NIST CSF 2.0, función Detect

El CSF 2.0 se publicó en febrero de 2024 como el documento CSWP 29 del NIST. Su núcleo tiene funciones, categorías y subcategorías. La función Detect tiene dos categorías: DE.CM, monitoreo continuo (los activos se monitorean para encontrar anomalías, indicadores de compromiso y otros eventos potencialmente adversos) y DE.AE, análisis de eventos adversos (esos eventos se analizan para caracterizarlos y detectar incidentes).

Las subcategorías son resultados: «se correlaciona información de múltiples fuentes». No dicen cómo, con qué herramienta ni cuántas reglas. Por eso no sirven como puntaje: dicen qué se espera, no cuán bien se hace.

Asignar una actividad a una subcategoría es contestar a la pregunta «¿qué resultado del CSF respalda esto?». Abre actividades y detect. La actividad que une dos sistemas distintos para ver a la misma persona respalda un resultado de la categoría de análisis.

Una subcategoría no se cumple solo con tener la tecnología: pide el criterio. La actividad ACT-04 es un procedimiento que dice cuándo un conjunto de alertas pasa a ser incidente. Ese es un resultado de análisis y no de monitoreo, porque ocurre después de que el evento ya se detectó.

La tabla detect trae todas las subcategorías de las dos categorías de la función en el CSF 2.0. La numeración no es continua (faltan algunos números), por lo que se cuenta lo que hay en la tabla y no se deduce del último número.

Ya sabes que Detect no es una escala. La pregunta es cómo se usa en una evaluación de madurez: lo habitual es partir de sus resultados, preguntar para cada uno qué hace la organización y qué evidencia hay, y evaluar cada resultado con una escala aparte. El CSF aporta el qué; el nivel lo pone la escala que se elija.