Dez anos depois de nascer para infraestruturas críticas americanas, o Cybersecurity Framework do NIST recebeu em 2024 sua maior reforma — o CSF 2.0 — e assumiu o que já era na prática: a língua franca mundial para conversar sobre postura de segurança, do técnico ao conselho.
O que mudou no 2.0
A novidade estrutural é a sexta função, Govern, abraçando as clássicas (Identify, Protect, Detect, Respond, Recover): estratégia, papéis, riscos na cadeia de suprimentos e supervisão viraram centro, não moldura — refletindo a década em que cibersegurança subiu do porão da TI para a pauta do board. O escopo também mudou oficialmente: de infraestrutura crítica para organizações de qualquer porte e setor, com perfis e guias de implementação por comunidade.
CSF ou ISO 27001? Errado: CSF com ISO 27001
O CSF descreve o quê (funções e resultados desejados, ótimos para comunicar maturidade e prioridade); a ISO 27001 estrutura o como certificável (sistema de gestão auditável por terceira parte). Usamos o par assim: CSF como mapa executivo — de onde viemos, onde estamos, para onde vamos, numa página que o conselho entende — e a 27001 como motor de implementação e evidência. Reguladores setoriais brasileiros e globais referenciam ambos sem conflito.
O CSF nasceu de uma ordem executiva americana de 2013, após ataques a infraestruturas críticas — e seu maior mérito talvez seja diplomático: criou um vocabulário neutro de fornecedor que auditor, CISO, seguradora e diretoria aceitam simultaneamente, algo raríssimo em segurança.
Referências e legislação
- NIST Cybersecurity Framework 2.0 (2024) · Framework e recursos oficiais — acessar
- ISO/IEC 27001:2022 · Sistema de gestão certificável — par natural do CSF
- Resolução CMN nº 4.893/2021 · Referências de cibersegurança no financeiro brasileiro — acessar
Entregável que fazemos em toda avaliação executiva: o radar CSF com maturidade atual × alvo por função, em uma página. É impressionante quanto orçamento de segurança destrava quando o conselho finalmente enxerga o mapa.
— Núcleo Técnico EBAEM · Empresa Brasileira de Assessoria Executiva e Multidisciplinar
Como a EBAEM ajuda: fale com nosso time e transforme este tema em plano de ação na sua organização.