CSF 1.1 para 2.0: para onde foram as subcategorias retiradas

O NIST publicou o CSF 2.0 em fevereiro de 2024, com uma nova função Governar e um núcleo reorganizado. Muitas subcategorias do CSF 1.1 não sobreviveram na forma original: foram transferidas para um novo identificador ou incorporadas a uma categoria mais ampla. O NIST registrou para onde foi cada uma delas, nas notas de retirada dos dados do CSF 2.0.

Isso importa mais do que parece. Políticas, registros de riscos, ferramentas de GRC, questionários de fornecedores e incontáveis planilhas ainda citam identificadores do CSF 1.1. Um mapeamento para uma subcategoria retirada não é um erro que alguém percebe; é um link para lugar nenhum. A construção do ControlMapping falha com qualquer ID retirado exatamente por esse motivo.

A tabela completa

Cada subcategoria do CSF 1.1 que o NIST retirou no 2.0, e o que o NIST informa que aconteceu com ela:

CSF 1.1	O que mudou no CSF 2.0 (NIST)
DE.AE-01	Incorporado em ID.AM-03
DE.AE-05	Movido para DE.AE-08
DE.CM-04	Incorporado em DE.CM-01, DE.CM-09
DE.CM-05	Incorporado em DE.CM-01, DE.CM-09
DE.CM-07	Incorporado em DE.CM-01, DE.CM-03, DE.CM-06, DE.CM-09
DE.CM-08	Incorporado em ID.RA-01
DE.DP-01	Incorporado em GV.RR-02
DE.DP-02	Incorporado em DE.AE
DE.DP-03	Incorporado em ID.IM-02
DE.DP-04	Incorporado em DE.AE-06
DE.DP-05	Incorporado em ID.IM, ID.IM-03
ID.AM-06	Incorporado em GV.RR-02, GV.SC-02
ID.BE-01	Incorporado em GV.OC-05
ID.BE-02	Incorporado em GV.OC-01
ID.BE-03	Incorporado em GV.OC-01
ID.BE-04	Incorporado em GV.OC-04, GV.OC-05
ID.BE-05	Incorporado em GV.OC-04
ID.GV-01	Incorporado em GV.PO, GV.PO-01, GV.PO-02
ID.GV-02	Incorporado em GV.OC-02, GV.RR, GV.RR-02
ID.GV-03	Movido para GV.OC-03
ID.GV-04	Movido para GV.RM-04
ID.RM-01	Incorporado em GV.RM-01, GV.RM-06, GV.RR-03
ID.RM-02	Incorporado em GV.RM-02, GV.RM-04
ID.RM-03	Movido para GV.RM-02
ID.SC-01	Incorporado em GV.RM-05, GV.SC-01, GV.SC-06, GV.SC-09, GV.SC-10
ID.SC-02	Incorporado em GV.OC-02, GV.SC-03, GV.SC-04, GV.SC-07, ID.RA-10
ID.SC-03	Movido para GV.SC-05
ID.SC-04	Incorporado em GV.SC-07, ID.RA-10
ID.SC-05	Incorporado em GV.SC-08, ID.IM-02
PR.AC-01	Incorporado em PR.AA-01, PR.AA-05
PR.AC-02	Movido para PR.AA-06
PR.AC-03	Incorporado em PR.AA-03, PR.AA-05, PR.IR-01
PR.AC-04	Movido para PR.AA-05
PR.AC-05	Incorporado em PR.IR-01
PR.AC-06	Movido para PR.AA-02
PR.AC-07	Movido para PR.AA-03
PR.AT-03	Incorporado em PR.AT-01, PR.AT-02
PR.AT-04	Incorporado em PR.AT-02
PR.AT-05	Incorporado em PR.AT-02
PR.DS-03	Incorporado em ID.AM-08, PR.PS-03
PR.DS-04	Movido para PR.IR-04
PR.DS-05	Incorporado em PR.DS-01, PR.DS-02, PR.DS-10
PR.DS-06	Incorporado em PR.DS-01, DE.CM-09
PR.DS-07	Incorporado em PR.IR-01
PR.DS-08	Incorporado em ID.RA-09, DE.CM-09
PR.IP-01	Incorporado em PR.PS-01
PR.IP-02	Incorporado em ID.AM-08, PR.PS-06
PR.IP-03	Incorporado em PR.PS-01, ID.RA-07
PR.IP-04	Movido para PR.DS-11
PR.IP-05	Movido para PR.IR-02
PR.IP-06	Incorporado em ID.AM-08
PR.IP-07	Incorporado em ID.IM, ID.IM-03
PR.IP-08	Movido para ID.IM-03
PR.IP-09	Movido para ID.IM-04
PR.IP-10	Incorporado em ID.IM-02, ID.IM-04
PR.IP-11	Movido para GV.RR-04
PR.IP-12	Incorporado em ID.RA-01, PR.PS-02
PR.MA-01	Incorporado em ID.AM-08, PR.PS-03
PR.MA-02	Incorporado em ID.AM-08, PR.PS-02
PR.PT-01	Incorporado em PR.PS-04
PR.PT-02	Incorporado em PR.DS-01, PR.PS-01
PR.PT-03	Incorporado em PR.PS-01
PR.PT-04	Incorporado em PR.AA-06, PR.IR-01
PR.PT-05	Movido para PR.IR-03
RC.CO-01	Incorporado em RC.CO-04
RC.CO-02	Incorporado em RC.CO-04
RC.IM-01	Incorporado em ID.IM-03, ID.IM-04
RC.IM-02	Incorporado em ID.IM-03
RS.AN-01	Incorporado em RS.MA-02
RS.AN-02	Incorporado em RS.MA-02, RS.MA-03, RS.MA-04
RS.AN-04	Movido para RS.MA-03
RS.AN-05	Movido para ID.RA-08
RS.CO-01	Incorporado em PR.AT-01
RS.CO-04	Incorporado em RS.MA-01, RS.MA-04
RS.CO-05	Incorporado em RS.CO-03
RS.IM-01	Incorporado em ID.IM-03, ID.IM-04
RS.IM-02	Incorporado em ID.IM-03
RS.MI-03	Incorporado em ID.RA-06
RS.RP-01	Incorporado em RS.MA-01

Os principais padrões

• ID.BE (Ambiente de Negócios) e ID.GV (Governança) passaram para a nova função Governar, como GV.OC (Contexto Organizacional), GV.RR, GV.PO e GV.OV.
• ID.SC (Gestão de Riscos da Cadeia de Suprimentos) tornou-se GV.SC, ampliada para dez subcategorias.
• PR.AC (Controle de Acesso) tornou-se PR.AA (Gestão de Identidades, Autenticação e Controle de Acesso), com a segregação de rede passando para PR.IR.
• PR.IP (Processos de Proteção da Informação) foi dividida: os resultados de configuração e manutenção passaram para PR.PS (Segurança de Plataforma), e os de melhoria, para ID.IM.
• DE.DP (Processos de Detecção) foi retirada, com seus resultados incorporados a DE.CM, DE.AE e ID.IM.
• Muitas subcategorias de RS e RC foram consolidadas em menos resultados, mais amplos, sob RS.MA, RS.AN, RS.CO e RC.RP.

Como atualizar mapeamentos antigos

1. Pesquise seus documentos e ferramentas em busca de identificadores do CSF e confira cada um na tabela acima. Os identificadores do CSF 1.1 usam um dígito (PR.AC-1); o CSF 2.0 usa dois (PR.AA-01).
2. Substitua diretamente os links "transferida para". Quando o NIST indica que uma subcategoria foi transferida, o novo identificador é uma troca direta.
3. Revise os links "incorporada a". O resultado mais amplo do 2.0 pode cobrir mais do que o seu controle; verifique se o mapeamento ainda faz sentido.
4. Adicione os novos resultados de Governar. O CSF 2.0 introduziu resultados sem predecessor no 1.1, especialmente em gestão de riscos da cadeia de suprimentos e supervisão.

Cada subcategoria do CSF 2.0 tem uma página aqui com seus mapeamentos para outros dez frameworks; comece pela página do framework CSF 2.0. Para entender na prática o que a função Governar significa, veja quais frameworks a abordam. As notas de retirada acima vêm dos próprios dados do CSF 2.0 do NIST, por meio da sua Cybersecurity and Privacy Reference Tool; veja a metodologia.

Perguntas

O que substituiu o PR.AC no NIST CSF 2.0?

A maioria das subcategorias do PR.AC (Controle de Acesso) do CSF 1.1 foi transferida para a nova categoria PR.AA (Gestão de Identidades, Autenticação e Controle de Acesso); as notas de retirada do NIST indicam o destino exato de cada uma.

Ainda posso usar o CSF 1.1?

Pode, mas a versão atual do NIST é a 2.0, e novas correspondências e referências informativas são publicadas com base na 2.0. Atualizar as referências antigas evita mapeamentos que apontam silenciosamente para subcategorias retiradas.