NIST CSF 2.0: la función Gobernar explicada para el comité

Durante años, muchos programas de ciberseguridad se explicaron al comité con una lista de herramientas y un semáforo de proyectos. El resultado era previsible: el comité aprobaba presupuesto sin saber qué riesgo estaba reduciendo, y el área de seguridad cargaba sola con decisiones que en realidad eran del negocio. La versión 2.0 del Marco de Ciberseguridad del NIST (CSF) aborda ese problema de frente con una función nueva: Gobernar.

Este artículo explica qué cambió, qué cubre esa función y cómo usarla para tener una conversación útil con la alta dirección.

Qué cambió con CSF 2.0

El NIST publicó la versión 2.0 del marco en febrero de 2024. Los cambios más relevantes para un comité son tres:

• Seis funciones en lugar de cinco. A las conocidas Identificar, Proteger, Detectar, Responder y Recuperar se suma Gobernar. El NIST la representa en el centro de las demás, porque orienta cómo se deciden y priorizan todas las otras.
• Alcance más amplio. La versión anterior nació con foco en infraestructura crítica. La 2.0 se dirige explícitamente a organizaciones de cualquier tamaño y sector.
• Más material de apoyo. El marco viene acompañado de guías de inicio rápido, ejemplos de implementación y referencias a otras normas, publicados por el NIST en su sitio.

El mensaje de fondo es que la ciberseguridad deja de tratarse como un asunto técnico aislado y pasa a ser una fuente de riesgo empresarial que se gobierna junto con los riesgos financieros, operativos, legales y reputacionales.

Qué cubre la función Gobernar

Gobernar se ocupa de establecer, comunicar y supervisar la estrategia, las expectativas y la política de gestión de riesgos de ciberseguridad. El marco la organiza en categorías que se pueden resumir así:

Categoría	Qué busca	Pregunta para el comité
Contexto organizacional	Entender misión, partes interesadas, obligaciones legales y regulatorias, y dependencias críticas.	¿Sabemos qué servicios son críticos y de qué dependen?
Estrategia de gestión de riesgos	Definir prioridades, apetito y tolerancia al riesgo, y cómo se integra con la gestión de riesgos de la empresa.	¿Cuánto riesgo cibernético estamos dispuestos a aceptar y quién lo decide?
Roles, responsabilidades y autoridades	Asignar responsabilidades claras, incluidas las de la alta dirección, y asegurar recursos suficientes.	¿Quién rinde cuentas por cada riesgo relevante?
Política	Establecer, comunicar y mantener la política de ciberseguridad alineada con el contexto y la estrategia.	¿Nuestra política refleja cómo operamos hoy?
Supervisión	Revisar los resultados de la gestión de riesgos para ajustar la estrategia.	¿Medimos si lo que hacemos está funcionando?
Gestión de riesgos de la cadena de suministro	Identificar, evaluar y gestionar los riesgos que traen proveedores y socios tecnológicos.	¿Conocemos el riesgo que heredamos de nuestros terceros?

La inclusión de la cadena de suministro dentro de Gobernar es significativa. Reconoce que buena parte del riesgo cibernético actual entra por proveedores de software, servicios en la nube y socios con acceso a sistemas internos, y que gestionarlo requiere decisiones contractuales y de negocio, no solo controles técnicos.

Cómo se relaciona Gobernar con las otras cinco funciones

Gobernar no reemplaza a las demás funciones: les da dirección. Identificar aporta el inventario de activos y la evaluación de riesgos que Gobernar necesita para priorizar. Proteger, Detectar, Responder y Recuperar ejecutan los controles y capacidades que la estrategia decide financiar. A su vez, los resultados de esas funciones (incidentes, hallazgos de auditoría, resultados de pruebas) vuelven a Gobernar a través de la supervisión, para ajustar el apetito de riesgo, la política o las prioridades.

Esta lógica tiene una consecuencia práctica: si una organización invierte en herramientas de detección o respuesta sin haber definido antes qué servicios son críticos y cuánto riesgo acepta, es probable que esa inversión no esté alineada con lo que más importa al negocio. Gobernar es el lugar donde se hace esa alineación, y el comité es quien la valida.

Cómo presentar el riesgo cibernético al comité

Un comité no necesita entender cómo funciona un control. Necesita entender qué riesgo existe, qué impacto tendría, qué se está haciendo y qué decisión se le pide. Algunas recomendaciones prácticas:

• Hablar de escenarios, no de vulnerabilidades. "Interrupción de la banca digital por un ataque de ransomware durante dos días" es más útil que "cantidad de parches pendientes".
• Vincular cada escenario a un servicio crítico y a un dueño de negocio. Así el riesgo deja de ser "de TI".
• Usar la misma escala de impacto y probabilidad que el resto de riesgos de la empresa. Si el área de riesgos usa una matriz de cinco niveles, la ciberseguridad también.
• Mostrar tendencia, no solo foto. Un indicador que mejora o empeora trimestre a trimestre dice más que un valor aislado.
• Llevar decisiones concretas. Aceptar un riesgo, financiar una mitigación, transferirlo con un seguro o un contrato, o cambiar un proceso.
• Ser explícito sobre lo que no se sabe. Las brechas de visibilidad también son un riesgo y deben reportarse.

Un error frecuente es inundar al comité con métricas operativas (alertas, correos bloqueados, escaneos). Esas cifras sirven al equipo de seguridad, pero rara vez ayudan a decidir. Para el comité conviene un conjunto corto: los principales escenarios de riesgo, su evolución, el avance del plan frente al perfil objetivo y las excepciones que requieren aprobación.

Perfiles: dónde estamos y adónde queremos llegar

El marco propone describir la situación de la organización mediante perfiles organizacionales. Un perfil actual refleja los resultados de ciberseguridad que hoy se logran; un perfil objetivo refleja los que se quieren lograr, priorizados según la misión, el apetito de riesgo y las obligaciones. La diferencia entre ambos es la brecha que justifica el plan de acción.

Para el comité, el valor de los perfiles está en que convierten una conversación abstracta en una decisión de prioridades: no todo debe llegar al mismo nivel, y el perfil objetivo hace explícito dónde se invierte más y dónde se acepta menos. El NIST también contempla perfiles comunitarios, elaborados por sectores o grupos de organizaciones con necesidades compartidas, que pueden servir como punto de partida.

Una forma práctica de trabajar los perfiles:

1. Definir el alcance: toda la organización, una línea de negocio o un conjunto de servicios críticos.
2. Reunir información: políticas, evaluaciones previas, auditorías, inventarios y resultados de pruebas.
3. Construir el perfil actual con evidencia, no con autodeclaraciones.
4. Construir el perfil objetivo con las áreas de negocio y riesgos, no solo con seguridad.
5. Analizar las brechas y priorizarlas por riesgo y esfuerzo.
6. Aprobar el plan de acción en el comité y revisarlo periódicamente.

Niveles: qué tan rigurosa es la gestión

Los niveles (tiers) del marco describen el rigor de las prácticas de gobierno y gestión de riesgos de ciberseguridad. Son cuatro: Parcial, Informado por el riesgo, Repetible y Adaptativo. Van desde una gestión reactiva y poco formalizada hasta una que se ajusta de forma continua a partir de la experiencia y la información sobre amenazas.

Dos advertencias para el comité. Primero, los niveles no son una nota que haya que maximizar: el nivel adecuado depende del riesgo, las obligaciones y los recursos de cada organización. Segundo, conviene usarlos para comunicar la madurez del proceso de decisión (cómo se gobierna el riesgo) y dejar los perfiles para comunicar los resultados concretos (qué se protege y cómo). Mezclar ambas cosas genera confusión.

Por dónde empezar en los próximos 90 días

Una secuencia razonable para incorporar Gobernar sin convertirlo en un proyecto documental interminable:

• Designar un responsable ejecutivo del riesgo cibernético y formalizar su línea de reporte al comité.
• Acordar con el área de riesgos una escala común y un apetito de riesgo cibernético expresado en términos de negocio.
• Identificar los cinco a diez escenarios de riesgo principales ligados a servicios críticos.
• Inventariar a los proveedores con acceso a sistemas o datos críticos y clasificarlos por riesgo.
• Elaborar un primer perfil actual y objetivo sobre los servicios críticos.
• Definir el formato y la frecuencia del reporte al comité, con decisiones explícitas en cada sesión.

CSF 2.0 no es una norma certificable ni una obligación por sí misma, salvo que un regulador o un contrato la exija. Su valor está en ofrecer un lenguaje común y reconocido para que tecnología, riesgos y alta dirección hablen de lo mismo. Este artículo es divulgativo y no sustituye una evaluación formal: valida su aplicación en tu organización con las áreas de cumplimiento y legal.