Versiunea 2.0, publicată în 2024 ca NIST CSWP 29, a extins cadrul dincolo de focalizarea sa inițială pe infrastructura critică către organizații de orice dimensiune și sector. Cadrul descrie rezultate dorite, nu controale prescriptive, așa că organizațiile îl pot mapa la propriile obligații, arhitectură și maturitate.
Cadrul este folosit în trei moduri principale: ca limbaj comun între echipele tehnice și conducere, ca structură pentru evaluarea posturii curente față de un profil țintă și ca punte către cataloage de controale detaliate precum NIST SP 800-53 sau ISO/IEC 27001 prin mapări publicate.
Puncte esențiale
Funcții și categoriiGovern stabilește strategia de gestionare a riscurilor și responsabilitatea; Identify acoperă activele și riscurile; Protect, Detect, Respond și Recover acoperă, respectiv, rezultatele de protecție, detecție, răspuns și restaurare.
Profiluri și niveluriUn profil organizațional compară rezultatele curente și țintă, în timp ce cele patru niveluri descriu rigoare crescândă în practicile de gestionare a riscurilor; nivelurile indică maturitatea procesului, nu un scor de securitate.
AplicareDelimitați sistemele și serviciile acoperite, documentați rezultatele curente, stabiliți un profil țintă, prioritizați decalajele după risc și urmăriți progresul cu proprietari și dovezi.
Limitare importantăAlinierea CSF este un rezultat de management, nu o certificare sau o dovadă de securitate. Profilurile autoevaluate pot supraestima capacitatea, iar flexibilitatea cadrului înseamnă că două organizații care declară conformitate pot opera controale foarte diferite.