Los marcos del NIST son un conjunto de directrices voluntarias, normas y buenas prácticas publicadas por el Instituto Nacional de Estándares y Tecnología (NIST) para ayudar a las organizaciones a gestionar los riesgos de ciberseguridad, proteger los datos confidenciales y cumplir los requisitos de conformidad. Si estás evaluando tu nivel de seguridad o preparándote para una auditoría SOC 2 o ISO 27001, lo primero que debes hacer es determinar qué marco del NIST se aplica a tu situación.
Los marcos del NIST no son meras listas de comprobación burocráticas. Los contratistas federales están obligados por ley, en virtud de la FISMA, a ajustarse a ellos, y las organizaciones del sector privado los utilizan cada vez más como referencia para demostrar su madurez en materia de seguridad ante clientes, auditores y aseguradoras cibernéticas.
Hay tres razones por las que los marcos del NIST son relevantes hoy en día para la mayoría de los equipos de TI de las medianas empresas y las grandes corporaciones:
Comprender los marcos también le ayuda a expresarse con credibilidad durante las auditorías. Los auditores quieren ver un enfoque estructurado del riesgo, no respuestas improvisadas.
El NIST ha publicado docenas de documentos, pero cuatro marcos representan la gran mayoría de los usos reales en los programas de TI y seguridad.
El Marco de Ciberseguridad del NIST es la publicación del NIST más ampliamente adoptada fuera del ámbito del Gobierno federal. La versión 2.0, publicada en febrero de 2024, amplió las cinco funciones originales con una sexta: «Gobernanza».
Las seis funciones del CSF son:
El CSF está diseñado para basarse en resultados. Le indica qué debe lograr, no exactamente cómo lograrlo. Esa flexibilidad resulta útil para equipos más pequeños, pero también implica que debe traducir las funciones en controles técnicos específicos.
El Marco de Gestión de Riesgos del NIST es un proceso estructurado de siete pasos diseñado originalmente para los sistemas de información federales. Es obligatorio para las agencias federales de EE. UU. y sus contratistas en virtud de la FISMA.
Los siete pasos del RMF son:
El RMF es más prescriptivo que el CSF. Si su empresa es de SaaS y vende al Gobierno federal o está tramitando una autorización FedRAMP, el RMF es su marco operativo principal.
La Publicación Especial 800-53 del NIST es el catálogo de controles en el que se basa el RMF. La revisión 5 contiene más de 1.000 controles y mejoras de control organizados en 20 familias, entre las que se incluyen el control de acceso (AC), la gestión de la configuración (CM), la respuesta a incidentes (IR) y la protección de sistemas y comunicaciones (SC).
La SP 800-53 es también la columna vertebral técnica de FedRAMP. Cuando los profesionales de la seguridad hablan de «controles del NIST», normalmente se refieren a los controles de la SP 800-53.
En el trabajo práctico de TI, los controles CM-6 (Ajustes de configuración) y CM-7 (Funcionalidad mínima) de la norma SP 800-53 son directamente relevantes para la gestión de terminales, ya que exigen líneas de base documentadas y restricciones sobre el software y los servicios innecesarios. Aquí es donde encaja tu guía de refuerzo de la seguridad de los terminales.
La norma NIST SP 800-171 es una versión simplificada de los controles de la SP 800-53, centrada específicamente en la protección de la información no clasificada controlada (CUI) en sistemas no federales. Constituye la referencia de cumplimiento para los contratistas del Departamento de Defensa y está directamente vinculada al programa CMMC (Certificación del Modelo de Madurez en Ciberseguridad).
Si su organización maneja CUI, la norma SP 800-171 no es opcional, y la certificación CMMC de nivel 2 o 3 requerirá una evaluación independiente basada en ella.
Piense en estos marcos como capas:
Para la mayoría de los equipos de TI del sector privado, el CSF es el punto de partida. Las organizaciones que aspiran a contratos federales o a la autorización FedRAMP pasan al RMF y al SP 800-53. Las empresas de la cadena de suministro de defensa trabajan con el SP 800-171.
Una ventaja práctica de alinearse con el CSF del NIST es que sus controles se corresponden bien con los marcos que los auditores utilizan realmente para realizar sus pruebas. El NIST publica documentos de correspondencias que muestran cómo las subcategorías del CSF se alinean con:
Esto significa que, si diseñas tu programa de seguridad en torno al CSF, no tendrás que empezar de cero en cada auditoría. Recopilarás pruebas una sola vez y las asignarás a múltiples marcos de referencia, lo cual constituye el principio fundamental que subyace a la automatización del cumplimiento normativo.
Los puntos finales se abordan de forma explícita en todos los marcos del NIST. La función «Proteger» del CSF exige la gestión de la configuración y el acceso con privilegios mínimos. La norma SP 800-53 CM-6 exige líneas de base de configuración documentadas para todos los dispositivos. La norma SP 800-171 incluye requisitos equivalentes en su familia «Protección de sistemas y comunicaciones».
En la práctica, estos requisitos se traducen en:
Si su parque de dispositivos incluye dispositivos personales no gestionados, su cobertura de CSF Identify y Protect presenta lagunas evidentes. Las directrices del NIST al respecto coinciden con la necesidad de contar con una política estructurada de gestión de dispositivos BYOD que defina qué controles se aplican y cómo se verifican.
Cumplir los requisitos del NIST no es un mero ejercicio de documentación. Los controles requieren una aplicación efectiva a nivel de dispositivo, y ahí es donde la elección de las herramientas resulta fundamental.
Iru Endpoint se encarga de los requisitos a nivel de dispositivo que exigen el CSF y la norma SP 800-53. Para las flotas de macOS, iOS, iPadOS y tvOS, aplica las configuraciones de referencia derivadas de los CIS Benchmarks, mantiene un inventario de hardware en tiempo real para la cobertura de «Identify» del CSF, restringe la instalación de software y detecta desviaciones en la configuración antes de que un auditor las detecte. Estas capacidades se corresponden directamente con las familias de controles CM, AC y SI de la norma SP 800-53 sin que su equipo tenga que realizar un trabajo de correlación manual.
Iru Compliance toma las pruebas de control que genera Iru Endpoint y las asigna a los marcos de referencia con los que trabajan sus auditores, incluidos SOC 2, ISO 27001 e HIPAA. Cuando un cuestionario de seguridad para clientes pregunta si cumple con el NIST CSF, la respuesta proviene de los datos de supervisión continua, no de una hoja de cálculo actualizada la semana anterior a una revisión.
Para los equipos de TI que gestionan específicamente flotas de Apple, el enfoque de Iru implica que las configuraciones relevantes según el NIST se aplican en el momento de la inscripción, y no se adaptan a posteriori una vez que una evaluación de deficiencias ha puesto de manifiesto el problema.
La mayoría de las organizaciones no necesitan implementar todos los marcos del NIST simultáneamente. Utiliza esto como guía para tomar una decisión:
Los marcos no son mutuamente excluyentes. Muchas organizaciones utilizan el CSF como capa organizativa y la norma SP 800-53 como catálogo de controles técnicos, independientemente de si se encuentran en un contexto federal.
Si su equipo está preparado para pasar de la comprensión del marco a su aplicación activa en todo su parque de dispositivos, reserve una demostración para ver cómo Iru mapea los controles de los puntos finales con los requisitos del NIST en la práctica.