Un perfil del CSF redactado con IA
es un punto de partida, no una garantía.

Las dos páginas del NIST describen tres casos de uso hipotéticos. El primero revisa la política, la estrategia y la gobernanza del riesgo de ciberseguridad frente a los resultados del CSF 2.0. El segundo elabora un borrador del perfil del estado actual de la organización: un documento que describe su situación presente respecto al marco. Relaciona documentos y otros materiales, incluidas notas de entrevistas al personal, con los resultados, documenta supuestos y registra las carencias observadas. El tercero prepara un perfil del estado objetivo a partir de referencias internas y sectoriales. El NIST también describe archivos organizativos simulados de una empresa ficticia. Ilustran un enfoque; no son conclusiones sobre una empresa real.

Un perfil elaborado manualmente y otro preparado con ayuda de IA pueden servir para la misma conversación de planificación. Ni su presentación ni su aparente integridad los convierten en un trabajo de aseguramiento. Una evaluación independiente determina qué permiten sostener las evidencias disponibles, con un método y un alcance declarados. El NIST afirma expresamente que sus ejemplos no son metodologías prescriptivas de evaluación o aseguramiento. Por tanto, el comprador debe distinguir entre recibir ayuda para preparar materiales y obtener una conclusión sobre los resultados de ciberseguridad de la organización.

La diferencia entre política y registro ofrece un buen punto de partida. Vincular una política con un resultado puede mostrar lo que la organización se propone hacer; no demuestra su ejecución. Una entrevista puede aportar contexto sin aclarar cuándo se hizo el trabajo ni qué operaciones abarcó. Pida la ubicación de la fuente, la versión del documento y el razonamiento de cada correspondencia propuesta. Las evidencias ausentes y los relatos contradictorios deben seguir siendo visibles, no desaparecer en un resumen fluido. Las correspondencias han de poder modificarse y cuestionarse. Estas son recomendaciones de compra, no requisitos adicionales atribuidos al borrador del NIST.

La persona responsable de un documento puede explicar el alcance de una política. La responsable de la operación puede identificar los registros de su ejecución. Quien revisa puede juzgar si esos registros respaldan la afirmación propuesta. No hace falta un gran comité, pero aportar evidencias, revisar correspondencias y aprobar conclusiones deben seguir siendo actos distinguibles del texto generado. Antes de introducir registros sensibles en el proceso, determine quién puede acceder a las entradas y salidas, dónde se procesan, qué se conserva y cómo se retira el acceso. Ninguna de las dos páginas citadas verifica cómo trata ningún proveedor los datos empresariales. Son cuestiones que debe evaluar el comprador, no dar por resueltas por un supuesto aval.

Para cada resultado seleccionado, solicite la correspondencia propuesta, los pasajes de las fuentes que la respaldan, los supuestos pendientes y la decisión de quien revisa. Después pregunte cómo trataría el proceso una entrevista que contradice una política, un registro ajeno al periodo de revisión o un resultado sin evidencias aportadas. Son casos propuestos para la evaluación, no pruebas realizadas para este artículo. La respuesta útil muestra el problema en lugar de rellenar el vacío con un texto verosímil. Mantenga separado el perfil del estado objetivo del perfil del estado actual: los resultados deseados son decisiones de planificación, no pruebas de logros presentes. Cuando un borrador sirva de base para una decisión de dirección, registre qué afirmaciones se aceptaron, cuáles siguen pendientes y quién aprobó esa distinción. Aceptar el trabajo de preparación no debe convertirse, sin hacerlo explícito, en aceptar una conclusión de aseguramiento.