El único documento que rige los controles federales de seguridad
NIST Special Publication 800-53 — esa es la respuesta a qué directrices identifican los controles federales de seguridad de la información. No FISMA en sí, no un memorando de la OMB, no una directiva del CIO. NIST SP 800-53 es el catálogo autorizado de controles de seguridad y privacidad para sistemas de información federales. La revisión 5, publicada en septiembre de 2020, amplió significativamente el alcance. Cada agencia federal que opera bajo FISMA debe usarlo.
Entender cómo funcionan realmente esos controles — y cómo se intersectan con la Ley de Privacidad de 1974, la Ley de Gobierno Electrónico de 2002, la Circular OMB A-130 y los mecanismos de las Evaluaciones de Impacto sobre la Privacidad — eso es donde la mayoría de los equipos de cumplimiento tienen dificultades.
FISMA, OMB y el ecosistema del marco NIST
El Federal Information Security Modernization Act (FISMA) de 2014 exige a las agencias federales implementar programas de seguridad de la información basados en riesgos. FISMA es un marco de autorización, no un catálogo de controles. La jerarquía: FISMA establece el requisito legal. La Circular OMB A-130 fija las políticas. NIST SP 800-53 proporciona los controles reales. NIST SP 800-37, el Marco de Gestión de Riesgos (RMF), define el proceso para seleccionar, implementar y evaluar esos controles.
NIST SP 800-53 Rev 5 organiza los controles en 20 familias. La familia PT es la adición clave en Rev 5, integrando controles de privacidad directamente en el catálogo de controles de seguridad. Eso significa que los equipos de privacidad y seguridad ya no pueden trabajar en silos separados.
NIST SP 800-53 vs. NIST CSF 2.0
No confunda SP 800-53 con el NIST Cybersecurity Framework (CSF). El CSF es un marco voluntario para cualquier organización, no específicamente para agencias federales. SP 800-53 es obligatorio para sistemas federales y contiene controles mucho más granulares y prescriptivos.
Evaluaciones de Impacto sobre la Privacidad: Definición y Propósito
Una Evaluación de Impacto sobre la Privacidad (PIA) es un análisis estructurado utilizado para identificar y mitigar los riesgos de privacidad antes de que una agencia federal implemente un nuevo sistema de TI o modifique significativamente uno existente. La base legal es la Sección 208 de la Ley de Gobierno Electrónico de 2002. Las PIAs deben completarse antes de que se implementen los sistemas, antes de que recopilen información personal, y antes de que las agencias realicen cambios sustanciales en los sistemas existentes.
Que deben hacer las evaluaciones de impacto sobre la privacidad?
Las PIAs deben describir qué información se recopila y por qué, explicar el uso previsto, identificar quién tendrá acceso, describir cómo se protegerá la información, identificar nuevos riesgos de privacidad y explicar los períodos de retención y los procedimientos de eliminación de datos. El propósito de la evaluación de impacto sobre la privacidad es incorporar la privacidad por diseño en el desarrollo de TI federal.
Qué cuenta como PII — y qué no
La definición federal de PII, del Memorando OMB M-07-16 y NIST SP 800-122, la define como cualquier información que pueda usarse para distinguir o rastrear la identidad de un individuo, sola o combinada con otra información. Los ejemplos clásicos — números de seguridad social, números de pasaporte, registros biométricos — son claramente PII. Una dirección IP sola puede no ser PII. Una dirección IP combinada con un nombre de usuario e historial de navegación casi seguramente lo es.
La información general de contacto empresarial, los datos estadísticos agregados y los conjuntos de datos correctamente anonimizados no constituyen PII. Pero en 2026, las técnicas de re-identificación se han vuelto significativamente más sofisticadas mediante ataques de correlación con machine learning.
El Proceso de Selección de Controles bajo el RMF
NIST SP 800-37 Rev 2 define un proceso de múltiples pasos: Preparar, Categorizar, Seleccionar, Implementar, Evaluar, Autorizar y Monitorear. Las organizaciones necesitan automatización robusta del cumplimiento para gestionar la implementación de controles a escala. El monitoreo continuo no es opcional. Las plataformas de Cloud Security Posture Management pueden evaluar continuamente las configuraciones de nube frente a los requisitos de control SP 800-53. El escaneo de vulnerabilidades mapea los hallazgos directamente a los controles SI.
Controles de Privacidad en SP 800-53 Rev 5
La familia PT incluye ahora evaluación de riesgos de privacidad (PT-2), transparencia del procesamiento (PT-3), propósito del procesamiento (PT-4) y aviso de privacidad (PT-5). Estos se traducen directamente en decisiones de diseño de sistemas, flujos de consentimiento y requisitos de registro de auditoría.
Donde encajan las herramientas modernas de seguridad
El cumplimiento federal es un problema de ingeniería con un resultado de documentación. El escaneo de imágenes de contenedores aborda SR-4 directamente. La aplicación de Policy-as-Code corresponde a los controles CM. Las herramientas de detección de secretos abordan simultáneamente los controles IA y SC. Las pruebas estáticas de seguridad de aplicaciones son un requisito auditable para los proveedores de software federal.
PIAs y Planes de Seguridad del Sistema
La PIA analiza los riesgos de privacidad asociados con la recopilación de PII. El SSP documenta cómo se implementan los controles SP 800-53. Las organizaciones que operan en entornos híbridos necesitan un enfoque nativo en la nube para la seguridad en la nube. NIST SP 800-53 Rev 5 identifica los controles federales de seguridad de la información. El cumplimiento es una disciplina de ingeniería — las herramientas automatizadas y el monitoreo continuo son como los programas federales maduros logran y mantienen la seguridad.