Comparación
NIST CSF 2.0 frente a ISO 27001: resultados frente a un sistema certificable
NIST Cybersecurity Framework 2.0 · ISO/IEC 27001:2022 · datos 2026-10-27
Por Paul Gillet · Actualizado 2026-10-17
El Cybersecurity Framework 2.0 del NIST describe resultados: 106 subcategorías repartidas en seis funciones (Govern, Identify, Protect, Detect, Respond y Recover). Es voluntario y no es certificable, y deliberadamente no indica cómo alcanzar cada resultado. La norma ISO/IEC 27001 es un estándar certificable: exige un sistema de gestión de la seguridad de la información y una elección razonada de controles del Anexo A.
Como el NIST publica una correspondencia de referencias informativas desde CSF 2.0 hasta ISO 27001, ambos marcos se corresponden estrechamente, y casi todos los resultados de CSF tienen controles ISO vinculados. Las organizaciones suelen usar CSF como lenguaje para el consejo de administración e ISO 27001 como marco operativo y de certificación que lo sustenta.
Al pasar de CSF a ISO, la brecha está en el sistema de gestión y no en los resultados de seguridad. La función Govern de CSF cubre estrategia, políticas, roles y supervisión, pero ISO prescribe mecanismos concretos que CSF deja abiertos: un alcance definido del SGSI, objetivos de seguridad de la información, control de la información documentada, programas de auditoría interna y revisión por la dirección. Esas cláusulas aparecen abajo como sin correspondencia.
Al pasar de ISO a CSF, la cobertura está prácticamente completa. El trabajo consiste en traducir: construir un perfil actual y un perfil objetivo de CSF a partir de su SGSI, y expresar sus decisiones de tratamiento de riesgos como resultados de CSF.
De un vistazo
| NIST CSF 2.0 | ISO 27001 | |
|---|---|---|
| Qué es | Un marco voluntario de resultados | Una norma de sistema de gestión certificable |
| Estructura | 6 funciones, 22 categorías, 106 subcategorías | Cláusulas 4–10 más 93 controles del Anexo A |
| Certificación | Ninguna | Sí, mediante entidades de certificación acreditadas |
| Coste de uso | Gratuito | La norma la vende ISO; la certificación añade honorarios de auditoría |
| Ideal para | Estructurar un programa, informar al consejo y autoevaluarse | Demostrar la seguridad a clientes y reguladores a nivel internacional |
| Correspondencia oficial | El NIST publica las referencias CSF 2.0 ↔ ISO 27001 utilizadas aquí | — |
Uso conjunto
Ambos encajan bien: CSF 2.0 aporta un vocabulario de resultados que entienden los consejos y los reguladores, e ISO 27001 aporta el sistema de gestión certificable que demuestra que el programa se ejecuta. Un patrón habitual es informar de la postura frente a las funciones de CSF mientras se certifica el SGSI según ISO 27001.
Como el NIST vincula cada subcategoría de CSF con cláusulas de ISO y controles del Anexo A, puede mantener un único conjunto de controles e informar de él en ambos sentidos. Las tablas de requisitos siguientes muestran dónde las referencias publicadas los vinculan y dónde un resultado de CSF no tiene equivalente ISO en nuestros datos.
Qué cambió en CSF 2.0
CSF 2.0 (febrero de 2024) añadió una sexta función, Govern, que cubre el contexto organizativo, la estrategia de riesgo, los roles, las políticas, la supervisión y el riesgo de la cadena de suministro. Estos resultados se alinean estrechamente con las cláusulas 4–6 y 9 de ISO 27001, por lo que ambos marcos se solapan más de lo que lo hacían CSF 1.1 e ISO.
Quién usa cada uno
- NIST CSF 2.0 lo usan organizaciones de todos los tamaños y sectores para estructurar un programa, fijar objetivos e informar a la dirección. Es el lenguaje común de las infraestructuras críticas de EE. UU., de numerosos reguladores y de las aseguradoras cibernéticas, y es gratuito.
- ISO 27001 se usa cuando una organización necesita demostrar su seguridad a terceros mediante un certificado: proveedores de software y servicios que venden a grandes empresas, proveedores de cadenas de suministro reguladas y empresas que optan a contratos del sector público, especialmente fuera de EE. UU.
- Muchas organizaciones usan ambos: CSF para gestionar e informar, ISO 27001 para certificar.
Coste y esfuerzo
Adoptar CSF no tiene coste y no implica auditoría, así que el coste es el esfuerzo interno de evaluar su perfil actual, definir un perfil objetivo y cerrar la brecha. ISO 27001 añade el coste de la propia norma, los honorarios de auditoría de la entidad de certificación y, sobre todo, el esfuerzo interno de construir y operar el sistema de gestión: evaluación de riesgos, Declaración de Aplicabilidad, auditoría interna y revisión por la dirección. Para una organización que ya usa CSF con solvencia, la mayor parte del trabajo técnico para ISO ya está hecho; el esfuerzo restante es principalmente el sistema de gestión y su documentación.
Pasar de CSF a la certificación ISO 27001
- Asocie su perfil CSF a ISO. Las propias referencias del NIST vinculan las subcategorías de CSF 2.0 con cláusulas de ISO y controles del Anexo A; el análisis de brechas enumera cada requisito de ISO con su equivalente en CSF.
- Defina el alcance del SGSI y convierta su perfil objetivo de CSF en objetivos de seguridad de la información.
- Formalice la evaluación de riesgos conforme a los requisitos de ISO (un método documentado, responsables, criterios de aceptación) y redacte la Declaración de Aplicabilidad.
- Añada los procesos del sistema de gestión: control documental, auditoría interna, revisión por la dirección y acción correctiva.
- Opere el SGSI durante unos meses y, a continuación, programe las auditorías de la Etapa 1 y la Etapa 2.
Muchas organizaciones con un programa CSF maduro obtienen la certificación en seis a nueve meses.
Caso práctico: un proveedor sanitario regional
Un grupo sanitario regional ha usado NIST CSF durante tres años para estructurar su programa e informar a su consejo de administración. Un nuevo contrato con un socio exige la certificación ISO 27001 para el servicio compartido de portal de pacientes.
Su perfil actual de CSF muestra resultados sólidos en Protect y Detect, por lo que la mayoría de los controles técnicos del Anexo A ya existen. El análisis de brechas destaca las cláusulas del sistema de gestión, una Declaración de Aplicabilidad, acuerdos formales con proveedores y seguridad física para la sala de datos. El grupo limita el alcance del SGSI al servicio de portal de pacientes y a su infraestructura de soporte, reutiliza su registro de riesgos de CSF con un método conforme a ISO y obtiene la certificación en unos ocho meses. Sigue informando al consejo en términos de CSF y a la entidad de certificación en términos de ISO, a partir de los mismos controles.
Errores habituales
- Asociar a CSF 1.1. Muchas hojas de cálculo antiguas asocian ISO 27001:2013 con CSF 1.1; ambos han cambiado desde entonces, y los enlaces a subcategorías retiradas no conducen a ninguna parte.
- Tratar un perfil de CSF como un SGSI. CSF no exige auditoría interna, revisión por la dirección ni control documental; los auditores de ISO sí lo harán.
- Certificar un alcance demasiado estrecho para ahorrar esfuerzo, para descubrir después que el certificado no cubre lo que compran los clientes.
- Informar de dos realidades distintas. Los informes al consejo en términos de CSF y las evidencias de auditoría en términos de ISO deberían proceder de los mismos controles; de lo contrario, se distancian.
Conclusiones clave
- Si necesita un certificado, ISO 27001 se lo proporciona; CSF nunca lo hará.
- CSF → ISO: planifique la mecánica del SGSI (alcance, objetivos, información documentada, auditoría interna, revisión por la dirección).
- ISO → CSF: genere perfiles de CSF a partir de su SoA existente; apenas se necesita nuevo trabajo de controles.
Descargar esta comparación (CSV) Abrir en análisis de brechas →
Tiene NIST CSF 2.0 → necesita ISO 27001
123 req. 79 asignados · · 10 sin asignación Abrir en vista de brechas →De los 123 requisitos de ISO/IEC 27001:2022, 79 se corresponden con algo en NIST CSF 2.0, 34 solo guardan una relación tangencial y 10 no tienen correspondencia en nuestros datos.
Probablemente trabajo nuevo: requisitos de ISO 27001 sin correspondencia con NIST CSF 2.0 (10)
| ISO 27001 | Requisito | Coincidencia | NIST CSF 2.0 | Evidencia |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
| Clause 5.1 | Leadership and commitment | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
| Clause 6.2 | Information security objectives and planning to achieve them | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
| Clause 6.3 | Planning of changes | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
| Clause 7.5.1 | General | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
| Clause 7.5.2 | Creating and updating | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
| Clause 7.5.3 | Control of documented information | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
| Clause 9.2.1 | General | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
| Clause 9.2.2 | Internal audit programme | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
| Clause 10.2 | Nonconformity and corrective action | Sin correspondencia en nuestros datos | — | Sin correspondencia con NIST CSF 2.0 en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (34)
| ISO 27001 | Requisito | Coincidencia | NIST CSF 2.0 | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.3 | Segregation of duties | GV.OC-05GV.RR-02PR.AA-05+3 | Solo comparte subcategorías de CSF GV.OC-05, GV.RR-02, PR.AA-05: relacionado, no es una correspondencia | |
| A.5.8 | Information security in project management | GV.OC-05ID.AM-08 | Solo comparte subcategorías de CSF GV.OC-05, ID.AM-08: relacionado, no es una correspondencia | |
| A.5.10 | Acceptable use of information and other associated assets | PR.DS-01PR.DS-02PR.DS-10 | Solo comparte subcategorías de CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, no es una correspondencia | |
| A.5.17 | Authentication information | PR.AA-03PR.AA-05 | Solo comparte subcategorías de CSF PR.AA-03, PR.AA-05: relacionado, no es una correspondencia | |
| A.5.32 | Intellectual property rights | GV.PO-02 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| A.5.33 | Protection of records | PR.DS-01 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.5.34 | Privacy and protection of PII | GV.PO-02 | Solo comparte subcategorías de CSF GV.PO-02: relacionado, no es una correspondencia | |
| A.5.35 | Independent review of information security | GV.OV-02 | Solo comparte subcategorías de CSF GV.OV-02: relacionado, no es una correspondencia | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Solo comparte subcategorías de CSF GV.PO-01, GV.RR-04, PR.DS-01: relacionado, no es una correspondencia | |
| A.6.5 | Responsibilities after termination or change of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Solo comparte subcategorías de CSF GV.PO-01, GV.RR-04, PR.DS-01: relacionado, no es una correspondencia | |
| A.6.6 | Confidentiality or non-disclosure agreements | GV.RR-03GV.RR-04 | Solo comparte subcategorías de CSF GV.RR-03, GV.RR-04: relacionado, no es una correspondencia | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | PR.DS-01PR.IR-02 | Solo comparte subcategorías de CSF PR.DS-01, PR.IR-02: relacionado, no es una correspondencia | |
| A.7.9 | Security of assets off-premises | PR.DS-01 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.7.10 | Storage media | ID.AM-08PR.DS-01 | Solo comparte subcategorías de CSF ID.AM-08, PR.DS-01: relacionado, no es una correspondencia | |
| A.7.13 | Equipment maintenance | ID.AM-08PR.IR-02 | Solo comparte subcategorías de CSF ID.AM-08, PR.IR-02: relacionado, no es una correspondencia | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | PR.AA-05PR.DS-01PR.DS-02+1 | Solo comparte subcategorías de CSF PR.AA-05, PR.DS-01, PR.DS-02: relacionado, no es una correspondencia | |
| A.8.6 | Capacity management | DE.CM-09PR.IR-04 | Solo comparte subcategorías de CSF DE.CM-09, PR.IR-04: relacionado, no es una correspondencia | |
| A.8.23 | Web filtering | PR.IR-01 | Solo comparte subcategorías de CSF PR.IR-01: relacionado, no es una correspondencia | |
| A.8.27 | Secure system architecture and engineering principles | PR.IR-03 | Solo comparte subcategorías de CSF PR.IR-03: relacionado, no es una correspondencia | |
| A.8.30 | Outsourced development | GV.OV-03 | Solo comparte subcategorías de CSF GV.OV-03: relacionado, no es una correspondencia | |
| A.8.31 | Separation of development, test and production environments | PR.PS-06 | Solo comparte subcategorías de CSF PR.PS-06: relacionado, no es una correspondencia | |
| A.8.32 | Change management | GV.OV-03ID.RA-07 | Solo comparte subcategorías de CSF GV.OV-03, ID.RA-07: relacionado, no es una correspondencia | |
| A.8.33 | Test information | PR.DS-01 | Solo comparte subcategorías de CSF PR.DS-01: relacionado, no es una correspondencia | |
| A.8.34 | Protection of information systems during audit testing | GV.OV-03 | Solo comparte subcategorías de CSF GV.OV-03: relacionado, no es una correspondencia | |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.4 | Information security management system | GV.OC-02 | Solo comparte subcategorías de CSF GV.OC-02: relacionado, no es una correspondencia | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | GV.SC-02 | Solo comparte subcategorías de CSF GV.SC-02: relacionado, no es una correspondencia | |
| Clause 7.1 | Resources | GV.RR-03 | Solo comparte subcategorías de CSF GV.RR-03: relacionado, no es una correspondencia | |
| Clause 7.2 | Competence | GV.RR-01GV.RR-02GV.RR-03 | Solo comparte subcategorías de CSF GV.RR-01, GV.RR-02, GV.RR-03: relacionado, no es una correspondencia | |
| Clause 8.1 | Operational planning and control | GV.OC-01GV.OC-02GV.SC-01+2 | Solo comparte subcategorías de CSF GV.OC-01, GV.OC-02, GV.SC-01: relacionado, no es una correspondencia | |
| Clause 8.2 | Information security risk assessment | GV.OC-01GV.OC-02 | Solo comparte subcategorías de CSF GV.OC-01, GV.OC-02: relacionado, no es una correspondencia | |
| Clause 8.3 | Information security risk treatment | GV.OC-01GV.OC-02 | Solo comparte subcategorías de CSF GV.OC-01, GV.OC-02: relacionado, no es una correspondencia | |
| Clause 9.3.1 | General | PR.PS-01 | Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia | |
| Clause 9.3.2 | Management review inputs | PR.PS-01 | Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia | |
| Clause 9.3.3 | Management review results | PR.PS-01 | Solo comparte subcategorías de CSF PR.PS-01: relacionado, no es una correspondencia | |
Correspondencia (79)
| ISO 27001 | Requisito | Coincidencia | NIST CSF 2.0 | Evidencia |
|---|---|---|---|---|
| A.5 Organizational controls · 29 | ||||
| A.5.1 | Policies for information security | Correspondencia | GV.PO-01GV.PO-02 | Mismo tema: Política de gobernanza |
| A.5.2 | Information security roles and responsibilities | Correspondencia | GV.RR-01GV.RR-02GV.RR-03 | Mismo tema: Funciones y responsabilidades |
| A.5.4 | Management responsibilities | Correspondencia | GV.RR-01GV.RR-02GV.RR-03 | Mismo tema: Funciones y responsabilidades |
| A.5.5 | Contact with authorities | Correspondencia | RS.CO-02 | Mismo tema: Notificación |
| A.5.6 | Contact with special interest groups | Editorial | RS.CO-03 | Mismo tema: Comunicación (selección editorial) |
| A.5.7 | Threat intelligence | Correspondencia | DE.AE-07ID.RA-02ID.RA-03 | Mismo tema: Inteligencia de amenazas |
| A.5.9 | Inventory of information and other associated assets | Correspondencia | ID.AM-01ID.AM-02ID.AM-04+1 | Mismo tema: Gestión de activos |
| A.5.11 | Return of assets | Correspondencia | ID.AM-01ID.AM-02ID.AM-04+1 | Mismo tema: Gestión de activos |
| A.5.12 | Classification of information | Correspondencia | ID.AM-05ID.AM-07 | Mismo tema: Clasificación de datos |
| A.5.13 | Labelling of information | Correspondencia | ID.AM-05ID.AM-07 | Mismo tema: Clasificación de datos |
| A.5.14 | Information transfer | Correspondencia | DE.CM-09PR.DS-01PR.DS-02+1 | Mismo tema: Seguridad del correo electrónico, Protección de datos |
| A.5.15 | Access control | Correspondencia | PR.AA-01PR.AA-03PR.AA-04+2 | Mismo tema: Control de acceso, Confianza cero |
| A.5.16 | Identity management | Correspondencia | PR.AA-01PR.AA-05 | Mismo tema: Control de acceso |
| A.5.18 | Access rights | Correspondencia | PR.AA-01PR.AA-05 | Mismo tema: Control de acceso |
| A.5.19 | Information security in supplier relationships | Correspondencia | DE.CM-06GV.SC-01GV.SC-03+7 | Mismo tema: Gestión de riesgos de proveedores, Riesgo de la cadena de suministro |
| A.5.20 | Addressing information security within supplier agreements | Correspondencia | DE.CM-06GV.SC-04GV.SC-06+2 | Mismo tema: Gestión de riesgos de proveedores |
| A.5.21 | Managing information security in the ICT supply chain | Correspondencia | GV.SC-01GV.SC-03GV.SC-05+2 | Mismo tema: Riesgo de la cadena de suministro |
| A.5.22 | Monitoring, review and change management of supplier services | Correspondencia | DE.CM-06GV.SC-04GV.SC-06+2 | Mismo tema: Gestión de riesgos de proveedores |
| A.5.23 | Information security for use of cloud services | Correspondencia | ID.AM-04PR.IR-01PR.PS-01 | Mismo tema: Seguridad en la nube |
| A.5.24 | Information security incident management planning and preparation | Correspondencia | ID.IM-04RS.MA-01RS.MA-02+2 | Mismo tema: Respuesta a incidentes |
| A.5.25 | Assessment and decision on information security events | Correspondencia | DE.AE-03DE.AE-06DE.AE-08+5 | Mismo tema: SIEM / SOC |
| A.5.26 | Response to information security incidents | Correspondencia | ID.IM-04RC.CO-03RC.CO-04+7 | Mismo tema: Respuesta a incidentes, Comunicaciones y restauración |
| A.5.27 | Learning from information security incidents | Correspondencia | ID.IM-03RC.RP-06 | Mismo tema: Lecciones aprendidas |
| A.5.28 | Collection of evidence | Correspondencia | RS.AN-03RS.AN-06RS.AN-07 | Mismo tema: Análisis forense |
| A.5.29 | Information security during disruption | Correspondencia | GV.OC-04ID.IM-04PR.IR-03+3 | Mismo tema: Continuidad del negocio, Planificación de la recuperación |
| A.5.30 | ICT readiness for business continuity | Correspondencia | GV.OC-04ID.IM-04PR.IR-03+4 | Mismo tema: Continuidad del negocio, Planificación de la recuperación, Recuperación ante desastres |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Correspondencia | GV.OC-03GV.OV-03 | Mismo tema: Cumplimiento |
| A.5.36 | Compliance with policies, rules and standards for information security | Editorial | GV.OC-03GV.OV-03 | Mismo tema: Cumplimiento (selección editorial) |
| A.5.37 | Documented operating procedures | Correspondencia | GV.PO-01GV.PO-02 | Mismo tema: Política de gobernanza |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Correspondencia | DE.CM-03GV.RR-04 | Mismo tema: Amenaza interna |
| A.6.3 | Information security awareness, education and training | Correspondencia | PR.AT-01PR.AT-02 | Mismo tema: Concienciación y formación |
| A.6.4 | Disciplinary process | Correspondencia | DE.CM-03GV.RR-04 | Mismo tema: Amenaza interna |
| A.6.7 | Remote working | Editorial | PR.AA-05PR.PS-01 | Mismo tema: Seguridad móvil (selección editorial) |
| A.6.8 | Information security event reporting | Correspondencia | RS.CO-02 | Mismo tema: Notificación |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| A.7.2 | Physical entry | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| A.7.3 | Securing offices, rooms and facilities | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| A.7.4 | Physical security monitoring | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| A.7.5 | Protecting against physical and environmental threats | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| A.7.6 | Working in secure areas | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| A.7.8 | Equipment siting and protection | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| A.7.11 | Supporting utilities | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| A.7.12 | Cabling security | Correspondencia | DE.CM-02PR.AA-06PR.IR-02 | Mismo tema: Seguridad física |
| A.7.14 | Secure disposal or re-use of equipment | Correspondencia | ID.AM-01ID.AM-02ID.AM-04+1 | Mismo tema: Gestión de activos |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Correspondencia | PR.AA-05PR.PS-01DE.CM-09+1 | Mismo tema: Seguridad móvil, Protección de endpoints |
| A.8.2 | Privileged access rights | Correspondencia | PR.AA-05 | Mismo tema: Acceso privilegiado |
| A.8.3 | Information access restriction | Correspondencia | PR.AA-01PR.AA-05 | Mismo tema: Control de acceso |
| A.8.5 | Secure authentication | Correspondencia | PR.AA-03PR.AA-04PR.AA-05+2 | Mismo tema: Autenticación multifactor, Confianza cero, Seguridad de APIs |
| A.8.7 | Protection against malware | Editorial | DE.CM-09PR.PS-05 | Mismo tema: Protección de endpoints (selección editorial) |
| A.8.8 | Management of technical vulnerabilities | Correspondencia | ID.RA-01ID.RA-08PR.PS-02 | Mismo tema: Gestión de vulnerabilidades, Gestión de parches |
| A.8.9 | Configuration management | Correspondencia | PR.PS-01 | Mismo tema: Configuración segura |
| A.8.10 | Information deletion | Correspondencia | PR.DS-01PR.DS-02PR.DS-10 | Mismo tema: Protección de datos |
| A.8.11 | Data masking | Correspondencia | PR.DS-01PR.DS-02PR.DS-10 | Mismo tema: Protección de datos |
| A.8.12 | Data leakage prevention | Correspondencia | PR.DS-01PR.DS-02PR.DS-10 | Mismo tema: DLP |
| A.8.13 | Information backup | Correspondencia | PR.DS-11RC.RP-03 | Mismo tema: Copias de seguridad y recuperación |
| A.8.14 | Redundancy of information processing facilities | Correspondencia | GV.OC-04PR.IR-03RC.RP-02+2 | Mismo tema: Continuidad del negocio, Recuperación ante desastres |
| A.8.15 | Logging | Correspondencia | DE.AE-03PR.PS-04 | Mismo tema: Registro y auditoría |
| A.8.16 | Monitoring activities | Correspondencia | DE.AE-02DE.AE-03DE.AE-04+6 | Mismo tema: Detección de intrusiones, Detección de anomalías, SIEM / SOC |
| A.8.17 | Clock synchronization | Correspondencia | DE.AE-03PR.PS-04 | Mismo tema: Registro y auditoría |
| A.8.18 | Use of privileged utility programs | Correspondencia | PR.AA-05 | Mismo tema: Acceso privilegiado |
| A.8.19 | Installation of software on operational systems | Correspondencia | DE.CM-09PR.PS-05 | Mismo tema: Protección de endpoints |
| A.8.20 | Networks security | Correspondencia | DE.CM-01ID.AM-03PR.IR-01 | Mismo tema: Seguridad DNS, WAF, Cortafuegos / Segmentación de red |
| A.8.21 | Security of network services | Correspondencia | DE.CM-01ID.AM-03PR.IR-01 | Mismo tema: Seguridad DNS, Cortafuegos / Segmentación de red |
| A.8.22 | Segregation of networks | Correspondencia | ID.AM-03PR.AA-03PR.AA-04+2 | Mismo tema: Cortafuegos / Segmentación de red, Confianza cero |
| A.8.24 | Use of cryptography | Correspondencia | PR.DS-01PR.DS-02 | Mismo tema: Cifrado |
| A.8.25 | Secure development life cycle | Correspondencia | PR.PS-06 | Mismo tema: Desarrollo seguro |
| A.8.26 | Application security requirements | Correspondencia | PR.AA-03PR.IR-01PR.PS-06 | Mismo tema: Seguridad de APIs, Seguridad web, Desarrollo seguro |
| A.8.28 | Secure coding | Correspondencia | PR.PS-06 | Mismo tema: Desarrollo seguro |
| A.8.29 | Security testing in development and acceptance | Correspondencia | PR.PS-06 | Mismo tema: Desarrollo seguro |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.1 | Understanding the organization and its context | Correspondencia | GV.OC-01GV.OC-04GV.OC-05 | Mismo tema: Entorno empresarial |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Correspondencia | GV.OC-01GV.OC-04GV.OC-05 | Mismo tema: Entorno empresarial |
| Clause 5.2 | Policy | Correspondencia | GV.PO-01GV.PO-02 | Mismo tema: Política de gobernanza |
| Clause 6.1.1 | General | Correspondencia | GV.RM-01GV.RM-02GV.RM-03+1 | Mismo tema: Gestión de riesgos |
| Clause 6.1.2 | Information security risk assessment | Correspondencia | ID.RA-03ID.RA-04ID.RA-05+1 | Mismo tema: Evaluación de riesgos |
| Clause 6.1.3 | Information security risk treatment | Correspondencia | GV.RM-01GV.RM-02GV.RM-03+5 | Mismo tema: Gestión de riesgos |
| Clause 7.3 | Awareness | Correspondencia | PR.AT-01PR.AT-02 | Mismo tema: Concienciación y formación |
| Clause 7.4 | Communication | Correspondencia | RC.CO-03RC.CO-04RC.RP-05+1 | Mismo tema: Comunicaciones y restauración |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Correspondencia | GV.OC-03GV.OV-03 | Mismo tema: Cumplimiento |
| Clause 10.1 | Continual improvement | Editorial | ID.IM-03RC.RP-06 | Mismo tema: Lecciones aprendidas (selección editorial) |
Tiene ISO 27001 → necesita NIST CSF 2.0
106 req. 89 asignados · · 2 sin asignación Abrir en vista de brechas →De los 106 requisitos de NIST Cybersecurity Framework 2.0, 89 se corresponden con algo en ISO 27001, 15 solo guardan una relación tangencial y 2 no tienen correspondencia en nuestros datos.
Probablemente trabajo nuevo: requisitos de NIST CSF 2.0 sin correspondencia con ISO 27001 (2)
| NIST CSF 2.0 | Requisito | Coincidencia | ISO 27001 | Evidencia |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Sin correspondencia en nuestros datos | — | Sin correspondencia con ISO 27001 en nuestros datos. |
Revise estos: solo relacionados de forma tenue (un resultado común de CSF, no una correspondencia) (15)
| NIST CSF 2.0 | Requisito | Coincidencia | ISO 27001 | Evidencia |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Clause 4.1Clause 4.2Clause 4.4+4 | Solo comparte subcategorías de CSF GV.OC-02: relacionado, no es una correspondencia | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | A.5.1A.5.5A.5.6+3 | Solo comparte subcategorías de CSF GV.OV-01: relacionado, no es una correspondencia | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | A.5.1A.5.19A.5.27+3 | Solo comparte subcategorías de CSF GV.OV-02: relacionado, no es una correspondencia | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | A.5.1Clause 6.1.3 | Solo comparte subcategorías de CSF GV.RM-04: relacionado, no es una correspondencia | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | A.5.1A.5.19Clause 6.1.1+1 | Solo comparte subcategorías de CSF GV.RM-05: relacionado, no es una correspondencia | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Clause 6.1.1 | Solo comparte subcategorías de CSF GV.RM-07: relacionado, no es una correspondencia | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | A.5.2A.5.4Clause 5.3 | Solo comparte subcategorías de CSF GV.SC-02: relacionado, no es una correspondencia | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | A.5.26 | Solo comparte subcategorías de CSF GV.SC-08: relacionado, no es una correspondencia | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | A.5.19A.5.20A.5.21+4 | Solo comparte subcategorías de CSF GV.SC-10: relacionado, no es una correspondencia | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | A.8.32Clause 6.1.3 | Solo comparte subcategorías de CSF ID.RA-07: relacionado, no es una correspondencia | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | A.8.2A.8.3A.8.5 | Solo comparte subcategorías de CSF PR.AA-02: relacionado, no es una correspondencia | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | A.8.6 | Solo comparte subcategorías de CSF PR.IR-04: relacionado, no es una correspondencia | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | A.5.9A.8.1 | Solo comparte subcategorías de CSF PR.PS-03: relacionado, no es una correspondencia | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | A.5.25 | Solo comparte subcategorías de CSF RS.AN-08: relacionado, no es una correspondencia | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | A.5.25 | Solo comparte subcategorías de CSF RS.MA-05: relacionado, no es una correspondencia | |
Correspondencia (89)
| NIST CSF 2.0 | Requisito | Coincidencia | ISO 27001 | Evidencia |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Correspondencia | A.8.16 | Mismo tema: Detección de intrusiones, Detección de anomalías |
| DE.AE-03 | Information is correlated from multiple sources | Correspondencia | A.5.25A.8.15A.8.16+1 | Mismo tema: SIEM / SOC, Registro y auditoría |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Correspondencia | A.8.16 | Mismo tema: Detección de anomalías |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Correspondencia | A.5.25A.8.16 | Mismo tema: SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | Correspondencia | A.5.7 | Mismo tema: Inteligencia de amenazas |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Correspondencia | A.5.25A.8.16 | Mismo tema: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Correspondencia | A.8.16A.8.20A.8.21 | Mismo tema: Monitoreo cont., Detección de intrusiones, Seguridad DNS, WAF |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Correspondencia | A.7.1A.7.2A.7.3+6 | Mismo tema: Seguridad física |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Correspondencia | A.6.1A.6.4A.8.16 | Mismo tema: Amenaza interna, Monitoreo cont. |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Correspondencia | A.5.19A.5.20A.5.22 | Mismo tema: Gestión de riesgos de proveedores |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Correspondencia | A.5.14A.8.16A.8.19+2 | Mismo tema: Seguridad del correo electrónico, Monitoreo cont., Detección de anomalías, Protección de endpoints |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Correspondencia | Clause 4.1Clause 4.2 | Mismo tema: Entorno empresarial |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Correspondencia | A.5.31Clause 9.1A.5.36 | Mismo tema: Cumplimiento |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Correspondencia | A.5.29A.5.30A.8.14+2 | Mismo tema: Continuidad del negocio |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | Correspondencia | Clause 4.1Clause 4.2 | Mismo tema: Entorno empresarial |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Correspondencia | A.5.31Clause 9.1A.5.36 | Mismo tema: Cumplimiento |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Correspondencia | A.5.1A.5.37Clause 5.2 | Mismo tema: Política de gobernanza |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Correspondencia | A.5.1A.5.37Clause 5.2 | Mismo tema: Política de gobernanza |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Correspondencia | Clause 6.1.1Clause 6.1.3 | Mismo tema: Gestión de riesgos |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Correspondencia | Clause 6.1.1Clause 6.1.3 | Mismo tema: Gestión de riesgos |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Correspondencia | Clause 6.1.1Clause 6.1.3 | Mismo tema: Gestión de riesgos |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Correspondencia | Clause 6.1.1Clause 6.1.3 | Mismo tema: Gestión de riesgos |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Correspondencia | A.5.2A.5.4 | Mismo tema: Funciones y responsabilidades |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Correspondencia | A.5.2A.5.4 | Mismo tema: Funciones y responsabilidades |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Correspondencia | A.5.2A.5.4 | Mismo tema: Funciones y responsabilidades |
| GV.RR-04 | Cybersecurity is included in human resources practices | Correspondencia | A.6.1A.6.4A.8.16 | Mismo tema: Amenaza interna |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Correspondencia | A.5.19A.5.21 | Mismo tema: Riesgo de la cadena de suministro |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Correspondencia | A.5.19A.5.21 | Mismo tema: Riesgo de la cadena de suministro |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Correspondencia | A.5.19A.5.20A.5.22 | Mismo tema: Gestión de riesgos de proveedores |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Correspondencia | A.5.19A.5.21 | Mismo tema: Riesgo de la cadena de suministro |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Correspondencia | A.5.19A.5.20A.5.22 | Mismo tema: Gestión de riesgos de proveedores |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Correspondencia | A.5.19A.5.20A.5.22 | Mismo tema: Gestión de riesgos de proveedores |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Correspondencia | A.5.19A.5.21 | Mismo tema: Riesgo de la cadena de suministro |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Correspondencia | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Correspondencia | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Correspondencia | A.8.20A.8.21A.8.22 | Mismo tema: Cortafuegos / Segmentación de red |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Correspondencia | A.5.9A.5.11A.5.23+1 | Mismo tema: Gestión de activos, Seguridad en la nube |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Correspondencia | A.5.12A.5.13 | Mismo tema: Clasificación de datos |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Correspondencia | A.5.12A.5.13 | Mismo tema: Clasificación de datos |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Correspondencia | A.5.9A.5.11A.7.14 | Mismo tema: Gestión de activos |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Correspondencia | A.5.27Clause 10.1 | Mismo tema: Lecciones aprendidas |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Correspondencia | A.5.24A.5.25A.5.26+2 | Mismo tema: Respuesta a incidentes |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Correspondencia | A.8.8 | Mismo tema: Gestión de vulnerabilidades |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Correspondencia | A.5.7 | Mismo tema: Inteligencia de amenazas |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Correspondencia | A.5.7Clause 6.1.2Clause 6.1.3 | Mismo tema: Inteligencia de amenazas, Evaluación de riesgos |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Correspondencia | Clause 6.1.2Clause 6.1.3 | Mismo tema: Evaluación de riesgos |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Correspondencia | Clause 6.1.2Clause 6.1.3 | Mismo tema: Evaluación de riesgos |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Correspondencia | Clause 6.1.2Clause 6.1.3 | Mismo tema: Evaluación de riesgos |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Correspondencia | A.8.8 | Mismo tema: Gestión de vulnerabilidades |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Correspondencia | A.5.19A.5.21 | Mismo tema: Riesgo de la cadena de suministro |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Correspondencia | A.5.19A.5.20A.5.22 | Mismo tema: Gestión de riesgos de proveedores |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Correspondencia | A.5.15A.5.16A.5.18+1 | Mismo tema: Control de acceso |
| PR.AA-03 | Users, services, and hardware are authenticated | Correspondencia | A.5.15A.8.5A.8.22+1 | Mismo tema: Confianza cero, Autenticación multifactor, Seguridad de APIs |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Correspondencia | A.5.15A.8.5A.8.22 | Mismo tema: Confianza cero |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Correspondencia | A.5.15A.5.16A.5.18+7 | Mismo tema: Control de acceso, Confianza cero |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Correspondencia | A.7.1A.7.2A.7.3+6 | Mismo tema: Seguridad física |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Correspondencia | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Correspondencia | A.6.3Clause 7.3 | Mismo tema: Concienciación y formación |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Correspondencia | A.5.14A.8.10A.8.11+2 | Mismo tema: Protección de datos |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Correspondencia | A.5.14A.8.10A.8.11+2 | Mismo tema: Protección de datos, Seguridad del correo electrónico |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Correspondencia | A.5.14A.8.10A.8.11+1 | Mismo tema: Protección de datos |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Correspondencia | A.8.13 | Mismo tema: Copias de seguridad y recuperación |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Correspondencia | A.5.15A.5.23A.8.5+4 | Mismo tema: Confianza cero, Seguridad en la nube, Seguridad de APIs |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Correspondencia | A.7.1A.7.2A.7.3+6 | Mismo tema: Seguridad física |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Correspondencia | A.5.29A.5.30A.8.14 | Mismo tema: Continuidad del negocio, Recuperación ante desastres |
| PR.PS-01 | Configuration management practices are established and applied | Correspondencia | A.5.23A.8.1A.8.9+1 | Mismo tema: Seguridad en la nube, Seguridad móvil, Configuración segura |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Correspondencia | A.8.8 | Mismo tema: Gestión de parches |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Correspondencia | A.8.15A.8.17 | Mismo tema: Registro y auditoría |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Correspondencia | A.8.19A.8.1A.8.7 | Mismo tema: Protección de endpoints |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Correspondencia | A.8.5A.8.25A.8.26+2 | Mismo tema: Seguridad de APIs, Desarrollo seguro, Seguridad web |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Correspondencia | A.5.26Clause 7.4 | Mismo tema: Comunicaciones y restauración |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Correspondencia | A.5.26Clause 7.4 | Mismo tema: Comunicaciones y restauración |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Correspondencia | A.5.29A.5.30 | Mismo tema: Planificación de la recuperación |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Correspondencia | A.5.29A.5.30A.8.14 | Mismo tema: Planificación de la recuperación, Recuperación ante desastres |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Correspondencia | A.8.13 | Mismo tema: Copias de seguridad y recuperación |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Correspondencia | A.5.29A.5.30A.8.14 | Mismo tema: Continuidad del negocio |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Correspondencia | A.5.26A.5.30A.8.14+1 | Mismo tema: Comunicaciones y restauración, Recuperación ante desastres |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Correspondencia | A.5.27Clause 10.1 | Mismo tema: Lecciones aprendidas |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Correspondencia | A.5.28 | Mismo tema: Análisis forense |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Correspondencia | A.5.28 | Mismo tema: Análisis forense |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Correspondencia | A.5.28 | Mismo tema: Análisis forense |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Correspondencia | A.5.5A.6.8 | Mismo tema: Notificación |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Correspondencia | Clause 7.4A.5.6 | Mismo tema: Comunicación |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Correspondencia | A.5.24A.5.25A.5.26 | Mismo tema: Respuesta a incidentes |
| RS.MA-02 | Incident reports are triaged and validated | Correspondencia | A.5.24A.5.25A.5.26 | Mismo tema: Respuesta a incidentes |
| RS.MA-03 | Incidents are categorized and prioritized | Correspondencia | A.5.24A.5.25A.5.26 | Mismo tema: Respuesta a incidentes |
| RS.MA-04 | Incidents are escalated or elevated as needed | Correspondencia | A.5.24A.5.25A.5.26 | Mismo tema: Respuesta a incidentes |
| RS.MI-01 | Incidents are contained | Correspondencia | A.5.26 | Mismo tema: Mitigación |
| RS.MI-02 | Incidents are eradicated | Correspondencia | A.5.26 | Mismo tema: Mitigación |
Por tema
Ambos cubren (50):
Política de gobernanzaConcienciación y formaciónGestión de riesgosRiesgo de la cadena de suministroFunciones y responsabilidadesCumplimientoGestión de activosEvaluación de riesgosEntorno empresarialClasificación de datosGestión de vulnerabilidadesInteligencia de amenazasControl de accesoAutenticación multifactorCifradoProtección de datosCopias de seguridad y recuperaciónAcceso privilegiadoCortafuegos / Segmentación de redProtección de endpointsGestión de parchesConfiguración seguraDesarrollo seguroSeguridad del correo electrónicoSeguridad webConfianza ceroSeguridad móvilSeguridad en la nubeSeguridad DNSWAFDLPMonitoreo cont.Registro y auditoríaDetección de intrusionesDetección de anomalíasSIEM / SOCRespuesta a incidentesAnálisis forenseComunicaciónMitigaciónNotificaciónPlanificación de la recuperaciónContinuidad del negocioLecciones aprendidasComunicaciones y restauraciónRecuperación ante desastresSeguridad de APIsAmenaza internaGestión de riesgos de proveedoresSeguridad física
Preguntas
¿Puede certificarse frente a NIST CSF?
No. El NIST no ofrece certificación; las organizaciones se autoevalúan o encargan una evaluación independiente. ISO 27001 es la opción certificable.
¿Es NIST CSF más fácil que ISO 27001?
Es menos prescriptivo y no implica auditoría, por lo que resulta más fácil de empezar. Pero no es menos exigente en el fondo: cubrir todos los resultados de CSF 2.0 requiere un programa maduro.
¿De dónde procede la correspondencia?
De las propias referencias informativas de NIST para CSF 2.0 y de la correspondencia NIST SP 800-53 → ISO 27001 del NIST. Consulte la metodología.
¿Es ISO 27001 más riguroso que NIST CSF?
Son rigurosos de formas distintas. ISO 27001 es auditable y certificable, y exige un sistema de gestión; NIST CSF tiene un alcance más amplio (especialmente en gobernanza y en riesgo de la cadena de suministro desde la versión 2.0), pero no incluye auditoría. El rigor depende de cómo se implemente cada uno.
¿Pueden NIST CSF e ISO 27001 compartir una misma evaluación de riesgos?
Sí. Una evaluación de riesgos que cumple los requisitos de ISO 27001 en cuanto a método documentado, responsables y criterios de aceptación también respalda los resultados de gestión de riesgos de CSF.
¿Exige el gobierno de EE. UU. ISO 27001?
En general, no. Los sistemas federales de EE. UU. usan NIST SP 800-53 y el Risk Management Framework; CSF se utiliza ampliamente en el sector privado. ISO 27001 suelen exigirla con más frecuencia los clientes internacionales.
¿Necesito comprar ISO 27001 para usarla?
Sí, la norma la venden ISO y los organismos nacionales de normalización. NIST CSF y sus referencias se pueden descargar gratuitamente.
¿Cuál es mejor para una pequeña empresa?
NIST CSF es gratuito y más fácil de empezar; ISO 27001 merece la pena cuando los clientes o las licitaciones exigen certificación. Muchas pequeñas empresas empiezan con CSF y certifican más adelante.
Los identificadores y títulos de los requisitos se muestran tal como los publica cada marco, en inglés.
Correspondencia una tabla de correspondencias publicada (NIST, ENISA, CIS, PCI SSC) establece la relación · Editorial Criterio editorial de ControlMapping cuando no existe crosswalk; se muestra el motivo · solo comparte un resultado de CSF 2.0: conviene revisarlo, no es una asignación · Sin correspondencia en nuestros datos no hay nada asignado en nuestros datos; a menudo es trabajo nuevo, pero revisa las notas de cobertura. Con correspondencia = incluido junto en un tema de ControlMapping, o vinculado directamente. Los crosswalks no demuestran cumplimiento. Metodología · Descargar los datos · Notificar un error.