COBIT frente a ISO 27001, NIST CSF e ITIL

Los cuatro marcos miran a la misma empresa desde sitios distintos. COBIT 2019 (ISACA) es un marco de gobierno y gestión de la información y la tecnología de la empresa; ISACA ofrece certificados de COBIT a las personas, no un sello de conformidad para la empresa. ISO/IEC 27001:2022 define los requisitos de un sistema de gestión de seguridad de la información y es el único de los cuatro contra el que una empresa se certifica. NIST CSF 2.0 organiza resultados de ciberseguridad en seis funciones: Govern, Identify, Protect, Detect, Respond y Recover. ITIL 4 describe prácticas de gestión de servicios de TI, como la gestión de incidentes o la mejora continua.

Ninguno sustituye a otro: se usan juntos, cada uno para lo suyo.

Cruzar marcos no es una ciencia exacta: una misma necesidad de la empresa puede caer en tres lugares con nombres distintos. Aun así, hay celdas que se ven mal con solo conocer los términos. Por ejemplo, la función Recover de NIST CSF 2.0 trata de restaurar lo afectado después de un incidente, y la función Govern trata de dirección, estrategia, roles y supervisión.

La hoja del compañero tiene seis filas. Una de las celdas de la función de NIST CSF 2.0 no corresponde a la necesidad que describe.

Las frases de una reunión mezclan verdad con deseo. Para revisarlas hay que recordar lo básico: COBIT no certifica a la empresa en ISO 27001, el mismo control tiene nombres distintos en marcos distintos y los mapeos entre marcos son orientativos, no exactos.

Las tres afirmaciones están en la consola.

ITIL 4 se organiza en prácticas de gestión de servicios. Su práctica sobre cambios tiene un nombre propio en la traducción al español, y la hoja del compañero lo usa en la fila del objetivo de COBIT que gestiona los cambios en producción. Leer la hoja es la forma de verificar que el equipo escribió bien los nombres.

Un mapeo entre marcos ahorra trabajo si se usa bien: una evidencia sirve para varios, y una brecha que aparece en uno suele aparecer en los demás. Se usa mal cuando se trata como equivalencia exacta o cuando se copia sin revisar, como hizo la fila que acabas de encontrar.