Wersja 2.0, opublikowana w 2024 jako NIST CSWP 29, rozszerzyła ramę poza pierwotny fokus na infrastrukturę krytyczną na organizacje dowolnej wielkości i sektora. Rama opisuje pożądane wyniki zamiast przepisujących kontroli, więc organizacje mogą mapować ją na własne zobowiązania, architekturę i dojrzałość.
Rama jest używana na trzy główne sposoby: jako wspólny język między zespołami technicznymi a kierownictwem, jako struktura oceny bieżącego stanu względem profilu docelowego oraz jako pomost do szczegółowych katalogów kontroli, takich jak NIST SP 800-53 lub ISO/IEC 27001, przez publikowane mapowania.
Najważniejsze punkty
Funkcje i kategorieGovern ustala strategię zarządzania ryzykiem i rozliczalność; Identify obejmuje zasoby i ryzyka; Protect, Detect, Respond i Recover obejmują odpowiednio wyniki zabezpieczeń, wykrywania, reagowania i odtwarzania.
Profile i poziomy (tiers)Profil organizacyjny porównuje bieżące i docelowe wyniki, a cztery poziomy opisują rosnący rygor praktyk zarządzania ryzykiem; poziomy wskazują dojrzałość procesu, a nie wynik bezpieczeństwa.
ZastosowanieOkreśl objęte systemy i usługi, udokumentuj bieżące wyniki, ustaw profil docelowy, priorytetyzuj luki według ryzyka i śledź postęp z właścicielami i dowodami.
Istotne ograniczenieWyrównanie z CSF to wynik zarządczy, a nie certyfikacja ani dowód bezpieczeństwa. Samooceniane profile mogą przeceniać zdolność, a elastyczność ramy oznacza, że dwie organizacje deklarujące zgodność mogą operować bardzo różnymi kontrolami.