NIST CSF 2.0, ISO 27001 y el catálogo de controles
La función GOVERN llegó al centro del marco, y no fue casualidad
¿Qué cambia cuando la ciberseguridad deja de ser un asunto técnico?
- secciones
- 3
- interactivos
- 0
- preguntas de cierre
- 4
Al terminar, usted podrá
- 1Recorrer las seis funciones del NIST Cybersecurity Framework 2.0 y entender por qué se añadió GOVERN.
- 2Cruzar un mismo control entre los tres marcos que un auditor va a citar, y ver que hablan de lo mismo con nombres distintos.
- 3Distinguir la higiene básica de la sofisticación cara, y defender por dónde se empieza.
Una sexta función que no es técnica
Durante una década el NIST Cybersecurity Framework tuvo cinco funciones: identificar, proteger, detectar, responder y recuperar. Las cinco describen cosas que alguien hace. En febrero de 2024, la versión 2.0 añadió una sexta —GOVERN— que no describe una acción técnica sino una condición: que exista alguien con autoridad para decidir cuánto riesgo se acepta, y que responda por esa decisión.
El marco quedó entonces con seis funciones, veintidós categorías y ciento seis subcategorías. Pero el número que importa es el seis, y sobre todo su orden: GOVERN no es una función más al lado de las otras cinco. Las envuelve. Bajo ella quedaron la estrategia de riesgo, los roles y autoridades, la política, la supervisión y —el traslado más revelador— la gestión del riesgo de la cadena de suministro.
Tres marcos, un solo control
La confusión más común de quien llega a este campo es creer que el NIST CSF, la ISO/IEC 27001 y los CIS Controls compiten entre sí. No compiten: responden preguntas distintas sobre el mismo objeto.
| Marco | Organiza por | Sirve para |
|---|---|---|
| NIST CSF 2.0 | Función: gobernar, identificar, proteger, detectar, responder, recuperar. | Conversar con la dirección. Es un lenguaje, no una lista. |
| ISO/IEC 27001:2022 | Control auditable. 93 controles en cuatro temas. | Certificarse. Es el papel que se le muestra al cliente y al auditor. |
| CIS Controls v8.1 | Orden de implementación. 18 controles, 153 salvaguardas. | Saber por dónde empezar el lunes. |
La autenticación multifactor, por ejemplo, es PR.AA para el NIST, el control 5.17 para la ISO y los controles 5 y 6 para CIS. Un mismo control, tres nombres, tres propósitos de conversación. El catálogo del curso los cruza para los treinta controles que importan, y añade dos campos que ningún marco trae: qué evidencia pide un auditor, y dónde suele fallar el control en la práctica.
La cifra que cambió el presupuesto
Durante años, la respuesta corporativa al riesgo cibernético fue capacitar al usuario. El razonamiento tenía respaldo: el elemento humano aparece en cerca de dos de cada tres brechas, y sigue apareciendo. Pero en 2026 el reporte de investigaciones de Verizon encontró algo que no había ocurrido antes: el vector inicial más común dejó de ser la credencial robada y pasó a ser la explotación de una vulnerabilidad conocida, con 31% frente a 16% del phishing.
Al mismo tiempo, la mediana para remediar una vulnerabilidad subió de 32 a 43 días, y solo el 26% de las vulnerabilidades que se sabe que están siendo explotadas se remedia por completo. La conclusión gerencial es incómoda: mientras el presupuesto financiaba simulaciones de phishing, la puerta que más se usaba era el parche que nadie aplicó.
Coyuntura de esta sesión
Hechos verificados que tocan directamente lo que se discute aquí.
Ecopetrol: el ransomware se bloqueó, los datos ya se habían ido
El caso separa dos cosas que en las juntas se confunden: contener el cifrado no es contener la brecha. El control funcionó contra el ransomware y aun así hubo exfiltración, extorsión y un problema de datos personales. La pregunta de gobernanza no es "¿nos cifraron?" sino "¿qué había en esa carpeta de la nube, quién la clasificó y quién autorizó ese acceso?".
Comunicado de Ecopetrol reportado por prensa nacional (Infobae). No hay informe forense público. →Explotar una vulnerabilidad desplazó al robo de credenciales
Durante una década la respuesta corporativa al riesgo fue capacitar al usuario. Si el vector dominante ya no es la persona sino el parche que nadie aplicó, el presupuesto de seguridad estaba resolviendo el problema del año pasado.
Verizon — DBIR 2026 →Colombia tiene estrategia de seguridad digital, no agencia
Cuando una organización sufre un incidente, la primera pregunta operativa es a quién se llama. En Colombia la respuesta depende de si el ataque se considera delito, incidente o asunto de defensa nacional — y esa clasificación la hace, en la práctica, la propia víctima.
MinTIC y DNP (CONPES 3995) →NIST CSF 2.0: GOVERN se instala en el centro del marco
Es el puente explícito entre ciberseguridad y gobernanza de datos: obliga a que la dirección, y no el área técnica, defina y supervise el apetito de riesgo.
NIST →Quiz · Semana 10
Tres marcos, un solo control
Cuatro preguntas sobre NIST CSF 2.0, ISO/IEC 27001 y los CIS Controls.
- 1
La versión 2.0 del NIST Cybersecurity Framework añadió la función GOVERN. ¿Qué cambia realmente esa adición?
- 2
Un consultor propone «migrar del NIST CSF a la ISO/IEC 27001 porque es más completa». ¿Cuál es el error?
- 3
El grupo de implementación IG1 de los CIS Controls es el nivel destinado a organizaciones principiantes, que las maduras pueden saltarse.
- 4
Ante la junta, ¿cuál de estas afirmaciones sobre el costo de una brecha resiste mejor una pregunta incómoda?
Para leer
- Marco
The NIST Cybersecurity Framework (CSF) 2.0
NIST CSWP 29
- Marco
CIS Critical Security Controls v8.1
Center for Internet Security
- Artículo