NIST CSF 2.0 — Marco de Seguridad Cibernética

Qué vas a dominar

• Explicar la arquitectura del CSF 2.0: Core, Perfiles y Niveles, y para qué sirve cada pieza.
• Recorrer las 6 Funciones y sus 22 Categorías, distinguiendo resultados de controles.
• Elaborar un Perfil Actual y un Perfil Objetivo con alcance explícito y suposiciones documentadas.
• Realizar un análisis de brechas y priorizar un plan de acción defendible ante la dirección.
• Integrar la gestión de riesgos de la cadena de suministro (GV.SC) en la estrategia de la organización.
• Comunicar el estado de seguridad cibernética a públicos técnicos y no técnicos con el vocabulario del marco.

Estructura del diálogo

1. 01

   Qué es y qué no es el CSF 2.0

   Un marco de resultados, no una norma certificable: adaptable a cualquier tamaño, sector y nivel de madurez.

   • · Propósito, público y alcance ampliado de la versión 2.0
   • · Resultados frente a controles: la diferencia clave
   • · Recursos complementarios: guías de inicio rápido y perfiles comunitarios
2. 02

   Gobernar (GV) — la función nueva

   La incorporación central de 2.0: la seguridad cibernética se decide y se supervisa como cualquier otro riesgo empresarial.

   • · GV.OC Contexto organizativo
   • · GV.RM Estrategia de gestión de riesgos
   • · GV.RR Funciones, responsabilidades y autoridades
   • · GV.PO Política · GV.OV Supervisión
3. 03

   GV.SC — Riesgo de la cadena de suministro

   Terceros, proveedores y dependencias tecnológicas dentro del programa de riesgo, desde la selección hasta la salida.

   • · Establecimiento del programa de riesgo de terceros
   • · Requisitos contractuales y debida diligencia
   • · Monitoreo continuo y finalización de relaciones
4. 04

   Identificar (ID)

   No se protege lo que no se conoce: activos, riesgos y aprendizaje organizativo.

   • · ID.AM Gestión de activos
   • · ID.RA Evaluación de riesgos
   • · ID.IM Mejora
5. 05

   Proteger (PR)

   Las salvaguardas: identidad y acceso, personas, datos, plataformas y resistencia de la infraestructura.

   • · PR.AA Gestión de identidades, autenticación y control de acceso
   • · PR.AT Concienciación y capacitación
   • · PR.DS Seguridad de datos
   • · PR.PS Seguridad de plataformas
   • · PR.IR Resistencia de la infraestructura tecnológica
6. 06

   Detectar (DE)

   Monitoreo y análisis para descubrir lo anómalo antes de que se convierta en crisis.

   • · DE.CM Monitoreo continuo
   • · DE.AE Análisis de eventos adversos
7. 07

   Responder (RS) y Recuperar (RC)

   Contener, comunicar, mitigar y volver a operar: capacidades que deben estar listas antes del incidente.

   • · RS.MA Gestión de incidentes · RS.AN Análisis
   • · RS.CO Notificación y comunicación
   • · RS.MI Mitigación
   • · RC.RP Ejecución del plan de recuperación · RC.CO Comunicación
8. 08

   Perfiles Organizativos

   Del Core a tu realidad: alcance, información necesaria, Perfil Actual, Perfil Objetivo y perfiles comunitarios como base.

   • · Los cinco pasos para crear y usar un Perfil
   • · Perfil Actual vs. Perfil Objetivo
   • · Uso de Perfiles Comunitarios y plantillas
9. 09

   Niveles y análisis de brechas

   Caracterizar el rigor de las prácticas de gobernanza y gestión, e identificar dónde estás lejos de donde quieres estar.

   • · Niveles del CSF aplicados a los Perfiles
   • · Análisis de brechas y priorización
   • · Plan de acción con responsables, plazos y costo
10. 10

    Comunicar y sostener el programa

    Cómo se habla de riesgo cibernético con la dirección, con clientes y con proveedores usando el marco como lenguaje común.

    • · Informes ejecutivos basados en resultados del Core
    • · Alineación con otras normas y marcos de gestión
    • · Cierre: defiendes tu Perfil Objetivo en diálogo evaluado

Para quién es

• Responsables de seguridad cibernética y gestión de riesgos
• Equipos que deben reportar postura de seguridad a la dirección
• Consultores que evalúan madurez cibernética
• Perfiles de TI y continuidad que preparan respuesta a incidentes