La mayoría de las empresas no llegan a un incidente de seguridad por falta de herramientas. Llegan por falta de orden: un firewall aquí, un antivirus allá, una política de contraseñas que nadie revisa, un plan de respuesta a incidentes que existe solo en un documento olvidado.
Cada pieza por separado parece suficiente. Juntas, no forman una estrategia.
La ciberseguridad mejora cuando deja de ser una colección de herramientas y se convierte en una práctica de gobierno, protección y recuperación.
Esa es exactamente la lógica detrás del NIST Cybersecurity Framework (CSF) 2.0 y por qué, cada vez más, organizaciones y consultoras en Colombia lo están usando como hoja de ruta.
Qué es el NIST CSF 2.0
El NIST CSF es un marco de gestión de riesgos de ciberseguridad desarrollado por el Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST), diseñado para organizaciones de cualquier tamaño y sector industria, gobierno, academia y organizaciones sin fines de lucro.
Es un marco de adopción voluntaria, no una certificación obligatoria, lo que lo hace aplicable independientemente del sector o el país.
Su versión 2.0, publicada en 2024, introdujo una sexta función núcleo: Gobernar (Govern).
Esta función no existía como categoría independiente antes. El cambio refleja algo que la práctica ya venía mostrando: la ciberseguridad no puede sostenerse solo con controles técnicos si no hay una estructura de decisión, roles y responsabilidad detrás de ellos.
Las 6 funciones núcleo: una ruta, no una lista
Lo que hace útil al CSF 2.0 no es que enumere buenas prácticas es que las organiza como una secuencia lógica que cualquier organización puede recorrer, sin importar en qué punto de madurez se encuentre.
Las seis funciones trabajan juntas.
No son un checklist que se marca una vez. Operan de forma continua y simultánea.
Gobernar
GovernDefine la estrategia de ciberseguridad, los roles, las políticas y la supervisión. Es el punto de partida: sin esto, las otras cinco funciones se ejecutan sin dirección ni responsables claros.
Identificar
IdentifyEntender qué activos, sistemas, proveedores y riesgos tiene la organización realmente. No se puede proteger lo que no está inventariado.
Proteger
ProtectImplementar las salvaguardas necesarias para reducir la probabilidad de un incidente: control de accesos, cifrado, capacitación y gestión de vulnerabilidades.
Detectar
DetectIdentificar eventos y anomalías de seguridad en el momento en que ocurren, no después.
Responder
RespondActuar durante y después de un incidente, con un plan definido en vez de improvisar en tiempo real.
Recuperar
RecoverRestaurar sistemas y servicios tras un incidente, y aplicar lo aprendido para reducir el próximo riesgo.
Por qué importa en el contexto colombiano
El CSF 2.0 no reemplaza los marcos normativos que ya rigen a las entidades públicas en Colombia, como el Modelo de Seguridad y Privacidad de la Información (MSPI) de MinTIC, basado en ISO 27001.
Los complementa: mientras el MSPI define lineamientos de cumplimiento para el sector público, el CSF 2.0 aporta un lenguaje común y una estructura de gestión de riesgo que funciona igual de bien en el sector privado.
Traducir la ciberseguridad a decisiones de negocio.
El valor del CSF 2.0 está también en permitir que la alta dirección pueda entender, priorizar y decidir sobre el riesgo de ciberseguridad — no solo el equipo técnico.
Esto es particularmente relevante en organizaciones colombianas que hoy manejan la ciberseguridad como una serie de decisiones aisladas de TI, sin que exista una conversación estructurada a nivel directivo sobre el riesgo real que enfrenta el negocio.
Cómo aplicarlo: una ruta práctica
Adoptar el CSF 2.0 no significa implementar las seis funciones a la vez ni empezar de cero.
El camino práctico tiene tres pasos:
Evaluar
Evaluar la madurez actual de la organización frente a cada una de las seis funciones: qué existe, qué es informal y qué no existe.
Priorizar
Priorizar las brechas según el riesgo real del negocio, no según lo que sea más fácil de implementar primero.
Implementar por fases
Construir un plan de implementación por fases, empezando típicamente por Gobernar e Identificar, que son la base sobre la que se sostiene todo lo demás.
El punto de partida en ECOMIL
En ECOMIL, este es el punto de partida de nuestro trabajo de consultoría e integración en ciberseguridad: no vender herramientas sueltas, sino ayudar a las organizaciones a construir esa ruta completa.
Una evaluación de madurez permite convertir el estado actual de la organización en un primer paso concreto y medible.
Entender dónde está la organización.
Riesgos, activos, responsabilidades, controles existentes y brechas prioritarias.
Una ruta para ordenar la ciberseguridad
El NIST CSF 2.0 no es un estándar más para agregar a la lista de siglas de ciberseguridad.
Es un marco que ordena lo que la mayoría de las organizaciones ya tiene disperso herramientas, políticas, buenas intenciones en una ruta clara de gobierno, protección y recuperación.
Conozca el nivel de madurez de su organización.
En ECOMIL ayudamos a evaluar la madurez de ciberseguridad de su organización frente a las seis funciones del NIST CSF 2.0, y a construir el plan de implementación priorizado según su riesgo real.
Evaluar la madurez de mi organización →