Nombra y explica las funciones principales del NIST Cybersecurity Framework.
Respuesta breve
El NIST Cybersecurity Framework organiza los resultados de ciberseguridad en funciones principales. En el CSF 2.0 hay seis: Govern (la nueva función global para estrategia, roles, decisiones de riesgo y supervisión), Identify (comprender activos y riesgos), Protect (salvaguardas para limitar el impacto), Detect (descubrir eventos), Respond (actuar ante incidentes) y Recover (restaurar capacidades). No son estrictamente secuenciales — funcionan de forma continua y, en conjunto, describen un ciclo de vida completo de gestión del ciberriesgo.
El NIST Cybersecurity Framework es una forma voluntaria y orientada a resultados de organizar y comunicar el ciberriesgo. Se usa ampliamente como lenguaje común entre los equipos técnicos y la dirección. Los entrevistadores hacen esta pregunta para comprobar que conoces la estructura y que estás al día con el CSF 2.0.
Las funciones principales
El CSF 2.0 (publicado en 2024) define seis funciones:
- Govern — la más nueva. Fija la estrategia de ciberseguridad de la organización, las expectativas, los roles y responsabilidades, la política y las decisiones de gestión de riesgos. Informa a todas las demás.
- Identify — comprender activos, proveedores, datos y los riesgos para ellos.
- Protect — salvaguardas para gestionar el riesgo y limitar el impacto de los eventos (control de acceso, formación, seguridad de los datos).
- Detect — descubrir y analizar posibles ataques y compromisos.
- Respond — actuar una vez detectado un incidente: contención, análisis, comunicación.
- Recover — restaurar los activos y las operaciones afectados por un incidente.
No son fases que se completen una sola vez; funcionan de forma continua y se refuerzan mutuamente.
Cómo se usa
Las funciones se desglosan en categorías y subcategorías (resultados específicos). Las organizaciones usan Profiles para describir el estado actual frente al objetivo, y Tiers para expresar cuán rigurosas e integradas están sus prácticas de riesgo. El CSF remite deliberadamente a otras normas (como NIST SP 800-53 o ISO 27001) para el «cómo».
Por qué importa
El gran indicador en 2026 es si un candidato menciona Govern — su incorporación en el CSF 2.0 refleja que la ciberseguridad es una disciplina de riesgo a nivel de consejo, no solo técnica. Nombrar las seis funciones y explicar que Govern envuelve a las demás demuestra que estás al día.
Posibles preguntas de seguimiento
- ¿Qué cambió el CSF 2.0 respecto a la versión 1.1, y por qué se añadió Govern?
- ¿Cómo ayudan los Framework Profiles y Tiers a una organización a usar el CSF?
- ¿Cómo mapearías tus controles existentes a las funciones y categorías del CSF?