NIST CSF: proteger y detectar

Las subcategorías del marco se identifican con función, categoría y número. La función proteger agrupa la categoría de resiliencia de la infraestructura tecnológica (PR.IR), cuya subcategoría PR.IR-01 pide que las redes y los entornos estén protegidos del acceso y uso lógico no autorizados; la segmentación de redes es uno de sus ejemplos de implementación. La función detectar agrupa el monitoreo continuo (DE.CM) y el análisis de eventos adversos (DE.AE); DE.CM-01 trata del monitoreo de las redes y de sus servicios para encontrar eventos potencialmente adversos.

Un perfil del marco compara el estado actual con el objetivo. La diferencia por subcategoría ordena el trabajo: no todo se cierra a la vez. La escala del perfil de esta empresa va de 0 a 4 y es propia; no son los niveles de implementación del marco.

Consulta perfil, resta el nivel actual del objetivo en cada fila y busca la mayor diferencia.

Una brecha sin una iniciativa que la cierre es un deseo; una iniciativa sin responsable es casi lo mismo. Para el auditor, cada compromiso debe tener un nombre y una fecha.

Consulta iniciativas y busca la que no tiene responsable.

Detectar exige mirar. Cada segmento cuyas alertas no llegan al sistema de monitoreo es una zona donde un evento adverso pasaría sin ser visto. Para medir la cobertura se cuentan los segmentos sin monitoreo.

Consulta cobertura_de_monitoreo y cuenta cuántos segmentos no los vigila nadie.

En la tabla de cobertura, los segmentos no monitoreados muestran cero alertas. Esa cifra puede leerse como «no pasa nada», pero también como «nadie está mirando». Para decidir cuál, hay que saber primero si el segmento está dentro del alcance del monitoreo.