NIST CSF 1.1 a 2.0: adónde fueron las subcategorías retiradas

NIST publicó CSF 2.0 en febrero de 2024 con una nueva función Gobernar y un núcleo reorganizado. Muchas subcategorías de CSF 1.1 no sobrevivieron en su forma original: se trasladaron a un nuevo identificador o se incorporaron a uno más amplio. NIST registró el destino de cada una en las notas de retirada de sus datos de CSF 2.0.

Eso importa más de lo que parece. Las políticas, los registros de riesgos, las herramientas GRC, los cuestionarios a proveedores y una cantidad incontable de hojas de cálculo siguen citando identificadores de CSF 1.1. Una correspondencia con una subcategoría retirada no es un error que alguien note; es un enlace a ninguna parte. Por esa razón, el proceso de compilación de ControlMapping falla ante cualquier identificador retirado.

La tabla completa

Cada subcategoría de CSF 1.1 que NIST retiró en 2.0, y lo que NIST indica que le ocurrió:

CSF 1.1	Qué cambió en CSF 2.0 (NIST)
DE.AE-01	Incorporado en ID.AM-03
DE.AE-05	Trasladado a DE.AE-08
DE.CM-04	Incorporado en DE.CM-01, DE.CM-09
DE.CM-05	Incorporado en DE.CM-01, DE.CM-09
DE.CM-07	Incorporado en DE.CM-01, DE.CM-03, DE.CM-06, DE.CM-09
DE.CM-08	Incorporado en ID.RA-01
DE.DP-01	Incorporado en GV.RR-02
DE.DP-02	Incorporado en DE.AE
DE.DP-03	Incorporado en ID.IM-02
DE.DP-04	Incorporado en DE.AE-06
DE.DP-05	Incorporado en ID.IM, ID.IM-03
ID.AM-06	Incorporado en GV.RR-02, GV.SC-02
ID.BE-01	Incorporado en GV.OC-05
ID.BE-02	Incorporado en GV.OC-01
ID.BE-03	Incorporado en GV.OC-01
ID.BE-04	Incorporado en GV.OC-04, GV.OC-05
ID.BE-05	Incorporado en GV.OC-04
ID.GV-01	Incorporado en GV.PO, GV.PO-01, GV.PO-02
ID.GV-02	Incorporado en GV.OC-02, GV.RR, GV.RR-02
ID.GV-03	Trasladado a GV.OC-03
ID.GV-04	Trasladado a GV.RM-04
ID.RM-01	Incorporado en GV.RM-01, GV.RM-06, GV.RR-03
ID.RM-02	Incorporado en GV.RM-02, GV.RM-04
ID.RM-03	Trasladado a GV.RM-02
ID.SC-01	Incorporado en GV.RM-05, GV.SC-01, GV.SC-06, GV.SC-09, GV.SC-10
ID.SC-02	Incorporado en GV.OC-02, GV.SC-03, GV.SC-04, GV.SC-07, ID.RA-10
ID.SC-03	Trasladado a GV.SC-05
ID.SC-04	Incorporado en GV.SC-07, ID.RA-10
ID.SC-05	Incorporado en GV.SC-08, ID.IM-02
PR.AC-01	Incorporado en PR.AA-01, PR.AA-05
PR.AC-02	Trasladado a PR.AA-06
PR.AC-03	Incorporado en PR.AA-03, PR.AA-05, PR.IR-01
PR.AC-04	Trasladado a PR.AA-05
PR.AC-05	Incorporado en PR.IR-01
PR.AC-06	Trasladado a PR.AA-02
PR.AC-07	Trasladado a PR.AA-03
PR.AT-03	Incorporado en PR.AT-01, PR.AT-02
PR.AT-04	Incorporado en PR.AT-02
PR.AT-05	Incorporado en PR.AT-02
PR.DS-03	Incorporado en ID.AM-08, PR.PS-03
PR.DS-04	Trasladado a PR.IR-04
PR.DS-05	Incorporado en PR.DS-01, PR.DS-02, PR.DS-10
PR.DS-06	Incorporado en PR.DS-01, DE.CM-09
PR.DS-07	Incorporado en PR.IR-01
PR.DS-08	Incorporado en ID.RA-09, DE.CM-09
PR.IP-01	Incorporado en PR.PS-01
PR.IP-02	Incorporado en ID.AM-08, PR.PS-06
PR.IP-03	Incorporado en PR.PS-01, ID.RA-07
PR.IP-04	Trasladado a PR.DS-11
PR.IP-05	Trasladado a PR.IR-02
PR.IP-06	Incorporado en ID.AM-08
PR.IP-07	Incorporado en ID.IM, ID.IM-03
PR.IP-08	Trasladado a ID.IM-03
PR.IP-09	Trasladado a ID.IM-04
PR.IP-10	Incorporado en ID.IM-02, ID.IM-04
PR.IP-11	Trasladado a GV.RR-04
PR.IP-12	Incorporado en ID.RA-01, PR.PS-02
PR.MA-01	Incorporado en ID.AM-08, PR.PS-03
PR.MA-02	Incorporado en ID.AM-08, PR.PS-02
PR.PT-01	Incorporado en PR.PS-04
PR.PT-02	Incorporado en PR.DS-01, PR.PS-01
PR.PT-03	Incorporado en PR.PS-01
PR.PT-04	Incorporado en PR.AA-06, PR.IR-01
PR.PT-05	Trasladado a PR.IR-03
RC.CO-01	Incorporado en RC.CO-04
RC.CO-02	Incorporado en RC.CO-04
RC.IM-01	Incorporado en ID.IM-03, ID.IM-04
RC.IM-02	Incorporado en ID.IM-03
RS.AN-01	Incorporado en RS.MA-02
RS.AN-02	Incorporado en RS.MA-02, RS.MA-03, RS.MA-04
RS.AN-04	Trasladado a RS.MA-03
RS.AN-05	Trasladado a ID.RA-08
RS.CO-01	Incorporado en PR.AT-01
RS.CO-04	Incorporado en RS.MA-01, RS.MA-04
RS.CO-05	Incorporado en RS.CO-03
RS.IM-01	Incorporado en ID.IM-03, ID.IM-04
RS.IM-02	Incorporado en ID.IM-03
RS.MI-03	Incorporado en ID.RA-06
RS.RP-01	Incorporado en RS.MA-01

Los patrones principales

• ID.BE (Entorno empresarial) e ID.GV (Gobernanza) pasaron a la nueva función Gobernar, como GV.OC (Contexto organizacional), GV.RR, GV.PO y GV.OV.
• ID.SC (Gestión de riesgos de la cadena de suministro) se convirtió en GV.SC, ampliada a diez subcategorías.
• PR.AC (Control de acceso) pasó a PR.AA (Gestión de identidades, autenticación y control de acceso), y la segmentación de red se trasladó a PR.IR.
• PR.IP (Procesos de protección de la información) se dividió: los resultados de configuración y mantenimiento pasaron a PR.PS (Seguridad de la plataforma), y los de mejora pasaron a ID.IM.
• DE.DP (Procesos de detección) fue retirada, y sus resultados se integraron en DE.CM, DE.AE e ID.IM.
• Muchas subcategorías RS y RC se consolidaron en menos resultados, más amplios, bajo RS.MA, RS.AN, RS.CO y RC.RP.

Cómo actualizar las correspondencias antiguas

1. Busque en sus documentos y herramientas identificadores de CSF y compárelos con la tabla anterior. Los identificadores de CSF 1.1 usan un dígito (PR.AC-1); CSF 2.0 usa dos (PR.AA-01).
2. Reemplace directamente los enlaces «trasladado a». Cuando NIST indica que una subcategoría se trasladó, el nuevo identificador es un cambio directo.
3. Revise los enlaces «incorporado en». El resultado más amplio de 2.0 puede cubrir más de lo que cubre su control; compruebe que la correspondencia siga teniendo sentido.
4. Añada los nuevos resultados de Gobernar. CSF 2.0 introdujo resultados sin predecesor en 1.1, sobre todo en riesgos de la cadena de suministro y supervisión.

Cada subcategoría de CSF 2.0 tiene aquí una página con sus correspondencias con otros diez marcos; empiece por la página del marco CSF 2.0. Para saber qué significa la función Gobernar en la práctica, consulte qué marcos la cubren. Las notas de retirada anteriores proceden de los propios datos de CSF 2.0 de NIST, a través de su Cybersecurity and Privacy Reference Tool; consulte la metodología.

Preguntas

¿Qué reemplazó a PR.AC en NIST CSF 2.0?

La mayoría de las subcategorías de CSF 1.1 de PR.AC (Control de acceso) pasaron a la nueva categoría PR.AA (Gestión de identidades, autenticación y control de acceso); las notas de retirada de NIST indican el destino exacto de cada una.

¿Puedo seguir usando CSF 1.1?

Puede, pero la versión actual de NIST es la 2.0, y las nuevas correspondencias y referencias informativas se publican sobre la 2.0. Actualizar las referencias antiguas evita correspondencias que apunten en silencio a subcategorías retiradas.