Verze 2.0, publikovaná v roce 2024 jako NIST CSWP 29, rozšířila rámec za jeho původní zaměření na kritickou infrastrukturu k organizacím jakékoli velikosti a sektoru. Rámec popisuje žádoucí výstupy spíše než preskriptivní kontroly, takže organizace jej mohou mapovat na vlastní povinnosti, architekturu a vyspělost.
Rámec se používá třemi hlavními způsoby: jako společný jazyk mezi technickými týmy a vedením, jako struktura pro hodnocení současného stavu vůči cílovému profilu a jako most k detailním katalogům kontrol jako NIST SP 800-53 či ISO/IEC 27001 skrze publikovaná mapování.
Klíčové body
Funkce a kategorieGovern ustanovuje strategii řízení rizik a odpovědnost; Identify pokrývá aktiva a rizika; Protect, Detect, Respond a Recover pokrývají pojistky, detekci, reakci a výstupy obnovy v daném pořadí.
Profily a úrovněOrganizační profil srovnává současné a cílové výstupy, zatímco čtyři úrovně popisují rostoucí rigoróznost praktik řízení rizik; úrovně indikují vyspělost procesu, nikoli skóre bezpečnosti.
AplikaceOhraničte pokryté systémy a služby, dokumentujte současné výstupy, nastavte cílový profil, prioritizujte mezery podle rizika a sledujte pokrok s vlastníky a důkazy.
Důležité omezeníSoulad s CSF je řídicí výstup, nikoli certifikace či důkaz bezpečnosti. Sebehodnocené profily mohou přeceňovat schopnost a flexibilita rámce znamená, že dvě organizace tvrdící shodu mohou provozovat velmi odlišné kontroly.