NIST CSF e ISO 27001: elija el papel operativo de cada uno

NIST CSF e ISO 27001 ayudan a las organizaciones a estructurar la seguridad, pero cumplen papeles operativos distintos. La decisión de la dirección se aclara cuando se pregunta qué resultado necesita el negocio: una visión compartida de las prioridades de ciberseguridad, un programa de seguridad de la información gestionado formalmente, un aseguramiento independiente para los clientes o una combinación de todo ello.

Elegir un marco no traslada la responsabilidad fuera de la dirección. Los directivos siguen teniendo que fijar el alcance, financiar las mejoras, asignar responsables y decidir qué riesgos residuales aceptará la empresa. Por tanto, la pregunta útil no es «¿qué marco es mejor?», sino «¿qué papel debe desempeñar cada uno en cómo gestionamos la seguridad y cómo la demostramos?».

Compare los resultados, no solo las listas de controles

El NIST Cybersecurity Framework, actualmente CSF 2.0, describe resultados de ciberseguridad. Ofrece a los equipos técnicos y a la alta dirección un lenguaje común para hablar de riesgos, capacidades y prioridades sin prescribir una única implementación para todas las organizaciones.

ISO/IEC 27001 especifica los requisitos de un sistema de gestión de seguridad de la información, o SGSI. Ese sistema establece cómo identifica una organización los riesgos de seguridad de la información, selecciona los tratamientos, asigna responsabilidades, evalúa el desempeño y mejora. La certificación independiente puede aportar garantías sobre la conformidad del sistema de gestión dentro de su alcance definido.

Ambos pueden utilizarlos organizaciones de distintos tamaños y niveles de madurez. NIST CSF no es solo para principiantes o empresas estadounidenses, e ISO 27001 no está reservada a grandes empresas internacionales. La preparación influye en el esfuerzo necesario, no en si el enfoque es conceptualmente adecuado.

Qué aporta NIST CSF a las decisiones de la dirección

CSF 2.0 organiza los resultados en seis funciones. Funcionan de forma conjunta; no son seis fases de proyecto que terminan definitivamente una tras otra.

Govern es especialmente importante para la alta dirección. Conecta la ciberseguridad con los objetivos de negocio, la rendición de cuentas, las políticas y la supervisión. Evita que la seguridad se convierta en una lista técnica de tareas pendientes sin un responsable de negocio explícito.

Convierta los resultados en un plan de inversión

Un perfil actual describe los resultados de ciberseguridad que la organización logra actualmente. Un perfil objetivo describe los resultados que quiere lograr, a partir de sus objetivos, amenazas, obligaciones y expectativas de las partes interesadas. La brecha entre ambos ofrece una base para priorizar el trabajo.

Por ejemplo, una empresa puede tener copias de seguridad pero pocas evidencias de que su servicio más importante pueda restaurarse en condiciones realistas. La brecha útil no es simplemente «recuperación incompleta». Es un resultado definido, un servicio afectado, un responsable, un ejercicio de restauración propuesto y una decisión sobre la interrupción aceptable.

Los niveles (Tiers) del CSF describen las características de las prácticas de gobernanza y gestión del riesgo de ciberseguridad. Aportan contexto para debatir sobre el rigor y la coherencia; no son calificaciones de certificación ni una puntuación de madurez universal que todas las organizaciones deban maximizar.

El CSF no es en sí mismo una norma de certificación al estilo ISO. Una organización puede encargar una evaluación y respaldar su perfil con evidencias, pero no debe presentarlo como una certificación emitida por el NIST. El valor para el negocio procede de la claridad de la evaluación y de las mejoras que impulsa.

Qué añade ISO 27001 al sistema operativo de la organización

ISO 27001 se centra en un sistema de gestión con un alcance definido. Sus capítulos 4 a 10 abordan el contexto de la organización, el liderazgo, la planificación, el apoyo, la operación, la evaluación del desempeño y la mejora. Implantarla significa establecer un ciclo de gestión que funcione, no limitarse a reunir políticas para un auditor.

La seguridad de la información incluye la confidencialidad, la integridad y la disponibilidad. La confidencialidad se refiere al acceso adecuado; la integridad, a la exactitud, la completitud y la protección frente a cambios indebidos; la disponibilidad, al acceso autorizado cuando se necesita. La integridad no significa que la información no pueda cambiar nunca: los cambios legítimos necesitan la autorización y el control adecuados.

El SGSI aplica estas cuestiones mediante la evaluación y el tratamiento de riesgos. No es una instrucción general para desplegar todas las tecnologías de seguridad posibles.

Mantenga separados los principales entregables del SGSI

Varios documentos están estrechamente relacionados, pero responden a preguntas distintas:

• Alcance: ¿qué actividades, ubicaciones, información, sistemas e interfaces de la organización cubre el SGSI?
• Evaluación de riesgos: ¿qué podría ocurrir, qué importancia tendría y cómo se emite ese juicio de forma coherente?
• Plan de tratamiento de riesgos: ¿qué acciones abordarán los riesgos identificados, quién es responsable de ellas y qué aprobaciones se necesitan?
• Declaración de Aplicabilidad: ¿qué controles necesarios se incluyen, por qué se incluyen, si están implementados y por qué se excluye algún control del anexo A?
• Auditoría interna: ¿es el SGSI conforme con los requisitos aplicables y funciona eficazmente, según un examen con la imparcialidad adecuada?
• Revisión por la dirección: ¿considera la dirección el desempeño, los cambios, los hallazgos y las necesidades de mejora y toma las decisiones consiguientes?

Un registro de riesgos no sustituye a una Declaración de Aplicabilidad. Una reunión de dirección no constituye automáticamente una revisión por la dirección. Cada entregable necesita su propia finalidad, sus propias entradas y conclusiones documentadas.

El anexo A de ISO 27001:2022 contiene 93 controles agrupados en las categorías organizativa, de personas, física y tecnológica. La aplicabilidad se basa en el riesgo. Las organizaciones determinan los controles necesarios y los comparan con el anexo A para no pasar por alto ninguno necesario; pueden necesitar controles que vayan más allá de ese conjunto de referencia. ISO 27002 ofrece orientación para la implementación de los controles.

Nuestra guía del anexo A explica la estructura de controles con más detalle. Para la dirección, lo esencial es que una lista de comprobación completada no equivale a un SGSI en funcionamiento.

Entienda lo que demuestra la certificación

La certificación es opcional, salvo que la exija un contrato u otra obligación aplicable. Una organización puede operar un SGSI sin buscar un certificado.

Cuando se necesita la certificación, un organismo de certificación independiente evalúa el SGSI; ISO no emite el certificado. La certificación inicial suele incluir una primera fase de revisión de la preparación y de las disposiciones documentadas, seguida de una segunda fase de evaluación de la implementación. Mantener la certificación implica evaluaciones continuas y una recertificación conforme a las condiciones del organismo de certificación.

Lea el alcance antes de basarse en un certificado. La certificación de un servicio o una unidad de negocio no debe presentarse como si cubriera todos los productos, filiales o ubicaciones. Tampoco garantiza que nunca vayan a producirse incidentes ni acredita el cumplimiento de toda la legislación aplicable.

Elija en función de la decisión que debe tomar el negocio

Empiece por las expectativas externas y examine después las necesidades operativas internas. Pida a los equipos comerciales y de compras que distingan lo que los clientes exigen realmente de lo que simplemente prefieren.

«Conforme con ISO 27001», «certificado ISO 27001» y «alineado con NIST CSF» son afirmaciones distintas. Si un contrato exige un certificado, una evaluación según el CSF no cumplirá esa redacción. Si el consejo necesita un plan de mejora claro, un certificado por sí solo puede no explicar dónde debe invertir la organización a continuación.

Utilice estos puntos de decisión:

• Elija el CSF como estructura principal de comunicación cuando la necesidad inmediata sea establecer una referencia compartida, comparar los resultados actuales con los deseados y priorizar la inversión en ciberseguridad.
• Elija ISO 27001 como estructura principal de gestión cuando la organización necesite un SGSI formal con un tratamiento de riesgos, una evaluación y una mejora coherentes.
• Busque la certificación cuando un aseguramiento independiente con alcance definido sirva a un objetivo documentado de clientes, contractual o de negocio.
• Utilice ambos cuando el SGSI pueda gobernar la ejecución mientras los perfiles del CSF comunican los resultados previstos a la dirección y a las partes interesadas.

Una organización madura puede utilizar el CSF para reevaluar prioridades tras una adquisición. Una pequeña empresa puede establecer pronto un SGSI conforme a ISO 27001 porque así lo exigen las expectativas de compras. Evite que el tamaño de la empresa sustituya a la comprensión de la necesidad real.

Ninguno de los dos enfoques elimina la necesidad de analizar por separado las obligaciones legales. Por ejemplo, un certificado ISO no acredita el cumplimiento del RGPD ni de la NIS2. Las obligaciones legales aplicables deben orientar la evaluación de riesgos y la selección de controles, con sus propias evidencias y responsabilidades.

Establezca un único modelo de ejecución, con correspondencias revisadas

Utilizar ambos enfoques no debe significar crear dos programas de seguridad desconectados. Como recomendación práctica, organice la implementación en torno a servicios, riesgos, controles, responsables y evidencias y, después, relacione ese trabajo con cada marco.

Un registro de implementación útil contiene lo siguiente:

Las correspondencias son de muchos a muchos. Un proceso de respuesta a incidentes puede respaldar varios resultados del CSF y múltiples requisitos del SGSI. A la inversa, un resultado puede depender de políticas, salvaguardas técnicas, formación y acuerdos con proveedores.

En la respuesta a incidentes, el CSF describe capacidades previstas como coordinar la respuesta y analizar los incidentes. El SGSI añade disposiciones de gestión sobre responsabilidad, tratamiento de riesgos, evaluación y mejora. El registro de un ejercicio puede respaldar ambos, pero no demuestra que se cumplan todos los requisitos correspondientes.

Mantenga explícitos el alcance y las versiones de los marcos. No aplique una correspondencia desarrollada para un servicio de producción a una filial adquirida sin revisar las diferencias. Nuestra guía de correspondencias entre marcos explica cómo compartir el trabajo sin tratar como equivalentes requisitos distintos.

Ejemplo práctico: una empresa de servicios ante dos exigencias

Consideremos, a modo ilustrativo, una empresa de software con un servicio orientado al cliente. Supongamos que su consejo quiere un plan de inversión en seguridad más claro y que un posible cliente exige una certificación ISO 27001 que cubra ese servicio. Son supuestos hipotéticos, no un caso de cliente.

El CEO designa a un directivo patrocinador responsable y pide al responsable de seguridad que proponga un alcance que incluya las operaciones del servicio y los procesos de apoyo pertinentes. La propuesta identifica la infraestructura cloud, la atención al cliente, el desarrollo, la administración de identidades y los proveedores externos. La dirección comprueba que el límite se ajusta al requisito del cliente en lugar de elegir el alcance más pequeño y cómodo.

El equipo elabora un perfil actual del CSF. Descubre que las aprobaciones de acceso se registran, pero que las revisiones de accesos privilegiados son irregulares. Existen copias de seguridad, pero las evidencias de restauración están incompletas. Los roles ante incidentes están documentados, pero el escalado a proveedores no se ha ensayado.

El perfil objetivo fija tres prioridades: una gobernanza coherente de los accesos privilegiados, una capacidad de restauración demostrada y una respuesta a incidentes coordinada. La evaluación de riesgos del SGSI valora las consecuencias para el negocio correspondientes y establece las decisiones de tratamiento.

La dirección revisa el avance respecto al perfil objetivo y a los objetivos del SGSI. Financia las dependencias de recuperación sin resolver y decide cómo se tratarán las excepciones de acceso temporales. La auditoría interna comprueba el sistema de gestión y la implementación; las acciones correctivas se abordan antes de la evaluación de certificación.

El resultado no son dos colecciones de capturas de pantalla. Es un único conjunto de evidencias de implementación, interpretado frente a requisitos distintos, con responsabilidades y decisiones de la dirección visibles.

Presupueste la implantación y el funcionamiento continuado

NIST CSF está disponible de forma gratuita, pero aplicarlo no sale gratis. Ambos enfoques requieren tiempo del personal para entender los riesgos, mejorar los controles, recopilar evidencias, formar a las personas y mantener las prácticas. ISO 27001 implica además adquirir la norma y, si se busca la certificación, los honorarios del organismo de certificación.

Elabore el presupuesto en torno a paquetes de trabajo en lugar de un supuesto precio de mercado:

• Evaluación de referencia y definición del alcance.
• Cambios en los controles, incluido el trabajo de ingeniería y con proveedores.
• Documentación, revisión de evidencias y formación del personal.
• Auditoría interna, revisión por la dirección y acciones correctivas.
• Evaluación externa de certificación, cuando sea necesaria.
• Responsabilidad, monitorización, ejercicios y reevaluación recurrentes.

Solicite propuestas de certificación sobre el mismo alcance para poder compararlas de forma significativa. Pregunte qué evaluaciones, ubicaciones, trabajos de seguimiento y gastos están incluidos. Mantenga la corrección de controles separada de los honorarios de certificación: un presupuesto de auditoría barato no prepara a un programa de seguridad sin financiación suficiente.

Evalúe el valor comercial a partir de requisitos y oportunidades de clientes documentados, no de la promesa de que la certificación genera ingresos automáticamente.

Evite afirmaciones que las evidencias no puedan respaldar

Los errores habituales son declarar «cumplimiento del NIST» sin explicar el perfil ni el alcance, presentar un certificado de alcance reducido como garantía para toda la empresa y tratar los controles con correspondencias como prueba de eficacia.

Otro error es medir el éxito solo por los documentos completados. La dirección también debe preguntar si los servicios importantes tienen vías de recuperación probadas, si las excepciones tienen responsables, si los tratamientos vencidos se están escalando y si se repiten hallazgos anteriores. Estas preguntas conectan el sistema de gestión con el desempeño operativo.

No existe un porcentaje universal defendible que indique lo cerca que está una implementación del CSF de la conformidad con ISO 27001. Los controles existentes pueden ser reutilizables, pero los requisitos del sistema de gestión que faltan, las diferencias de alcance y las evidencias débiles siguen necesitando una evaluación.

Haga del siguiente paso una decisión de gestión con alcance definido

Redacte un breve documento de decisión que indique el resultado requerido, el límite propuesto, las expectativas de los clientes, el patrocinador responsable, las brechas principales y los recursos necesarios. Decida si el siguiente hito es un perfil del CSF revisado, un SGSI en funcionamiento o la preparación para la certificación. Asigne a cada hito criterios de aceptación que incluyan evidencias, no solo la finalización de documentos.

Secani apoya este flujo de trabajo modelando sistemas y servicios, conectando las evidencias con requisitos, controles y decisiones y asignando responsables y tareas de revisión. Los equipos pueden conservar enlaces a las fuentes, comentarios, aprobaciones y marcas temporales, tratando las sugerencias asistidas por IA como borradores que requieren revisión humana. Empiece con un alcance representativo y sus evidencias existentes antes de ampliar la cobertura.

La responsabilidad de la dirección sigue siendo explícita: aprobar las prioridades, dotar de recursos al trabajo y revisar si las evidencias respaldan las afirmaciones que hace la empresa.