Relatório ao conselho com perfis do NIST CSF 2.0

A maioria dos relatórios de cibersegurança ao conselho falha de uma de duas formas: uma parede de métricas técnicas que ninguém no conselho consegue interpretar, ou um semáforo tranquilizador que esconde os riscos reais. O NIST CSF 2.0 oferece uma estrutura que fica entre essas duas situações. Suas seis funções (Governar, Identificar, Proteger, Detectar, Responder, Recuperar) são simples o bastante para um conselho, e seus perfis transformam "quão seguros estamos?" em "onde estamos, para onde estamos indo e o que está no caminho?"

Perfis Atual e Alvo

Um Perfil Atual registra quais resultados do CSF você alcança hoje, e com que grau de maturidade. Um Perfil Alvo registra os resultados que você pretende alcançar, escolhidos com base no seu apetite a risco, nas obrigações e nas ameaças. A distância entre eles é o seu roteiro, e o papel do conselho é aprovar o alvo e financiar essa distância.

O que mostrar

1. Um gráfico: atual versus alvo, por função. Seis barras, dois valores cada. Os membros do conselho conseguem ver em segundos que Recuperar está muito atrás de Proteger, por exemplo.
2. Os principais riscos, em termos de negócio. "Um ataque de ransomware poderia interromper o processamento de pedidos por uma semana" comunica melhor do que "PR.DS-11 parcialmente atingido".
3. Progresso desde a última vez. O que avançou e o que não avançou.
4. Decisões necessárias. Orçamento, aceitação de risco ou mudança de alvo.
5. Obrigações. Quais frameworks e regulamentações se aplicam e em que situação você está em cada um (certificado, em andamento, lacunas).

Governar deve estar na própria pauta

A função Governar do CSF 2.0 abrange contexto organizacional, estratégia de risco, papéis, política, supervisão e gestão de riscos da cadeia de suprimentos. Vários de seus resultados são responsabilidades do próprio conselho: definir o apetite a risco, supervisionar a estratégia e atribuir responsabilidades. Pela NIS2 (Artigo 20), os órgãos de gestão devem aprovar e supervisionar as medidas de cibersegurança e participar pessoalmente de treinamentos, o que torna Governar um item de conformidade, além de boa prática. Nossa análise de quais frameworks cobrem Governar mostra onde outros frameworks deixam lacunas.

Vinculando o CSF aos frameworks pelos quais você é auditado

Se você se certifica na ISO 27001 ou reporta sob a SOC 2, não precisa de um programa separado para o CSF. Mapeie seus controles para os resultados do CSF uma única vez e reporte as mesmas evidências de duas formas: funções do CSF ao conselho, requisitos dos frameworks aos auditores. O NIST publica o mapeamento oficial do CSF 2.0 para a ISO 27001 e para o SP 800-53:

Direção	Mapeado	Vagamente relacionado	Sem mapeamento
Tem NIST CSF 2.0 → precisa de ISO 27001	79 de 123 (64%)	34	10	relatório →
Tem ISO 27001 → precisa de NIST CSF 2.0	89 de 106 (84%)	15	2	relatório →

Pontuar resultados sem precisão falsa

Conselhos não precisam de casas decimais. Uma escala simples e consistente por categoria do CSF basta, por exemplo:

Pontuação	Significado
0	Não implementado
1	Parcialmente implementado, informal ou inconsistente
2	Implementado e documentado, com alguma evidência
3	Implementado, evidenciado e testado regularmente
4	Medido e em melhoria contínua

Pontue cada categoria com base em evidências, não em opinião, e agregue as categorias nas seis funções para o gráfico do conselho. Mantenha por escrito as regras de pontuação, para que os números do próximo trimestre signifiquem o mesmo que os deste trimestre. Os Tiers do próprio CSF 2.0 descrevem o rigor da governança e da gestão de riscos como um todo; use-os para a narrativa e as pontuações por categoria para o gráfico.

Principais conclusões

• Mostre atual versus alvo por função do CSF em um único gráfico.
• Apresente os principais riscos em termos de negócio e as decisões necessárias.
• Pontue com base em evidências, de forma consistente.

Seja franco

• Pontue os resultados com base em evidências, não em opinião: um resultado está alcançado quando seus controles funcionam e produzem evidências.
• Mostre as lacunas incômodas. Um conselho que aprova um alvo com uma lacuna conhecida aceitou um risco; um conselho que nunca vê a lacuna não aceitou.
• Altere o alvo quando o negócio mudar, e diga isso.

Cada subcategoria do CSF 2.0 tem aqui uma página que a mapeia para dez frameworks; comece pela página do framework CSF 2.0 ou pela comparação NIST CSF vs ISO 27001.

Perguntas

O que é um Perfil Atual do CSF?

Descrição dos resultados de cibersegurança atuais da organização em relação ao núcleo do CSF 2.0. Um Perfil Alvo descreve os resultados que ela pretende alcançar; a distância entre eles orienta o plano.

Os relatórios ao conselho devem usar a ISO 27001 ou o NIST CSF?

Muitas organizações se certificam na ISO 27001, mas reportam ao conselho usando as seis funções do CSF, porque a linguagem de resultados do CSF é mais fácil para não especialistas. Os dois se mapeiam de perto.