NIST CSF 2.0: o framework de segurança lido por uma PME

O cliente grande manda um questionário de segurança com 80 perguntas. Metade usa termos que ninguém na empresa conhece: perfil atual, governança de risco de fornecedor, plano de recuperação testado. O gestor de TI responde o que dá e deixa o resto em branco.

Três meses depois, outro cliente pede o mesmo, com outra planilha e outros termos. E o fornecedor de segurança, na reunião, fala uma terceira língua.

Muitos desses questionários seguem, citando ou não, a estrutura de um mesmo documento: o NIST CSF, o Cybersecurity Framework do instituto de padrões dos Estados Unidos.

O NIST CSF serve para a PME descobrir onde está fraca e conversar com cliente e fornecedor na mesma língua. Ele é gratuito, não dá certificado e funciona como diagnóstico antes da ISO 27001, sem competir com ela.

O que é o NIST CSF 2.0

O CSF é um documento público do NIST. A versão 2.0 saiu em 26 de fevereiro de 2024, com o identificador NIST CSWP 29. Ele organiza a gestão de risco de cibersegurança em funções, categorias e resultados esperados.

Dois trechos do próprio texto explicam como ler o resto. O primeiro diz que o framework não prescreve resultados nem a forma de alcançá-los. O segundo afirma que os resultados não são uma lista de ações a cumprir. Quem procura um passo a passo com ferramenta e prazo não vai achar.

O NIST também declara que o documento foi feito para organizações de todos os tamanhos e setores, em qualquer nível de maturidade. A primeira versão nasceu voltada à infraestrutura crítica, e a 2.0 tirou essa limitação do texto.

O núcleo do documento tem 22 categorias distribuídas pelas seis funções. Cada categoria se abre em subcategorias, que são os resultados concretos ("o inventário de hardware é mantido", por exemplo). É nesse nível que um questionário de cliente costuma perguntar.

As seis funções, uma frase cada

O NIST CSF 2.0 define cada função com uma frase curta. Em tradução livre:

• Governar (GV): a estratégia, as expectativas e a política de risco de cibersegurança estão definidas, comunicadas e monitoradas.
• Identificar (ID): os riscos atuais da organização são conhecidos.
• Proteger (PR): a organização usa salvaguardas para gerir esses riscos.
• Detectar (DE): possíveis ataques e comprometimentos são encontrados e analisados.
• Responder (RS): a organização age sobre um incidente detectado.
• Recuperar (RC): ativos e operações afetados por um incidente voltam a funcionar.

Governar é a função nova. Ela puxa para cima assuntos que antes ficavam espalhados: quem responde pelo risco, que política existe, como a empresa avalia fornecedor. Para uma PME, essa é a função que mais falta, porque segurança costuma morar inteira na cabeça de uma pessoa da TI.

Perfis e tiers: como o NIST CSF mede onde você está

O framework tem duas ferramentas de medição, e elas respondem a perguntas diferentes.

O perfil organizacional descreve a postura da empresa nos termos dos resultados do núcleo. O perfil atual lista o que a empresa já alcança. O perfil-alvo lista o que ela escolheu e priorizou alcançar. A distância entre os dois é o plano de trabalho.

Os tiers descrevem o rigor da gestão de risco, em quatro níveis: Parcial (1), Informado por Risco (2), Repetível (3) e Adaptativo (4). O tier fala de processo, de quanto a gestão de risco é formal e recorrente. Uma empresa pode ter boas ferramentas e ainda estar no tier 1, se ninguém decide nada de forma registrada.

Para uma PME, o perfil rende mais que o tier. Uma planilha com as 22 categorias, uma coluna de situação atual e outra de meta em 12 meses já é um perfil utilizável. O tier entra depois, quando a diretoria quer um número para acompanhar.

O guia para pequenas empresas, em português

A parte mais útil do NIST CSF para quem tem 50 funcionários fica fora do documento principal. O NIST publicou uma série de guias rápidos, e um deles, o SP 1300, é dedicado a pequenas empresas.

O guia se apresenta como voltado a pequenas e médias empresas com planos de segurança modestos ou inexistentes. Ele organiza ações por função, com verbos diretos: entender, priorizar, avaliar. O verbo indica o tipo de trabalho, e isso ajuda a separar o que é decisão da diretoria do que é tarefa da TI.

A boa notícia para o leitor brasileiro está na página de traduções do NIST. O CSF 2.0 tem versão em português, feita pela TaikaTranslations sob contrato com o instituto. O guia de pequenas empresas, o guia geral de recursos e o de perfis organizacionais também foram traduzidos. A página não diz se o texto segue o português do Brasil ou de Portugal, então vale ler com essa ressalva.

NIST CSF, ISO 27001 e CIS Controls

As três referências aparecem juntas em proposta de fornecedor e em questionário de cliente. Elas servem a propósitos diferentes.

A ISO 27001 na prática já tem post próprio, com prazo, custo e auditoria. O resumo da relação é simples: a ISO dá o certificado, e o CSF ajuda a chegar organizado até ela. A diferença entre norma e framework, em geral, está em modelos normativos de TI.

O CIS Controls cobre o espaço que o CSF deixa aberto, o do como. O grupo de implementação 1, segundo o CIS, tem 56 salvaguardas e é descrito como higiene cibernética essencial. Uma combinação que funciona para PME: o CSF para decidir o que priorizar e o IG1 para saber o que configurar.

Um controle mínimo por função, para 50 pessoas

As ações abaixo saem do guia SP 1300, adaptadas para uma empresa de 50 pessoas com uma ou duas pessoas de TI. A ordem segue as funções do NIST CSF.

1. Governar: levante as exigências legais e contratuais de segurança que a empresa já tem (LGPD, contratos com cliente grande) e nomeie um responsável por cada uma. Avalie o risco de um fornecedor antes de assinar com ele.
2. Identificar: faça o inventário dos dados e dos equipamentos, e classifique o que é sensível. Sem essa lista, as outras funções trabalham no escuro.
3. Proteger: exija autenticação multifator em toda conta que oferece o recurso. Restrinja o acesso a dado sensível a quem precisa dele para trabalhar.
4. Detectar: mantenha antivírus e antimalware em todos os equipamentos da empresa, com alerta chegando a alguém que lê.
5. Responder: escreva quem decide durante um incidente e quem fala com cliente. O guia pede que a empresa saiba qual é o plano e quem tem autoridade.
6. Recuperar: faça backup com regularidade e teste a restauração. Antes de restaurar depois de um incidente, confira a integridade do que foi salvo.

Os seis itens cabem num trimestre para uma empresa desse porte. Eles também cobrem boa parte do que o guia de cibersegurança para PMEs recomenda como base.

A língua comum com fornecedor e cliente

O ganho mais subestimado do framework é o vocabulário. Quando o fornecedor de SOC diz que cobre Detectar e Responder, a empresa sabe perguntar quem cuida de Governar e Recuperar. Quando o cliente pergunta sobre risco de fornecedor, a resposta tem um lugar certo: a função Governar.

O mesmo vale para a técnica de ataque. O CSF diz o que a empresa precisa alcançar, e o MITRE ATT&CK descreve o que o atacante faz. Um fornecedor sério consegue mapear o serviço que vende nas duas referências.

Um exemplo de uso: antes de renovar o contrato com o fornecedor de backup, a empresa abre o perfil atual na função Recuperar e pergunta o que o serviço cobre ali. Se o contrato fala só de cópia e não menciona teste de restauração, a lacuna aparece na planilha antes de aparecer no incidente. A mesma conversa, com o perfil na mão, vale para o antivírus em Detectar e para a consultoria de política em Governar.

A pressão regulatória aponta na mesma direção. O Marco Legal da Cibersegurança ainda tramita, e exigência de segurança costuma chegar à PME primeiro por contrato de cliente. Ter um perfil do NIST CSF pronto encurta a resposta ao próximo questionário.

O documento que fica

O NIST publicou o CSF 2.0 em 26 de fevereiro de 2024, com seis funções e 22 categorias. A versão em português do documento principal e do guia SP 1300 está na página de traduções do instituto, e os dois arquivos não custam nada para baixar.