Frameworks – NIST CSF 2: o que a plataforma cobre
O NIST CSF é um framework de gestão de risco cibernético publicado pelo instituto de normas dos Estados Unidos. Ele é o mais diferente do catálogo em um aspecto: não existe certificação de CSF.
Ninguém emite um certificado, nenhum organismo audita para dar um selo. Ele é uma estrutura para você organizar, medir e comunicar o seu programa de segurança.
Para que ele serve, então
Justamente para as três coisas que uma certificação não resolve bem:
Ter um roteiro. Se a empresa está começando e não sabe por onde ir, o CSF oferece uma sequência lógica sem o peso de uma auditoria.
Falar com a diretoria. As funções do CSF são compreensíveis por quem não é técnico. É o framework que melhor traduz segurança para uma conversa de conselho.
Medir maturidade ao longo do tempo. Como não há aprovação ou reprovação, ele funciona bem como termômetro de evolução.
Empresas costumam usar o CSF como camada de organização por cima de uma norma certificável, não em vez dela.
As seis funções
A versão 2 organiza tudo em seis funções, e essa estrutura é o principal valor do framework:
| Função | A pergunta que ela responde |
|---|---|
| Governar | Quem decide, com que critério, e como a segurança se conecta ao negócio |
| Identificar | O que a empresa tem, e o que pode dar errado |
| Proteger | O que está sendo feito para evitar que dê errado |
| Detectar | Como a empresa descobre que algo aconteceu |
| Responder | O que se faz quando acontece |
| Recuperar | Como se volta ao normal |
A função Governar foi acrescentada na versão 2, e a mudança é significativa: ela reconhece que segurança sem decisão e sem responsabilidade atribuída não se sustenta.
Como ler o seu progresso aqui
Como não há certificação, o percentual do CSF na plataforma tem uma leitura diferente: ele indica quanto do framework a empresa já consegue demonstrar, e serve para comparar consigo mesma ao longo do tempo.
O uso mais produtivo é olhar a distribuição entre as funções, não o número total. O padrão mais comum em empresas de tecnologia é este:
- Proteger bem coberto, porque é onde as ferramentas atuam.
- Detectar, Responder e Recuperar bem atrás.
- Governar frequentemente vazio.
Se o seu perfil é esse, você tem um programa que evita problemas e não sabe reagir a eles. O CSF é bom justamente em tornar esse desequilíbrio visível.
O que é comprovado automaticamente e o que não é
| Função | Como costuma ser comprovada |
|---|---|
| Governar | Documentos, papéis definidos, atas de decisão |
| Identificar | Inventário de ativos, módulo de Riscos |
| Proteger | Integrações. É a função mais automatizável |
| Detectar | Integrações de log e monitoramento, mais evidência de processo |
| Responder | Módulo de Incidentes, com histórico real |
| Recuperar | Módulo de Continuidade e evidência de exercícios |
Por onde começar
- Olhe a distribuição entre as seis funções antes de trabalhar qualquer controle. Ela mostra onde está o seu buraco real.
- Comece pela função mais atrasada, não pela mais fácil. Se Governar está vazio, é ali.
- Conecte as integrações para consolidar Proteger e Detectar.
- Use os módulos de Incidentes e Continuidade. Responder e Recuperar não se comprovam sem registro de casos e de exercícios.
- Reavalie a distribuição a cada trimestre. É o uso natural deste framework.
A relação com as outras normas
O CSF conversa bem com quase tudo. Ele não substitui uma norma certificável, e organiza o trabalho de forma que a certificação depois fique mais simples.
O caminho mais comum: usar o CSF para diagnosticar e priorizar, e escolher ISO 27001 ou SOC 2 quando o mercado pedir prova formal.
Se a empresa está no ecossistema de fornecimento ao governo americano, o caminho seguinte tende a ser o NIST 800-53 ou o NIST 800-171, que são catálogos de controles e não estruturas de organização.
⚠️ Esta página descreve o propósito e a estrutura geral do framework em linguagem própria, para orientar o uso da plataforma. As publicações do instituto responsável são de acesso público e são a referência oficial.
Este artigo foi útil?