Govern (Gobernar)
Nueva en la versión 2.0. Estrategia, roles, políticas, apetito de riesgo y supervisión de proveedores. Convierte la seguridad en un tema de la dirección.
Para pequeñas y medianas empresas
NIST CSF 2.0 como base de su seguridadUn plan claro en lugar de suposiciones
El NIST Cybersecurity Framework es un marco voluntario que ayuda a organizaciones de cualquier tamaño a gestionar el riesgo cibernético. La versión 2.0, publicada en febrero de 2024, añade la función Govern y está pensada tanto para empresas pequeñas como grandes. Lo usamos para mostrarle dónde está y qué hacer a continuación.
Por qué el marco ayuda a las empresas más pequeñas
El NIST Cybersecurity Framework lo publica el National Institute of Standards and Technology (NIST). No es una ley ni una certificación. Le da una estructura común para describir resultados de seguridad, de modo que la dirección, TI, las aseguradoras y los clientes hablen de lo mismo.
Muchos otros requisitos se corresponden con él. HIPAA, la FTC Safeguards Rule, SOC 2 y CMMC piden muchas de las mismas cosas con otras palabras. Si organiza su seguridad según el CSF, puede responder a la mayoría de ellos con un solo conjunto de medidas.
Las seis funciones
Identify (Identificar)
Conoce sus dispositivos, sistemas, datos y proveedores, y entiende los riesgos que los afectan.
Protect (Proteger)
Gestión de identidad y acceso, MFA, capacitación, seguridad de datos, actualizaciones y respaldo.
Detect (Detectar)
Monitoreo que reconoce ataques y anomalías a tiempo.
Respond (Responder)
Un plan para incidentes: quién decide, a quién se informa y cómo se contiene el daño.
Recover (Recuperar)
Restaurar sistemas y datos, y comunicar durante la recuperación.
Perfiles y niveles
| Perfil actual | Dónde está hoy en cada resultado del marco |
| Perfil objetivo | Dónde quiere llegar, según sus riesgos, sus clientes y sus requisitos |
| Nivel 1, Parcial | La seguridad se maneja de forma improvisada, sobre todo como reacción a problemas |
| Nivel 2, Informado por el riesgo | La dirección conoce los riesgos, pero las prácticas no se aplican de forma constante |
| Nivel 3, Repetible | Las prácticas están documentadas, aprobadas y se aplican en toda la organización |
| Nivel 4, Adaptativo | Las prácticas se ajustan de forma continua según la experiencia y las amenazas |
Para la mayoría de las pequeñas y medianas empresas, un Nivel 2 o Nivel 3 bien documentado es una meta realista y razonable.
Una base que cubre la mayor parte del riesgo
Estas son las medidas que revisamos primero en casi todas las empresas:
- Un inventario actualizado de dispositivos, usuarios, software y servicios en la nube
- MFA para correo electrónico, acceso remoto y cuentas de administrador
- Cuentas de administrador separadas y permisos de acceso según el puesto
- Actualizaciones de seguridad con un calendario fijo y monitoreo
- Un respaldo separado de la red, con una restauración probada
- Protección de equipos con alertas centralizadas
- Capacitación periódica sobre phishing y concientización en seguridad
- Un plan escrito de respuesta a incidentes con contactos y decisiones
Cómo trabajamos con usted
- 01
Revisión o evaluación de seguridad
Una revisión de seguridad a precio fijo de $2,950, o una evaluación de seguridad desde $7,900 para entornos más grandes. El costo de la evaluación se acredita al proyecto posterior.
- 02
Perfil actual y objetivo
Describimos dónde está en cada función y acordamos con usted una meta realista.
- 03
Hoja de ruta
Recibe una lista priorizada de medidas con esfuerzo y costo, empezando por las que evitan más daños.
- 04
Implementación y operación
Implementamos las medidas y las mantenemos en funcionamiento como parte de nuestros servicios de TI administrada.
Ayuda del NIST para pequeñas empresas
Junto con el CSF 2.0, el NIST publica guías de inicio rápido para pequeñas empresas. Las usamos como referencia, para que su documentación sea comprensible para aseguradoras, clientes y auditores.
Experiencia con pequeñas y medianas empresas
Contratista eléctrico, dos empresas · 30 usuarios, Alemania
Unificamos dos empresas en una TI compartida sin interrumpir la operación: Microsoft 365 totalmente en la nube, inicio de sesión con MFA y Conditional Access, y gestión de dispositivos con Intune y Autopilot.
Resultado: Los nuevos empleados pueden trabajar en menos de un día en lugar de tres a cuatro días. Un equipo nuevo queda listo en dos horas, y está claro qué software se usa y qué licencias se pagan.
Actualizado:
FAQ
Preguntas frecuentes
¿Es obligatorio el NIST Cybersecurity Framework?
No. El CSF es un marco voluntario del National Institute of Standards and Technology. Algunos clientes, aseguradoras y contratos hacen referencia a él, y le ayuda a cumplir otros requisitos, como HIPAA o la FTC Safeguards Rule, de forma ordenada.
¿Qué hay de nuevo en el CSF 2.0?
La versión 2.0 se publicó en febrero de 2024. Añade la función Govern, que abarca estrategia, roles, políticas y riesgo de proveedores. Además se dirige a organizaciones de todos los tamaños, no solo a infraestructura crítica, e incluye guías de inicio rápido y ejemplos de implementación.
¿Cuáles son las seis funciones?
Govern, Identify, Protect, Detect, Respond y Recover. Govern fija la dirección y la supervisión. Las otras cinco consisten en conocer su entorno, protegerlo, reconocer ataques, responder a incidentes y recuperarse después.
¿Podemos certificarnos en NIST CSF?
No. No existe una certificación oficial NIST CSF. Puede encargar una evaluación independiente que describa en qué medida cumple los resultados, y puede usar sus perfiles actual y objetivo para mostrar avances a clientes y aseguradoras.
¿A qué nivel debería aspirar una pequeña empresa?
Muchas pequeñas y medianas empresas apuntan al Nivel 2 o al Nivel 3. Lo importante es que la meta corresponda a sus riesgos y que las medidas estén documentadas y se apliquen de verdad. El Nivel 4 normalmente solo es necesario para organizaciones con un riesgo muy alto.
¿Cómo empezamos?
Empiece por averiguar dónde está hoy. Una revisión de seguridad a precio fijo de $2,950 cubre los puntos más importantes. Para entornos más grandes, una evaluación de seguridad desde $7,900 entrega un perfil actual completo y una hoja de ruta, y su costo se acredita al proyecto posterior.
NIST CSF
Averigüe dónde está
Cuéntenos sobre su empresa y su TI. Le diremos si conviene empezar con una revisión de seguridad o con una evaluación completa.