No es una lista de productos que comprar, sino una forma ordenada de responder a una pregunta: ¿qué tan preparada está mi empresa para prevenir, detectar y recuperarse de un incidente? Para eso organiza la ciberseguridad en seis funciones.
Las 6 funciones de NIST CSF 2.0, explicadas para una pyme
Gobernar (GV)
La función nueva de la versión 2.0. Define quién es responsable de la ciberseguridad, qué riesgos acepta la empresa y cómo se gestionan los proveedores. En una pyme puede ser tan simple como nombrar a un responsable y reservarle tiempo y presupuesto.
Evaluamos esta función con 6 preguntas, por ejemplo:
- ¿Hay una persona o rol claramente responsable de la ciberseguridad en la empresa, aunque no sea de tiempo completo?
- ¿Existen políticas básicas de seguridad documentadas y comunicadas al personal (uso aceptable, contraseñas, etc.)?
Identificar (ID)
Saber qué tienes y qué es crítico: equipos, sistemas, datos y procesos. No se puede proteger lo que no se conoce.
Evaluamos esta función con 4 preguntas, por ejemplo:
- ¿Tienen identificados los sistemas y datos más críticos para que el negocio siga funcionando?
- ¿Han hecho alguna vez un análisis (formal o informal) de qué amenazas son más probables para su empresa?
Proteger (PR)
Las salvaguardas del día a día: autenticación con doble factor, accesos mínimos, copias de seguridad, actualizaciones y capacitación del personal.
Evaluamos esta función con 6 preguntas, por ejemplo:
- ¿El acceso a sistemas críticos requiere autenticación fuerte (contraseña + segundo factor)?
- ¿La información sensible está cifrada, tanto almacenada como cuando se envía?
Detectar (DE)
Darte cuenta a tiempo de que algo anda mal: alertas del antivirus, registros de acceso, avisos de inicios de sesión sospechosos.
Evaluamos esta función con 4 preguntas, por ejemplo:
- ¿Cuentan con alguna herramienta o servicio que les avise si algo anómalo ocurre en sus sistemas?
- ¿Revisan periódicamente los registros (logs) de sus sistemas críticos en busca de actividad sospechosa?
Responder (RS)
Qué hacer cuando ocurre un incidente: a quién llamar, cómo contenerlo y a quién informar (clientes, autoridades, aseguradora).
Evaluamos esta función con 5 preguntas, por ejemplo:
- ¿Tienen un plan (aunque sea simple) de qué hacer si ocurre un incidente de seguridad?
- ¿Saben a quién notificar internamente y externamente (clientes, autoridades) si hay una fuga de datos?
Recuperar (RC)
Volver a operar después de un incidente: restaurar copias, comunicar lo ocurrido y aprender para que no se repita.
Evaluamos esta función con 4 preguntas, por ejemplo:
- ¿Tienen un plan de cómo restaurar operaciones normales después de un incidente grave?
- ¿Han probado alguna vez restaurar información desde sus respaldos para confirmar que funcionan?
Cómo empezar en 4 pasos
- Nombra a un responsable. Alguien que lidere el tema, aunque no sea a tiempo completo (función Gobernar).
- Haz un inventario. Equipos, cuentas, sistemas en la nube y datos sensibles (función Identificar).
- Mide dónde estás. Una autoevaluación por función te dice qué falta y qué tan urgente es.
- Prioriza. Empieza por lo que más reduce el riesgo con menos esfuerzo: doble factor, copias probadas y actualizaciones.
Si es tu primera evaluación, quizá te convenga empezar por el checklist de 30 preguntas y luego pasar a NIST CSF 2.0.
Preguntas frecuentes
¿NIST CSF 2.0 es obligatorio para una pyme?
No es una norma obligatoria en Latinoamérica, pero es uno de los marcos más usados para hablar de riesgo cibernético. Muchos clientes grandes, bancos y aseguradoras lo usan como referencia al evaluar a sus proveedores.
¿Qué cambió de la versión 1.1 a la 2.0?
La versión 2.0, publicada por NIST en febrero de 2024, añade la función Gobernar, amplía su alcance a organizaciones de cualquier tamaño y sector, y pone más énfasis en la gestión de riesgos de la cadena de suministro.
¿Cuánto tarda una autoevaluación de NIST CSF 2.0?
Con un cuestionario adaptado a pymes, como el de Métrica Cyber (29 preguntas), alrededor de 30 a 45 minutos, más el tiempo de reunir evidencia.
¿NIST CSF 2.0 o CIS Controls?
Se complementan. NIST CSF 2.0 ordena la conversación sobre riesgo (qué hay que lograr); CIS Controls aterriza acciones técnicas concretas (cómo lograrlo). Muchas pymes empiezan con CIS IG1 y usan NIST para reportar a la dirección.