NIST CYBERSECURITY FRAMEWORK
Onde sua empresa está hoje e onde a diretoria decidiu que ela precisa estar. Essa diferença, medida com método e revisitada de tempos em tempos, é a única resposta honesta à pergunta que todo conselho faz e quase nenhuma área de segurança consegue responder sem apresentação de quarenta páginas.
O NIST CSF é um framework público e de adoção voluntária. O que a DM11 entrega é a avaliação, os dois perfis, o plano e a rotina de acompanhamento, que é o que responde ao conselho. Quando o objetivo também inclui um documento para enviar a um cliente, a página da ISO 27001 ou a do SOC 2 explicam esse caminho, e os dois trabalhos se apoiam.
Quem conduz a implantação
ISO/IEC 27001 Lead Auditor certificado pela BSI
CISA, auditoria de sistemas de informação
Especialistas em gestão de riscos e continuidade de negócios
17 anos de governança, riscos e conformidades
O QUE É
O Cybersecurity Framework é publicado pelo instituto americano de padrões e tecnologia, e está na versão 2.0 desde 26 de fevereiro de 2024. Ele organiza a segurança em funções, categorias e subcategorias, e cada subcategoria descreve um resultado a alcançar. Não é norma certificável nem manual técnico: é a estrutura que permite acompanhar segurança ao longo do tempo com um vocabulário que o conselho entende.
Identificar, proteger, detectar, responder e recuperar já existiam. A versão 2.0 acrescentou governar, e a colocou no centro das outras cinco. A mudança tem consequência prática: governar trata de quem decide, quem responde e qual é o apetite a risco da empresa, que é justamente o que faltava quando o framework descrevia atividade sem descrever responsabilidade. Se o material que você tem mostra cinco funções, ele é da versão anterior.
São 22 categorias e 106 subcategorias, e cada uma descreve o que precisa ser verdade, sem dizer com qual tecnologia. Isso é deliberado e é a maior força do framework: ele não envelhece junto com o mercado de ferramentas, e não pode ser usado por fornecedor nenhum como argumento de que o produto dele é obrigatório.
O perfil atual registra onde a empresa está, subcategoria a subcategoria. O perfil alvo registra onde ela decidiu estar, o que não é o mesmo que o máximo possível. A distância entre os dois é o plano, é o orçamento e é o que se apresenta ao conselho. Nenhuma outra referência desta página produz esse artefato.
Os quatro níveis descrevem o rigor com que a empresa governa e gerencia risco, e escolher o nível é decisão de apetite a risco e de recurso, não uma escada para subir por esporte. Boa parte das empresas não justifica o nível mais alto, e tratá-lo como meta é o erro de leitura mais comum. Como o framework é de adoção voluntária, ele não produz certificado de conformidade, e é por isso que o valor dele aparece no acompanhamento ao longo do tempo.
QUEM COSTUMA PRECISAR
Repare que nenhuma delas termina em certificado. O CSF resolve acompanhamento e conversa, e quando o problema é provar algo a um terceiro, o caminho é outra norma.
E a resposta hoje é uma apresentação longa que ninguém consegue transformar em decisão. Com os dois perfis montados, a pergunta passa a ter resposta de uma página, com uma distância medida e um custo associado a fechá-la, o que é o formato em que conselho decide.
Pentest de um lado, adequação à LGPD de outro, um projeto de continuidade parado no meio e ferramentas compradas em momentos diferentes. O CSF é o guarda-chuva que mostra o que essas frentes cobrem juntas, e principalmente o que nenhuma delas cobre.
Comum em subsidiária de empresa americana e em fornecedor de setor regulado. O pedido costuma vir sem detalhe, e a primeira entrega útil é traduzir o que ele significa: quase sempre é o perfil atual documentado, e não uma promessa de nível 4.
HISTÓRIAS
Trocamos os nomes dos clientes com o mesmo sigilo que vai proteger a sua empresa depois. Os nomes mudam, o padrão dos problemas se repete. Quando o cliente autoriza, mostramos referências com nome numa conversa.
Serviços financeiros
A cada trimestre o conselho perguntava se a empresa estava segura, e a área de tecnologia respondia com um material extenso, cheio de indicador de ferramenta e nenhum fio condutor. A pergunta voltava idêntica no trimestre seguinte, porque a resposta nunca virava decisão de investimento.
Montamos o perfil atual do CSF e conduzimos uma sessão com a diretoria para definir o perfil alvo, função a função. A discussão foi de apetite a risco, não de tecnologia, e foi a primeira vez que aquele grupo definiu explicitamente até onde queria chegar em cada frente.
A distância entre os dois perfis virou uma página só, com custo associado. O conselho passou a discutir quanto fechar da diferença em vez de perguntar se estava seguro, e a área de tecnologia parou de defender orçamento sem referência.
Subsidiária de multinacional
A matriz pediu alinhamento ao CSF. A operação brasileira tinha certificação ISO 27001 vigente e a leitura interna era de que o pedido já estava atendido, bastando enviar o certificado e encerrar o assunto.
Mapeamos os controles existentes contra as seis funções. Identificar, proteger e detectar apareceram fortes, como era esperado de quem tem sistema de gestão certificado. Responder aparecia razoável no papel e nunca tinha sido exercitado, e recuperar estava praticamente vazio: existia backup e não existia plano de retomada de negócio.
O certificado não respondia ao pedido, e isso ficou claro em duas semanas em vez de em seis meses de mal-entendido com a matriz. O projeto que nasceu daí foi de continuidade, que era a lacuna real, e não de mais um controle de segurança.
Logística
A empresa sofreu um incidente sério e a reação foi investir pesado em ferramentas de detecção, que era onde a dor tinha sido sentida. Um ano depois, com o investimento feito, ninguém sabia dizer se a empresa aguentaria melhor o mesmo evento.
Fizemos a avaliação pelas seis funções e a roda saiu visivelmente torta: detectar bem acima do resto, responder sem procedimento testado e recuperar sem prazo definido para nada. Mostramos que o próximo real do orçamento rendia mais fora de detecção do que dentro.
O incidente tinha comprado a ferramenta certa para o problema errado. A empresa continuou detectando bem e passou a saber o que fazer depois de detectar, que era exatamente o que tinha faltado da primeira vez.
COMO CONDUZIMOS
A etapa que separa este trabalho de uma avaliação comum é a segunda. O perfil alvo não é definido pela tecnologia: é decisão de diretoria sobre apetite a risco, e conduzir essa conversa faz parte da entrega, porque perfil alvo definido só pela TI não sobrevive ao primeiro corte de orçamento.
Definimos o que entra na avaliação e começamos por governar, que é onde a versão 2.0 colocou o centro. Quem decide sobre risco, quem responde por cada frente, o que já foi decidido formalmente e o que só existe por hábito. Sem isso, o restante da avaliação vira retrato sem dono.
Escopo da avaliação definido, com as unidades incluídas
Mapa de quem decide e quem responde por cada frente
Levantamento do que já é decisão formal e do que é prática informal
Partes interessadas identificadas, dentro e fora da empresa
Marco de entregaEscopo aprovado e responsabilidade definida para cada uma das seis funções.
Avaliamos as 106 subcategorias com evidência, por entrevista e por verificação, sem aceitar resposta positiva sem prova. O resultado é o retrato do estado atual por função e por categoria, no formato que permite comparação depois.
Perfil atual documentado, subcategoria a subcategoria
Evidência anexada a cada avaliação positiva
Leitura por função, com as assimetrias visíveis
Aproveitamento do que já existe de ISO 27001, CIS ou projetos anteriores
Marco de entregaPerfil atual fechado, com evidência para toda subcategoria avaliada como atendida.
Conduzimos a sessão em que a direção define onde quer estar, função a função, contra apetite a risco, obrigação contratual e recurso disponível. Trazemos referência do setor para a conversa, mas a decisão é da empresa, e ela precisa ser tomada por quem assina o orçamento.
Perfil alvo definido e assinado pela direção
Nível escolhido por categoria, com a justificativa registrada
Distância entre os dois perfis quantificada
Prioridades definidas contra risco e contra custo
Marco de entregaPerfil alvo aprovado pela direção, com justificativa registrada para cada escolha.
Transformamos a distância em plano com responsável e data, executado com o seu time. E definimos a cadência de reavaliação, porque o valor do CSF aparece na segunda medição e não na primeira: um retrato isolado não mostra direção nenhuma.
Plano de fechamento com responsável e data por item
Execução acompanhada, com revisão periódica do progresso
Material de acompanhamento para o conselho, sem jargão
Cadência de reavaliação definida, com quem conduz e quando
Marco de entregaSegunda medição concluída com o mesmo método, mostrando a direção do movimento.
QUANTO TEMPO LEVA
Não publicamos prazo padrão, porque prazo publicado vira promessa. Aqui existe uma particularidade que vale dizer antes: o levantamento do perfil atual tem duração previsível, e o que estica o projeto quase sempre é a agenda da diretoria para decidir o perfil alvo. Estes são os três fatores que mais mexem no relógio.
Uma operação única é um perfil. Grupo com empresas de negócios diferentes costuma precisar de mais de um, porque apetite a risco de uma indústria e de uma financeira do mesmo grupo não são iguais, e forçar um perfil só produz um número que não serve para nenhuma das duas.
Com a agenda garantida, essa etapa é de semanas. Quando ela é delegada para a TI, o projeto anda mais rápido e entrega menos, porque o perfil alvo passa a ser uma opinião técnica em vez de uma decisão de negócio, e não sustenta orçamento.
Empresa com ISO 27001 vigente ou com os CIS Controls implantados monta o perfil atual muito mais rápido, porque a evidência já existe e só precisa ser relida na estrutura do CSF. Sem nada medido, o levantamento é o trecho mais longo.
PERGUNTAS FREQUENTES
As dúvidas que aparecem em quase toda primeira reunião, respondidas sem rodeio.
Não. O framework é voluntário, o NIST não emite certificado de conformidade e não credencia ninguém para emitir. Existe mercado vendendo o que chama de certificação NIST CSF: o que se entrega ali é um relatório de avaliação feito por terceiro, que é legítimo e útil, e não é certificado reconhecido. Se o seu cliente precisa de um documento com valor de terceira parte, o caminho é ISO 27001 ou SOC 2.
A avaliação pelas seis funções mostra onde sua empresa está e onde as lacunas se concentram. A conversa seguinte, com a diretoria, define onde ela precisa estar. A distância entre as duas coisas é o que vira plano.
Comparativos sobre este assunto
Ver os 13 comparativos