¿Qué es el NIST? ¿Cuál es su propósito?

El Instituto Nacional de Estándares y Tecnología (NIST) es un laboratorio del gobierno estadounidense que desarrolla, prueba y publica estándares de medición, marcos de ciberseguridad y especificaciones de algoritmos criptográficos, incluidos FIPS y los estándares post-cuánticos FIPS 203, 204 y 205.

El NIST es una agencia federal estadounidense no reguladora que crea estándares utilizados en ciencia, ingeniería y ciberseguridad, incluyendo el Marco de Ciberseguridad y las publicaciones FIPS. Las agencias federales y sus contratistas deben seguir los estándares del NIST al manejar datos federales, y los estándares de criptografía postcuántica del NIST, finalizados en agosto de 2024, ahora guían la selección de algoritmos en todo el mundo.

Puntos Clave

• El NIST es un organismo no regulador dependiente del Departamento de Comercio de los Estados Unidos que elabora estándares adoptados internacionalmente, no solo en los Estados Unidos.
• El Marco de Ciberseguridad del NIST organiza el trabajo de seguridad en cinco funciones: Identificar, Proteger, Detectar, Responder y Recuperar.
• Las agencias federales, sus contratistas y los proveedores que busquen trabajo con el gobierno federal deben cumplir con las normas pertinentes del NIST, incluidas las Normas Federales de Procesamiento de Información (FIPS).
• El NIST finalizó sus tres primeros estándares de criptografía post-cuántica, FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA), el 13 de agosto de 2024.
• El cumplimiento de las normas NIST puede diferenciar a un proveedor de forma competitiva, ya que las organizaciones que demuestran estar alineadas con las normas NIST suelen ser las preferidas por los clientes preocupados por la seguridad y los compradores gubernamentales.

¿Por qué las organizaciones buscan cumplir con las normas NIST?

Las publicaciones del NIST se someten a pruebas exhaustivas, a menudo durante meses o años, por equipos de expertos en la materia antes de su publicación, lo que garantiza su rigor técnico y su reconocimiento internacional. Seguir los estándares del NIST reduce el número de vulnerabilidades en la infraestructura de una organización y genera confianza entre los clientes, quienes esperan ese nivel de seguridad.

¿Quiénes están obligados a cumplir con las normas NIST?

Las agencias federales, los contratistas, los subcontratistas y los proveedores que recopilan, almacenan o transmiten datos federales deben cumplir con las normas pertinentes del NIST. Algunas regulaciones basadas en las directrices del NIST, como las Normas Federales de Procesamiento de la Información, son un requisito indispensable para obtener un contrato federal.

¿Cuáles son las cinco funciones del Marco de Ciberseguridad del NIST?

Función	Enfócate
Identifica	Gestión de activos, evaluación de riesgos y estrategia de gestión de riesgos.
Proteger	Controles de gestión de identidades y accesos, formación y seguridad de datos
Detectar	Monitoreo y detección de eventos para atrapar rápidamente a un intruso.
Responder	Planificación de la respuesta, comunicaciones, análisis y mitigación tras una violación de seguridad.
Recuperar	Planificación de la recuperación, comunicaciones y mejoras tras un incidente

¿Cómo apoya el NIST la criptografía postcuántica?

El NIST finalizó sus tres primeros estándares de criptografía postcuántica el 13 de agosto de 2024: FIPS 203 (ML-KEM, para encapsulación de claves), FIPS 204 (ML-DSA, para firmas digitales) y FIPS 205 (SLH-DSA, un esquema de firma basado en funciones hash). ML-KEM-768 y ML-DSA-65 son los conjuntos de parámetros predeterminados recomendados para la mayoría de las organizaciones que planean migrar desde RSA y ECC.

Cómo ayuda la consultoría de cifrado

Los servicios de consultoría en cifrado y de PQC de Encryption Consulting ayudan a las organizaciones a alinear su criptografía con el Marco de Ciberseguridad del NIST y sus estándares post-cuánticos, subsanando deficiencias antes de que una auditoría o un requisito contractual federal obligue a abordar el problema. Contamos con el respaldo de las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Es el NIST un organismo regulador?

No. El NIST es un organismo no regulador dependiente del Departamento de Comercio de los Estados Unidos. No aplica sus estándares directamente, pero otras regulaciones y requisitos de contratos federales, como FIPS, hacen que el cumplimiento de las normas del NIST sea obligatorio para las organizaciones que trabajan con el gobierno federal.

¿Cuáles son las cinco funciones del Marco de Ciberseguridad del NIST?

Las cinco funciones son Identificar, Proteger, Detectar, Responder y Recuperar. En conjunto, abarcan la visibilidad de los activos, los controles preventivos, la detección de brechas, la respuesta a incidentes y la recuperación posterior a incidentes, lo que proporciona a las organizaciones una forma estructurada de crear y evaluar un programa de seguridad.

¿Cuáles son los estándares de criptografía postcuántica del NIST?

El NIST finalizó las normas FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA) el 13 de agosto de 2024. Estas normas definen algoritmos resistentes a la computación cuántica para el encapsulado de claves y las firmas digitales, hacia los cuales se espera que las organizaciones planifiquen sus migraciones.

¿Las empresas privadas deben cumplir con los estándares del NIST?

Las empresas privadas no están obligadas legalmente a seguir los estándares del NIST a menos que trabajen con el gobierno federal u operen en un sector regulado que haga referencia a las directrices del NIST, pero muchas adoptan el Marco de Ciberseguridad del NIST de forma voluntaria como una base de seguridad reconocida.

Alinee su programa de seguridad con el NIST.

Da el siguiente paso
Consultoría de cifrado equipo asesor Le ayuda a alinear sus controles actuales con el Marco de Ciberseguridad del NIST y a planificar su transición a los algoritmos post-cuánticos del NIST. Evalúe hoy mismo su estrategia de cifrado.