Informes al consejo con los perfiles de NIST CSF 2.0

La mayoría de los informes de ciberseguridad al consejo fallan de una de dos maneras: un muro de métricas técnicas que nadie en el consejo puede interpretar, o un semáforo tranquilizador que oculta los riesgos reales. NIST CSF 2.0 ofrece una estructura que se sitúa entre ambos extremos. Sus seis funciones (Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar) son lo bastante claras para un consejo, y sus perfiles convierten «¿qué tan seguros estamos?» en «¿dónde estamos, hacia dónde vamos y qué se interpone?»

Perfiles actual y objetivo

Un Perfil actual registra qué resultados de CSF alcanza hoy y con qué grado de madurez. Un Perfil objetivo registra los resultados que se pretende alcanzar, elegidos a partir de su apetito de riesgo, sus obligaciones y sus amenazas. La brecha entre ambos es su hoja de ruta, y la función del consejo es aprobar el objetivo y financiar la brecha.

Qué mostrar

1. Un gráfico: actual frente a objetivo, por función. Seis barras, con dos valores cada una. Los miembros del consejo pueden ver en segundos que Recuperar está muy por detrás de Proteger, por ejemplo.
2. Los principales riesgos, en términos de negocio. «Un ataque de ransomware podría detener el procesamiento de pedidos durante una semana» llega mejor que «PR.DS-11 parcialmente alcanzado».
3. Progreso desde la última vez. Qué avanzó y qué no.
4. Decisiones necesarias. Presupuesto, aceptación de riesgos o un cambio de objetivo.
5. Obligaciones. Qué marcos y regulaciones aplican y en qué punto se encuentra en cada uno (certificado, en curso, brechas).

Gobernar debe estar en la propia agenda

La función Gobernar de CSF 2.0 abarca el contexto organizativo, la estrategia de riesgo, los roles, la política, la supervisión y la gestión del riesgo de la cadena de suministro. Varios de sus resultados son responsabilidades propias del consejo: fijar el apetito de riesgo, supervisar la estrategia y asignar responsabilidades. Con NIS2 (artículo 20), los órganos de dirección deben aprobar y supervisar las medidas de ciberseguridad y recibir formación ellos mismos, lo que convierte a Gobernar en un requisito de cumplimiento además de una buena práctica. Nuestro análisis de qué marcos cubren Gobernar muestra dónde dejan brechas otros marcos.

Vincular CSF con los marcos contra los que se audita

Si certifica según ISO 27001 o informa conforme a SOC 2, no necesita un programa CSF independiente. Asocie sus controles con los resultados de CSF una sola vez e informe las mismas evidencias de dos formas: funciones de CSF al consejo, requisitos de los marcos a los auditores. NIST publica la correspondencia oficial de CSF 2.0 con ISO 27001 y SP 800-53:

Dirección	Correspondencia	Relación tangencial	Sin correspondencia
Tiene NIST CSF 2.0 → necesita ISO 27001	79 de 123 (64%)	34	10	informe →
Tiene ISO 27001 → necesita NIST CSF 2.0	89 de 106 (84%)	15	2	informe →

Puntuar resultados sin falsa precisión

Los consejos no necesitan decimales. Basta con una escala simple y coherente por categoría de CSF, por ejemplo:

Puntuación	Significado
0	No implantado
1	Parcialmente implantado, informal o inconsistente
2	Implantado y documentado, con alguna evidencia
3	Implantado, evidenciado y probado con regularidad
4	Medido y en mejora

Puntúe cada categoría según la evidencia, no según la opinión, y agregue las categorías a las seis funciones para el gráfico del consejo. Mantenga por escrito las reglas de puntuación para que las cifras del próximo trimestre signifiquen lo mismo que las de este. Los niveles de implementación (Tiers) de CSF 2.0 describen el rigor de la gobernanza y la gestión de riesgos en su conjunto; úselos para la narrativa y las puntuaciones por categoría para el gráfico.

Conclusiones clave

• Muestre actual frente a objetivo por función de CSF en un solo gráfico.
• Presente los principales riesgos en términos de negocio y las decisiones necesarias.
• Puntúe según la evidencia, de forma coherente.

Sea honesto

• Puntúe los resultados según la evidencia, no la opinión: un resultado se alcanza cuando sus controles funcionan y generan evidencia.
• Muestre las brechas incómodas. Un consejo que aprueba un objetivo con una brecha conocida ha aceptado un riesgo; uno que nunca ve la brecha no lo ha hecho.
• Cambie el objetivo cuando cambie el negocio, y dígalo.

Cada subcategoría de CSF 2.0 tiene aquí una página que la asocia con diez marcos; empiece por la página del marco CSF 2.0 o por la comparativa NIST CSF vs ISO 27001.

Preguntas

¿Qué es un Perfil actual de CSF?

Descripción de los resultados de ciberseguridad actuales de la organización frente al núcleo de CSF 2.0. Un Perfil objetivo describe los resultados que se pretende alcanzar; la brecha entre ambos impulsa el plan.

¿Debe el informe al consejo usar ISO 27001 o NIST CSF?

Muchas organizaciones certifican según ISO 27001 pero informan al consejo usando las seis funciones de CSF, porque el lenguaje de resultados de CSF es más fácil de entender para quienes no son especialistas. Ambos marcos se corresponden estrechamente.