O que é o NIST Cybersecurity Framework (CSF) 2.0?

O NIST Cybersecurity Framework 2.0 (CSF 2.0), publicado em fevereiro de 2024 pelo National Institute of Standards and Technology (EUA), é um framework voluntário de gestão de risco de cybersecurity. Ele fornece uma estrutura organizada de alto nível — independente de setor, tecnologia e tamanho da organização — para examinar, gerenciar e comunicar riscos de cybersecurity em linguagem compreensível por líderes de negócio, técnicos e reguladores.

A versão 2.0 trouxe mudanças significativas em relação à 1.1 (2018): (i) adicionou a sexta Function, GOVERN, que eleva a estratégia de cyber-risco ao nível de governance executiva; (ii) ampliou a ênfase em cadeia de suprimentos e em plataformas de terceiros; (iii) introduziu as Communities of Interest e formalizou os Informative References como mecanismo de mapeamento para outros frameworks (SP 800-53, ISO 27001, COBIT, etc.); (iv) reforçou o tratamento de privacidade como dimensão integrada, não paralela, à cybersecurity.

O CSF é organizado em três níveis hierárquicos: Functions (GV, ID, PR, DE, RS, RC) no topo, divididas em Categories (ex.: GV.OC, ID.AM) que agrupam Subcategories específicas (ex.: GV.OC-01). Cada subcategoria é uma declaração de resultado ("outcome") que descreve um estado de segurança desejado — não prescreve como alcançá-lo, deixando a organização escolher controles e tecnologias apropriados ao seu contexto.

Por que aplicar a um estudo de caso?

Ler o CSF em abstrato é insuficiente: as declarações de outcome são genéricas por design. Para que façam sentido, precisam ser traduzidas em ações, tecnologias e decisões concretas dentro de um contexto real. Este documento faz exatamente isso: para cada uma das 138 subcategorias do CSF 2.0, apresenta um exemplo concreto de implementação em uma clínica de diagnóstico por imagem fictícia, mas realista.

O estudo de caso não substitui a leitura do framework oficial (NIST CSWP 29) — ele a complementa, mostrando como cada declaração genérica se manifesta no dia-a-dia de uma organização de saúde brasileira sujeita à LGPD, às resoluções do CFM e à regulação da ANVISA.

Como navegar neste documento

Use o índice à esquerda para pular diretamente a qualquer Function, Category ou Subcategory. O campo de filtro no topo do índice permite localizar subcategorias por ID (ex.: GV.SC mostra apenas a cadeia de suprimentos) ou por texto livre. Cada categoria é colapsável/expandível clicando no cabeçalho. Botões de copiar estão disponíveis nas tabelas de mapeamento. O modo escuro pode ser alternado no canto superior direito e persiste entre sessões.

O que é um CSF Profile?

Um Profile é o alinhamento entre as Functions, Categories e Subcategories do CSF e os requisitos de negócio, objetivos de risco e requisitos regulatórios de uma organização. É uma representação declarativa da postura desejada — não mede conformidade, descreve expectativa.

Existem dois perfis fundamentais:

• Current Profile: como a organização está hoje, em termos dos outcomes do CSF que alcança consistentemente.
• Target Profile: como a organização quer estar, em horizonte definido (tipicamente 12-36 meses).

A comparação entre Current e Target gera o gap analysis, que vira insumo direto para o POA&M (Plan of Action and Milestones). É uma prática saudável revisar ambos os perfis pelo menos anualmente, ou após mudanças significativas (incidente relevante, nova regulação, fusão/aquisição, mudança de modelo de negócio).

Como funcionam os Tiers

Tiers descrevem o grau de maturidade com que uma organização gerencia o cyber-risco — não o grau de maturidade técnica dos controles. Os quatro níveis (Partial, Risk Informed, Repeatable, Adaptable) aplicam-se a cada Function individualmente, permitindo que a organização tenha, por exemplo, PROTECT em Tier 3 mas DETECT em Tier 2.

Tier não é certificação nem selo — é auto-avaliação. Não há auditoria externa exigida. O valor está na honestidade da auto-avaliação e no uso dela como ferramenta de planejamento (gap → ação → recurso → prazo).

O que são Informative References?

Informative References são mapeamentos publicados pelo NIST (e pela comunidade) entre as subcategorias do CSF e seções específicas de outros frameworks, padrões e guias. Elas não são normativas — são sugestões de "como você poderia implementar este outcome em framework X".

Para cada subcategoria do CSF 2.0, existem tipicamente entre 1 e 6 Informative References, cobrindo: controles do SP 800-53 (federal dos EUA), práticas do ISO 27001/27002, controles do COBIT 2019, objetivos do CIS Controls v8, e mais. O NIST mantém um catálogo online em csf.tools atualizado pela comunidade.

Para o setor saúde, há também mapeamentos específicos para HHS Cybersecurity Performance Goals, HITRUST CSF, e o catálogo do HHS 405(d) HICP. Para IA, o NIST publicou o AI RMF (AI Risk Management Framework, 2023) com mapeamento cruzado para CSF.

Por que privacidade está no CSF?

O CSF 2.0 trata explicitamente a privacidade como dimensão integrada à cybersecurity, não paralela. A Figura 6 do documento original ilustra essa relação por meio de um diagrama de Venn com três zonas:

• Riscos de cybersecurity apenas — eventos que comprometem confidencialidade, integridade ou disponibilidade de sistemas e dados, sem envolver necessariamente dados pessoais ou danos à privacidade de indivíduos.
• Riscos de privacidade apenas — problemas decorrentes do processamento de dados pessoais (coleta excessiva, retenção longa, compartilhamento sem base legal), independentes de haver incidente técnico de cybersecurity.
• Interseção — eventos de cybersecurity que resultam em dano à privacidade de indivíduos. É a zona mais crítica: um ataque técnico vira um problema de pessoas.

Para a Clínica, a interseção é onde residem os riscos mais graves: vazamento de laudos por ransomware com exfiltração não é apenas um incidente técnico — é um incidente de privacidade com notificação obrigatória à ANPD e aos pacientes afetados (LGPD art. 48).