El Instituto Nacional de Estándares y Tecnología (NIST) 800-53 Rev. 5 es un conjunto completo de controles de seguridad basados en las mejores prácticas que muchas organizaciones utilizan como marco para sus programas de seguridad interna. La norma incluye más de 1000 controles diferentes organizados en familias de controles. Una gama tan amplia de controles disponibles puede resultar abrumadora para los equipos de seguridad, gestión de riesgos y auditoría a la hora de determinar cuáles son los más importantes en los que centrarse. Cuando se es responsable de evaluar no solo los controles internos de la propia organización, sino también los de los proveedores y distribuidores externos, la tarea puede resultar aún más compleja.
In this post we discuss how to organize controls into functions and then identify the 15 most essential NIST controls for assessing third-party supplier or vendor security risk.
Preguntas fundamentales para organizar los controles NIST 800-53 para la gestión de riesgos en la cadena de suministro
When considering which are the most applicable supply risk management NIST cybersecurity controls, start by answering these questions – sorted into one of the Five Functions in the NIST framework:
- Identify: Has the supplier identified its critical systems and components under a risk management framework? This is the foundation for developing a cybersecurity framework.
- Proteger: ¿Ha definido e implementado el proveedor controles para gestionar el acceso y la visibilidad de los sistemas críticos? Es esencial limitar o contener las amenazas mediante una gestión proactiva de los controles.
- Detectar: ¿Tiene el proveedor visibilidad sobre las amenazas nuevas y emergentes? Es importante identificar los eventos (por ejemplo, incidentes, debilidades y amenazas) que podrían afectar en última instancia a su organización.
- Respuesta: ¿Puede el proveedor identificar y gestionar incidentes y amenazas? Se trata de tomar medidas para contener y minimizar el impacto de los incidentes de ciberseguridad.
- Recuperación: ¿Tiene el proveedor la capacidad de recuperar sistemas y servicios críticos? Esta pregunta determina si el tercero puede restaurar las capacidades o servicios afectados por un incidente de ciberseguridad.
Los 15 controles principales del NIST para la gestión de riesgos en la cadena de suministro
The following table summarizes the 15 key NIST controls that address the questions above, by function. Please note that these are just the minimum of controls. You should consult your auditor for validation.
| Función | Control NIST 800-53 |
|---|---|
| Identificar
¿Ha identificado el proveedor sus sistemas y componentes críticos en el marco de la gestión de riesgos? |
RA-3: Evaluación de riesgos – Conduct evaluaciones de riesgos, document the results, and review and update the assessments at defined frequencies.
SA-4: Proceso de adquisición: identificar los controles de seguridad y privacidad dentro del proceso de adquisición de nuevos sistemas. CM-8: Inventario de componentes del sistema: desarrollar y documentar un inventario de componentes del sistema que refleje con precisión los sistemas. SR-2: Plan de gestión de riesgos: desarrollar un plan de gestión de riesgos de la cadena de suministro. |
| Proteger
¿Ha definido e implementado el proveedor controles para gestionar el acceso y la visibilidad de los sistemas críticos? |
SC-7: Protección de límites – Supervisar y controlar las comunicaciones en las interfaces gestionadas externas e internas.
IA-2: Identificación y autorización: identificar y autenticar de forma única a los usuarios; autorización aprobada para el acceso lógico. AT-2: Formación y concienciación: las organizaciones deben proporcionar formación sobre seguridad y privacidad a los usuarios del sistema. CM-3: Control de cambios: determinar y documentar los tipos de cambios en los sistemas, registrar los cambios, supervisarlos y revisarlos. AC-3: Aplicación del acceso: aplicar la autorización aprobada para el acceso lógico a la información y los recursos del sistema basándose en políticas de control de acceso. |
| Detectar
Does the supplier have visibility into new and emerging threats? |
RA-5: Supervisión y análisis de vulnerabilidades – Supervisar y analizar las vulnerabilidades de los sistemas y las aplicaciones alojadas.
SI-4: Supervisión del sistema: los sistemas deben supervisarse para detectar ataques e indicadores de posibles ataques. AU-2: Registro de eventos: identificar los tipos de eventos que los sistemas son capaces de registrar. CP-2: Planificación de contingencias: las organizaciones deben probar el plan de contingencia para los sistemas utilizando pruebas definidas que garanticen la eficacia del plan. CP-4: Pruebas de contingencia: compruebe la eficacia del plan de contingencia para los sistemas mediante pruebas definidas. |
| Responder y recuperarse
¿Puede el proveedor identificar y gestionar incidentes y amenazas? ¿Tiene capacidad para recuperar sistemas y servicios críticos? |
IR-4: Gestión y respuesta ante incidentes: las organizaciones deben implementar una capacidad de gestión de incidentes, alineada con un plan de respuesta ante incidentes. |
Cómo implementar los 15 controles principales del NIST para la gestión de riesgos en la cadena de suministro
Identifying the right controls is only half the work. In order to operationalize them across your third-party risk program, you must map each control to specific vendor assessment, monitoring, and remediation capabilities.
Ready to dive deeper? Check out NIST Third-Party Compliance Checklist, which delivers a comprehensive look at how third-party risk management practices map to recommendations outlined in NIST 800-53, NIST 800-161, and NIST CSF.
To see how your current program maps to these controls, request a demo with Mitratech.
Preguntas frecuentes
Which NIST 800-53 control families apply to vendor and third-party risk assessments?
The SR (Supply Chain Risk Management), RA (Risk Assessment), CA (Assessment, Authorization, and Monitoring), and PM (Program Management) control families carry the most direct relevance for vendor assessments. Within those families, the 15 controls outlined in this post represent the minimum baseline for assessing third-party supplier security risk across the five NIST framework functions.
How many controls are in NIST 800-53?
NIST 800-53 Rev. 5 contains more than 1,000 individual controls and control enhancements organized into 20 control families. For third-party supply chain risk management specifically, the SR family is the most directly applicable, though controls from RA, CA, and PM are also commonly assessed in vendor security questionnaires.
How does NIST 800-53 differ from NIST 800-161 for supply chain risk?
NIST 800-53 is a broad security controls catalog applicable to all federal information systems, with a subset of controls relevant to supply chain risk. NIST 800-161 is purpose-built for cybersecurity supply chain risk management (C-SCRM), providing deeper guidance on implementing those controls specifically within a multilevel supply chain context. Organizations typically use 800-53 as the control baseline and 800-161 as the implementation framework.
Editor’s Note: This post was originally published on Prevalent.net. In October 2024, Mitratech acquired the AI-enabled third-party risk management, Prevalent. The content has since been updated in July 2026 to include information aligned with our product offerings, regulatory changes, and compliance.
