NIST CSF 2.0, funciones Identificar y Proteger

CSF 2.0 tiene seis funciones: Gobernar, Identificar, Proteger, Detectar, Responder y Recuperar. Se dividen en categorías y estas, en subcategorías, que son frases de resultado como «las vulnerabilidades de los activos se identifican, se validan y se registran».

Consulta subcategorias, donde están las nueve de esta sala. Las que empiezan por ID pertenecen a Identificar; las que empiezan por PR, a Proteger.

Un marco de resultados no se cumple por tener la herramienta, sino por tener una práctica que produzca ese resultado. Consulta practicas_cortijo: cada práctica declara la subcategoría que dice cubrir.

Para la subcategoría de recepción y respuesta a divulgaciones de vulnerabilidades, busca la práctica que la declara.

La función Proteger incluye la categoría PR.PS, seguridad de las plataformas. Allí vive lo que comúnmente se llama gestión de parches: mantener el software al día, reemplazarlo cuando pierde soporte y retirarlo cuando ya no hace falta, siempre en proporción al riesgo.

Lee subcategorias otra vez y localiza la que trata de mantener, reemplazar y retirar software.

Un analista revisa el informe de un escáner, descarta tres falsos positivos con la evidencia a la vista y registra lo que queda confirmado. Ese trabajo no remedia nada: produce conocimiento fiable sobre los activos.

La diferencia entre las funciones es esa. Identificar produce el conocimiento de qué hay y qué riesgo corre; Proteger actúa sobre lo conocido para reducir el riesgo.

Un mapa honesto también muestra lo que falta. Cruza las dos tablas, subcategorias y practicas_cortijo: de las nueve subcategorías de la sala, una no la declara ninguna de las siete prácticas. Es una brecha de gestión, no una prueba de que nada se haga: puede que se haga sin que nadie lo haya escrito.