A medida que las empresas dependen cada vez más de los sistemas digitales, se ha hecho evidente la necesidad de contar con una seguridad sólida. Los ciberataques son cada vez más frecuentes y sofisticados, por lo que contar con un enfoque claro y completo para gestionar los riesgos de ciberseguridad es ahora una prioridad fundamental para la mayoría de las empresas. Pero, ¿en qué consiste ese enfoque?
Índice:
Ahí es donde entra en juego el Instituto Nacional de Normas y Tecnología (NIST), con su Marco de Ciberseguridad del NIST. Veamos en profundidad qué es el Marco de Ciberseguridad del NIST, por qué es importante y qué pasos puedes seguir para mitigar los riesgos de ciberseguridad de tu empresa.
¿Qué es el Marco de Ciberseguridad del NIST?
El Marco de Ciberseguridad del NIST (CSF, por sus siglas en inglés) es un conjunto de directrices, normas y buenas prácticas elaborado por el Instituto Nacional de Estándares y Tecnología (NIST, por sus siglas en inglés) para ayudar a las empresas a comprender, gestionar y reducir los riesgos de ciberseguridad. Piensa en ello como un mapa y una brújula para tu programa de seguridad, que ofrece a tu equipo un enfoque estructurado para proteger los activos críticos.
Con el lanzamiento del CSF 2.0 en febrero de 2024, el marco de referencia recibió su actualización más importante desde la versión 1.1: unas directrices más precisas y un alcance más amplio.
Quizás el cambio más significativo del CSF 2.0 sea lo mucho que se ha ampliado su ámbito de aplicación. La versión 1.1 estaba destinada principalmente a los operadores de infraestructuras críticas. La versión 2.0 se ha diseñado para todo el mundo: pequeñas y medianas empresas, grandes empresas, organizaciones sin ánimo de lucro y organismos públicos, independientemente de su nivel de madurez en materia de ciberseguridad. Los comentarios de la comunidad y las aportaciones del público a lo largo de los años han dado forma a esta actualización, convirtiéndola en uno de los recursos sobre ciberseguridad elaborados de forma más colaborativa que existen en la actualidad.
¿Por qué es importante el Marco de Ciberseguridad?
El Marco de Ciberseguridad del NIST es importante por varias razones:
En primer lugar, garantiza una mejor comprensión de lo que es la ciberseguridad y cómo puede gestionarse. Esto es importante para las empresas que quieran evaluar su propia ciberseguridad e identificar áreas de mejora.
En segundo lugar, el marco proporciona un enfoque estructurado y flexible de la ciberseguridad que puede adaptarse a las necesidades específicas de cada empresa, lo que les permite priorizar sus esfuerzos y centrarse en los riesgos más importantes.
Por último, el marco facilita el cumplimiento normativo al ofrecer un enfoque de seguridad básico que ayuda a las empresas a cumplir con las normativas y estándares, incluidos los relacionados con la privacidad y la protección de datos.
Seis funciones principales del Marco de Ciberseguridad del NIST
El núcleo del Marco de Ciberseguridad del NIST lo constituyen seis funciones que, en conjunto, ayudan a las empresas a gestionar y reducir los riesgos de ciberseguridad. Con el lanzamiento de CSF 2.0, se añadió una sexta función, «Gobernar», a las cinco originales, lo que sitúa las decisiones en materia de ciberseguridad en el contexto más amplio del liderazgo y la estrategia de la empresa:
Gobernar. Esta función ocupa un lugar central en el marco y determina la forma en que una empresa lleva a cabo las otras cinco funciones. Establece la ciberseguridad como una prioridad a nivel directivo, y define las funciones, las responsabilidades y la rendición de cuentas en toda la empresa. La función Gobernar abarca la estrategia de gestión de riesgos de seguridad, las expectativas en materia de supervisión ejecutiva y presentación de informes al consejo de administración, la tolerancia al riesgo de la organización y la gestión de riesgos de ciberseguridad en la cadena de suministro (C-SCRM), que aborda los riesgos relacionados con terceros y proveedores.
Identificar. La primera función del Marco de Ciberseguridad del NIST gira en torno al conocimiento, ya que se centra en comprender los activos, sistemas y datos de la empresa, así como las amenazas y vulnerabilidades que podrían afectarles. Esto incluye la realización de evaluaciones de riesgos, la identificación de los activos y sistemas críticos de la empresa y la determinación de los tipos de datos que se deben proteger.
Proteger. Establece directrices sobre la aplicación de controles de seguridad y otras medidas para proteger los activos, sistemas y datos de la empresa frente a diversas ciberamenazas. Esta función del Marco de Ciberseguridad del NIST se centra en la implementación de cortafuegos y controles de acceso, así como en la protección contra la ingeniería social y otros tipos de ataques.
Detectar. La función Detectar define los enfoques adecuados para identificar y responder a tiempo a las ciberamenazas y los incidentes. Esto incluye la implementación de sistemas de detección de intrusiones.
Responder. La cuarta función del Marco de Ciberseguridad del NIST trata de la respuesta a las ciberamenazas y los incidentes. Establece directrices para minimizar el impacto de un ciberincidente y garantizar que la empresa pueda seguir funcionando.
Recuperar. La última función del Marco de Ciberseguridad del NIST se centra en la recuperación tras ciberamenazas e incidentes, para garantizar que la empresa pueda volver a la normalidad lo antes posible. Esto incluye la planificación de copias de seguridad y recuperación, la comprobación de los planes de recuperación y la creación y el mantenimiento de planes de continuidad de la actividad empresarial.
Pasos para la aplicación del Marco del NIST
Definido originalmente en el NIST CSF 1.1, el Marco de Ciberseguridad describe siete pasos de aplicación que guían a las empresas desde la definición del alcance hasta un plan de acción concreto para reforzar la gestión de sus riesgos de ciberseguridad. CSF 2.0 replantea la implementación en torno a los perfiles y los niveles, pero los pasos que se indican a continuación siguen siendo un punto de partida práctico.
Establecer prioridades y definir el alcance. Define los objetivos empresariales, identifica los sistemas y activos que entran dentro del alcance y decide qué partes de la empresa abarcará el marco en primer lugar.
Orientar. Identifica las amenazas, vulnerabilidades y requisitos normativos relacionados que se aplican a los sistemas y activos que has incluido en el alcance.
Crea un perfil actualizado. Compara tus prácticas de ciberseguridad actuales con el marco de referencia para establecer una referencia de cuál es tu situación actual.
Realiza una evaluación de riesgos. Evalúa la probabilidad y el posible impacto de los incidentes de ciberseguridad en tus sistemas, teniendo en cuenta el panorama actual de amenazas.
Crea un perfil objetivo. Define los objetivos de ciberseguridad que quieres conseguir en tu empresa, teniendo en cuenta las necesidades del negocio, la tolerancia al riesgo y los requisitos del sector.
Identifica y prioriza las brechas. Compara tu perfil actual con el perfil deseado para identificar las deficiencias y, a continuación, priorízalas en función del riesgo, el coste y el impacto en el negocio.
Pon en marcha un plan de acción. Elabora un plan concreto y dotado de recursos para subsanar las deficiencias prioritarias, asigna responsabilidades, establece plazos y realiza un seguimiento de los avances a lo largo del tiempo.
¿Quién dice que la seguridad empresarial tiene que ser difícil?
Protege tu empresa de las ciberamenazas sin renunciar a la comodidad
¿Cuáles son las directrices del NIST sobre contraseñas?
El Marco de Ciberseguridad del NIST es de carácter voluntario para las empresas privadas. En el caso de las agencias federales de Estados Unidos, el Decreto Ejecutivo 13800 (2017) estableció la obligatoriedad de adoptar el CSF, mientras que otras obligaciones derivadas de la FISMA (Ley Federal de Gestión de la Seguridad de la Información de Estados Unidos) y la norma NIST SP 800-53 regulan los controles de seguridad federales de carácter más general. Su influencia sigue extendiéndose más allá del ámbito gubernamental: las aseguradoras de ciberseguridad y los proveedores empresariales consideran que la adecuación al NIST CSF 2.0 es un requisito básico para la suscripción de pólizas y la evaluación de riesgos de los proveedores.
Uno de los aspectos que aborda directamente este marco es la seguridad de las contraseñas, y con razón. Las contraseñas débiles o reutilizadas siguen siendo una de las principales causas de las filtraciones que tienen éxito. Las directrices del NIST sobre la gestión de contraseñas, publicadas en el documento SP 800-63B-3 y actualizadas a lo largo del tiempo, se consideran de forma generalizada como una de las normas más influyentes en cuanto a cómo deben gestionar las empresas la creación, el almacenamiento y el uso de contraseñas. Estas directrices abarcan varios aspectos de la gestión de contraseñas:
Composición de la contraseña. La norma NIST SP 800-63B, rev. 4, se aleja de las reglas tradicionales de composición: ya no debe imponerse la obligación de utilizar una combinación de mayúsculas, minúsculas, números y caracteres especiales. La complejidad impuesta tiende a generar patrones predecibles (por ejemplo, «Contraseña1!» pasa a ser «Constraseña!») sin mejorar realmente la seguridad. En cambio, el NIST da prioridad a la longitud de la contraseña y recomienda el uso de frases de contraseña largas, al tiempo que permite utilizar toda la gama de caracteres imprimibles, incluidos los espacios y los caracteres Unicode, para ofrecer una mayor flexibilidad.
Longitud de la contraseña. El NIST establece un mínimo de 8 caracteres para las contraseñas elegidas por el usuario y exige un mínimo de 15 caracteres cuando la contraseña es el único factor de autenticación. Los sistemas deben permitir contraseñas de al menos 64 caracteres, y el NIST recomienda encarecidamente el uso de frases de contraseña largas para garantizar una mayor protección.
Almacenamiento de contraseñas. Las contraseñas deben almacenarse en un formato con hash y un valor de sal para reducir el riesgo de acceso no autorizado. El NIST también recomienda combinar las credenciales almacenadas con la autenticación multifactor para añadir una segunda capa de protección.
Antigüedad de la contraseña. Este es un ámbito en el que el NIST ha cambiado de postura. Las directrices actualizadas desaconsejan forzar cambios rutinarios de contraseñas, a menos que haya indicios de que se haya producido una filtración. La rotación obligatoria suele llevar a los usuarios a realizar pequeños cambios predecibles (como cambiar «Contraseña1» por «Contraseña2»), lo que debilita la seguridad en lugar de reforzarla.
Reutilización de contraseñas. El NIST desaconseja encarecidamente utilizar la misma contraseña en varias cuentas. Los ataques de relleno de credenciales, en los que los hackers usan credenciales robadas en una filtración para probarlas en otros servicios, convierten la reutilización de contraseñas en una de las vías más habituales para el acceso no autorizado.
Marco de Ciberseguridad del NIST 800 63b
La norma NIST SP 800-63B, actualizada por última vez con la revisión 4 en 2025, ofrece orientaciones adicionales sobre la autenticación y la gestión de identidades digitales. De este modo, las empresas pueden gestionar las identidades digitales de forma segura y eficiente.
Para cumplir la norma NIST 800-63B, las empresas deben:
Implantar métodos de autenticación seguros, como la autenticación multifactor, para proteger las identidades digitales.
Evaluar y actualizar periódicamente los procesos de gestión de identidades para garantizar su eficacia y actualización.
Formar periódicamente a los empleados en las prácticas recomendadas de gestión de identidades, incluida la seguridad de las contraseñas y las tácticas de ingeniería social.
NIST 800-53: Definición y consejos para su cumplimiento
Otro conjunto de controles que forman parte del marco NIST es el SP 800-53, un catálogo exhaustivo de más de 1000 controles de seguridad y privacidad organizados en 20 familias de controles. Esto abarca todo, desde el control de acceso y la respuesta ante incidentes hasta la privacidad.
Para cumplir la norma NIST 800-53, las empresas deben implementar los controles de seguridad pertinentes descritos en el documento y realizar evaluaciones y auditorías periódicas para garantizar la eficacia de dichos controles. Estos son algunos consejos que te ayudarán a cumplir la norma NIST 800-53:
Evalúa regularmente tus sistemas y redes para identificar vulnerabilidades y áreas de mejora.
Implementa estrictos controles de acceso, como la autenticación multifactor, para proteger la información y los sistemas sensibles.
Elabora y aplica un plan de respuesta a incidentes, y revísalo y actualízalo periódicamente para garantizar su eficacia.
Forma periódicamente a los empleados sobre las prácticas recomendadas de ciberseguridad, incluida la seguridad de las contraseñas y las tácticas de ingeniería social.
NordPass Empresas y el cumplimiento del Marco de Ciberseguridad del NIST
Con tantas directrices y recomendaciones que hay que tener en cuenta, cumplir con la normativa puede parecer una tarea imposible. En lo que respecta a la gestión de contraseñas, NordPass Empresas puede ayudar a las organizaciones a cumplir los aspectos relacionados con las contraseñas que se recogen en estas directrices.
En lo que respecta a la gobernanza, el NIST CSF 2.0 espera que las empresas consideren la ciberseguridad como una prioridad a nivel directivo (GV.RM / GV.PO), lo que incluye la forma en que se gestionan las credenciales en toda la empresa. NordPass Empresas ofrece a los administradores de TI un control centralizado sobre las políticas de contraseñas, desde las normas relativas a la longitud mínima y la complejidad hasta su aplicación en toda la empresa, todo ello desde un único panel de control. Además, los registros de actividad se pueden exportar a plataformas SIEM como Splunk o Microsoft Sentinel, lo que proporciona a los equipos de seguridad una visibilidad completa de los eventos relacionados con las credenciales y el tipo de supervisión continua que exige la función Gobernar.
La función Proteger del Marco de Ciberseguridad del NIST 2.0 (PR.AA/PR.DS) es donde se pone en práctica. NordPass Empresas establece varias capas de protección en torno a cómo se crean, almacenan y utilizan las credenciales:
Aplicación de la MFA. Los administradores pueden exigir la autenticación multifactor en toda la empresa, de acuerdo con la recomendación de la norma NIST SP 800-63B sobre controles de acceso por capas.
Compatibilidad con claves de acceso (passkeys). NordPass es compatible con las claves de acceso, el método de autenticación resistente al phishing que las directrices actualizadas del NIST recomiendan frente a las contraseñas tradicionales.
Encriptación de conocimiento cero. Todas las credenciales almacenadas están protegidas mediante el cifrado xChaCha20 en el marco de una arquitectura de conocimiento cero. Nadie, incluido NordPass, puede acceder al contenido de tu caja fuerte.
Autocompletado a prueba de phishing. El autocompletado solo rellena las credenciales en dominios verificados, lo que evita que los empleados introduzcan sus contraseñas en sitios web falsos o maliciosos.
Monitorización de la seguridad de las credenciales. La función Seguridad de la contraseña detecta las credenciales débiles, reutilizadas y caducadas en toda la empresa, para que las vulnerabilidades se detecten antes de que sean objeto de un ataque.
Todo esto se ajusta directamente a las directrices actualizadas de la norma NIST SP 800-63B: frases de contraseña más largas en lugar de reglas de complejidad arbitrarias, el uso de claves de acceso como método de autenticación preferido y la ausencia de rotación obligatoria de contraseñas, salvo que se sospeche de una filtración. NordPass Empresas se basa en estos mismos principios. Genera credenciales seguras y de alta entropía, es compatible de forma nativa con las claves de acceso y nunca obliga a realizar restablecimientos innecesarios.
Además del NIST, NordPass Empresas ayuda a las organizaciones a cumplir con diversos marcos de seguridad y cumplimiento normativo. Puedes obtener más información sobre cómo NordPass cumple con estándares como la norma ISO 27001.