CSF 2.0: segurança digital passou a ser assunto de governança

Em 26 de fevereiro de 2024, o NIST lançou a versão 2.0 de seu Cybersecurity Framework. A atualização tornou explícita a função Govern, somando-a às funções Identify, Protect, Detect, Respond e Recover. O instituto apresentou o framework como instrumento para compreender, avaliar, priorizar e comunicar riscos de segurança cibernética entre equipes técnicas, gestão e parceiros. Sua aplicação não se limita a um setor industrial ou a órgãos federais dos Estados Unidos.

Para uma rede de supermercados, o alcance dessa mudança fica evidente quando a operação depende de caixas, meios de pagamento, sistemas de estoque, pedidos e equipamentos prediais conectados. Uma falha de comunicação entre TI, manutenção, fornecedores e direção pode prolongar um incidente, mesmo quando existem controles técnicos adequados. Governança significa definir alçadas, riscos aceitáveis, responsabilidades, critérios de investimento e comunicação de crise antes de ocorrer uma interrupção.

A notícia de 2024 permanece útil como fundamento histórico em 2026: ela explica por que a pergunta inicial de um executivo deveria ser 'quem responde pela continuidade e quais decisões já estão autorizadas?'. A aplicação prática exige avaliação própria da organização e de seus sistemas, sem pressupor incidentes ou vulnerabilidades específicos. O lançamento ocorreu em fevereiro de 2024; este comentário foi produzido pela Baita em novembro de 2026.

Como aplicar em operações distribuídas

O primeiro passo é estabelecer quem pode aceitar riscos e autorizar mudanças. Em uma rede de lojas, o diretor de operações, a manutenção, a TI e os fornecedores precisam saber quem verifica anomalias e quem confirma a recuperação. Isso inclui incidentes em sistemas administrativos e ocorrências com impacto físico, como equipamentos de refrigeração ou energia. A resposta a cada uma dessas situações pode exigir decisões diferentes.

A segunda etapa é identificar funções essenciais, suas dependências e a tolerância a interrupções. Uma falha em plataforma compartilhada pode atingir várias unidades; em contrapartida, um problema local pode permanecer restrito a uma instalação. O mapa de dependências precisa ser confirmado em campo e nos contratos, evitando inferências feitas exclusivamente a partir de inventários de computadores.

A terceira etapa é adotar indicadores verificáveis: cobertura de processos críticos, tempo entre alerta e reconhecimento, percentual de procedimentos testados, prazo de restabelecimento e proporção de acessos remotos com proprietário identificado. Essas métricas devem alimentar a melhoria contínua, e não apenas um relatório de conformidade.

Fonte original: NIST — The NIST CSF 2.0 is Here! (26/02/2024). Data editorial Baita: 08/11/2026.