convert_library_version: 'v2 ; Compat Mode: [0] {[v2.1] (DEFAULT) Don''t use any Compatibility
  Mode}'
urn: urn:intuitem:risk:library:nist-csf-2.0
locale: en
ref_id: NIST-CSF-2.0
name: NIST CSF version 2.0
description: National Institute of Standards and Technology - Cybersecurity Framework
  (CSF 2.0)
copyright: With the exception of material marked as copyrighted, information presented
  on NIST sites are considered public information and may be distributed or copied.
version: 5
publication_date: 2025-07-09
provider: NIST
packager: intuitem
translations:
  fr:
    name: NIST CSF version 2.0
    description: National Institute of Standards and Technology - Cybersecurity Framework
      (CSF 2.0)
  es:
    name: NIST CSF version 2.0
    description: National Institute of Standards and Technology - Cybersecurity Framework
      (CSF 2.0)
objects:
  framework:
    urn: urn:intuitem:risk:framework:nist-csf-2.0
    ref_id: NIST-CSF-2.0
    name: NIST CSF v2.0
    description: NIST Cybersecurity Framework
    min_score: 1
    max_score: 4
    scores_definition:
    - score: 1
      name: Partial
      description: 'Application of the organizational cybersecurity risk strategy
        is managed in an ad hoc manner.

        There is limited awareness of cybersecurity risks at the organizational level.'
      translations:
        fr:
          name: Partiel
          description: "L\u2019application de la strat\xE9gie de gestion des risques\
            \ cybers\xE9curit\xE9 de l\u2019organisation est g\xE9r\xE9e de mani\xE8\
            re ad hoc.\nLa sensibilisation aux risques cybers\xE9curit\xE9 est limit\xE9\
            e au niveau organisationnel.\nLes pratiques de gestion des risques sont\
            \ approuv\xE9es par la direction, mais ne sont peut-\xEAtre pas \xE9tablies\
            \ comme une politique \xE0 l\u2019\xE9chelle de l\u2019organisation."
        es:
          name: Parcial
          description: "La aplicaci\xF3n de la estrategia de riesgo de ciberseguridad\
            \ organizacional se gestiona de manera ad hoc. Existe una conciencia limitada\
            \ de los riesgos de ciberseguridad a nivel organizacional."
    - score: 2
      name: Risk informed
      description: 'Risk management practices are approved by management but may not
        be established as organization-wide policy.

        There is an awareness of cybersecurity risks at the organizational level,
        but an organization-wide approach to managing cybersecurity risks has not
        been established.'
      translations:
        fr:
          name: "Inform\xE9 des risques"
          description: "Les pratiques de gestion des risques sont approuv\xE9es par\
            \ la direction, mais ne sont peut-\xEAtre pas \xE9tablies comme une politique\
            \ \xE0 l\u2019\xE9chelle de l\u2019organisation.\nIl existe une sensibilisation\
            \ aux risques cybers\xE9curit\xE9 au niveau de l\u2019organisation, mais\
            \ une approche globale pour les g\xE9rer n\u2019a pas \xE9t\xE9 mise en\
            \ place."
        es:
          name: Informado sobre riesgos
          description: "Las pr\xE1cticas de gesti\xF3n de riesgos son aprobadas por\
            \ la gerencia, pero es posible que no se establezcan como una pol\xED\
            tica para toda la organizaci\xF3n. Existe una conciencia de los riesgos\
            \ de ciberseguridad a nivel organizacional, pero no se ha establecido\
            \ un enfoque de toda la organizaci\xF3n para gestionar los riesgos de\
            \ ciberseguridad."
    - score: 3
      name: Repeatable
      description: "The organization\u2019s risk management practices are formally\
        \ approved and expressed as policy.\nOrganizational cybersecurity practices\
        \ are regularly updated based on the application of risk management processes\
        \ to changes in business/mission requirements, threats, and technological\
        \ landscape."
      translations:
        fr:
          name: "R\xE9p\xE9table"
          description: "Les pratiques de gestion des risques de l\u2019organisation\
            \ sont formellement approuv\xE9es et exprim\xE9es sous forme de politique.\n\
            Les pratiques cybers\xE9curit\xE9 de l\u2019organisation sont r\xE9guli\xE8\
            rement mises \xE0 jour en fonction de l\u2019application des processus\
            \ de gestion des risques, pour r\xE9pondre \xE0 l\u2019\xE9volution des\
            \ exigences m\xE9tiers ou missions, des menaces et du paysage technologique."
        es:
          name: Repetible
          description: "Las pr\xE1cticas de gesti\xF3n de riesgos de la organizaci\xF3\
            n se aprueban formalmente y se expresan como pol\xEDtica. Las pr\xE1cticas\
            \ de ciberseguridad organizacional se actualizan peri\xF3dicamente en\
            \ funci\xF3n de la aplicaci\xF3n de procesos de gesti\xF3n de riesgos\
            \ a los cambios en los requisitos comerciales/de misi\xF3n, las amenazas\
            \ y el panorama tecnol\xF3gico."
    - score: 4
      name: Adaptive
      description: 'There is an organization-wide approach to managing cybersecurity
        risks that uses risk-informed policies, processes, and procedures to address
        potential cybersecurity events.

        The organization adapts its cybersecurity practices based on previous and
        current cybersecurity activities, including lessons learned and predictive
        indicators.'
      translations:
        fr:
          name: Adaptatif
          description: "L\u2019organisation dispose d\u2019une approche \xE0 l\u2019\
            \xE9chelle de l\u2019entreprise pour g\xE9rer les risques cybers\xE9curit\xE9\
            , en utilisant des politiques, processus et proc\xE9dures inform\xE9s\
            \ par les risques pour traiter les \xE9v\xE9nements potentiels.\nL\u2019\
            organisation adapte ses pratiques cybers\xE9curit\xE9 en fonction des\
            \ activit\xE9s pass\xE9es et pr\xE9sentes, y compris les retours d\u2019\
            exp\xE9rience et les indicateurs pr\xE9dictifs."
        es:
          name: Adaptable
          description: "Existe un enfoque de toda la organizaci\xF3n para gestionar\
            \ los riesgos de ciberseguridad que utiliza pol\xEDticas, procesos y procedimientos\
            \ informados sobre el riesgo para abordar posibles eventos de ciberseguridad.\
            \ La organizaci\xF3n adapta sus pr\xE1cticas de ciberseguridad en funci\xF3\
            n de las actividades de ciberseguridad anteriores y actuales, incluidas\
            \ las lecciones aprendidas y los indicadores predictivos."
    requirement_nodes:
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv
      assessable: false
      depth: 1
      ref_id: GV
      name: GOVERN
      description: The organization's cybersecurity risk management strategy, expectations,
        and policy are established, communicated, and monitored
      translations:
        fr:
          name: GOUVERNER
          description: "La strat\xE9gie, les attentes et la politique de gestion des\
            \ risques de cybers\xE9curit\xE9 de l\u2019organisation sont \xE9tablies,\
            \ communiqu\xE9es et surveill\xE9es"
        es:
          name: GOBERNAR
          description: "Se establecen, comunican y supervisan la estrategia, las expectativas\
            \ y la pol\xEDtica de gesti\xF3n de riesgos de seguridad cibern\xE9tica\
            \ de la organizaci\xF3n."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.oc
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv
      ref_id: GV.OC
      name: Organizational Context
      description: The circumstances - mission, stakeholder expectations, dependencies,
        and legal, regulatory, and contractual requirements - surrounding the organization's
        cybersecurity risk management decisions are understood
      translations:
        fr:
          name: Contexte organisationnel
          description: "Les circonstances (mission, attentes des parties prenantes,\
            \ d\xE9pendances et exigences l\xE9gales, r\xE9glementaires et contractuelles)\
            \ entourant les d\xE9cisions de gestion des risques de cybers\xE9curit\xE9\
            \ de l\u2019organisation sont comprises"
        es:
          name: Contexto organizativo
          description: "Se comprenden las circunstancias - misi\xF3n, expectativas\
            \ de las partes interesadas, dependencias y requisitos legales, normativos\
            \ y contractuales - que afectan a las decisiones de gesti\xF3n de riesgos\
            \ de seguridad cibern\xE9tica de la organizaci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.oc-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.oc
      ref_id: GV.OC-01
      description: The organizational mission is understood and informs cybersecurity
        risk management
      annotation: '1st: 1st Party Risk

        Ex1: Share the organization''s mission (e.g., through vision and mission statements,
        marketing, and service strategies) to provide a basis for identifying risks
        that may impede that mission'
      translations:
        fr:
          description: "La mission organisationnelle est comprise et informe la gestion\
            \ des risques de cybers\xE9curit\xE9"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Partagez la mission de\
            \ l'organisation (par exemple, par le biais d'\xE9nonc\xE9s de vision\
            \ et de mission, de strat\xE9gies de marketing et de service) afin de\
            \ fournir une base pour identifier les risques qui peuvent entraver cette\
            \ mission"
        es:
          description: "Se comprende la misi\xF3n de la organizaci\xF3n y se informa\
            \ sobre la gesti\xF3n de riesgos de seguridad cibern\xE9tica."
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Compartir la misi\xF3n de\
            \ la organizaci\xF3n (por ejemplo, a trav\xE9s de declaraciones de visi\xF3\
            n y misi\xF3n, marketing y estrategias de servicio) para proporcionar\
            \ una base para identificar los riesgos que pueden obstaculizar esa misi\xF3\
            n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.oc-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.oc
      ref_id: GV.OC-02
      description: Internal and external stakeholders are understood, and their needs
        and expectations regarding cybersecurity risk management are understood and
        considered
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Identify relevant internal stakeholders and their cybersecurity-related
        expectations (e.g., performance and risk expectations of officers, directors,
        and advisors; cultural expectations of employees)

        Ex2: Identify relevant external stakeholders and their cybersecurity-related
        expectations (e.g., privacy expectations of customers, business expectations
        of partnerships, compliance expectations of regulators, ethics expectations
        of society)'
      translations:
        fr:
          description: "Les parties prenantes internes et externes sont comprises,\
            \ et leurs besoins et attentes en mati\xE8re de gestion des risques de\
            \ cybers\xE9curit\xE9 sont compris et pris en compte"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : D\xE9terminer les intervenants internes pertinents et\
            \ leurs attentes en mati\xE8re de cybers\xE9curit\xE9 (p. ex., attentes\
            \ en mati\xE8re de rendement et de risque des dirigeants, des administrateurs\
            \ et des conseillers\_; attentes culturelles des employ\xE9s)\nEx2 : Identifier\
            \ les parties prenantes externes pertinentes et leurs attentes en mati\xE8\
            re de cybers\xE9curit\xE9 (p. ex., attentes des clients en mati\xE8re\
            \ de protection de la vie priv\xE9e, attentes op\xE9rationnelles des partenariats,\
            \ attentes des organismes de r\xE9glementation en mati\xE8re de conformit\xE9\
            , attentes de la soci\xE9t\xE9 en mati\xE8re d'\xE9thique)"
        es:
          description: "Las partes interesadas internas y externas son comprendidas,\
            \ y sus necesidades y expectativas con respecto a la gesti\xF3n de riesgos\
            \ de seguridad cibern\xE9tica son comprendidas y consideradas."
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Identificar a las partes interesadas internas relevantes y sus expectativas\
            \ relacionadas con la ciberseguridad (por ejemplo, expectativas de rendimiento\
            \ y riesgo de funcionarios, directores y asesores; expectativas culturales\
            \ de los empleados)\nEx2: Identificar a las partes interesadas externas\
            \ relevantes y sus expectativas relacionadas con la ciberseguridad (por\
            \ ejemplo, expectativas de privacidad de los clientes, expectativas comerciales\
            \ de las asociaciones, expectativas de cumplimiento de los reguladores,\
            \ expectativas \xE9ticas de la sociedad)"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.oc-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.oc
      ref_id: GV.OC-03
      description: Legal, regulatory, and contractual requirements regarding cybersecurity
        - including privacy and civil liberties obligations - are understood and managed
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Determine a process to track and manage legal and regulatory requirements
        regarding protection of individuals'' information (e.g., Health Insurance
        Portability and Accountability Act, California Consumer Privacy Act, General
        Data Protection Regulation)

        Ex2: Determine a process to track and manage contractual requirements for
        cybersecurity management of supplier, customer, and partner information

        Ex3: Align the organization''s cybersecurity strategy with legal, regulatory,
        and contractual requirements'
      translations:
        fr:
          description: "Les exigences l\xE9gales, r\xE9glementaires et contractuelles\
            \ en mati\xE8re de cybers\xE9curit\xE9, y compris les obligations en mati\xE8\
            re de vie priv\xE9e et de libert\xE9s civiles, sont comprises et g\xE9\
            r\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : D\xE9terminer un processus de suivi et de gestion des\
            \ exigences l\xE9gales et r\xE9glementaires concernant la protection des\
            \ informations des individus (par exemple, Health Insurance Portability\
            \ and Accountability Act, California Consumer Privacy Act, General Data\
            \ Protection Regulation)\nEx2 : D\xE9terminer un processus de suivi et\
            \ de gestion des exigences contractuelles pour la gestion de la cybers\xE9\
            curit\xE9 des informations sur les fournisseurs, les clients et les partenaires\n\
            Ex3 : Aligner la strat\xE9gie de cybers\xE9curit\xE9 de l'organisation\
            \ sur les exigences l\xE9gales, r\xE9glementaires et contractuelles"
        es:
          description: "Se comprenden y gestionan los requisitos legales, normativos\
            \ y contractuales relativos a la seguridad cibern\xE9tica, incluidas las\
            \ obligaciones en materia de privacidad y libertades civiles."
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Determinar un proceso para rastrear y administrar los requisitos\
            \ legales y reglamentarios relacionados con la protecci\xF3n de la informaci\xF3\
            n de las personas (por ejemplo, la Ley de Portabilidad y Responsabilidad\
            \ de Seguros M\xE9dicos, la Ley de Privacidad del Consumidor de California,\
            \ el Reglamento General de Protecci\xF3n de Datos)\nEx2: Determinar un\
            \ proceso para rastrear y gestionar los requisitos contractuales para\
            \ la gesti\xF3n de la ciberseguridad de la informaci\xF3n de proveedores,\
            \ clientes y socios\nEx3: Alinear la estrategia de ciberseguridad de la\
            \ organizaci\xF3n con los requisitos legales, regulatorios y contractuales"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.oc-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.oc
      ref_id: GV.OC-04
      description: Critical objectives, capabilities, and services that stakeholders
        depend on or expect from the organization are understood and communicated
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Establish criteria for determining the criticality of capabilities and
        services as viewed by internal and external stakeholders

        Ex2: Determine (e.g., from a business impact analysis) assets and business
        operations that are vital to achieving mission objectives and the potential
        impact of a loss (or partial loss) of such operations

        Ex3: Establish and communicate resilience objectives (e.g., recovery time
        objectives) for delivering critical capabilities and services in various operating
        states (e.g., under attack, during recovery, normal operation)'
      translations:
        fr:
          description: "Les objectifs, capacit\xE9s et services critiques dont d\xE9\
            pendent les parties prenantes externes ou qu\u2019ils attendent de l\u2019\
            organisation sont compris et communiqu\xE9s"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : \xC9tablir des crit\xE8res pour d\xE9terminer la criticit\xE9\
            \ des capacit\xE9s et des services selon les intervenants internes et\
            \ externes\nEx2 : D\xE9terminer (p. ex., \xE0 partir d'une analyse d'impact\
            \ sur les activit\xE9s) les actifs et les op\xE9rations commerciales qui\
            \ sont essentiels \xE0 l'atteinte des objectifs de la mission et l'impact\
            \ potentiel d'une perte (ou d'une perte partielle) de ces op\xE9rations\n\
            Ex3 : \xC9tablir et communiquer des objectifs de r\xE9silience (par exemple,\
            \ des objectifs de temps de r\xE9cup\xE9ration) pour fournir des capacit\xE9\
            s et des services critiques dans divers \xE9tats de fonctionnement (par\
            \ exemple, en cas d'attaque, pendant la r\xE9cup\xE9ration, en fonctionnement\
            \ normal)"
        es:
          description: "Se comprenden y comunican los objetivos, las capacidades y\
            \ los servicios cr\xEDticos de los que dependen las partes interesadas\
            \ externas o que esperan de la organizaci\xF3n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Establecer criterios para determinar la criticidad de las capacidades\
            \ y servicios desde el punto de vista de las partes interesadas internas\
            \ y externas.\nEx2: Determinar (por ejemplo, a partir de un an\xE1lisis\
            \ de impacto en el negocio) los activos y las operaciones comerciales\
            \ que son vitales para lograr los objetivos de la misi\xF3n y el impacto\
            \ potencial de una p\xE9rdida (o p\xE9rdida parcial) de dichas operaciones\n\
            Ex3: Establecer y comunicar objetivos de resiliencia (p. ej., objetivos\
            \ de tiempo de recuperaci\xF3n) para la entrega de capacidades y servicios\
            \ cr\xEDticos en varios estados operativos (p. ej., bajo ataque, durante\
            \ la recuperaci\xF3n, operaci\xF3n normal)"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.oc-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.oc
      ref_id: GV.OC-05
      description: Outcomes, capabilities, and services that the organization depends
        on are understood and communicated
      annotation: 'Ex1: Create an inventory of the organization''s dependencies on
        external resources (e.g., facilities, cloud-based hosting providers) and their
        relationships to organizational assets and business functions

        Ex2: Identify and document external dependencies that are potential points
        of failure for the organization''s critical capabilities and services, and
        share that information with appropriate personnel

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "Les r\xE9sultats, les capacit\xE9s et les services dont d\xE9\
            pend l\u2019organisation sont compris et communiqu\xE9s"
          annotation: "Ex1 : Cr\xE9er un inventaire des d\xE9pendances de l'organisation\
            \ vis-\xE0-vis des ressources externes (par exemple, installations, fournisseurs\
            \ d'h\xE9bergement bas\xE9s sur le cloud) et de leurs relations avec les\
            \ actifs et les fonctions commerciales de l'organisation\nEx2 : Identifier\
            \ et documenter les d\xE9pendances externes qui sont des points de d\xE9\
            faillance potentiels pour les capacit\xE9s et les services critiques de\
            \ l'organisation, et partager ces informations avec le personnel appropri\xE9\
            \n3\xE8me : Risque de 3\xE8me partie"
        es:
          description: "Se comprenden y comunican los resultados, capacidades y servicios\
            \ de los que depende la organizaci\xF3n"
          annotation: "Ex1: Crear un inventario de las dependencias de la organizaci\xF3\
            n de recursos externos (por ejemplo, instalaciones, proveedores de alojamiento\
            \ basado en la nube) y sus relaciones con los activos de la organizaci\xF3\
            n y las funciones comerciales\nEx2: Identificar y documentar las dependencias\
            \ externas que son puntos potenciales de falla para las capacidades y\
            \ servicios cr\xEDticos de la organizaci\xF3n, y compartir esa informaci\xF3\
            n con el personal adecuado\n3\xBA: Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv
      ref_id: GV.RM
      name: Risk Management Strategy
      description: The organization's priorities, constraints, risk tolerance and
        appetite statements, and assumptions are established, communicated, and used
        to support operational risk decisions
      translations:
        fr:
          name: "Strat\xE9gie de gestion des risques"
          description: "Les priorit\xE9s, les contraintes, les d\xE9clarations de\
            \ tol\xE9rance et d\u2019app\xE9tence au risque et les hypoth\xE8ses de\
            \ l\u2019organisation sont \xE9tablies, communiqu\xE9es et utilis\xE9\
            es pour soutenir les d\xE9cisions en mati\xE8re de risques op\xE9rationnels"
        es:
          name: "Estrategia de gesti\xF3n de riesgos"
          description: "Se establecen, comunican y utilizan las prioridades, las restricciones,\
            \ las declaraciones de tolerancia y apetito por el riesgo y los supuestos\
            \ de la organizaci\xF3n para respaldar las decisiones sobre el riesgo\
            \ operativo"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm
      ref_id: GV.RM-01
      description: Risk management objectives are established and agreed to by organizational
        stakeholders
      annotation: '1st: 1st Party Risk

        Ex1: Update near-term and long-term cybersecurity risk management objectives
        as part of annual strategic planning and when major changes occur

        Ex2: Establish measurable objectives for cybersecurity risk management (e.g.,
        manage the quality of user training, ensure adequate risk protection for industrial
        control systems)

        Ex3: Senior leaders agree about cybersecurity objectives and use them for
        measuring and managing risk and performance'
      translations:
        fr:
          description: "Les objectifs de gestion des risques sont \xE9tablis et accept\xE9\
            s par les parties prenantes organisationnelles"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Mettre \xE0 jour les\
            \ objectifs de gestion des risques de cybers\xE9curit\xE9 \xE0 court et\
            \ \xE0 long terme dans le cadre de la planification strat\xE9gique annuelle\
            \ et lorsque des changements majeurs se produisent\nEx2 : \xC9tablir des\
            \ objectifs mesurables pour la gestion des risques de cybers\xE9curit\xE9\
            \ (par exemple, g\xE9rer la qualit\xE9 de la formation des utilisateurs,\
            \ assurer une protection ad\xE9quate contre les risques pour les syst\xE8\
            mes de contr\xF4le industriel)\nEx3 : Les hauts dirigeants s'entendent\
            \ sur les objectifs de cybers\xE9curit\xE9 et les utilisent pour mesurer\
            \ et g\xE9rer les risques et les performances"
        es:
          description: "Los objetivos de la gesti\xF3n de riesgos son establecidos\
            \ y acordados por las partes interesadas de la organizaci\xF3n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Actualizar los objetivos\
            \ de gesti\xF3n de riesgos de ciberseguridad a corto y largo plazo como\
            \ parte de la planificaci\xF3n estrat\xE9gica anual y cuando se produzcan\
            \ cambios importantes\nEx2: Establecer objetivos medibles para la gesti\xF3\
            n de riesgos de ciberseguridad (por ejemplo, gestionar la calidad de la\
            \ formaci\xF3n de los usuarios, garantizar una protecci\xF3n adecuada\
            \ contra los riesgos de los sistemas de control industrial)\nEx3: Los\
            \ l\xEDderes s\xE9nior acuerdan los objetivos de ciberseguridad y los\
            \ utilizan para medir y gestionar el riesgo y el rendimiento"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm
      ref_id: GV.RM-02
      description: Risk appetite and risk tolerance statements are established, communicated,
        and maintained
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Determine and communicate risk appetite statements that convey expectations
        about the appropriate level of risk for the organization

        Ex2: Translate risk appetite statements into specific, measurable, and broadly
        understandable risk tolerance statements

        Ex3: Refine organizational objectives and risk appetite periodically based
        on known risk exposure and residual risk'
      translations:
        fr:
          description: "Les d\xE9clarations d\u2019app\xE9tence et de tol\xE9rance\
            \ au risque sont \xE9tablies, communiqu\xE9es et maintenues"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : D\xE9terminer et communiquer des \xE9nonc\xE9s de propension\
            \ au risque qui expriment les attentes concernant le niveau de risque\
            \ appropri\xE9 pour l'organisation\nEx2 : Traduire les d\xE9clarations\
            \ d'app\xE9tit pour le risque en d\xE9clarations de tol\xE9rance au risque\
            \ sp\xE9cifiques, mesurables et largement compr\xE9hensibles\nEx3 : Affiner\
            \ p\xE9riodiquement les objectifs organisationnels et l'app\xE9tit pour\
            \ le risque en fonction de l'exposition au risque connue et du risque\
            \ r\xE9siduel"
        es:
          description: Se establecen, se comunican y se mantienen las declaraciones
            sobre el apetito de riesgo y la tolerancia al riesgo
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Determinar y comunicar declaraciones de apetito de riesgo que transmitan\
            \ expectativas sobre el nivel apropiado de riesgo para la organizaci\xF3\
            n.\nEx2: Traducir las declaraciones de apetito de riesgo en declaraciones\
            \ de tolerancia al riesgo espec\xEDficas, medibles y ampliamente comprensibles\n\
            Ex3: Refinar peri\xF3dicamente los objetivos de la organizaci\xF3n y el\
            \ apetito de riesgo en funci\xF3n de la exposici\xF3n al riesgo conocida\
            \ y el riesgo residual"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm
      ref_id: GV.RM-03
      description: Cybersecurity risk management activities and outcomes are included
        in enterprise risk management processes
      annotation: '1st: 1st Party Risk

        Ex1: Aggregate and manage cybersecurity risks alongside other enterprise risks
        (e.g., compliance, financial, operational, regulatory, reputational, safety)

        Ex2: Include cybersecurity risk managers in enterprise risk management planning

        Ex3: Establish criteria for escalating cybersecurity risks within enterprise
        risk management'
      translations:
        fr:
          description: "Les activit\xE9s et les r\xE9sultats de la gestion des risques\
            \ de cybers\xE9curit\xE9 sont inclus dans les processus de gestion des\
            \ risques de l\u2019entreprise"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Regrouper et g\xE9rer\
            \ les risques de cybers\xE9curit\xE9 en m\xEAme temps que d'autres risques\
            \ d'entreprise (par exemple, conformit\xE9, finances, op\xE9rations, r\xE9\
            glementation, r\xE9putation, s\xE9curit\xE9)\nEx2 : Inclure les gestionnaires\
            \ des risques de cybers\xE9curit\xE9 dans la planification de la gestion\
            \ des risques d'entreprise\nEx3 : \xC9tablir des crit\xE8res pour l'escalade\
            \ des risques de cybers\xE9curit\xE9 dans le cadre de la gestion des risques\
            \ d'entreprise"
        es:
          description: "Las actividades y los resultados de la gesti\xF3n de riesgos\
            \ de seguridad cibern\xE9tica se incluyen en los procesos de gesti\xF3\
            n de riesgos de la empresa"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Agregar y gestionar los\
            \ riesgos de ciberseguridad junto con otros riesgos empresariales (por\
            \ ejemplo, cumplimiento, financieros, operativos, regulatorios, de reputaci\xF3\
            n, de seguridad)\nEx2: Incluir a los gestores de riesgos de ciberseguridad\
            \ en la planificaci\xF3n de la gesti\xF3n de riesgos empresariales\nEx3:\
            \ Establecer criterios para escalar los riesgos de ciberseguridad dentro\
            \ de la gesti\xF3n de riesgos empresariales"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm
      ref_id: GV.RM-04
      description: Strategic direction that describes appropriate risk response options
        is established and communicated
      annotation: '1st: 1st Party Risk

        Ex1: Specify criteria for accepting and avoiding cybersecurity risk for various
        classifications of data

        Ex2: Determine whether to purchase cybersecurity insurance

        Ex3: Document conditions under which shared responsibility models are acceptable
        (e.g., outsourcing certain cybersecurity functions, having a third party perform
        financial transactions on behalf of the organization, using public cloud-based
        services)'
      translations:
        fr:
          description: "Une orientation strat\xE9gique d\xE9crivant les options de\
            \ r\xE9ponse aux risques appropri\xE9es est \xE9tablie et communiqu\xE9\
            e"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Sp\xE9cifier les crit\xE8\
            res d'acceptation et d'\xE9vitement du risque de cybers\xE9curit\xE9 pour\
            \ diverses classifications de donn\xE9es\nEx2 : D\xE9terminer s'il faut\
            \ souscrire une assurance cybers\xE9curit\xE9\nEx3 : Documenter les conditions\
            \ dans lesquelles les mod\xE8les de responsabilit\xE9 partag\xE9e sont\
            \ acceptables (p. ex., externalisation de certaines fonctions de cybers\xE9\
            curit\xE9, confiage d'op\xE9rations financi\xE8res par un tiers au nom\
            \ de l'organisation, utilisation de services bas\xE9s sur le nuage public)"
        es:
          description: "Se establece y comunica una direcci\xF3n estrat\xE9gica que\
            \ describa las opciones adecuadas de respuesta al riesgo."
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Especificar los criterios\
            \ para aceptar y evitar el riesgo de ciberseguridad para diversas clasificaciones\
            \ de datos\nEx2: Determinar si comprar un seguro de ciberseguridad\nEx3:\
            \ Documentar las condiciones en las que los modelos de responsabilidad\
            \ compartida son aceptables (por ejemplo, externalizaci\xF3n de ciertas\
            \ funciones de ciberseguridad, hacer que un tercero realice transacciones\
            \ financieras en nombre de la organizaci\xF3n, utilizar servicios basados\
            \ en la nube p\xFAblica)"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm
      ref_id: GV.RM-05
      description: Lines of communication across the organization are established
        for cybersecurity risks, including risks from suppliers and other third parties
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Determine how to update senior executives, directors, and management
        on the organization''s cybersecurity posture at agreed-upon intervals

        Ex2: Identify how all departments across the organization - such as management,
        operations, internal auditors, legal, acquisition, physical security, and
        HR - will communicate with each other about cybersecurity risks'
      translations:
        fr:
          description: "Les lignes de communication au sein de l\u2019organisation\
            \ sont \xE9tablies pour les risques de cybers\xE9curit\xE9, y compris\
            \ les risques li\xE9s aux fournisseurs et autres tiers"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : D\xE9terminer comment mettre \xE0 jour les cadres sup\xE9\
            rieurs, les directeurs et la direction sur la posture de cybers\xE9curit\xE9\
            \ de l'organisation \xE0 intervalles convenus\nEx2 : Identifiez comment\
            \ tous les services de l'organisation, tels que la direction, les op\xE9\
            rations, les auditeurs internes, les services juridiques, les acquisitions,\
            \ la s\xE9curit\xE9 physique et les RH, communiqueront entre eux sur les\
            \ risques de cybers\xE9curit\xE9"
        es:
          description: "Se establecen l\xEDneas de comunicaci\xF3n en toda la organizaci\xF3\
            n para los riesgos de seguridad cibern\xE9tica, lo que incluye a los riesgos\
            \ de proveedores y otros terceros."
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Determinar c\xF3mo actualizar a los altos ejecutivos, directores\
            \ y gerentes sobre la postura de ciberseguridad de la organizaci\xF3n\
            \ a intervalos acordados\nEx2: Identificar c\xF3mo se comunicar\xE1n entre\
            \ s\xED todos los departamentos de la organizaci\xF3n, como la direcci\xF3\
            n, las operaciones, los auditores internos, el departamento jur\xEDdico,\
            \ el de adquisiciones, el de seguridad f\xEDsica y el de RRHH sobre los\
            \ riesgos de ciberseguridad."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm
      ref_id: GV.RM-06
      description: A standardized method for calculating, documenting, categorizing,
        and prioritizing cybersecurity risks is established and communicated
      annotation: '1st: 1st Party Risk

        Ex1: Establish criteria for using a quantitative approach to cybersecurity
        risk analysis, and specify probability and exposure formulas

        Ex2: Create and use templates (e.g., a risk register) to document cybersecurity
        risk information (e.g., risk description, exposure, treatment, and ownership)

        Ex3: Establish criteria for risk prioritization at the appropriate levels
        within the enterprise

        Ex4: Use a consistent list of risk categories to support integrating, aggregating,
        and comparing cybersecurity risks'
      translations:
        fr:
          description: "Une m\xE9thode normalis\xE9e de calcul, de documentation,\
            \ de cat\xE9gorisation et de priorisation des risques de cybers\xE9curit\xE9\
            \ est \xE9tablie et communiqu\xE9e"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : \xC9tablir des crit\xE8\
            res d'utilisation d'une approche quantitative pour l'analyse des risques\
            \ de cybers\xE9curit\xE9 et sp\xE9cifier les formules de probabilit\xE9\
            \ et d'exposition\nEx2 : Cr\xE9er et utiliser des mod\xE8les (p. ex.,\
            \ un registre des risques) pour documenter les informations sur les risques\
            \ de cybers\xE9curit\xE9 (p. ex., description du risque, exposition, traitement\
            \ et propri\xE9t\xE9)\nEx3 : \xC9tablir des crit\xE8res de hi\xE9rarchisation\
            \ des risques aux niveaux appropri\xE9s au sein de l'entreprise\nEx4 :\
            \ Utiliser une liste coh\xE9rente de cat\xE9gories de risques pour prendre\
            \ en charge l'int\xE9gration, l'agr\xE9gation et la comparaison des risques\
            \ de cybers\xE9curit\xE9"
        es:
          description: "Se establece y comunica un m\xE9todo estandarizado para calcular,\
            \ documentar, categorizar y priorizar los riesgos de seguridad cibern\xE9\
            tica."
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Establecer criterios para\
            \ utilizar un enfoque cuantitativo para el an\xE1lisis de riesgos de ciberseguridad,\
            \ y especificar f\xF3rmulas de probabilidad y exposici\xF3n.\nEx2: Crear\
            \ y utilizar plantillas (por ejemplo, un registro de riesgos) para documentar\
            \ la informaci\xF3n sobre riesgos de ciberseguridad (por ejemplo, descripci\xF3\
            n del riesgo, exposici\xF3n, tratamiento y propiedad)\nEx3: Establecer\
            \ criterios para la priorizaci\xF3n de riesgos en los niveles apropiados\
            \ dentro de la empresa\nEx4: Utilice una lista coherente de categor\xED\
            as de riesgo para respaldar la integraci\xF3n, la agregaci\xF3n y la comparaci\xF3\
            n de riesgos de ciberseguridad"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm-07
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rm
      ref_id: GV.RM-07
      description: Strategic opportunities (i.e., positive risks) are characterized
        and are included in organizational cybersecurity risk discussions
      annotation: '1st: 1st Party Risk

        Ex1: Define and communicate guidance and methods for identifying opportunities
        and including them in risk discussions (e.g., strengths, weaknesses, opportunities,
        and threats [SWOT] analysis)

        Ex2: Identify stretch goals and document them

        Ex3: Calculate, document, and prioritize positive risks alongside negative
        risks'
      translations:
        fr:
          description: "Les opportunit\xE9s strat\xE9giques (c-\xE0-d., les risques\
            \ positifs) sont caract\xE9ris\xE9es et incluses dans les discussions\
            \ sur les risques de cybers\xE9curit\xE9 organisationnels"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : D\xE9finir et communiquer\
            \ des directives et des m\xE9thodes pour identifier les opportunit\xE9\
            s et les inclure dans les discussions sur les risques (par exemple, analyse\
            \ des forces, des faiblesses, des opportunit\xE9s et des menaces [SWOT])\n\
            Ex2 : Identifiez les objectifs ambitieux et documentez-les\nEx3 : Calculer,\
            \ documenter et hi\xE9rarchiser les risques positifs par rapport aux risques\
            \ n\xE9gatifs"
        es:
          description: "Se caracterizan las oportunidades estrat\xE9gicas (es decir,\
            \ los riesgos positivos) y se incluyen en las discusiones sobre riesgos\
            \ de seguridad cibern\xE9tica de la organizaci\xF3n."
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Definir y comunicar la orientaci\xF3\
            n y los m\xE9todos para identificar oportunidades e incluirlas en las\
            \ discusiones de riesgos (p. ej., an\xE1lisis de fortalezas, debilidades,\
            \ oportunidades y amenazas [FODA])\nEx2: Identificar los objetivos ambiciosos\
            \ y documentarlos\nEx3: Calcule, documente y priorice los riesgos positivos\
            \ junto con los riesgos negativos"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rr
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv
      ref_id: GV.RR
      name: Roles, Responsibilities, and Authorities
      description: Cybersecurity roles, responsibilities, and authorities to foster
        accountability, performance assessment, and continuous improvement are established
        and communicated
      translations:
        fr:
          name: "R\xF4les, responsabilit\xE9s et autorit\xE9s"
          description: "Les r\xF4les, responsabilit\xE9s et autorit\xE9s en mati\xE8\
            re de cybers\xE9curit\xE9 visant \xE0 la responsabilisation, l\u2019\xE9\
            valuation des performances et l\u2019am\xE9lioration continue sont \xE9\
            tablis et communiqu\xE9s"
        es:
          name: Funciones, responsabilidades y autoridades
          description: "Se establecen y comunican las funciones, las responsabilidades\
            \ y las competencias en materia de seguridad cibern\xE9tica para fomentar\
            \ la rendici\xF3n de cuentas, la evaluaci\xF3n del desempe\xF1o y la mejora\
            \ continua."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rr-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rr
      ref_id: GV.RR-01
      description: Organizational leadership is responsible and accountable for cybersecurity
        risk and fosters a culture that is risk-aware, ethical, and continually improving
      annotation: '1st: 1st Party Risk

        Ex1: Leaders (e.g., directors) agree on their roles and responsibilities in
        developing, implementing, and assessing the organization''s cybersecurity
        strategy

        Ex2: Share leaders'' expectations regarding a secure and ethical culture,
        especially when current events present the opportunity to highlight positive
        or negative examples of cybersecurity risk management

        Ex3: Leaders direct the CISO to maintain a comprehensive cybersecurity risk
        strategy and review and update it at least annually and after major events

        Ex4: Conduct reviews to ensure adequate authority and coordination among those
        responsible for managing cybersecurity risk'
      translations:
        fr:
          description: "La direction organisationnelle est responsable des risques\
            \ li\xE9s \xE0 la cybers\xE9curit\xE9 et favorise une culture consciente\
            \ des risques, \xE9thique et en constante am\xE9lioration"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Les dirigeants (p. ex.,\
            \ les directeurs) s'entendent sur leurs r\xF4les et responsabilit\xE9\
            s dans l'\xE9laboration, la mise en \u0153uvre et l'\xE9valuation de la\
            \ strat\xE9gie de cybers\xE9curit\xE9 de l'organisation.\nEx2 : Partager\
            \ les attentes des dirigeants concernant une culture de s\xE9curit\xE9\
            \ et d'\xE9thique, en particulier lorsque l'actualit\xE9 offre l'occasion\
            \ de mettre en \xE9vidence des exemples positifs ou n\xE9gatifs de gestion\
            \ des risques de cybers\xE9curit\xE9\nEx3 : Les dirigeants demandent au\
            \ RSSI de maintenir une strat\xE9gie compl\xE8te de gestion des risques\
            \ de cybers\xE9curit\xE9, puis de l'examiner et de la mettre \xE0 jour\
            \ au moins une fois par an et apr\xE8s des \xE9v\xE9nements majeurs.\n\
            Ex4 : Effectuer des examens pour s'assurer que les responsables de la\
            \ gestion des risques li\xE9s \xE0 la cybers\xE9curit\xE9 disposent d'une\
            \ autorit\xE9 et d'une coordination ad\xE9quates."
        es:
          description: "El liderazgo organizativo es responsable de los riesgos de\
            \ seguridad cibern\xE9tica y fomenta una cultura consciente de los riesgos,\
            \ \xE9tica y de mejora continua."
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Los l\xEDderes (por ejemplo,\
            \ los directores) acuerdan sus roles y responsabilidades en el desarrollo,\
            \ la implementaci\xF3n y la evaluaci\xF3n de la estrategia de ciberseguridad\
            \ de la organizaci\xF3n\nEx2: Compartir las expectativas de los l\xED\
            deres con respecto a una cultura segura y \xE9tica, especialmente cuando\
            \ los acontecimientos actuales presentan la oportunidad de destacar ejemplos\
            \ positivos o negativos de gesti\xF3n de riesgos de ciberseguridad.\n\
            Ex3: Los l\xEDderes ordenan al CISO que mantenga una estrategia integral\
            \ de riesgo de ciberseguridad y la revise y actualice al menos una vez\
            \ al a\xF1o y despu\xE9s de eventos importantes\nEx4: Llevar a cabo revisiones\
            \ para garantizar la autoridad y la coordinaci\xF3n adecuadas entre los\
            \ responsables de la gesti\xF3n del riesgo de ciberseguridad."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rr-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rr
      ref_id: GV.RR-02
      description: Roles, responsibilities, and authorities related to cybersecurity
        risk management are established, communicated, understood, and enforced
      annotation: '1st: 1st Party Risk

        Ex1: Document risk management roles and responsibilities in policy

        Ex2: Document who is responsible and accountable for cybersecurity risk management
        activities and how those teams and individuals are to be consulted and informed

        Ex3: Include cybersecurity responsibilities and performance requirements in
        personnel descriptions

        Ex4: Document performance goals for personnel with cybersecurity risk management
        responsibilities, and periodically measure performance to identify areas for
        improvement

        Ex5: Clearly articulate cybersecurity responsibilities within operations,
        risk functions, and internal audit functions'
      translations:
        fr:
          description: "Les r\xF4les, responsabilit\xE9s et autorit\xE9s li\xE9s \xE0\
            \ la gestion des risques de cybers\xE9curit\xE9 sont \xE9tablis, communiqu\xE9\
            s, compris et appliqu\xE9s"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Documenter les r\xF4\
            les et les responsabilit\xE9s en mati\xE8re de gestion des risques dans\
            \ la politique\nEx2 : Documenter qui est responsable des activit\xE9s\
            \ de gestion des risques de cybers\xE9curit\xE9 et comment ces \xE9quipes\
            \ et ces personnes doivent \xEAtre consult\xE9es et inform\xE9es.\nEx3\
            \ : Inclure les responsabilit\xE9s en mati\xE8re de cybers\xE9curit\xE9\
            \ et les exigences de performance dans les descriptions du personnel\n\
            Ex4 : Documenter les objectifs de performance du personnel ayant des responsabilit\xE9\
            s en mati\xE8re de gestion des risques de cybers\xE9curit\xE9 et mesurer\
            \ p\xE9riodiquement le rendement pour identifier les domaines \xE0 am\xE9\
            liorer\nEx5 : \xC9noncer clairement les responsabilit\xE9s en mati\xE8\
            re de cybers\xE9curit\xE9 au sein des op\xE9rations, des fonctions de\
            \ risque et des fonctions d'audit interne"
        es:
          description: "Se establecen, comunican, comprenden y aplican las funciones,\
            \ responsabilidades y autoridades relacionadas con la gesti\xF3n de riesgos\
            \ de seguridad cibern\xE9tica."
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Documentar las funciones\
            \ y responsabilidades de la gesti\xF3n de riesgos en la pol\xEDtica\n\
            Ex2: Documentar qui\xE9n es responsable de las actividades de gesti\xF3\
            n de riesgos de ciberseguridad y c\xF3mo se debe consultar e informar\
            \ a esos equipos e individuos.\nEx3: Incluir las responsabilidades de\
            \ ciberseguridad y los requisitos de rendimiento en las descripciones\
            \ del personal\nEx4: Documentar los objetivos de rendimiento del personal\
            \ con responsabilidades de gesti\xF3n de riesgos de ciberseguridad y medir\
            \ peri\xF3dicamente el rendimiento para identificar \xE1reas de mejora\n\
            Ex5: Articular claramente las responsabilidades de ciberseguridad dentro\
            \ de las operaciones, las funciones de riesgo y las funciones de auditor\xED\
            a interna"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rr-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rr
      ref_id: GV.RR-03
      description: Adequate resources are allocated commensurate with the cybersecurity
        risk strategy, roles, responsibilities, and policies
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Conduct periodic management reviews to ensure that those given cybersecurity
        risk management responsibilities have the necessary authority

        Ex2: Identify resource allocation and investment in line with risk tolerance
        and response

        Ex3: Provide adequate and sufficient people, process, and technical resources
        to support the cybersecurity strategy'
      translations:
        fr:
          description: "Les ressources ad\xE9quates sont allou\xE9es en fonction de\
            \ la strat\xE9gie, des r\xF4les, des responsabilit\xE9s et des politiques\
            \ en mati\xE8re de risques de cybers\xE9curit\xE9"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Effectuer des examens de gestion p\xE9riodiques pour s'assurer\
            \ que les personnes charg\xE9es de la gestion des risques de cybers\xE9\
            curit\xE9 ont l'autorit\xE9 n\xE9cessaire\nEx2 : D\xE9terminer l'allocation\
            \ des ressources et l'investissement en fonction de la tol\xE9rance au\
            \ risque et de la r\xE9ponse\nEx3 : Fournir des personnes, des processus\
            \ et des ressources techniques ad\xE9quats et suffisants pour soutenir\
            \ la strat\xE9gie de cybers\xE9curit\xE9"
        es:
          description: "Se asignan recursos adecuados de acuerdo con la estrategia\
            \ de riesgos de seguridad cibern\xE9tica, las funciones, las responsabilidades\
            \ y las pol\xEDticas."
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Llevar a cabo revisiones peri\xF3dicas de la gesti\xF3n para garantizar\
            \ que las personas a las que se han asignado responsabilidades de gesti\xF3\
            n de riesgos de ciberseguridad tengan la autoridad necesaria\nEx2: Identificar\
            \ la asignaci\xF3n de recursos y la inversi\xF3n en consonancia con la\
            \ tolerancia al riesgo y la respuesta\nEx3: Proporcionar las personas,\
            \ los procesos y los recursos t\xE9cnicos adecuados y suficientes para\
            \ respaldar la estrategia de ciberseguridad."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rr-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.rr
      ref_id: GV.RR-04
      description: Cybersecurity is included in human resources practices
      annotation: '1st: 1st Party Risk

        Ex1: Integrate cybersecurity risk management considerations into human resources
        processes (e.g., personnel screening, onboarding, change notification, offboarding)

        Ex2: Consider cybersecurity knowledge to be a positive factor in hiring, training,
        and retention decisions

        Ex3: Conduct background checks prior to onboarding new personnel for sensitive
        roles, and periodically repeat background checks for personnel with such roles

        Ex4: Define and enforce obligations for personnel to be aware of, adhere to,
        and uphold security policies as they relate to their roles'
      translations:
        fr:
          description: "La cybers\xE9curit\xE9 est incluse dans les pratiques en mati\xE8\
            res des ressources humaines"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Int\xE9grer les consid\xE9\
            rations de gestion des risques de cybers\xE9curit\xE9 dans les processus\
            \ de ressources humaines (p. ex., v\xE9rification du personnel, int\xE9\
            gration, notification des changements, d\xE9part)\nEx2 : Consid\xE9rer\
            \ les connaissances en cybers\xE9curit\xE9 comme un facteur positif dans\
            \ les d\xE9cisions d'embauche, de formation et de r\xE9tention\nEx3 :\
            \ Effectuer des v\xE9rifications des ant\xE9c\xE9dents avant d'int\xE9\
            grer de nouveaux employ\xE9s pour des r\xF4les sensibles, et r\xE9p\xE9\
            ter p\xE9riodiquement les v\xE9rifications des ant\xE9c\xE9dents du personnel\
            \ ayant de tels r\xF4les\nEx4 : D\xE9finir et faire respecter les obligations\
            \ du personnel en mati\xE8re de connaissances, d'adh\xE9sion et de respect\
            \ des politiques de s\xE9curit\xE9 li\xE9es \xE0 leurs r\xF4les"
        es:
          description: "La seguridad cibern\xE9tica se incluye en las pr\xE1cticas\
            \ de recursos humanos"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Integrar las consideraciones\
            \ de gesti\xF3n de riesgos de ciberseguridad en los procesos de recursos\
            \ humanos (por ejemplo, selecci\xF3n de personal, incorporaci\xF3n, notificaci\xF3\
            n de cambios, desvinculaci\xF3n)\nEx2: Considerar el conocimiento de ciberseguridad\
            \ como un factor positivo en las decisiones de contrataci\xF3n, capacitaci\xF3\
            n y retenci\xF3n\nEx3: Realizar verificaciones de antecedentes antes de\
            \ incorporar nuevo personal para roles confidenciales y repetir peri\xF3\
            dicamente las verificaciones de antecedentes para el personal con dichas\
            \ funciones\nEx4: Definir y hacer cumplir las obligaciones para que el\
            \ personal conozca, se adhiera y defienda las pol\xEDticas de seguridad\
            \ en relaci\xF3n con sus funciones"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.po
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv
      ref_id: GV.PO
      name: Policy
      description: Organizational cybersecurity policy is established, communicated,
        and enforced
      translations:
        fr:
          name: Politique
          description: "La politique de cybers\xE9curit\xE9 organisationnelle est\
            \ \xE9tablie, communiqu\xE9e et appliqu\xE9e"
        es:
          name: "Pol\xEDtica"
          description: "La pol\xEDtica de seguridad cibern\xE9tica de la organizaci\xF3\
            n es establecida, comunicada y aplicada."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.po-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.po
      ref_id: GV.PO-01
      description: Policy for managing cybersecurity risks is established based on
        organizational context, cybersecurity strategy, and priorities and is communicated
        and enforced
      annotation: '1st: 1st Party Risk

        Ex1: Create, disseminate, and maintain an understandable, usable risk management
        policy with statements of management intent, expectations, and direction

        Ex2: Periodically review policy and supporting processes and procedures to
        ensure that they align with risk management strategy objectives and priorities,
        as well as the high-level direction of the cybersecurity policy

        Ex3: Require approval from senior management on policy

        Ex4: Communicate cybersecurity risk management policy and supporting processes
        and procedures across the organization

        Ex5: Require personnel to acknowledge receipt of policy when first hired,
        annually, and whenever policy is updated'
      translations:
        fr:
          description: "La politique de gestion des risques de cybers\xE9curit\xE9\
            \ est \xE9tablie en fonction du contexte organisationnel, de la strat\xE9\
            gie de cybers\xE9curit\xE9 et des priorit\xE9s, et est communiqu\xE9e\
            \ et appliqu\xE9e"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Cr\xE9er, diffuser et\
            \ tenir \xE0 jour une politique de gestion des risques compr\xE9hensible\
            \ et utilisable avec des \xE9nonc\xE9s d'intention, d'attentes et d'orientation\
            \ de la direction\nEx2 : Examiner p\xE9riodiquement les politiques et\
            \ les processus et proc\xE9dures de soutien pour s'assurer qu'ils s'harmonisent\
            \ avec les objectifs et les priorit\xE9s de la strat\xE9gie de gestion\
            \ des risques, ainsi qu'avec l'orientation g\xE9n\xE9rale de la politique\
            \ de cybers\xE9curit\xE9\nEx3 : Exiger l'approbation de la haute direction\
            \ sur la politique\nEx4 : Communiquer la politique de gestion des risques\
            \ de cybers\xE9curit\xE9 et les processus et proc\xE9dures de soutien\
            \ \xE0 l'\xE9chelle de l'organisation\nEx5 : Exiger que le personnel accuse\
            \ r\xE9ception de la politique lors de son embauche, chaque ann\xE9e et\
            \ chaque fois que la politique est mise \xE0 jour"
        es:
          description: "La pol\xEDtica de gesti\xF3n de riesgos de seguridad cibern\xE9\
            tica se establece en base al contexto organizativo, la estrategia de seguridad\
            \ cibern\xE9tica y las prioridades, y es comunicada y aplicada"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Crear, difundir y mantener\
            \ una pol\xEDtica de gesti\xF3n de riesgos comprensible y utilizable con\
            \ declaraciones de la intenci\xF3n, las expectativas y la direcci\xF3\
            n de la direcci\xF3n.\nEx2: Revisar peri\xF3dicamente la pol\xEDtica y\
            \ los procesos y procedimientos de apoyo para garantizar que se alinean\
            \ con los objetivos y prioridades de la estrategia de gesti\xF3n de riesgos,\
            \ as\xED como con la direcci\xF3n de alto nivel de la pol\xEDtica de ciberseguridad\n\
            Ex3: Requerir la aprobaci\xF3n de la alta direcci\xF3n sobre la pol\xED\
            tica\nEx4: Comunicar la pol\xEDtica de gesti\xF3n de riesgos de ciberseguridad\
            \ y los procesos y procedimientos de apoyo en toda la organizaci\xF3n\n\
            Ex5: Exigir que el personal acuse recibo de la p\xF3liza cuando se contrata\
            \ por primera vez, anualmente y siempre que se actualice la p\xF3liza."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.po-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.po
      ref_id: GV.PO-02
      description: Policy for managing cybersecurity risks is reviewed, updated, communicated,
        and enforced to reflect changes in requirements, threats, technology, and
        organizational mission
      annotation: '1st: 1st Party Risk

        Ex1: Update policy based on periodic reviews of cybersecurity risk management
        results to ensure that policy and supporting processes and procedures adequately
        maintain risk at an acceptable level

        Ex2: Provide a timeline for reviewing changes to the organization''s risk
        environment (e.g., changes in risk or in the organization''s mission objectives),
        and communicate recommended policy updates

        Ex3: Update policy to reflect changes in legal and regulatory requirements

        Ex4: Update policy to reflect changes in technology (e.g., adoption of artificial
        intelligence) and changes to the business (e.g., acquisition of a new business,
        new contract requirements)'
      translations:
        fr:
          description: "La politique de gestion des risques de cybers\xE9curit\xE9\
            \ est revue, mise \xE0 jour, communiqu\xE9e et appliqu\xE9e pour refl\xE9\
            ter les changements dans les exigences, les menaces, la technologie et\
            \ la mission organisationnelle"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Mettre \xE0 jour la politique\
            \ en fonction des examens p\xE9riodiques des r\xE9sultats de la gestion\
            \ des risques de cybers\xE9curit\xE9 pour s'assurer que la politique et\
            \ les processus et proc\xE9dures connexes maintiennent ad\xE9quatement\
            \ le risque \xE0 un niveau acceptable.\nEx2 : Fournir un calendrier pour\
            \ l'examen des changements apport\xE9s \xE0 l'environnement de risque\
            \ de l'organisation (p. ex., changements dans le risque ou dans les objectifs\
            \ de la mission de l'organisation) et communiquer les mises \xE0 jour\
            \ de politique recommand\xE9es\nEx3 : Mettre \xE0 jour la politique pour\
            \ tenir compte des changements apport\xE9s aux exigences l\xE9gales et\
            \ r\xE9glementaires\nEx4 : Mettre \xE0 jour la politique pour tenir compte\
            \ des changements technologiques (p. ex., adoption de l'intelligence artificielle)\
            \ et des changements apport\xE9s \xE0 l'entreprise (p. ex., acquisition\
            \ d'une nouvelle entreprise, nouvelles exigences contractuelles)"
        es:
          description: "La pol\xEDtica de gesti\xF3n de riesgos de seguridad cibern\xE9\
            tica se revisa, actualiza, comunica y aplica para reflejar los cambios\
            \ en los requisitos, las amenazas, la tecnolog\xEDa y la misi\xF3n de\
            \ la organizaci\xF3n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Actualizar la pol\xEDtica\
            \ sobre la base de revisiones peri\xF3dicas de los resultados de la gesti\xF3\
            n de riesgos de ciberseguridad para garantizar que la pol\xEDtica y los\
            \ procesos y procedimientos de apoyo mantengan adecuadamente el riesgo\
            \ en un nivel aceptable\nEx2: Proporcionar un cronograma para revisar\
            \ los cambios en el entorno de riesgo de la organizaci\xF3n (por ejemplo,\
            \ cambios en el riesgo o en los objetivos de la misi\xF3n de la organizaci\xF3\
            n) y comunicar las actualizaciones de pol\xEDticas recomendadas\nEx3:\
            \ Actualizar la pol\xEDtica para reflejar los cambios en los requisitos\
            \ legales y reglamentarios\nEj.4: Actualizar la pol\xEDtica para reflejar\
            \ los cambios en la tecnolog\xEDa (por ejemplo, la adopci\xF3n de la inteligencia\
            \ artificial) y los cambios en el negocio (por ejemplo, la adquisici\xF3\
            n de un nuevo negocio, los nuevos requisitos del contrato)"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.ov
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv
      ref_id: GV.OV
      name: Oversight
      description: Results of organization-wide cybersecurity risk management activities
        and performance are used to inform, improve, and adjust the risk management
        strategy
      translations:
        fr:
          name: Surveillance
          description: "Les r\xE9sultats des activit\xE9s et des performances de gestion\
            \ des risques de cybers\xE9curit\xE9 \xE0 l\u2019\xE9chelle de l\u2019\
            organisation sont utilis\xE9s pour informer, am\xE9liorer et ajuster la\
            \ strat\xE9gie de gestion des risques"
        es:
          name: "Supervisi\xF3n"
          description: "Los resultados de las actividades de gesti\xF3n de riesgos\
            \ de seguridad cibern\xE9tica en toda la organizaci\xF3n y el rendimiento\
            \ se utilizan para informar, mejorar y ajustar la estrategia de gesti\xF3\
            n de riesgos"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.ov-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.ov
      ref_id: GV.OV-01
      description: Cybersecurity risk management strategy outcomes are reviewed to
        inform and adjust strategy and direction
      annotation: '1st: 1st Party Risk

        Ex1: Measure how well the risk management strategy and risk results have helped
        leaders make decisions and achieve organizational objectives

        Ex2: Examine whether cybersecurity risk strategies that impede operations
        or innovation should be adjusted'
      translations:
        fr:
          description: "Les r\xE9sultats de la strat\xE9gie de gestion des risques\
            \ de cybers\xE9curit\xE9 sont examin\xE9s pour \xE9clairer et ajuster\
            \ la strat\xE9gie et l\u2019orientation"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Mesurer dans quelle mesure\
            \ la strat\xE9gie de gestion des risques et les r\xE9sultats des risques\
            \ ont aid\xE9 les dirigeants \xE0 prendre des d\xE9cisions et \xE0 atteindre\
            \ les objectifs organisationnels\nEx2 : Examiner si les strat\xE9gies\
            \ de risque de cybers\xE9curit\xE9 qui entravent les op\xE9rations ou\
            \ l'innovation doivent \xEAtre ajust\xE9es"
        es:
          description: "Los resultados de la estrategia de gesti\xF3n de riesgos de\
            \ seguridad cibern\xE9tica se revisan para informar y ajustar la estrategia\
            \ y la direcci\xF3n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEj. Medir qu\xE9 tan bien la\
            \ estrategia de gesti\xF3n de riesgos y los resultados de riesgos han\
            \ ayudado a los l\xEDderes a tomar decisiones y alcanzar los objetivos\
            \ organizacionales.\nEx2: Examinar si se deben ajustar las estrategias\
            \ de riesgo de ciberseguridad que obstaculizan las operaciones o la innovaci\xF3\
            n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.ov-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.ov
      ref_id: GV.OV-02
      description: The cybersecurity risk management strategy is reviewed and adjusted
        to ensure coverage of organizational requirements and risks
      annotation: '1st: 1st Party Risk

        Ex1: Review audit findings to confirm whether the existing cybersecurity strategy
        has ensured compliance with internal and external requirements

        Ex2: Review the performance oversight of those in cybersecurity-related roles
        to determine whether policy changes are necessary

        Ex3: Review strategy in light of cybersecurity incidents'
      translations:
        fr:
          description: "La strat\xE9gie de gestion des risques de cybers\xE9curit\xE9\
            \ est revue et ajust\xE9e pour garantir la couverture des exigences et\
            \ des risques organisationnels"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Examiner les r\xE9sultats\
            \ de l'audit pour confirmer si la strat\xE9gie de cybers\xE9curit\xE9\
            \ existante a assur\xE9 la conformit\xE9 aux exigences internes et externes.\n\
            Ex2 : Examiner la surveillance du rendement des personnes occupant des\
            \ r\xF4les li\xE9s \xE0 la cybers\xE9curit\xE9 afin de d\xE9terminer si\
            \ des changements de politique sont n\xE9cessaires\nEx3 : Revoir la strat\xE9\
            gie \xE0 la lumi\xE8re des incidents de cybers\xE9curit\xE9"
        es:
          description: "La estrategia de gesti\xF3n de riesgos de seguridad cibern\xE9\
            tica se revisa y ajusta para garantizar la cobertura de los requisitos\
            \ y riesgos de la organizaci\xF3n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Revisar los resultados de\
            \ la auditor\xEDa para confirmar si la estrategia de ciberseguridad existente\
            \ ha garantizado el cumplimiento de los requisitos internos y externos.\n\
            Ex2: Revisar la supervisi\xF3n del rendimiento de los que desempe\xF1\
            an funciones relacionadas con la ciberseguridad para determinar si es\
            \ necesario realizar cambios en las pol\xEDticas\nEx3: Revisar la estrategia\
            \ a la luz de los incidentes de ciberseguridad"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.ov-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.ov
      ref_id: GV.OV-03
      description: Organizational cybersecurity risk management performance is evaluated
        and reviewed for adjustments needed
      annotation: '1st: 1st Party Risk

        Ex1: Review key performance indicators (KPIs) to ensure that organization-wide
        policies and procedures achieve objectives

        Ex2: Review key risk indicators (KRIs) to identify risks the organization
        faces, including likelihood and potential impact

        Ex3: Collect and communicate metrics on cybersecurity risk management with
        senior leadership'
      translations:
        fr:
          description: "La performance de la gestion des risques de cybers\xE9curit\xE9\
            \ organisationnelle est \xE9valu\xE9e et r\xE9vis\xE9e pour les ajustements\
            \ n\xE9cessaires"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Examiner les indicateurs\
            \ cl\xE9s de performance (IRC) pour s'assurer que les politiques et proc\xE9\
            dures \xE0 l'\xE9chelle de l'organisation atteignent les objectifs\nEx2\
            \ : Examiner les indicateurs de risque cl\xE9s (KRI) pour identifier les\
            \ risques auxquels l'organisation est confront\xE9e, y compris la probabilit\xE9\
            \ et l'impact potentiel\nEx3 : Recueillir et communiquer des mesures sur\
            \ la gestion des risques de cybers\xE9curit\xE9 avec la haute direction"
        es:
          description: "El rendimiento de la gesti\xF3n de riesgos de seguridad cibern\xE9\
            tica de la organizaci\xF3n se eval\xFAa y revisa para realizar los ajustes\
            \ necesarios"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Revisar los indicadores\
            \ clave de rendimiento (KPI) para garantizar que las pol\xEDticas y procedimientos\
            \ de toda la organizaci\xF3n alcancen los objetivos\nEx2: Revisar los\
            \ indicadores clave de riesgo (KRI) para identificar los riesgos a los\
            \ que se enfrenta la organizaci\xF3n, incluida la probabilidad y el impacto\
            \ potencial\nEx3: Recopilar y comunicar m\xE9tricas sobre la gesti\xF3\
            n de riesgos de ciberseguridad con la alta direcci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv
      ref_id: GV.SC
      name: Cybersecurity Supply Chain Risk Management
      description: Cyber supply chain risk management processes are identified, established,
        managed, monitored, and improved by organizational stakeholders
      translations:
        fr:
          name: "Gestion des risques de la cha\xEEne d\u2019approvisionnement en cybers\xE9\
            curit\xE9"
          description: "Les processus de gestion des risques de la cha\xEEne d\u2019\
            approvisionnement en mati\xE8re de cybers\xE9curit\xE9 sont identifi\xE9\
            s, \xE9tablis, g\xE9r\xE9s, surveill\xE9s et am\xE9lior\xE9s par les parties\
            \ prenantes de l\u2019organisation"
        es:
          name: "Gesti\xF3n de riesgos de la cadena de suministro en materia de\n\
            seguridad cibern\xE9tica"
          description: "Las partes interesadas de la organizaci\xF3n identifican,\
            \ establecen, gestionan, supervisan y mejoran los procesos de gesti\xF3\
            n de riesgos de la cadena de suministro cibern\xE9tica"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc
      ref_id: GV.SC-01
      description: A cybersecurity supply chain risk management program, strategy,
        objectives, policies, and processes are established and agreed to by organizational
        stakeholders
      annotation: 'Ex1: Establish a strategy that expresses the objectives of the
        cybersecurity supply chain risk management program

        Ex2: Develop the cybersecurity supply chain risk management program, including
        a plan (with milestones), policies, and procedures that guide implementation
        and improvement of the program, and share the policies and procedures with
        the organizational stakeholders

        Ex3: Develop and implement program processes based on the strategy, objectives,
        policies, and procedures that are agreed upon and performed by the organizational
        stakeholders

        Ex4: Establish a cross-organizational mechanism that ensures alignment between
        functions that contribute to cybersecurity supply chain risk management, such
        as cybersecurity, IT, operations, legal, human resources, and engineering

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "Un programme, une strat\xE9gie, des objectifs, des politiques\
            \ et des processus de gestion des risques li\xE9s \xE0 la cha\xEEne d\u2019\
            approvisionnement en mati\xE8re de cybers\xE9curit\xE9 sont \xE9tablis\
            \ et accept\xE9s par les parties prenantes de l\u2019organisation"
          annotation: "Ex1 : \xC9tablir une strat\xE9gie qui exprime les objectifs\
            \ du programme de gestion des risques de la cha\xEEne d'approvisionnement\
            \ en cybers\xE9curit\xE9\nEx2 : \xC9laborer le programme de gestion des\
            \ risques de la cha\xEEne d'approvisionnement en cybers\xE9curit\xE9,\
            \ y compris un plan (avec des jalons), des politiques et des proc\xE9\
            dures qui guident la mise en \u0153uvre et l'am\xE9lioration du programme,\
            \ et partager les politiques et les proc\xE9dures avec les parties prenantes\
            \ de l'organisation.\nEx3 : \xC9laborer et mettre en \u0153uvre des processus\
            \ de programme fond\xE9s sur la strat\xE9gie, les objectifs, les politiques\
            \ et les proc\xE9dures qui sont convenus et mis en \u0153uvre par les\
            \ intervenants de l'organisation.\nEx4 : \xC9tablir un m\xE9canisme interorganisationnel\
            \ qui assure l'harmonisation entre les fonctions qui contribuent \xE0\
            \ la gestion des risques de la cha\xEEne d'approvisionnement en cybers\xE9\
            curit\xE9, telles que la cybers\xE9curit\xE9, les TI, les op\xE9rations,\
            \ les services juridiques, les ressources humaines et l'ing\xE9nierie\n\
            3\xE8me : Risque de 3\xE8me partie"
        es:
          description: "Las partes interesadas de la organizaci\xF3n establecen y\
            \ acuerdan un programa, estrategia, objetivos, pol\xEDticas y procesos\
            \ de gesti\xF3n de riesgos de seguridad cibern\xE9tica en la cadena de\
            \ suministro"
          annotation: "Ex1: Establecer una estrategia que exprese los objetivos del\
            \ programa de gesti\xF3n de riesgos de la cadena de suministro de ciberseguridad\n\
            Ex2: Desarrollar el programa de gesti\xF3n de riesgos de la cadena de\
            \ suministro de ciberseguridad, incluido un plan (con hitos), pol\xED\
            ticas y procedimientos que gu\xEDen la implementaci\xF3n y mejora del\
            \ programa, y compartir las pol\xEDticas y procedimientos con las partes\
            \ interesadas de la organizaci\xF3n\nEx3: Desarrollar e implementar procesos\
            \ del programa basados en la estrategia, los objetivos, las pol\xEDticas\
            \ y los procedimientos acordados y realizados por las partes interesadas\
            \ de la organizaci\xF3n\nEx4: Establecer un mecanismo interorganizacional\
            \ que garantice la alineaci\xF3n entre las funciones que contribuyen a\
            \ la gesti\xF3n de riesgos de la cadena de suministro de ciberseguridad,\
            \ como la ciberseguridad, la inform\xE1tica, las operaciones, el \xE1\
            mbito jur\xEDdico, el de recursos humanos y el de ingenier\xEDa\n3\xBA\
            : Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc
      ref_id: GV.SC-02
      description: Cybersecurity roles and responsibilities for suppliers, customers,
        and partners are established, communicated, and coordinated internally and
        externally
      annotation: 'Ex1: Identify one or more specific roles or positions that will
        be responsible and accountable for planning, resourcing, and executing cybersecurity
        supply chain risk management activities

        Ex2: Document cybersecurity supply chain risk management roles and responsibilities
        in policy

        Ex3: Create responsibility matrixes to document who will be responsible and
        accountable for cybersecurity supply chain risk management activities and
        how those teams and individuals will be consulted and informed

        Ex4: Include cybersecurity supply chain risk management responsibilities and
        performance requirements in personnel descriptions to ensure clarity and improve
        accountability

        Ex5: Document performance goals for personnel with cybersecurity risk management-specific
        responsibilities, and periodically measure them to demonstrate and improve
        performance

        Ex6: Develop roles and responsibilities for suppliers, customers, and business
        partners to address shared responsibilities for applicable cybersecurity risks,
        and integrate them into organizational policies and applicable third-party
        agreements

        Ex7: Internally communicate cybersecurity supply chain risk management roles
        and responsibilities for third parties

        Ex8: Establish rules and protocols for information sharing and reporting processes
        between the organization and its suppliers

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "Les r\xF4les et responsabilit\xE9s en mati\xE8re de cybers\xE9\
            curit\xE9 pour les fournisseurs, les clients et les partenaires sont \xE9\
            tablis, communiqu\xE9s et coordonn\xE9s en interne et en externe"
          annotation: "Ex1 : Identifier un ou plusieurs r\xF4les ou postes sp\xE9\
            cifiques qui seront responsables de la planification, de l'approvisionnement\
            \ et de l'ex\xE9cution des activit\xE9s de gestion des risques de la cha\xEE\
            ne d'approvisionnement en cybers\xE9curit\xE9\nEx2 : Documenter les r\xF4\
            les et les responsabilit\xE9s en mati\xE8re de gestion des risques de\
            \ la cha\xEEne d'approvisionnement en cybers\xE9curit\xE9 dans la politique\n\
            Ex3 : Cr\xE9er des matrices de responsabilit\xE9s pour documenter qui\
            \ sera responsable des activit\xE9s de gestion des risques de la cha\xEE\
            ne d'approvisionnement en cybers\xE9curit\xE9 et comment ces \xE9quipes\
            \ et ces personnes seront consult\xE9es et inform\xE9es.\nEx4 : Inclure\
            \ les responsabilit\xE9s en mati\xE8re de gestion des risques de la cha\xEE\
            ne d'approvisionnement en cybers\xE9curit\xE9 et les exigences de performance\
            \ dans les descriptions du personnel afin d'assurer la clart\xE9 et d'am\xE9\
            liorer la responsabilisation\nEx5 : Documenter les objectifs de performance\
            \ du personnel ayant des responsabilit\xE9s sp\xE9cifiques \xE0 la gestion\
            \ des risques de cybers\xE9curit\xE9, et les mesurer p\xE9riodiquement\
            \ pour d\xE9montrer et am\xE9liorer les performances\nEx6 : \xC9laborer\
            \ des r\xF4les et des responsabilit\xE9s pour les fournisseurs, les clients\
            \ et les partenaires commerciaux afin de g\xE9rer les responsabilit\xE9\
            s partag\xE9es \xE0 l'\xE9gard des risques de cybers\xE9curit\xE9 applicables,\
            \ et les int\xE9grer aux politiques organisationnelles et aux ententes\
            \ avec les tiers applicables.\nEx7 : Communiquer \xE0 l'interne les r\xF4\
            les et responsabilit\xE9s des tiers en mati\xE8re de gestion des risques\
            \ de la cha\xEEne d'approvisionnement en mati\xE8re de cybers\xE9curit\xE9\
            \nEx8 : \xC9tablir des r\xE8gles et des protocoles pour les processus\
            \ d'\xE9change d'information et de production de rapports entre l'organisation\
            \ et ses fournisseurs\n3\xE8me : Risque de 3\xE8me partie"
        es:
          description: "Se establecen, comunican y coordinan interna y externamente\
            \ las funciones y responsabilidades de seguridad cibern\xE9tica para proveedores,\
            \ clientes y colaboradores"
          annotation: "Ex1: Identificar uno o m\xE1s roles o puestos espec\xEDficos\
            \ que ser\xE1n responsables y rendir cuentas de la planificaci\xF3n, dotaci\xF3\
            n de recursos y ejecuci\xF3n de actividades de gesti\xF3n de riesgos de\
            \ la cadena de suministro de ciberseguridad\nEx2: Documentar las funciones\
            \ y responsabilidades de la gesti\xF3n de riesgos de la cadena de suministro\
            \ de ciberseguridad en la pol\xEDtica\nEx3: Crear matrices de responsabilidad\
            \ para documentar qui\xE9n ser\xE1 responsable de las actividades de gesti\xF3\
            n de riesgos de la cadena de suministro de ciberseguridad y c\xF3mo se\
            \ consultar\xE1 e informar\xE1 a esos equipos e individuos\nEx4: Incluir\
            \ las responsabilidades de gesti\xF3n de riesgos de la cadena de suministro\
            \ de ciberseguridad y los requisitos de rendimiento en las descripciones\
            \ del personal para garantizar la claridad y mejorar la rendici\xF3n de\
            \ cuentas\nEx5: Documentar los objetivos de rendimiento del personal con\
            \ responsabilidades espec\xEDficas de gesti\xF3n de riesgos de ciberseguridad\
            \ y medirlos peri\xF3dicamente para demostrar y mejorar el rendimiento\n\
            Ex6: Desarrollar roles y responsabilidades para proveedores, clientes\
            \ y socios comerciales para abordar las responsabilidades compartidas\
            \ por los riesgos de ciberseguridad aplicables e integrarlos en las pol\xED\
            ticas organizacionales y los acuerdos de terceros aplicables.\nEx7: Comunicar\
            \ internamente las funciones y responsabilidades de la gesti\xF3n de riesgos\
            \ de la cadena de suministro de ciberseguridad para terceros\nEx8: Establecer\
            \ reglas y protocolos para el intercambio de informaci\xF3n y los procesos\
            \ de presentaci\xF3n de informes entre la organizaci\xF3n y sus proveedores.\n\
            3\xBA: Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc
      ref_id: GV.SC-03
      description: Cybersecurity supply chain risk management is integrated into cybersecurity
        and enterprise risk management, risk assessment, and improvement processes
      annotation: 'Ex1: Identify areas of alignment and overlap with cybersecurity
        and enterprise risk management

        Ex2: Establish integrated control sets for cybersecurity risk management and
        cybersecurity supply chain risk management

        Ex3: Integrate cybersecurity supply chain risk management into improvement
        processes

        Ex4: Escalate material cybersecurity risks in supply chains to senior management,
        and address them at the enterprise risk management level

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "La gestion des risques de la cha\xEEne d\u2019approvisionnement\
            \ en cybers\xE9curit\xE9 est int\xE9gr\xE9e aux processus de cybers\xE9\
            curit\xE9 et de gestion des risques d\u2019entreprise, d\u2019\xE9valuation\
            \ des risques et d\u2019am\xE9lioration"
          annotation: "Ex1 : Identifier les domaines d'alignement et de chevauchement\
            \ avec la cybers\xE9curit\xE9 et la gestion des risques d'entreprise\n\
            Ex2 : \xC9tablir des ensembles de contr\xF4les int\xE9gr\xE9s pour la\
            \ gestion des risques de cybers\xE9curit\xE9 et la gestion des risques\
            \ de la cha\xEEne d'approvisionnement en cybers\xE9curit\xE9\nEx3 : Int\xE9\
            grer la gestion des risques de la cha\xEEne d'approvisionnement en cybers\xE9\
            curit\xE9 dans les processus d'am\xE9lioration\nEx4 : Faire remonter les\
            \ risques de cybers\xE9curit\xE9 importants dans les cha\xEEnes d'approvisionnement\
            \ \xE0 la direction g\xE9n\xE9rale et les aborder au niveau de la gestion\
            \ des risques d'entreprise.\n3\xE8me : Risque de 3\xE8me partie"
        es:
          description: "La gesti\xF3n de riesgos de la cadena de suministro de seguridad\
            \ cibern\xE9tica est\xE1 integrada en la seguridad cibern\xE9tica y la\
            \ gesti\xF3n de riesgos empresariales, la evaluaci\xF3n de riesgos y los\
            \ procesos de mejora"
          annotation: "Ex1: Identificar \xE1reas de alineaci\xF3n y superposici\xF3\
            n con la ciberseguridad y la gesti\xF3n de riesgos empresariales\nEx2:\
            \ Establecer conjuntos de control integrados para la gesti\xF3n de riesgos\
            \ de ciberseguridad y la gesti\xF3n de riesgos de la cadena de suministro\
            \ de ciberseguridad\nEx3: Integrar la gesti\xF3n de riesgos de la cadena\
            \ de suministro de ciberseguridad en los procesos de mejora\nEx4: Escalar\
            \ los riesgos materiales de ciberseguridad en las cadenas de suministro\
            \ a la alta direcci\xF3n y abordarlos a nivel de gesti\xF3n de riesgos\
            \ empresariales\n3\xBA: Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc
      ref_id: GV.SC-04
      description: Suppliers are known and prioritized by criticality
      annotation: 'Ex1: Develop criteria for supplier criticality based on, for example,
        the sensitivity of data processed or possessed by suppliers, the degree of
        access to the organization''s systems, and the importance of the products
        or services to the organization''s mission

        Ex2: Keep a record of all suppliers, and prioritize suppliers based on the
        criticality criteria

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "Les fournisseurs sont connus et prioris\xE9s par criticit\xE9"
          annotation: "Ex1 : \xC9laborer des crit\xE8res de criticit\xE9 des fournisseurs\
            \ bas\xE9s, par exemple, sur la sensibilit\xE9 des donn\xE9es trait\xE9\
            es ou d\xE9tenues par les fournisseurs, le degr\xE9 d'acc\xE8s aux syst\xE8\
            mes de l'organisation et l'importance des produits ou services pour la\
            \ mission de l'organisation.\nEx2 : Tenir un registre de tous les fournisseurs\
            \ et hi\xE9rarchiser les fournisseurs en fonction des crit\xE8res de criticit\xE9\
            \n3\xE8me : Risque de 3\xE8me partie"
        es:
          description: Los proveedores son conocidos y priorizados por criticidad
          annotation: "Ex1: Desarrollar criterios para la criticidad de los proveedores\
            \ basados, por ejemplo, en la sensibilidad de los datos procesados o en\
            \ posesi\xF3n de los proveedores, el grado de acceso a los sistemas de\
            \ la organizaci\xF3n y la importancia de los productos o servicios para\
            \ la misi\xF3n de la organizaci\xF3n.\nEx2: Mantener un registro de todos\
            \ los proveedores y priorizar a los proveedores en funci\xF3n de los criterios\
            \ de criticidad\n3\xBA: Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc
      ref_id: GV.SC-05
      description: Requirements to address cybersecurity risks in supply chains are
        established, prioritized, and integrated into contracts and other types of
        agreements with suppliers and other relevant third parties
      annotation: 'Ex1: Establish security requirements for suppliers, products, and
        services commensurate with their criticality level and potential impact if
        compromised

        Ex2: Include all cybersecurity and supply chain requirements that third parties
        must follow and how compliance with the requirements may be verified in default
        contractual language

        Ex3: Define the rules and protocols for information sharing between the organization
        and its suppliers and sub-tier suppliers in agreements

        Ex4: Manage risk by including security requirements in agreements based on
        their criticality and potential impact if compromised

        Ex5: Define security requirements in service-level agreements (SLAs) for monitoring
        suppliers for acceptable security performance throughout the supplier relationship
        lifecycle

        Ex6: Contractually require suppliers to disclose cybersecurity features, functions,
        and vulnerabilities of their products and services for the life of the product
        or the term of service

        Ex7: Contractually require suppliers to provide and maintain a current component
        inventory (e.g., software or hardware bill of materials) for critical products

        Ex8: Contractually require suppliers to vet their employees and guard against
        insider threats

        Ex9: Contractually require suppliers to provide evidence of performing acceptable
        security practices through, for example, self-attestation, conformance to
        known standards, certifications, or inspections

        Ex10: Specify in contracts and other agreements the rights and responsibilities
        of the organization, its suppliers, and their supply chains, with respect
        to potential cybersecurity risks

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "Les exigences visant \xE0 s\u2019adresser aux risques de cybers\xE9\
            curit\xE9 dans les cha\xEEnes d\u2019approvisionnement sont \xE9tablies,\
            \ prioris\xE9es et int\xE9gr\xE9es dans les contrats et autres types d\u2019\
            accords avec les fournisseurs et autres tiers concern\xE9s"
          annotation: "Ex1 : \xC9tablir des exigences de s\xE9curit\xE9 pour les fournisseurs,\
            \ les produits et les services en fonction de leur niveau de criticit\xE9\
            \ et de leur impact potentiel en cas de compromission\nEx2 : Inclure toutes\
            \ les exigences en mati\xE8re de cybers\xE9curit\xE9 et de cha\xEEne d'approvisionnement\
            \ que les tiers doivent respecter et la mani\xE8re dont la conformit\xE9\
            \ aux exigences peut \xEAtre v\xE9rifi\xE9e dans le langage contractuel\
            \ par d\xE9faut\nEx3 : D\xE9finir les r\xE8gles et les protocoles d'\xE9\
            change d'information entre l'organisation et ses fournisseurs et fournisseurs\
            \ de niveau inf\xE9rieur dans les ententes\nEx4 : G\xE9rer les risques\
            \ en incluant des exigences de s\xE9curit\xE9 dans les accords en fonction\
            \ de leur criticit\xE9 et de leur impact potentiel en cas de compromission\n\
            Ex5 : D\xE9finir les exigences de s\xE9curit\xE9 dans les accords de niveau\
            \ de service (SLA) pour surveiller les fournisseurs afin de s'assurer\
            \ que les performances de s\xE9curit\xE9 sont acceptables tout au long\
            \ du cycle de vie de la relation avec le fournisseur\nEx6 : Exiger contractuellement\
            \ des fournisseurs qu'ils divulguent les caract\xE9ristiques, les fonctions\
            \ et les vuln\xE9rabilit\xE9s de cybers\xE9curit\xE9 de leurs produits\
            \ et services pendant la dur\xE9e du produit ou la dur\xE9e du service\n\
            Ex7 : Exiger contractuellement des fournisseurs qu'ils fournissent et\
            \ tiennent \xE0 jour un inventaire des composants (p. ex., nomenclature\
            \ logicielle ou mat\xE9rielle) pour les produits critiques.\nEx8 : Exiger\
            \ contractuellement des fournisseurs qu'ils v\xE9rifient leurs employ\xE9\
            s et se pr\xE9munissent contre les menaces internes\nEx9 : Exiger contractuellement\
            \ des fournisseurs qu'ils fournissent la preuve qu'ils appliquent des\
            \ pratiques de s\xE9curit\xE9 acceptables, par exemple par le biais d'une\
            \ auto-attestation, de la conformit\xE9 \xE0 des normes connues, de certifications\
            \ ou d'inspections\nEx10 : Pr\xE9ciser dans les contrats et autres ententes\
            \ les droits et responsabilit\xE9s de l'organisation, de ses fournisseurs\
            \ et de leurs cha\xEEnes d'approvisionnement en ce qui concerne les risques\
            \ potentiels de cybers\xE9curit\xE9\n3\xE8me : Risque de 3\xE8me partie"
        es:
          description: "Los requisitos para abordar los riesgos de seguridad cibern\xE9\
            tica en las cadenas de suministro se establecen, priorizan e integran\
            \ en contratos y otros tipos de acuerdos con proveedores y otras terceras\
            \ partes pertinentes"
          annotation: "Ex1: Establecer requisitos de seguridad para proveedores, productos\
            \ y servicios acordes con su nivel de criticidad y su posible impacto\
            \ en caso de verse comprometidos.\nEx2: Incluya todos los requisitos de\
            \ ciberseguridad y de la cadena de suministro que deben seguir los terceros\
            \ y c\xF3mo se puede verificar el cumplimiento de los requisitos en el\
            \ lenguaje contractual predeterminado\nEx3: Definir las reglas y protocolos\
            \ para el intercambio de informaci\xF3n entre la organizaci\xF3n y sus\
            \ proveedores y proveedores de subnivel en acuerdos\nEx4: Gestionar el\
            \ riesgo incluyendo requisitos de seguridad en los acuerdos en funci\xF3\
            n de su criticidad y posible impacto en caso de verse comprometidos.\n\
            Ex5: Definir los requisitos de seguridad en los acuerdos de nivel de servicio\
            \ (SLA) para supervisar el rendimiento de seguridad aceptable de los proveedores\
            \ a lo largo del ciclo de vida de la relaci\xF3n con los proveedores\n\
            Ex6: Exigir contractualmente a los proveedores que divulguen las caracter\xED\
            sticas, funciones y vulnerabilidades de ciberseguridad de sus productos\
            \ y servicios durante la vida \xFAtil del producto o el plazo del servicio.\n\
            Ex7: Exigir contractualmente a los proveedores que proporcionen y mantengan\
            \ un inventario actualizado de componentes (por ejemplo, una lista de\
            \ materiales de software o hardware) para productos cr\xEDticos.\nEx8:\
            \ Exigir por contrato a los proveedores que investiguen a sus empleados\
            \ y se protejan contra las amenazas internas\nEx9: Exigir contractualmente\
            \ a los proveedores que proporcionen pruebas de la realizaci\xF3n de pr\xE1\
            cticas de seguridad aceptables a trav\xE9s, por ejemplo, de la autocertificaci\xF3\
            n, la conformidad con normas conocidas, certificaciones o inspecciones.\n\
            Ex10: Especificar en contratos y otros acuerdos los derechos y responsabilidades\
            \ de la organizaci\xF3n, sus proveedores y sus cadenas de suministro,\
            \ con respecto a los posibles riesgos de ciberseguridad\n3\xBA: Riesgo\
            \ de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc
      ref_id: GV.SC-06
      description: Planning and due diligence are performed to reduce risks before
        entering into formal supplier or other third-party relationships
      annotation: 'Ex1: Perform thorough due diligence on prospective suppliers that
        is consistent with procurement planning and commensurate with the level of
        risk, criticality, and complexity of each supplier relationship

        Ex2: Assess the suitability of the technology and cybersecurity capabilities
        and the risk management practices of prospective suppliers

        Ex3: Conduct supplier risk assessments against business and applicable cybersecurity
        requirements

        Ex4: Assess the authenticity, integrity, and security of critical products
        prior to acquisition and use

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "La planification et la diligence raisonnable sont effectu\xE9\
            es pour r\xE9duire les risques avant d\u2019entrer dans des relations\
            \ formelles avec des fournisseurs ou d\u2019autres tiers"
          annotation: "Ex1 : Effectuer une diligence raisonnable approfondie sur les\
            \ fournisseurs potentiels, conforme \xE0 la planification de l'approvisionnement\
            \ et proportionnelle au niveau de risque, de criticit\xE9 et de complexit\xE9\
            \ de chaque relation avec le fournisseur\nEx2 : \xC9valuer la pertinence\
            \ de la technologie et des capacit\xE9s de cybers\xE9curit\xE9 ainsi que\
            \ les pratiques de gestion des risques des fournisseurs potentiels\nEx3\
            \ : Effectuer des \xE9valuations des risques li\xE9s aux fournisseurs\
            \ par rapport aux exigences commerciales et de cybers\xE9curit\xE9 applicables\n\
            Ex4 : \xC9valuer l'authenticit\xE9, l'int\xE9grit\xE9 et la s\xE9curit\xE9\
            \ des produits critiques avant l'acquisition et l'utilisation\n3\xE8me\
            \ : Risque de 3\xE8me partie"
        es:
          description: "Se llevan a cabo la planificaci\xF3n y la diligencia debida\
            \ para reducir los riesgos antes de entablar relaciones formales con proveedores\
            \ u otros terceros"
          annotation: "Ex1: Realizar una debida diligencia exhaustiva sobre los posibles\
            \ proveedores que sea coherente con la planificaci\xF3n de adquisiciones\
            \ y proporcional al nivel de riesgo, criticidad y complejidad de cada\
            \ relaci\xF3n con el proveedor.\nEx2: Evaluar la idoneidad de las capacidades\
            \ tecnol\xF3gicas y de ciberseguridad y las pr\xE1cticas de gesti\xF3\
            n de riesgos de los posibles proveedores\nEx3: Realizar evaluaciones de\
            \ riesgos de los proveedores en relaci\xF3n con los requisitos empresariales\
            \ y de ciberseguridad aplicables\nEx4: Evaluar la autenticidad, integridad\
            \ y seguridad de los productos cr\xEDticos antes de su adquisici\xF3n\
            \ y uso\n3\xBA: Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc-07
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc
      ref_id: GV.SC-07
      description: The risks posed by a supplier, their products and services, and
        other third parties are understood, recorded, prioritized, assessed, responded
        to, and monitored over the course of the relationship
      annotation: 'Ex1: Adjust assessment formats and frequencies based on the third
        party''s reputation and the criticality of the products or services they provide

        Ex2: Evaluate third parties'' evidence of compliance with contractual cybersecurity
        requirements, such as self-attestations, warranties, certifications, and other
        artifacts

        Ex3: Monitor critical suppliers to ensure that they are fulfilling their security
        obligations throughout the supplier relationship lifecycle using a variety
        of methods and techniques, such as inspections, audits, tests, or other forms
        of evaluation

        Ex4: Monitor critical suppliers, services, and products for changes to their
        risk profiles, and reevaluate supplier criticality and risk impact accordingly

        Ex5: Plan for unexpected supplier and supply chain-related interruptions to
        ensure business continuity

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "Les risques pos\xE9s par un fournisseur, ses produits et services\
            \ et d\u2019autres tiers sont compris, enregistr\xE9s, prioris\xE9s, \xE9\
            valu\xE9s, trait\xE9s et surveill\xE9s tout au long de la relation"
          annotation: "Ex1 : Ajuster les formats et les fr\xE9quences d'\xE9valuation\
            \ en fonction de la r\xE9putation du tiers et de la criticit\xE9 des produits\
            \ ou services qu'il fournit\nEx2 : \xC9valuez les preuves de conformit\xE9\
            \ des tiers aux exigences contractuelles en mati\xE8re de cybers\xE9curit\xE9\
            , telles que les auto-attestations, les garanties, les certifications\
            \ et autres artefacts\nEx3 : Surveiller les fournisseurs critiques pour\
            \ s'assurer qu'ils remplissent leurs obligations de s\xE9curit\xE9 tout\
            \ au long du cycle de vie de la relation avec le fournisseur \xE0 l'aide\
            \ de diverses m\xE9thodes et techniques, telles que des inspections, des\
            \ audits, des tests ou d'autres formes d'\xE9valuation\nEx4 : Surveiller\
            \ les fournisseurs, les services et les produits critiques pour d\xE9\
            tecter les modifications de leurs profils de risque, et r\xE9\xE9valuer\
            \ la criticit\xE9 des fournisseurs et l'impact des risques en cons\xE9\
            quence.\nEx5 : Planifier les interruptions impr\xE9vues li\xE9es aux fournisseurs\
            \ et \xE0 la cha\xEEne d'approvisionnement pour assurer la continuit\xE9\
            \ des activit\xE9s\n3\xE8me : Risque de 3\xE8me partie"
        es:
          description: "Los riesgos planteados por un proveedor, sus productos y servicios\
            \ y otros terceros se comprenden, registran, priorizan, eval\xFAan, responden\
            \ y monitorean a lo largo de la relaci\xF3n"
          annotation: "Ex1: Ajustar los formatos y frecuencias de evaluaci\xF3n en\
            \ funci\xF3n de la reputaci\xF3n del tercero y la criticidad de los productos\
            \ o servicios que proporcionan\nEx2: Eval\xFAe las pruebas de cumplimiento\
            \ de los requisitos contractuales de ciberseguridad por parte de terceros,\
            \ como autocertificaciones, garant\xEDas, certificaciones y otros artefactos.\n\
            Ex3: Supervisar a los proveedores cr\xEDticos para asegurarse de que cumplen\
            \ sus obligaciones de seguridad a lo largo del ciclo de vida de la relaci\xF3\
            n con los proveedores utilizando una variedad de m\xE9todos y t\xE9cnicas,\
            \ como inspecciones, auditor\xEDas, pruebas u otras formas de evaluaci\xF3\
            n.\nEx4: Supervise a los proveedores, servicios y productos cr\xEDticos\
            \ para detectar cambios en sus perfiles de riesgo, y reeval\xFAe la criticidad\
            \ de los proveedores y el impacto del riesgo en consecuencia.\nEx5: Planifique\
            \ las interrupciones inesperadas relacionadas con los proveedores y la\
            \ cadena de suministro para garantizar la continuidad del negocio\n3\xBA\
            : Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc-08
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc
      ref_id: GV.SC-08
      description: Relevant suppliers and other third parties are included in incident
        planning, response, and recovery activities
      annotation: 'Ex1: Define and use rules and protocols for reporting incident
        response and recovery activities and the status between the organization and
        its suppliers

        Ex2: Identify and document the roles and responsibilities of the organization
        and its suppliers for incident response

        Ex3: Include critical suppliers in incident response exercises and simulations

        Ex4: Define and coordinate crisis communication methods and protocols between
        the organization and its critical suppliers

        Ex5: Conduct collaborative lessons learned sessions with critical suppliers

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "Les fournisseurs concern\xE9s et autres tiers sont inclus\
            \ dans les activit\xE9s de planification, de r\xE9ponse et de r\xE9cup\xE9\
            ration en cas d\u2019incident"
          annotation: "Ex1 : D\xE9finir et utiliser des r\xE8gles et des protocoles\
            \ pour signaler les activit\xE9s d'intervention et de r\xE9cup\xE9ration\
            \ en cas d'incident et l'\xE9tat d'avancement entre l'organisation et\
            \ ses fournisseurs\nEx2 : Identifier et documenter les r\xF4les et les\
            \ responsabilit\xE9s de l'organisation et de ses fournisseurs en mati\xE8\
            re d'intervention en cas d'incident\nEx3 : Inclure les fournisseurs critiques\
            \ dans les exercices et les simulations de r\xE9ponse aux incidents\n\
            Ex4 : D\xE9finir et coordonner les m\xE9thodes et les protocoles de communication\
            \ de crise entre l'organisation et ses fournisseurs critiques\nEx5 : Organiser\
            \ des sessions collaboratives sur les le\xE7ons apprises avec les fournisseurs\
            \ critiques\n3\xE8me : Risque de 3\xE8me partie"
        es:
          description: "Los proveedores pertinentes y otros terceros se incluyen en\
            \ las actividades de planificaci\xF3n, respuesta y recuperaci\xF3n de\
            \ incidentes"
          annotation: "Ex1: Definir y utilizar reglas y protocolos para informar sobre\
            \ las actividades de respuesta y recuperaci\xF3n de incidentes y el estado\
            \ entre la organizaci\xF3n y sus proveedores\nEx2: Identificar y documentar\
            \ las funciones y responsabilidades de la organizaci\xF3n y sus proveedores\
            \ para la respuesta a incidentes\nEx3: Incluir a los proveedores cr\xED\
            ticos en los ejercicios y simulaciones de respuesta a incidentes\nEx4:\
            \ Definir y coordinar los m\xE9todos y protocolos de comunicaci\xF3n de\
            \ crisis entre la organizaci\xF3n y sus proveedores cr\xEDticos\nEx5:\
            \ Llevar a cabo sesiones colaborativas de lecciones aprendidas con proveedores\
            \ cr\xEDticos\n3\xBA: Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc-09
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc
      ref_id: GV.SC-09
      description: Supply chain security practices are integrated into cybersecurity
        and enterprise risk management programs, and their performance is monitored
        throughout the technology product and service life cycle
      annotation: 'Ex1: Policies and procedures require provenance records for all
        acquired technology products and services

        Ex2: Periodically provide risk reporting to leaders about how acquired components
        are proven to be untampered and authentic

        Ex3: Communicate regularly among cybersecurity risk managers and operations
        personnel about the need to acquire software patches, updates, and upgrades
        only from authenticated and trustworthy software providers

        Ex4: Review policies to ensure that they require approved supplier personnel
        to perform maintenance on supplier products

        Ex5: Policies and procedure require checking upgrades to critical hardware
        for unauthorized changes

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "Les pratiques de s\xE9curit\xE9 de la cha\xEEne d\u2019approvisionnement\
            \ sont int\xE9gr\xE9es aux programmes de cybers\xE9curit\xE9 et de gestion\
            \ des risques d\u2019entreprise, et leurs performances sont surveill\xE9\
            es tout au long du cycle de vie des produits et services technologiques"
          annotation: "Ex1 : Les politiques et les proc\xE9dures exigent des registres\
            \ de provenance pour tous les produits et services technologiques acquis\n\
            Ex2 : Fournir p\xE9riodiquement des rapports sur les risques aux dirigeants\
            \ sur la fa\xE7on dont les composants acquis s'av\xE8rent \xEAtre intacts\
            \ et authentiques\nEx3 : Communiquer r\xE9guli\xE8rement entre les gestionnaires\
            \ des risques de cybers\xE9curit\xE9 et le personnel d'exploitation sur\
            \ la n\xE9cessit\xE9 d'acqu\xE9rir des correctifs, des mises \xE0 jour\
            \ et des mises \xE0 niveau logicielles uniquement aupr\xE8s de fournisseurs\
            \ de logiciels authentifi\xE9s et dignes de confiance\nEx4 : Examiner\
            \ les politiques pour s'assurer qu'elles exigent que le personnel approuv\xE9\
            \ du fournisseur effectue l'entretien des produits du fournisseur\nEx5\
            \ : Les politiques et proc\xE9dures exigent la v\xE9rification des mises\
            \ \xE0 niveau du mat\xE9riel critique pour d\xE9tecter les modifications\
            \ non autoris\xE9es\n3\xE8me : Risque de 3\xE8me partie"
        es:
          description: "Las pr\xE1cticas de seguridad de la cadena de suministro se\
            \ integran en los programas de seguridad cibern\xE9tica y de gesti\xF3\
            n de riesgos empresariales, y su rendimiento se monitorea a lo largo del\
            \ ciclo de vida de los productos y servicios tecnol\xF3gicos"
          annotation: "Ex1: Las pol\xEDticas y procedimientos exigen registros de\
            \ procedencia para todos los productos y servicios tecnol\xF3gicos adquiridos\n\
            Ex2: Proporcionar peri\xF3dicamente informes de riesgo a los l\xEDderes\
            \ sobre c\xF3mo se ha demostrado que los componentes adquiridos son aut\xE9\
            nticos y no manipulados.\nEx3: Comun\xEDcate regularmente entre los gerentes\
            \ de riesgos de ciberseguridad y el personal de operaciones sobre la necesidad\
            \ de adquirir parches, actualizaciones y mejoras de software solo de proveedores\
            \ de software autenticados y confiables\nEx4: Revisar las pol\xEDticas\
            \ para asegurarse de que requieren que el personal aprobado del proveedor\
            \ realice el mantenimiento de los productos del proveedor\nEx5: Las pol\xED\
            ticas y los procedimientos requieren la comprobaci\xF3n de las actualizaciones\
            \ de hardware cr\xEDtico en busca de cambios no autorizados\n3\xBA: Riesgo\
            \ de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc-10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:gv.sc
      ref_id: GV.SC-10
      description: Cybersecurity supply chain risk management plans include provisions
        for activities that occur after the conclusion of a partnership or service
        agreement
      annotation: 'Ex1: Establish processes for terminating critical relationships
        under both normal and adverse circumstances

        Ex2: Define and implement plans for component end-of-life maintenance support
        and obsolescence

        Ex3: Verify that supplier access to organization resources is deactivated
        promptly when it is no longer needed

        Ex4: Verify that assets containing the organization''s data are returned or
        properly disposed of in a timely, controlled, and safe manner

        Ex5: Develop and execute a plan for terminating or transitioning supplier
        relationships that takes supply chain security risk and resiliency into account

        Ex6: Mitigate risks to data and systems created by supplier termination

        Ex7: Manage data leakage risks associated with supplier termination

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "Les plans de gestion des risques de la cha\xEEne d\u2019approvisionnement\
            \ en mati\xE8re de cybers\xE9curit\xE9 comprennent des dispositions pour\
            \ les activit\xE9s qui se produisent apr\xE8s la conclusion d\u2019un\
            \ accord de partenariat ou de service"
          annotation: "Ex1 : \xC9tablir des processus pour mettre fin aux relations\
            \ critiques dans des circonstances normales et d\xE9favorables\nEx2 :\
            \ D\xE9finir et mettre en \u0153uvre des plans de support de maintenance\
            \ en fin de vie et d'obsolescence des composants\nEx3 : V\xE9rifiez que\
            \ l'acc\xE8s du fournisseur aux ressources de l'organisation est d\xE9\
            sactiv\xE9 rapidement lorsqu'il n'est plus n\xE9cessaire\nEx4 : V\xE9\
            rifier que les actifs contenant les donn\xE9es de l'organisation sont\
            \ retourn\xE9s ou \xE9limin\xE9s correctement en temps opportun, de mani\xE8\
            re contr\xF4l\xE9e et s\xFBre\nEx5 : \xC9laborer et ex\xE9cuter un plan\
            \ de r\xE9siliation ou de transition des relations avec les fournisseurs\
            \ qui tient compte des risques de s\xE9curit\xE9 et de r\xE9silience de\
            \ la cha\xEEne d'approvisionnement\nEx6 : Att\xE9nuer les risques pour\
            \ les donn\xE9es et les syst\xE8mes cr\xE9\xE9s par le licenciement d'un\
            \ fournisseur\nEx7 : G\xE9rer les risques de fuite de donn\xE9es associ\xE9\
            s \xE0 la r\xE9siliation d'un fournisseur\n3\xE8me : Risque de 3\xE8me\
            \ partie"
        es:
          description: "Los planes de gesti\xF3n de riesgos de la cadena de suministro\
            \ de seguridad cibern\xE9tica incluyen disposiciones para las actividades\
            \ que ocurren despu\xE9s de la conclusi\xF3n de un acuerdo de colaboraci\xF3\
            n o servicio"
          annotation: "Ex1: Establecer procesos para terminar relaciones cr\xEDticas\
            \ tanto en circunstancias normales como adversas\nEx2: Definir e implementar\
            \ planes para el soporte de mantenimiento al final de la vida \xFAtil\
            \ de los componentes y la obsolescencia\nEx3: Verifique que el acceso\
            \ de los proveedores a los recursos de la organizaci\xF3n se desactive\
            \ de inmediato cuando ya no sea necesario\nEx4: Verificar que los activos\
            \ que contienen los datos de la organizaci\xF3n se devuelvan o se eliminen\
            \ correctamente de manera oportuna, controlada y segura\nEx5: Desarrollar\
            \ y ejecutar un plan para terminar o hacer la transici\xF3n de las relaciones\
            \ con los proveedores que tenga en cuenta el riesgo de seguridad y la\
            \ resiliencia de la cadena de suministro\nEx6: Mitigar los riesgos para\
            \ los datos y los sistemas creados por la rescisi\xF3n de proveedores\n\
            Ex7: Gestionar los riesgos de fuga de datos asociados a la rescisi\xF3\
            n de proveedores\n3\xBA: Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id
      assessable: false
      depth: 1
      ref_id: ID
      name: IDENTIFY
      description: The organization's current cybersecurity risks are understood
      translations:
        fr:
          name: IDENTIFIER
          description: "Les risques de cybers\xE9curit\xE9 actuels de l\u2019organisation\
            \ sont compris"
        es:
          name: IDENTIFICAR
          description: "Se conocen los riesgos de seguridad cibern\xE9tica actuales\
            \ de la organizaci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id
      ref_id: ID.AM
      name: Asset Management
      description: Assets (e.g., data, hardware, software, systems, facilities, services,
        people) that enable the organization to achieve business purposes are identified
        and managed consistent with their relative importance to organizational objectives
        and the organization's risk strategy
      translations:
        fr:
          name: "Gestion d\u2019actifs"
          description: "Les actifs (p. ex., donn\xE9es, mat\xE9riel, logiciels, syst\xE8\
            mes, installations, services, personnes) qui permettent \xE0 l\u2019organisation\
            \ d\u2019atteindre ses objectifs commerciaux sont identifi\xE9s et g\xE9\
            r\xE9s en fonction de leur importance relative par rapport aux objectifs\
            \ organisationnels et \xE0 la strat\xE9gie de risque de l\u2019organisation"
        es:
          name: "Gesti\xF3n de activos"
          description: "Los activos (p. ej., datos, hardware, software, sistemas,\
            \ instalaciones, servicios, personas) que permiten a la organizaci\xF3\
            n alcanzar sus objetivos empresariales se identifican y gestionan de acuerdo\
            \ con su importancia relativa para los objetivos organizativos y la estrategia\
            \ de riesgos de la organizaci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am
      ref_id: ID.AM-01
      description: Inventories of hardware managed by the organization are maintained
      annotation: '1st: 1st Party Risk

        Ex1: Maintain inventories for all types of hardware, including IT, IoT, OT,
        and mobile devices

        Ex2: Constantly monitor networks to detect new hardware and automatically
        update inventories'
      translations:
        fr:
          description: "Les inventaires du mat\xE9riel g\xE9r\xE9 par l\u2019organisation\
            \ sont maintenus"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Tenir \xE0 jour des inventaires\
            \ pour tous les types de mat\xE9riel, y compris l'informatique, l'IoT,\
            \ l'OT et les appareils mobiles\nEx2 : Surveiller en permanence les r\xE9\
            seaux pour d\xE9tecter le nouveau mat\xE9riel et mettre \xE0 jour automatiquement\
            \ les inventaires"
        es:
          description: "Se mantienen inventarios del hardware gestionado por la organizaci\xF3\
            n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Mantener inventarios para\
            \ todo tipo de hardware, incluidos TI, IoT, OT y dispositivos m\xF3viles\n\
            Ex2: Monitoree constantemente las redes para detectar nuevo hardware y\
            \ actualizar autom\xE1ticamente los inventarios"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am
      ref_id: ID.AM-02
      description: Inventories of software, services, and systems managed by the organization
        are maintained
      annotation: '1st: 1st Party Risk

        Ex1: Maintain inventories for all types of software and services, including
        commercial-off-the-shelf, open-source, custom applications, API services,
        and cloud-based applications and services

        Ex2: Constantly monitor all platforms, including containers and virtual machines,
        for software and service inventory changes

        Ex3: Maintain an inventory of the organization''s systems'
      translations:
        fr:
          description: "Les inventaires des logiciels, services et syst\xE8mes g\xE9\
            r\xE9s par l\u2019organisation sont maintenus"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Tenir \xE0 jour des inventaires\
            \ pour tous les types de logiciels et de services, y compris les applications\
            \ commerciales pr\xEAtes \xE0 l'emploi, les applications open source,\
            \ les applications personnalis\xE9es, les services API et les applications\
            \ et services bas\xE9s sur le cloud\nEx2 : Surveillez en permanence toutes\
            \ les plateformes, y compris les conteneurs et les machines virtuelles,\
            \ pour d\xE9tecter les modifications de l'inventaire des logiciels et\
            \ des services\nEx3 : Tenir un inventaire des syst\xE8mes de l'organisation"
        es:
          description: "Se mantienen inventarios de software, servicios y sistemas\
            \ gestionados por la organizaci\xF3n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Mantener inventarios para\
            \ todo tipo de software y servicios, incluidos los comerciales, de c\xF3\
            digo abierto, aplicaciones personalizadas, servicios de API y aplicaciones\
            \ y servicios basados en la nube\nEx2: Supervise constantemente todas\
            \ las plataformas, incluidos los contenedores y las m\xE1quinas virtuales,\
            \ para detectar cambios en el inventario de software y servicios.\nEx3:\
            \ Mantener un inventario de los sistemas de la organizaci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am
      ref_id: ID.AM-03
      description: Representations of the organization's authorized network communication
        and internal and external network data flows are maintained
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Maintain baselines of communication and data flows within the organization''s
        wired and wireless networks

        Ex2: Maintain baselines of communication and data flows between the organization
        and third parties

        Ex3: Maintain baselines of communication and data flows for the organization''s
        infrastructure-as-a-service (IaaS) usage

        Ex4: Maintain documentation of expected network ports, protocols, and services
        that are typically used among authorized systems'
      translations:
        fr:
          description: "Les repr\xE9sentations des communications r\xE9seau autoris\xE9\
            es de l\u2019organisation et des flux de donn\xE9es r\xE9seau internes\
            \ et externes sont maintenues"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Maintenir les lignes de base de communication et les flux\
            \ de donn\xE9es au sein des r\xE9seaux filaires et sans fil de l'organisation\n\
            Ex2 : Maintenir des bases de r\xE9f\xE9rence pour la communication et\
            \ les flux de donn\xE9es entre l'organisation et les tiers\nEx3 : Maintenir\
            \ les lignes de base de communication et les flux de donn\xE9es pour l'utilisation\
            \ de l'infrastructure en tant que service (IaaS) de l'organisation\nEx4\
            \ : Tenir \xE0 jour la documentation des ports, protocoles et services\
            \ r\xE9seau attendus qui sont g\xE9n\xE9ralement utilis\xE9s par les syst\xE8\
            mes autoris\xE9s"
        es:
          description: "Se mantienen representaciones de la comunicaci\xF3n de red\
            \ autorizada de la organizaci\xF3n y de los flujos de datos de red internos\
            \ y externos"
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Mantener las l\xEDneas de base de los flujos de comunicaci\xF3n y\
            \ datos dentro de las redes cableadas e inal\xE1mbricas de la organizaci\xF3\
            n\nEx2: Mantener las l\xEDneas de base de la comunicaci\xF3n y los flujos\
            \ de datos entre la organizaci\xF3n y terceros\nEx3: Mantener las l\xED\
            neas de base de los flujos de comunicaci\xF3n y datos para el uso de la\
            \ infraestructura como servicio (IaaS) de la organizaci\xF3n\nEx4: Mantener\
            \ la documentaci\xF3n de los puertos de red, protocolos y servicios esperados\
            \ que se utilizan normalmente entre los sistemas autorizados"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am
      ref_id: ID.AM-04
      description: Inventories of services provided by suppliers are maintained
      annotation: 'Ex1: Inventory all external services used by the organization,
        including third-party infrastructure-as-a-service (IaaS), platform-as-a-service
        (PaaS), and software-as-a-service (SaaS) offerings; APIs; and other externally
        hosted application services

        Ex2: Update the inventory when a new external service is going to be utilized
        to ensure adequate cybersecurity risk management monitoring of the organization''s
        use of that service

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: Les inventaires des services fournis par les fournisseurs sont
            maintenus
          annotation: "Ex1 : Inventorier tous les services externes utilis\xE9s par\
            \ l'organisation, y compris les offres d'infrastructure en tant que service\
            \ (IaaS), de plateforme en tant que service (PaaS) et de logiciel en tant\
            \ que service (SaaS) ; Apis; et d'autres services applicatifs h\xE9berg\xE9\
            s en externe\nEx2 : Mettre \xE0 jour l'inventaire lorsqu'un nouveau service\
            \ externe sera utilis\xE9 afin d'assurer une surveillance ad\xE9quate\
            \ de la gestion des risques de cybers\xE9curit\xE9 de l'utilisation de\
            \ ce service par l'organisation\n3\xE8me : Risque de 3\xE8me partie"
        es:
          description: Se mantienen inventarios de los servicios prestados por los
            proveedores
          annotation: "Ex1: Inventario de todos los servicios externos utilizados\
            \ por la organizaci\xF3n, incluidas las ofertas de infraestructura como\
            \ servicio (IaaS), plataforma como servicio (PaaS) y software como servicio\
            \ (SaaS) de terceros; Apis; y otros servicios de aplicaciones alojados\
            \ externamente\nEx2: Actualizar el inventario cuando se vaya a utilizar\
            \ un nuevo servicio externo para garantizar un seguimiento adecuado de\
            \ la gesti\xF3n de riesgos de ciberseguridad del uso de ese servicio por\
            \ parte de la organizaci\xF3n\n3\xBA: Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am
      ref_id: ID.AM-05
      description: Assets are prioritized based on classification, criticality, resources,
        and impact on the mission
      annotation: '1st: 1st Party Risk

        Ex1: Define criteria for prioritizing each class of assets

        Ex2: Apply the prioritization criteria to assets

        Ex3: Track the asset priorities and update them periodically or when significant
        changes to the organization occur'
      translations:
        fr:
          description: "Les actifs sont prioris\xE9s en fonction de la classification,\
            \ de la criticit\xE9, des ressources et de l\u2019impact sur la mission"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : D\xE9finir les crit\xE8\
            res de priorisation de chaque classe d'actifs\nEx2 : Appliquer les crit\xE8\
            res de priorisation aux actifs\nEx3 : Suivre les priorit\xE9s des actifs\
            \ et les mettre \xE0 jour p\xE9riodiquement ou lorsque des changements\
            \ importants surviennent dans l'organisation"
        es:
          description: "Se priorizan los activos en funci\xF3n de su clasificaci\xF3\
            n, criticidad, recursos e impacto en la misi\xF3n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Definir criterios para priorizar\
            \ cada clase de activos\nEx2: Aplicar los criterios de priorizaci\xF3\
            n a los activos\nEx3: Realice un seguimiento de las prioridades de los\
            \ activos y actual\xEDcelas peri\xF3dicamente o cuando se produzcan cambios\
            \ significativos en la organizaci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am-07
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am
      ref_id: ID.AM-07
      description: Inventories of data and corresponding metadata for designated data
        types are maintained
      annotation: '1st: 1st Party Risk

        Ex1: Maintain a list of the designated data types of interest (e.g., personally
        identifiable information, protected health information, financial account
        numbers, organization intellectual property, operational technology data)

        Ex2: Continuously discover and analyze ad hoc data to identify new instances
        of designated data types

        Ex3: Assign data classifications to designated data types through tags or
        labels

        Ex4: Track the provenance, data owner, and geolocation of each instance of
        designated data types'
      translations:
        fr:
          description: "Les inventaires de donn\xE9es et les m\xE9tadonn\xE9es correspondantes\
            \ pour les types de donn\xE9es d\xE9sign\xE9s sont maintenus"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Tenir \xE0 jour une liste\
            \ des types de donn\xE9es d'int\xE9r\xEAt d\xE9sign\xE9s (p. ex., renseignements\
            \ permettant d'identifier une personne, renseignements sur la sant\xE9\
            \ prot\xE9g\xE9s, num\xE9ros de compte financier, propri\xE9t\xE9 intellectuelle\
            \ de l'organisation, donn\xE9es sur la technologie op\xE9rationnelle)\n\
            Ex2 : D\xE9couvrir et analyser en permanence des donn\xE9es ad hoc pour\
            \ identifier de nouvelles instances de types de donn\xE9es d\xE9sign\xE9\
            s\nEx3 : Attribuer des classifications de donn\xE9es \xE0 des types de\
            \ donn\xE9es d\xE9sign\xE9s par le biais de balises ou d'\xE9tiquettes\n\
            Ex4 : Suivez la provenance, le propri\xE9taire des donn\xE9es et la g\xE9\
            olocalisation de chaque instance de types de donn\xE9es d\xE9sign\xE9s"
        es:
          description: Se mantienen inventarios de datos y los metadatos correspondientes
            para los tipos de datos designados
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Mantener una lista de los\
            \ tipos de datos designados de inter\xE9s (por ejemplo, informaci\xF3\
            n de identificaci\xF3n personal, informaci\xF3n de salud protegida, n\xFA\
            meros de cuentas financieras, propiedad intelectual de la organizaci\xF3\
            n, datos de tecnolog\xEDa operativa)\nEx2: Descubrir y analizar continuamente\
            \ datos ad hoc para identificar nuevas instancias de tipos de datos designados\n\
            Ex3: Asigne clasificaciones de datos a tipos de datos designados a trav\xE9\
            s de etiquetas o r\xF3tulos\nEx4: Rastree la procedencia, el propietario\
            \ de los datos y la geolocalizaci\xF3n de cada instancia de los tipos\
            \ de datos designados"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am-08
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.am
      ref_id: ID.AM-08
      description: Systems, hardware, software, services, and data are managed throughout
        their life cycles
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Integrate cybersecurity considerations throughout the life cycles of
        systems, hardware, software, and services

        Ex2: Integrate cybersecurity considerations into product life cycles

        Ex3: Identify unofficial uses of technology to meet mission objectives (i.e.,
        shadow IT)

        Ex4: Periodically identify redundant systems, hardware, software, and services
        that unnecessarily increase the organization''s attack surface

        Ex5: Properly configure and secure systems, hardware, software, and services
        prior to their deployment in production

        Ex6: Update inventories when systems, hardware, software, and services are
        moved or transferred within the organization

        Ex7: Securely destroy stored data based on the organization''s data retention
        policy using the prescribed destruction method, and keep and manage a record
        of the destructions

        Ex8: Securely sanitize data storage when hardware is being retired, decommissioned,
        reassigned, or sent for repairs or replacement

        Ex9: Offer methods for destroying paper, storage media, and other physical
        forms of data storage'
      translations:
        fr:
          description: "Les syst\xE8mes, mat\xE9riels, logiciels, services et donn\xE9\
            es sont g\xE9r\xE9s tout au long de leur cycle de vie"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Int\xE9grer les consid\xE9rations de cybers\xE9curit\xE9\
            \ tout au long du cycle de vie des syst\xE8mes, du mat\xE9riel, des logiciels\
            \ et des services\nEx2 : Int\xE9grer les consid\xE9rations de cybers\xE9\
            curit\xE9 dans le cycle de vie des produits\nEx3 : Identifier les utilisations\
            \ non officielles de la technologie pour atteindre les objectifs de la\
            \ mission (c.-\xE0-d. TI fant\xF4mes)\nEx4 : Identifier p\xE9riodiquement\
            \ les syst\xE8mes, le mat\xE9riel, les logiciels et les services redondants\
            \ qui augmentent inutilement la surface d'attaque de l'organisation\n\
            Ex5 : Configurer et s\xE9curiser correctement les syst\xE8mes, le mat\xE9\
            riel, les logiciels et les services avant leur d\xE9ploiement en production\n\
            Ex6 : Mettre \xE0 jour les inventaires lorsque les syst\xE8mes, le mat\xE9\
            riel, les logiciels et les services sont d\xE9plac\xE9s ou transf\xE9\
            r\xE9s au sein de l'organisation\nEx7 : D\xE9truire en toute s\xE9curit\xE9\
            \ les donn\xE9es stock\xE9es conform\xE9ment \xE0 la politique de conservation\
            \ des donn\xE9es de l'organisation \xE0 l'aide de la m\xE9thode de destruction\
            \ prescrite, et conserver et g\xE9rer un registre des destructions\nEx8\
            \ : Nettoyer en toute s\xE9curit\xE9 le stockage de donn\xE9es lorsque\
            \ le mat\xE9riel est mis hors service, mis hors service, r\xE9attribu\xE9\
            \ ou envoy\xE9 pour r\xE9paration ou remplacement\nEx9 : Proposer des\
            \ m\xE9thodes de destruction du papier, des supports de stockage et d'autres\
            \ formes physiques de stockage de donn\xE9es"
        es:
          description: Los sistemas, el hardware, el software, los servicios y los
            datos se gestionan durante todo su ciclo de vida
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Integrar las consideraciones de ciberseguridad a lo largo de los\
            \ ciclos de vida de los sistemas, el hardware, el software y los servicios\n\
            Ex2: Integrar las consideraciones de ciberseguridad en los ciclos de vida\
            \ de los productos\nEx3: Identificar los usos no oficiales de la tecnolog\xED\
            a para cumplir con los objetivos de la misi\xF3n (es decir, TI en la sombra)\n\
            Ex4: Identifique peri\xF3dicamente sistemas, hardware, software y servicios\
            \ redundantes que aumenten innecesariamente la superficie de ataque de\
            \ la organizaci\xF3n\nEx5: Configurar y proteger correctamente los sistemas,\
            \ el hardware, el software y los servicios antes de su implementaci\xF3\
            n en producci\xF3n\nEx6: Actualizar los inventarios cuando los sistemas,\
            \ el hardware, el software y los servicios se mueven o transfieren dentro\
            \ de la organizaci\xF3n\nEx7: Destruya de forma segura los datos almacenados\
            \ en funci\xF3n de la pol\xEDtica de retenci\xF3n de datos de la organizaci\xF3\
            n utilizando el m\xE9todo de destrucci\xF3n prescrito, y mantenga y administre\
            \ un registro de las destrucciones.\nEx8: Desinfecte de forma segura el\
            \ almacenamiento de datos cuando el hardware se retire, se retire, se\
            \ reasigne o se env\xEDe para su reparaci\xF3n o reemplazo\nEx9: Ofrecer\
            \ m\xE9todos para destruir papel, medios de almacenamiento y otras formas\
            \ f\xEDsicas de almacenamiento de datos."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id
      ref_id: ID.RA
      name: Risk Assessment
      description: The cybersecurity risk to the organization, assets, and individuals
        is understood by the organization
      translations:
        fr:
          name: "\xC9valuation des risques"
          description: "Le risque de cybers\xE9curit\xE9 pour l\u2019organisation,\
            \ les actifs et\nles individus est compris par l\u2019organisation"
        es:
          name: "Evaluaci\xF3n de riesgos"
          description: "La organizaci\xF3n comprende el riesgo de seguridad cibern\xE9\
            tica para la organizaci\xF3n, los activos y los individuos"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra
      ref_id: ID.RA-01
      description: Vulnerabilities in assets are identified, validated, and recorded
      annotation: '1st: 1st Party Risk

        Ex1: Use vulnerability management technologies to identify unpatched and misconfigured
        software

        Ex2: Assess network and system architectures for design and implementation
        weaknesses that affect cybersecurity

        Ex3: Review, analyze, or test organization-developed software to identify
        design, coding, and default configuration vulnerabilities

        Ex4: Assess facilities that house critical computing assets for physical vulnerabilities
        and resilience issues

        Ex5: Monitor sources of cyber threat intelligence for information on new vulnerabilities
        in products and services

        Ex6: Review processes and procedures for weaknesses that could be exploited
        to affect cybersecurity'
      translations:
        fr:
          description: "Les vuln\xE9rabilit\xE9s des actifs sont identifi\xE9es, valid\xE9\
            es et enregistr\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Utiliser des technologies\
            \ de gestion des vuln\xE9rabilit\xE9s pour identifier les logiciels non\
            \ corrig\xE9s et mal configur\xE9s\nEx2 : \xC9valuer les architectures\
            \ de r\xE9seau et de syst\xE8me pour d\xE9tecter les faiblesses de conception\
            \ et de mise en \u0153uvre qui affectent la cybers\xE9curit\xE9\nEx3 :\
            \ Examiner, analyser ou tester les logiciels d\xE9velopp\xE9s par l'organisation\
            \ pour identifier les vuln\xE9rabilit\xE9s de conception, de codage et\
            \ de configuration par d\xE9faut\nEx4 : \xC9valuer les installations qui\
            \ h\xE9bergent des actifs informatiques critiques pour d\xE9tecter les\
            \ vuln\xE9rabilit\xE9s physiques et les probl\xE8mes de r\xE9silience\n\
            Ex5 : Surveiller les sources de renseignements sur les cybermenaces pour\
            \ obtenir des informations sur les nouvelles vuln\xE9rabilit\xE9s des\
            \ produits et services\nEx6 : Examiner les processus et les proc\xE9dures\
            \ pour d\xE9celer les faiblesses qui pourraient \xEAtre exploit\xE9es\
            \ pour affecter la cybers\xE9curit\xE9"
        es:
          description: Se identifican, validan y registran las vulnerabilidades de
            los activos
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Utilizar tecnolog\xEDas\
            \ de gesti\xF3n de vulnerabilidades para identificar software sin parches\
            \ y mal configurado\nEx2: Evaluar las arquitecturas de redes y sistemas\
            \ para detectar debilidades de dise\xF1o e implementaci\xF3n que afecten\
            \ a la ciberseguridad\nEx3: Revisar, analizar o probar el software desarrollado\
            \ por la organizaci\xF3n para identificar vulnerabilidades de dise\xF1\
            o, codificaci\xF3n y configuraci\xF3n predeterminada\nEx4: Evaluar las\
            \ instalaciones que albergan activos inform\xE1ticos cr\xEDticos para\
            \ detectar vulnerabilidades f\xEDsicas y problemas de resiliencia\nEx5:\
            \ Supervisar las fuentes de inteligencia de amenazas cibern\xE9ticas para\
            \ obtener informaci\xF3n sobre nuevas vulnerabilidades en productos y\
            \ servicios\nEx6: Revisar los procesos y procedimientos en busca de debilidades\
            \ que puedan aprovecharse para afectar a la ciberseguridad."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra
      ref_id: ID.RA-02
      description: Cyber threat intelligence is received from information sharing
        forums and sources
      annotation: '1st: 1st Party Risk

        Ex1: Configure cybersecurity tools and technologies with detection or response
        capabilities to securely ingest cyber threat intelligence feeds

        Ex2: Receive and review advisories from reputable third parties on current
        threat actors and their tactics, techniques, and procedures (TTPs)

        Ex3: Monitor sources of cyber threat intelligence for information on the types
        of vulnerabilities that emerging technologies may have'
      translations:
        fr:
          description: "Les renseignements sur les cybermenaces sont re\xE7us de forums\
            \ et de sources de partage d\u2019informations"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Configurer des outils\
            \ et des technologies de cybers\xE9curit\xE9 dot\xE9s de capacit\xE9s\
            \ de d\xE9tection ou de r\xE9ponse pour ing\xE9rer en toute s\xE9curit\xE9\
            \ des flux de renseignements sur les cybermenaces\nEx2 : Recevoir et examiner\
            \ des avis de tiers r\xE9put\xE9s sur les auteurs de menace actuels et\
            \ leurs tactiques, techniques et proc\xE9dures (TTP)\nEx3 : Surveiller\
            \ les sources de renseignements sur les cybermenaces pour obtenir de l'information\
            \ sur les types de vuln\xE9rabilit\xE9s que les technologies \xE9mergentes\
            \ peuvent pr\xE9senter"
        es:
          description: "Se recibe informaci\xF3n sobre amenazas cibern\xE9ticas de\
            \ foros y fuentes de intercambio de informaci\xF3n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Configure herramientas y\
            \ tecnolog\xEDas de ciberseguridad con capacidades de detecci\xF3n o respuesta\
            \ para ingerir de forma segura las fuentes de inteligencia de amenazas\
            \ cibern\xE9ticas\nEx2: Reciba y revise avisos de terceros acreditados\
            \ sobre los actores de amenazas actuales y sus t\xE1cticas, t\xE9cnicas\
            \ y procedimientos (TTP)\nEx3: Monitorear las fuentes de inteligencia\
            \ de amenazas cibern\xE9ticas para obtener informaci\xF3n sobre los tipos\
            \ de vulnerabilidades que pueden tener las tecnolog\xEDas emergentes"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra
      ref_id: ID.RA-03
      description: Internal and external threats to the organization are identified
        and recorded
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Use cyber threat intelligence to maintain awareness of the types of threat
        actors likely to target the organization and the TTPs they are likely to use

        Ex2: Perform threat hunting to look for signs of threat actors within the
        environment

        Ex3: Implement processes for identifying internal threat actors'
      translations:
        fr:
          description: "Les menaces internes et externes \xE0 l\u2019organisation\
            \ sont identifi\xE9es et enregistr\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Utiliser les renseignements sur les cybermenaces pour\
            \ se tenir au courant des types d'auteurs de menace susceptibles de cibler\
            \ l'organisation et des TTP qu'ils sont susceptibles d'utiliser\nEx2 :\
            \ Effectuer une chasse aux menaces pour rechercher des signes d'acteurs\
            \ malveillants dans l'environnement\nEx3 : Mettre en \u0153uvre des processus\
            \ d'identification des auteurs de menace internes"
        es:
          description: "Se identifican y registran las amenazas internas y externas\
            \ a la organizaci\xF3n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Utilice la inteligencia de amenazas cibern\xE9ticas para mantener\
            \ el conocimiento de los tipos de actores de amenazas que probablemente\
            \ se dirijan a la organizaci\xF3n y los TTP que probablemente usar\xE1\
            n\nEx2: Realizar la b\xFAsqueda de amenazas para buscar signos de actores\
            \ de amenazas dentro del entorno\nEx3: Implementar procesos para identificar\
            \ a los actores de amenazas internas"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra
      ref_id: ID.RA-04
      description: Potential impacts and likelihoods of threats exploiting vulnerabilities
        are identified and recorded
      annotation: '1st: 1st Party Risk

        Ex1: Business leaders and cybersecurity risk management practitioners work
        together to estimate the likelihood and impact of risk scenarios and record
        them in risk registers

        Ex2: Enumerate the potential business impacts of unauthorized access to the
        organization''s communications, systems, and data processed in or by those
        systems

        Ex3: Account for the potential impacts of cascading failures for systems of
        systems'
      translations:
        fr:
          description: "Les impacts potentiels et les probabilit\xE9s des menaces\
            \ exploitant les vuln\xE9rabilit\xE9s sont identifi\xE9s et enregistr\xE9\
            s"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Les dirigeants d'entreprise\
            \ et les praticiens de la gestion des risques de cybers\xE9curit\xE9 travaillent\
            \ ensemble pour estimer la probabilit\xE9 et l'impact des sc\xE9narios\
            \ de risque et les consigner dans les registres des risques\nEx2 : \xC9\
            num\xE9rer les r\xE9percussions commerciales potentielles d'un acc\xE8\
            s non autoris\xE9 aux communications, aux syst\xE8mes et aux donn\xE9\
            es de l'organisation trait\xE9s dans ou par ces syst\xE8mes\nEx3 : Tenir\
            \ compte des impacts potentiels des d\xE9faillances en cascade sur les\
            \ syst\xE8mes des syst\xE8mes"
        es:
          description: Se identifican y registran los impactos potenciales y las probabilidades
            de que las amenazas exploten las vulnerabilidades
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Los l\xEDderes empresariales\
            \ y los profesionales de la gesti\xF3n de riesgos de ciberseguridad trabajan\
            \ juntos para estimar la probabilidad y el impacto de los escenarios de\
            \ riesgo y registrarlos en registros de riesgos\nEx2: Enumerar los posibles\
            \ impactos en el negocio del acceso no autorizado a las comunicaciones,\
            \ los sistemas y los datos de la organizaci\xF3n procesados en o por esos\
            \ sistemas\nEx3: Tener en cuenta los impactos potenciales de los fallos\
            \ en cascada para los sistemas de sistemas"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra
      ref_id: ID.RA-05
      description: Threats, vulnerabilities, likelihoods, and impacts are used to
        understand inherent risk and inform risk response prioritization
      annotation: '1st: 1st Party Risk

        Ex1: Develop threat models to better understand risks to the data and identify
        appropriate risk responses

        Ex2: Prioritize cybersecurity resource allocations and investments based on
        estimated likelihoods and impacts'
      translations:
        fr:
          description: "Les menaces, les vuln\xE9rabilit\xE9s, les probabilit\xE9\
            s et les impacts sont utilis\xE9s pour comprendre les risques inh\xE9\
            rents et informer la priorisation des r\xE9ponses aux risques."
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : D\xE9velopper des mod\xE8\
            les de menaces pour mieux comprendre les risques pour les donn\xE9es et\
            \ identifier les r\xE9ponses appropri\xE9es aux risques\nEx2 : Prioriser\
            \ l'allocation des ressources et les investissements en cybers\xE9curit\xE9\
            \ en fonction des probabilit\xE9s et des impacts estim\xE9s"
        es:
          description: "Las amenazas, las vulnerabilidades, las probabilidades y los\
            \ impactos se utilizan para comprender el riesgo inherente e informar\
            \ sobre la priorizaci\xF3n de la respuesta al riesgo"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Desarrollar modelos de amenazas\
            \ para comprender mejor los riesgos para los datos e identificar las respuestas\
            \ adecuadas a los riesgos\nEx2: Priorizar las asignaciones de recursos\
            \ de ciberseguridad y las inversiones en funci\xF3n de las probabilidades\
            \ y los impactos estimados"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra
      ref_id: ID.RA-06
      description: Risk responses are chosen, prioritized, planned, tracked, and communicated
      annotation: '1st: 1st Party Risk

        Ex1: Apply the vulnerability management plan''s criteria for deciding whether
        to accept, transfer, mitigate, or avoid risk

        Ex2: Apply the vulnerability management plan''s criteria for selecting compensating
        controls to mitigate risk

        Ex3: Track the progress of risk response implementation (e.g., plan of action
        and milestones [POA&M], risk register, risk detail report)

        Ex4: Use risk assessment findings to inform risk response decisions and actions

        Ex5: Communicate planned risk responses to affected stakeholders in priority
        order'
      translations:
        fr:
          description: "Les r\xE9ponses aux risques sont choisies, prioris\xE9es,\
            \ planifi\xE9es, suivies et communiqu\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Appliquer les crit\xE8\
            res du plan de gestion des vuln\xE9rabilit\xE9s pour d\xE9cider d'accepter,\
            \ de transf\xE9rer, d'att\xE9nuer ou d'\xE9viter le risque\nEx2 : Appliquer\
            \ les crit\xE8res du plan de gestion des vuln\xE9rabilit\xE9s pour s\xE9\
            lectionner des contr\xF4les compensatoires afin d'att\xE9nuer les risques\n\
            Ex3 : Suivre l'avancement de la mise en \u0153uvre de la r\xE9ponse aux\
            \ risques (p. ex., plan d'action et jalons, registre des risques, rapport\
            \ d\xE9taill\xE9 sur les risques)\nEx4 : Utiliser les r\xE9sultats de\
            \ l'\xE9valuation des risques pour \xE9clairer les d\xE9cisions et les\
            \ mesures de r\xE9ponse aux risques\nEx5 : Communiquer les r\xE9ponses\
            \ aux risques pr\xE9vues aux parties prenantes touch\xE9es par ordre de\
            \ priorit\xE9"
        es:
          description: Se eligen, priorizan, planifican, controlan y comunican las
            respuestas al riesgo
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Aplicar los criterios del\
            \ plan de gesti\xF3n de vulnerabilidades para decidir si aceptar, transferir,\
            \ mitigar o evitar el riesgo\nEx2: Aplicar los criterios del plan de gesti\xF3\
            n de vulnerabilidades para seleccionar controles de compensaci\xF3n para\
            \ mitigar el riesgo\nEx3: Seguimiento del progreso de la implementaci\xF3\
            n de la respuesta al riesgo (por ejemplo, plan de acci\xF3n e hitos [POA&M],\
            \ registro de riesgos, informe detallado de riesgos)\nEx4: Utilizar los\
            \ resultados de la evaluaci\xF3n de riesgos para informar las decisiones\
            \ y acciones de respuesta al riesgo\nEx5: Comunicar las respuestas planificadas\
            \ a los riesgos a las partes interesadas afectadas en orden de prioridad"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra-07
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra
      ref_id: ID.RA-07
      description: Changes and exceptions are managed, assessed for risk impact, recorded,
        and tracked
      annotation: 'Ex1: Implement and follow procedures for the formal documentation,
        review, testing, and approval of proposed changes and requested exceptions

        Ex2: Document the possible risks of making or not making each proposed change,
        and provide guidance on rolling back changes

        Ex3: Document the risks related to each requested exception and the plan for
        responding to those risks

        Ex4: Periodically review risks that were accepted based upon planned future
        actions or milestones'
      translations:
        fr:
          description: "Les changements et les exceptions sont g\xE9r\xE9s, \xE9valu\xE9\
            s en termes d\u2019impact sur les risques, enregistr\xE9s et suivis"
          annotation: "Ex1 : Mettre en \u0153uvre et suivre les proc\xE9dures de documentation\
            \ officielle, d'examen, de mise \xE0 l'essai et d'approbation des modifications\
            \ propos\xE9es et des exceptions demand\xE9es\nEx2 : Documentez les risques\
            \ possibles li\xE9s \xE0 l'apport ou \xE0 l'\xE9chec de chaque modification\
            \ propos\xE9e, et fournissez des conseils sur l'annulation des modifications\n\
            Ex3 : Documenter les risques li\xE9s \xE0 chaque exception demand\xE9\
            e et le plan d'intervention \xE0 ces risques\nEx4 : Examiner p\xE9riodiquement\
            \ les risques qui ont \xE9t\xE9 accept\xE9s en fonction des actions ou\
            \ des jalons futurs pr\xE9vus"
        es:
          description: "Se gestionan los cambios y las excepciones, se eval\xFAa su\
            \ impacto en el riesgo, se registran y se realiza su seguimiento"
          annotation: "Ex1: Implementar y seguir procedimientos para la documentaci\xF3\
            n formal, revisi\xF3n, prueba y aprobaci\xF3n de los cambios propuestos\
            \ y las excepciones solicitadas\nEx2: Documentar los posibles riesgos\
            \ de realizar o no realizar cada cambio propuesto y proporcionar orientaci\xF3\
            n sobre c\xF3mo revertir los cambios.\nEx3: Documentar los riesgos relacionados\
            \ con cada excepci\xF3n solicitada y el plan para responder a esos riesgos.\n\
            Ex4: Revisar peri\xF3dicamente los riesgos que se aceptaron en funci\xF3\
            n de las acciones o hitos futuros planificados"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra-08
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra
      ref_id: ID.RA-08
      description: Processes for receiving, analyzing, and responding to vulnerability
        disclosures are established
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Conduct vulnerability information sharing between the organization and
        its suppliers following the rules and protocols defined in contracts

        Ex2: Assign responsibilities and verify the execution of procedures for processing,
        analyzing the impact of, and responding to cybersecurity threat, vulnerability,
        or incident disclosures by suppliers, customers, partners, and government
        cybersecurity organizations'
      translations:
        fr:
          description: "Les processus de r\xE9ception, d\u2019analyse et de r\xE9\
            ponse aux divulgations de vuln\xE9rabilit\xE9s sont \xE9tablis"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Effectuer le partage d'informations sur les vuln\xE9rabilit\xE9\
            s entre l'organisation et ses fournisseurs en suivant les r\xE8gles et\
            \ protocoles d\xE9finis dans les contrats\nEx2 : Attribuez les responsabilit\xE9\
            s et v\xE9rifiez l'ex\xE9cution des proc\xE9dures de traitement, d'analyse\
            \ de l'impact et de r\xE9ponse aux divulgations de menaces, de vuln\xE9\
            rabilit\xE9s ou d'incidents de cybers\xE9curit\xE9 par les fournisseurs,\
            \ les clients, les partenaires et les organisations gouvernementales de\
            \ cybers\xE9curit\xE9"
        es:
          description: Se establecen procesos para recibir, analizar y responder a
            las divulgaciones de vulnerabilidades
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Llevar a cabo el intercambio de informaci\xF3n sobre vulnerabilidades\
            \ entre la organizaci\xF3n y sus proveedores siguiendo las reglas y protocolos\
            \ definidos en los contratos.\nEx2: Asignar responsabilidades y verificar\
            \ la ejecuci\xF3n de procedimientos para procesar, analizar el impacto\
            \ y responder a las divulgaciones de amenazas, vulnerabilidades o incidentes\
            \ de ciberseguridad por parte de proveedores, clientes, socios y organizaciones\
            \ gubernamentales de ciberseguridad"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra-09
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra
      ref_id: ID.RA-09
      description: The authenticity and integrity of hardware and software are assessed
        prior to acquisition and use
      annotation: 'Ex1: Assess the authenticity and cybersecurity of critical technology
        products and services prior to acquisition and use

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "L\u2019authenticit\xE9 et l\u2019int\xE9grit\xE9 du mat\xE9\
            riel et des logiciels sont \xE9valu\xE9es avant l\u2019acquisition et\
            \ l\u2019utilisation."
          annotation: "Ex1 : \xC9valuer l'authenticit\xE9 et la cybers\xE9curit\xE9\
            \ des produits et services technologiques critiques avant l'acquisition\
            \ et l'utilisation\n3\xE8me : Risque de 3\xE8me partie"
        es:
          description: "Se eval\xFAa la autenticidad e integridad del hardware y software\
            \ antes de su adquisici\xF3n y uso"
          annotation: "Ex1: Evaluar la autenticidad y la ciberseguridad de los productos\
            \ y servicios tecnol\xF3gicos cr\xEDticos antes de su adquisici\xF3n y\
            \ uso\n3\xBA: Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra-10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.ra
      ref_id: ID.RA-10
      description: Critical suppliers are assessed prior to acquisition
      annotation: 'Ex1: Conduct supplier risk assessments against business and applicable
        cybersecurity requirements, including the supply chain'
      translations:
        fr:
          description: "Les fournisseurs critiques sont \xE9valu\xE9s avant l\u2019\
            acquisition"
          annotation: "Ex1 : Effectuer des \xE9valuations des risques li\xE9s aux\
            \ fournisseurs par rapport aux exigences commerciales et de cybers\xE9\
            curit\xE9 applicables, y compris la cha\xEEne d'approvisionnement"
        es:
          description: "Se eval\xFAan los proveedores cr\xEDticos antes de su adquisici\xF3\
            n"
          annotation: "Ex1: Realizar evaluaciones de riesgos de los proveedores en\
            \ relaci\xF3n con los requisitos empresariales y de ciberseguridad aplicables,\
            \ incluida la cadena de suministro"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.im
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id
      ref_id: ID.IM
      name: Improvement
      description: Improvements to organizational cybersecurity risk management processes,
        procedures and activities are identified across all CSF Functions
      translations:
        fr:
          name: "Am\xE9lioration"
          description: "Les am\xE9liorations aux processus, proc\xE9dures et activit\xE9\
            s de gestion des risques de cybers\xE9curit\xE9 organisationnels sont\
            \ identifi\xE9es dans toutes les Fonctions du CSF."
        es:
          name: Mejora
          description: "Se identifican mejoras en los procesos, procedimientos y actividades\
            \ de gesti\xF3n de riesgos de seguridad cibern\xE9tica de la organizaci\xF3\
            n en todas las funciones del CSF"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.im-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.im
      ref_id: ID.IM-01
      description: Improvements are identified from evaluations
      annotation: '1st: 1st Party Risk

        Ex1: Perform self-assessments of critical services that take current threats
        and TTPs into consideration

        Ex2: Invest in third-party assessments or independent audits of the effectiveness
        of the organization''s cybersecurity program to identify areas that need improvement

        Ex3: Constantly evaluate compliance with selected cybersecurity requirements
        through automated means'
      translations:
        fr:
          description: "Les am\xE9liorations sont identifi\xE9es \xE0 partir des \xE9\
            valuations"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Effectuer des auto-\xE9\
            valuations des services critiques en tenant compte des menaces actuelles\
            \ et des TTP\nEx2 : Investir dans des \xE9valuations par des tiers ou\
            \ des audits ind\xE9pendants de l'efficacit\xE9 du programme de cybers\xE9\
            curit\xE9 de l'organisation afin de cerner les domaines \xE0 am\xE9liorer\n\
            Ex3 : \xC9valuer en permanence la conformit\xE9 aux exigences de cybers\xE9\
            curit\xE9 s\xE9lectionn\xE9es par des moyens automatis\xE9s"
        es:
          description: Las mejoras se identifican a partir de evaluaciones
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Realizar autoevaluaciones\
            \ de los servicios cr\xEDticos que tengan en cuenta las amenazas actuales\
            \ y los TTP\nEx2: Invertir en evaluaciones de terceros o auditor\xEDas\
            \ independientes de la eficacia del programa de ciberseguridad de la organizaci\xF3\
            n para identificar las \xE1reas que necesitan mejoras.\nEx3: Evaluar constantemente\
            \ el cumplimiento de los requisitos de ciberseguridad seleccionados a\
            \ trav\xE9s de medios automatizados"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.im-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.im
      ref_id: ID.IM-02
      description: Improvements are identified from security tests and exercises,
        including those done in coordination with suppliers and relevant third parties
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Identify improvements for future incident response activities based on
        findings from incident response assessments (e.g., tabletop exercises and
        simulations, tests, internal reviews, independent audits)

        Ex2: Identify improvements for future business continuity, disaster recovery,
        and incident response activities based on exercises performed in coordination
        with critical service providers and product suppliers

        Ex3: Involve internal stakeholders (e.g., senior executives, legal department,
        HR) in security tests and exercises as appropriate

        Ex4: Perform penetration testing to identify opportunities to improve the
        security posture of selected high-risk systems as approved by leadership

        Ex5: Exercise contingency plans for responding to and recovering from the
        discovery that products or services did not originate with the contracted
        supplier or partner or were altered before receipt

        Ex6: Collect and analyze performance metrics using security tools and services
        to inform improvements to the cybersecurity program'
      translations:
        fr:
          description: "Les am\xE9liorations sont identifi\xE9es \xE0 partir de tests\
            \ et d\u2019exercices de s\xE9curit\xE9, y compris ceux effectu\xE9s en\
            \ coordination avec les fournisseurs et les tiers concern\xE9s"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : D\xE9terminer les am\xE9liorations \xE0 apporter aux activit\xE9\
            s d'intervention en cas d'incident futures en fonction des constatations\
            \ des \xE9valuations d'intervention en cas d'incident (p. ex., exercices\
            \ et simulations sur table, essais, examens internes, v\xE9rifications\
            \ ind\xE9pendantes)\nEx2 : Identifier les am\xE9liorations \xE0 apporter\
            \ aux activit\xE9s futures de continuit\xE9 des activit\xE9s, de reprise\
            \ apr\xE8s sinistre et de r\xE9ponse aux incidents sur la base d'exercices\
            \ effectu\xE9s en coordination avec les fournisseurs de services critiques\
            \ et les fournisseurs de produits\nEx3 : Impliquer les parties prenantes\
            \ internes (p. ex., cadres sup\xE9rieurs, service juridique, RH) dans\
            \ les tests et les exercices de s\xE9curit\xE9, le cas \xE9ch\xE9ant\n\
            Ex4 : Effectuer des tests d'intrusion pour identifier les possibilit\xE9\
            s d'am\xE9liorer la posture de s\xE9curit\xE9 de certains syst\xE8mes\
            \ \xE0 haut risque, tels qu'approuv\xE9s par la direction\nEx5 : Mettre\
            \ \xE0 l'essai des plans d'urgence pour r\xE9agir et se remettre de la\
            \ d\xE9couverte que les produits ou services ne proviennent pas du fournisseur\
            \ ou du partenaire contractuel ou qu'ils ont \xE9t\xE9 modifi\xE9s avant\
            \ leur r\xE9ception\nEx6 : Recueillir et analyser les indicateurs de performance\
            \ \xE0 l'aide d'outils et de services de s\xE9curit\xE9 pour \xE9clairer\
            \ les am\xE9liorations du programme de cybers\xE9curit\xE9"
        es:
          description: "Las mejoras se identifican a partir de pruebas y ejercicios\
            \ de seguridad, lo que incluye a los realizados en coordinaci\xF3n con\
            \ proveedores y terceros pertinentes"
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Identificar mejoras para futuras actividades de respuesta a incidentes\
            \ en funci\xF3n de los hallazgos de las evaluaciones de respuesta a incidentes\
            \ (por ejemplo, ejercicios de mesa y simulaciones, pruebas, revisiones\
            \ internas, auditor\xEDas independientes)\nEx2: Identificar mejoras para\
            \ futuras actividades de continuidad del negocio, recuperaci\xF3n ante\
            \ desastres y respuesta a incidentes en funci\xF3n de ejercicios realizados\
            \ en coordinaci\xF3n con proveedores de servicios cr\xEDticos y proveedores\
            \ de productos\nEx3: Involucrar a las partes interesadas internas (por\
            \ ejemplo, altos ejecutivos, departamento legal, recursos humanos) en\
            \ pruebas y ejercicios de seguridad, seg\xFAn corresponda\nEx4: Realizar\
            \ pruebas de penetraci\xF3n para identificar oportunidades para mejorar\
            \ la postura de seguridad de los sistemas de alto riesgo seleccionados\
            \ seg\xFAn lo aprobado por el liderazgo\nEx5: Ejercitar planes de contingencia\
            \ para responder y recuperarse del descubrimiento de que los productos\
            \ o servicios no se originaron con el proveedor o socio contratado o fueron\
            \ alterados antes de su recepci\xF3n\nEx6: Recopilar y analizar m\xE9\
            tricas de rendimiento utilizando herramientas y servicios de seguridad\
            \ para informar sobre las mejoras en el programa de ciberseguridad"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.im-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.im
      ref_id: ID.IM-03
      description: Improvements are identified from execution of operational processes,
        procedures, and activities
      annotation: '1st: 1st Party Risk

        Ex1: Conduct collaborative lessons learned sessions with suppliers

        Ex2: Annually review cybersecurity policies, processes, and procedures to
        take lessons learned into account

        Ex3: Use metrics to assess operational cybersecurity performance over time'
      translations:
        fr:
          description: "Les am\xE9liorations sont identifi\xE9es \xE0 partir de l\u2019\
            ex\xE9cution des processus op\xE9rationnels, des proc\xE9dures et des\
            \ activit\xE9s"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Organiser des sessions\
            \ collaboratives sur les le\xE7ons apprises avec les fournisseurs\nEx2\
            \ : Examiner chaque ann\xE9e les politiques, les processus et les proc\xE9\
            dures de cybers\xE9curit\xE9 pour tenir compte des le\xE7ons apprises.\n\
            Ex3 : Utiliser des indicateurs pour \xE9valuer les performances op\xE9\
            rationnelles en mati\xE8re de cybers\xE9curit\xE9 au fil du temps"
        es:
          description: "Las mejoras se identifican a partir de la ejecuci\xF3n de\
            \ procesos, procedimientos y actividades operativos"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Llevar a cabo sesiones colaborativas\
            \ de lecciones aprendidas con los proveedores\nEx2: Revisar anualmente\
            \ las pol\xEDticas, procesos y procedimientos de ciberseguridad para tener\
            \ en cuenta las lecciones aprendidas.\nEx3: Utilice m\xE9tricas para evaluar\
            \ el rendimiento de la ciberseguridad operativa a lo largo del tiempo"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.im-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:id.im
      ref_id: ID.IM-04
      description: Incident response plans and other cybersecurity plans that affect
        operations are established, communicated, maintained, and improved
      annotation: '1st: 1st Party Risk

        Ex1: Establish contingency plans (e.g., incident response, business continuity,
        disaster recovery) for responding to and recovering from adverse events that
        can interfere with operations, expose confidential information, or otherwise
        endanger the organization''s mission and viability

        Ex2: Include contact and communication information, processes for handling
        common scenarios, and criteria for prioritization, escalation, and elevation
        in all contingency plans

        Ex3: Create a vulnerability management plan to identify and assess all types
        of vulnerabilities and to prioritize, test, and implement risk responses

        Ex4: Communicate cybersecurity plans (including updates) to those responsible
        for carrying them out and to affected parties

        Ex5: Review and update all cybersecurity plans annually or when a need for
        significant improvements is identified'
      translations:
        fr:
          description: "Les plans de r\xE9ponse aux incidents et d\u2019autres plans\
            \ de cybers\xE9curit\xE9 qui affectent les op\xE9rations sont \xE9tablis,\
            \ communiqu\xE9s, maintenus et am\xE9lior\xE9s"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : \xC9tablir des plans\
            \ d'urgence (p. ex., intervention en cas d'incident, continuit\xE9 des\
            \ activit\xE9s, reprise apr\xE8s sinistre) pour intervenir et se remettre\
            \ d'\xE9v\xE9nements ind\xE9sirables qui peuvent interf\xE9rer avec les\
            \ op\xE9rations, exposer des renseignements confidentiels ou mettre en\
            \ danger la mission et la viabilit\xE9 de l'organisation.\nEx2 : Inclure\
            \ les coordonn\xE9es et les informations de communication, les processus\
            \ de gestion des sc\xE9narios courants et les crit\xE8res de hi\xE9rarchisation,\
            \ d'escalade et d'\xE9l\xE9vation dans tous les plans d'urgence\nEx3 :\
            \ Cr\xE9er un plan de gestion des vuln\xE9rabilit\xE9s pour identifier\
            \ et \xE9valuer tous les types de vuln\xE9rabilit\xE9s et hi\xE9rarchiser,\
            \ tester et mettre en \u0153uvre des r\xE9ponses aux risques\nEx4 : Communiquer\
            \ les plans de cybers\xE9curit\xE9 (y compris les mises \xE0 jour) aux\
            \ personnes responsables de leur ex\xE9cution et aux parties concern\xE9\
            es\nEx5 : Examiner et mettre \xE0 jour tous les plans de cybers\xE9curit\xE9\
            \ chaque ann\xE9e ou lorsqu'un besoin d'am\xE9liorations importantes est\
            \ identifi\xE9"
        es:
          description: "Se establecen, comunican, mantienen y mejoran los planes de\
            \ respuesta a incidentes y otros planes de seguridad cibern\xE9tica que\
            \ afectan a las operaciones."
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Establecer planes de contingencia\
            \ (por ejemplo, respuesta a incidentes, continuidad del negocio, recuperaci\xF3\
            n ante desastres) para responder y recuperarse de eventos adversos que\
            \ puedan interferir con las operaciones, exponer informaci\xF3n confidencial\
            \ o poner en peligro la misi\xF3n y viabilidad de la organizaci\xF3n.\n\
            Ex2: Incluya informaci\xF3n de contacto y comunicaci\xF3n, procesos para\
            \ manejar escenarios comunes y criterios para la priorizaci\xF3n, escalamiento\
            \ y elevaci\xF3n en todos los planes de contingencia\nEx3: Crear un plan\
            \ de gesti\xF3n de vulnerabilidades para identificar y evaluar todos los\
            \ tipos de vulnerabilidades y priorizar, probar e implementar respuestas\
            \ al riesgo\nEx4: Comunicar los planes de ciberseguridad (incluidas las\
            \ actualizaciones) a los responsables de llevarlos a cabo y a las partes\
            \ afectadas\nEx5: Revisar y actualizar todos los planes de ciberseguridad\
            \ anualmente o cuando se identifique la necesidad de mejoras significativas."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr
      assessable: false
      depth: 1
      ref_id: PR
      name: PROTECT
      description: Safeguards to manage the organization's cybersecurity risks are
        used
      translations:
        fr:
          name: "PROT\xC9GER"
          description: "Des mesures de protection sont utilis\xE9es pour g\xE9rer\
            \ les risques de cybers\xE9curit\xE9 de l\u2019organisation"
        es:
          name: PROTEGER
          description: "Se utilizan medidas de protecci\xF3n para gestionar los riesgos\
            \ de seguridad cibern\xE9tica de la organizaci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr
      ref_id: PR.AA
      name: Identity Management, Authentication, and Access Control
      description: Access to physical and logical assets is limited to authorized
        users, services, and hardware and  managed commensurate with the assessed
        risk of unauthorized access
      translations:
        fr:
          name: "Gestion des identit\xE9s, authentification et contr\xF4le d\u2019\
            acc\xE8s"
          description: "L\u2019acc\xE8s aux actifs physiques et logiques est limit\xE9\
            \ aux utilisateurs, services et mat\xE9riels autoris\xE9s et g\xE9r\xE9\
            \ en fonction du risque \xE9valu\xE9 d\u2019acc\xE8s non autoris\xE9"
        es:
          name: "Gesti\xF3n de identidades, autenticaci\xF3n y control de acceso"
          description: "El acceso a los activos f\xEDsicos y l\xF3gicos se limita\
            \ a los usuarios, servicios y hardware autorizados y se gestiona de forma\
            \ proporcional al riesgo evaluado de acceso no autorizado"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa
      ref_id: PR.AA-01
      description: Identities and credentials for authorized users, services, and
        hardware are managed by the organization
      annotation: '1st: 1st Party Risk

        Ex1: Initiate requests for new access or additional access for employees,
        contractors, and others, and track, review, and fulfill the requests, with
        permission from system or data owners when needed

        Ex2: Issue, manage, and revoke cryptographic certificates and identity tokens,
        cryptographic keys (i.e., key management), and other credentials

        Ex3: Select a unique identifier for each device from immutable hardware characteristics
        or an identifier securely provisioned to the device

        Ex4: Physically label authorized hardware with an identifier for inventory
        and servicing purposes'
      translations:
        fr:
          description: "Les identit\xE9s et les informations d\u2019identification\
            \ des utilisateurs, services et mat\xE9riels autoris\xE9s sont g\xE9r\xE9\
            es par l\u2019organisation"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Lancez des demandes d'acc\xE8\
            s nouveau ou suppl\xE9mentaire pour les employ\xE9s, les sous-traitants\
            \ et d'autres personnes, et suivez, examinez et r\xE9pondez aux demandes,\
            \ avec l'autorisation des propri\xE9taires du syst\xE8me ou des donn\xE9\
            es, au besoin\nEx2 : \xC9mettre, g\xE9rer et r\xE9voquer des certificats\
            \ cryptographiques et des jetons d'identit\xE9, des cl\xE9s cryptographiques\
            \ (c'est-\xE0-dire la gestion des cl\xE9s) et d'autres informations d'identification\n\
            Ex3 : S\xE9lectionnez un identifiant unique pour chaque appareil \xE0\
            \ partir de caract\xE9ristiques mat\xE9rielles immuables ou d'un identifiant\
            \ provisionn\xE9 en toute s\xE9curit\xE9 sur l'appareil\nEx4 : \xC9tiquetez\
            \ physiquement le mat\xE9riel autoris\xE9 avec un identificateur \xE0\
            \ des fins d'inventaire et d'entretien"
        es:
          description: "La organizaci\xF3n gestiona las identidades y credenciales\
            \ de los usuarios, servicios y equipos autorizados"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Iniciar solicitudes de nuevo\
            \ acceso o acceso adicional para empleados, contratistas y otros, y rastrear,\
            \ revisar y cumplir con las solicitudes, con el permiso de los propietarios\
            \ del sistema o de los datos cuando sea necesario\nEx2: emita, administre\
            \ y revoque certificados criptogr\xE1ficos y tokens de identidad, claves\
            \ criptogr\xE1ficas (es decir, administraci\xF3n de claves) y otras credenciales\n\
            Ex3: seleccione un identificador \xFAnico para cada dispositivo a partir\
            \ de caracter\xEDsticas de hardware inmutables o un identificador aprovisionado\
            \ de forma segura en el dispositivo\nEx4: Etiquete f\xEDsicamente el hardware\
            \ autorizado con un identificador para fines de inventario y servicio"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa
      ref_id: PR.AA-02
      description: Identities are proofed and bound to credentials based on the context
        of interactions
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Verify a person''s claimed identity at enrollment time using government-issued
        identity credentials (e.g., passport, visa, driver''s license)

        Ex2: Issue a different credential for each person (i.e., no credential sharing)'
      translations:
        fr:
          description: "Les identit\xE9s sont v\xE9rifi\xE9es et li\xE9es aux informations\
            \ d\u2019identification en fonction du contexte des interactions"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : V\xE9rifier l'identit\xE9 revendiqu\xE9e d'une personne\
            \ au moment de l'inscription \xE0 l'aide d'identifiants d\xE9livr\xE9\
            s par le gouvernement (par exemple, passeport, visa, permis de conduire)\n\
            Ex2 : \xC9mettre un justificatif d'identit\xE9 diff\xE9rent pour chaque\
            \ personne (c'est-\xE0-dire aucun partage d'identifiant)"
        es:
          description: "Las identidades est\xE1n comprobadas y vinculadas a credenciales\
            \ basadas en el contexto de las interacciones"
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Verificar la identidad declarada de una persona en el momento de\
            \ la inscripci\xF3n utilizando credenciales de identidad emitidas por\
            \ el gobierno (p. ej., pasaporte, visa, licencia de conducir)\nEx2: Emitir\
            \ una credencial diferente para cada persona (es decir, no compartir credenciales)"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa
      ref_id: PR.AA-03
      description: Users, services, and hardware are authenticated
      annotation: '1st: 1st Party Risk

        Ex1: Require multifactor authentication

        Ex2: Enforce policies for the minimum strength of passwords, PINs, and similar
        authenticators

        Ex3: Periodically reauthenticate users, services, and hardware based on risk
        (e.g., in zero trust architectures)

        Ex4: Ensure that authorized personnel can access accounts essential for protecting
        safety under emergency conditions'
      translations:
        fr:
          description: "Les utilisateurs, les services et le mat\xE9riel sont authentifi\xE9\
            s"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Exiger une authentification\
            \ multifacteur\nEx2 : Appliquer des politiques pour la s\xE9curit\xE9\
            \ minimale des mots de passe, des codes PIN et des authentificateurs similaires\n\
            Ex3 : R\xE9authentifier p\xE9riodiquement les utilisateurs, les services\
            \ et le mat\xE9riel en fonction du risque (par exemple, dans les architectures\
            \ Zero Trust)\nEx4 : S'assurer que le personnel autoris\xE9 peut acc\xE9\
            der aux comptes essentiels \xE0 la protection de la s\xE9curit\xE9 en\
            \ cas d'urgence"
        es:
          description: "Los usuarios, servicios y hardware est\xE1n autenticados"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Requerir autenticaci\xF3\
            n multifactor\nEx2: Aplique pol\xEDticas para la seguridad m\xEDnima de\
            \ contrase\xF1as, PIN y autenticadores similares\nEx3: Volver a autenticar\
            \ peri\xF3dicamente a los usuarios, servicios y hardware en funci\xF3\
            n del riesgo (por ejemplo, en arquitecturas de confianza cero)\nPunto\
            \ 4: Garantizar que el personal autorizado pueda acceder a las cuentas\
            \ esenciales para proteger la seguridad en condiciones de emergencia"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa
      ref_id: PR.AA-04
      description: Identity assertions are protected, conveyed, and verified
      annotation: '1st: 1st Party Risk

        Ex1: Protect identity assertions that are used to convey authentication and
        user information through single sign-on systems

        Ex2: Protect identity assertions that are used to convey authentication and
        user information between federated systems

        Ex3: Implement standards-based approaches for identity assertions in all contexts,
        and follow all guidance for the generation (e.g., data models, metadata),
        protection (e.g., digital signing, encryption), and verification (e.g., signature
        validation) of identity assertions'
      translations:
        fr:
          description: "Les affirmations d\u2019identit\xE9 sont prot\xE9g\xE9es,\
            \ transmises et v\xE9rifi\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Prot\xE9ger les assertions\
            \ d'identit\xE9 utilis\xE9es pour transmettre l'authentification et les\
            \ informations de l'utilisateur via des syst\xE8mes d'authentification\
            \ unique\nEx2 : Prot\xE9ger les assertions d'identit\xE9 utilis\xE9es\
            \ pour transmettre l'authentification et les informations utilisateur\
            \ entre les syst\xE8mes f\xE9d\xE9r\xE9s\nEx3 : Mettre en \u0153uvre des\
            \ approches fond\xE9es sur des normes pour les assertions d'identit\xE9\
            \ dans tous les contextes et suivre toutes les directives pour la g\xE9\
            n\xE9ration (par exemple, mod\xE8les de donn\xE9es, m\xE9tadonn\xE9es),\
            \ la protection (par exemple, signature num\xE9rique, cryptage) et la\
            \ v\xE9rification (par exemple, validation de signature) des assertions\
            \ d'identit\xE9"
        es:
          description: Las afirmaciones de identidad se protegen, transmiten y verifican
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Proteger las aserciones\
            \ de identidad que se utilizan para transmitir informaci\xF3n de autenticaci\xF3\
            n y usuario a trav\xE9s de sistemas de inicio de sesi\xF3n \xFAnico\n\
            Ex2: Proteger las aserciones de identidad que se utilizan para transmitir\
            \ informaci\xF3n de autenticaci\xF3n y usuario entre sistemas federados\n\
            Ex3: Implemente enfoques basados en est\xE1ndares para las aserciones\
            \ de identidad en todos los contextos y siga todas las instrucciones para\
            \ la generaci\xF3n (p. ej., modelos de datos, metadatos), protecci\xF3\
            n (p. ej., firma digital, cifrado) y verificaci\xF3n (p. ej., validaci\xF3\
            n de firma) de aserciones de identidad"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa
      ref_id: PR.AA-05
      description: Access permissions, entitlements, and authorizations are defined
        in a policy, managed, enforced, and reviewed, and incorporate the principles
        of least privilege and separation of duties
      annotation: '1st: 1st Party Risk

        Ex1: Review logical and physical access privileges periodically and whenever
        someone changes roles or leaves the organization, and promptly rescind privileges
        that are no longer needed

        Ex2: Take attributes of the requester and the requested resource into account
        for authorization decisions (e.g., geolocation, day/time, requester endpoint''s
        cyber health)

        Ex3: Restrict access and privileges to the minimum necessary (e.g., zero trust
        architecture)

        Ex4: Periodically review the privileges associated with critical business
        functions to confirm proper separation of duties'
      translations:
        fr:
          description: "Les autorisations d\u2019acc\xE8s, les droits et les autorisations\
            \ sont d\xE9finis dans une politique, g\xE9r\xE9s, appliqu\xE9s et revus,\
            \ et int\xE8grent les principes du moindre privil\xE8ge et de la s\xE9\
            paration des t\xE2ches"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Examinez r\xE9guli\xE8\
            rement les privil\xE8ges d'acc\xE8s logique et physique et chaque fois\
            \ qu'une personne change de r\xF4le ou quitte l'organisation, et annulez\
            \ rapidement les privil\xE8ges qui ne sont plus n\xE9cessaires\nEx2 :\
            \ Prendre en compte les attributs du demandeur et de la ressource demand\xE9\
            e pour les d\xE9cisions d'autorisation (par exemple, g\xE9olocalisation,\
            \ jour/heure, cybersant\xE9 du point de terminaison du demandeur)\nEx3\
            \ : Restreindre l'acc\xE8s et les privil\xE8ges au minimum n\xE9cessaire\
            \ (par exemple, architecture Zero Trust)\nEx4 : Examiner p\xE9riodiquement\
            \ les privil\xE8ges associ\xE9s aux fonctions op\xE9rationnelles essentielles\
            \ pour confirmer la bonne s\xE9paration des t\xE2ches"
        es:
          description: "Los permisos de acceso, los derechos y las autorizaciones\
            \ se definen en una pol\xEDtica, se gestionan, se aplican y se revisan,\
            \ e incorporan los principios de privilegio m\xEDnimo y separaci\xF3n\
            \ de funciones"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Revise los privilegios de\
            \ acceso l\xF3gico y f\xEDsico peri\xF3dicamente y cada vez que alguien\
            \ cambie de rol o abandone la organizaci\xF3n, y rescinda de inmediato\
            \ los privilegios que ya no sean necesarios\nEx2: Tenga en cuenta los\
            \ atributos del solicitante y el recurso solicitado para las decisiones\
            \ de autorizaci\xF3n (por ejemplo, geolocalizaci\xF3n, d\xEDa/hora, estado\
            \ cibern\xE9tico del punto final del solicitante)\nEx3: Restrinja el acceso\
            \ y los privilegios al m\xEDnimo necesario (por ejemplo, arquitectura\
            \ de confianza cero)\nEx4: Revisar peri\xF3dicamente los privilegios asociados\
            \ con las funciones cr\xEDticas del negocio para confirmar la separaci\xF3\
            n adecuada de funciones"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.aa
      ref_id: PR.AA-06
      description: Physical access to assets is managed, monitored, and enforced commensurate
        with risk
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Use security guards, security cameras, locked entrances, alarm systems,
        and other physical controls to monitor facilities and restrict access

        Ex2: Employ additional physical security controls for areas that contain high-risk
        assets

        Ex3: Escort guests, vendors, and other third parties within areas that contain
        business-critical assets'
      translations:
        fr:
          description: "L\u2019acc\xE8s physique aux actifs est g\xE9r\xE9, surveill\xE9\
            \ et appliqu\xE9 en fonction du risque"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Utilisez des agents de s\xE9curit\xE9, des cam\xE9ras\
            \ de s\xE9curit\xE9, des entr\xE9es verrouill\xE9es, des syst\xE8mes d'alarme\
            \ et d'autres contr\xF4les physiques pour surveiller les installations\
            \ et restreindre l'acc\xE8s\nEx2 : Utiliser des contr\xF4les de s\xE9\
            curit\xE9 physique suppl\xE9mentaires pour les zones qui contiennent des\
            \ actifs \xE0 risque \xE9lev\xE9\nEx3 : Escorter des invit\xE9s, des fournisseurs\
            \ et d'autres tiers dans des zones contenant des actifs critiques pour\
            \ l'entreprise"
        es:
          description: "El acceso f\xEDsico a los activos se gestiona, supervisa y\
            \ aplica de forma proporcional al riesgo"
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Use guardias de seguridad, c\xE1maras de seguridad, entradas cerradas,\
            \ sistemas de alarma y otros controles f\xEDsicos para monitorear las\
            \ instalaciones y restringir el acceso\nEx2: Emplear controles de seguridad\
            \ f\xEDsica adicionales para \xE1reas que contienen activos de alto riesgo\n\
            Ex3: Acompa\xF1e a invitados, proveedores y otros terceros dentro de \xE1\
            reas que contengan activos cr\xEDticos para el negocio"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.at
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr
      ref_id: PR.AT
      name: Awareness and Training
      description: The organization's personnel are provided with cybersecurity awareness
        and training so that they can perform their cybersecurity-related tasks
      translations:
        fr:
          name: Sensibilisation et formation
          description: "Le personnel de l\u2019organisation re\xE7oit une sensibilisation\
            \ et une formation \xE0 la cybers\xE9curit\xE9 afin qu\u2019il puisse\
            \ accomplir ses t\xE2ches li\xE9es \xE0 la cybers\xE9curit\xE9"
        es:
          name: "Concienciaci\xF3n y capacitaci\xF3n"
          description: "Se proporciona al personal de la organizaci\xF3n concienciaci\xF3\
            n y capacitaci\xF3n en seguridad cibern\xE9tica para que puedan realizar\
            \ sus tareas relacionadas con la seguridad cibern\xE9tica"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.at-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.at
      ref_id: PR.AT-01
      description: Personnel are provided with awareness and training so that they
        possess the knowledge and skills to perform general tasks with cybersecurity
        risks in mind
      annotation: '1st: 1st Party Risk

        Ex1: Provide basic cybersecurity awareness and training to employees, contractors,
        partners, suppliers, and all other users of the organization''s non-public
        resources

        Ex2: Train personnel to recognize social engineering attempts and other common
        attacks, report attacks and suspicious activity, comply with acceptable use
        policies, and perform basic cyber hygiene tasks (e.g., patching software,
        choosing passwords, protecting credentials)

        Ex3: Explain the consequences of cybersecurity policy violations, both to
        individual users and the organization as a whole

        Ex4: Periodically assess or test users on their understanding of basic cybersecurity
        practices

        Ex5: Require annual refreshers to reinforce existing practices and introduce
        new practices'
      translations:
        fr:
          description: "Le personnel est sensibilis\xE9 et form\xE9 afin qu\u2019\
            il poss\xE8de les connaissances et les comp\xE9tences n\xE9cessaires pour\
            \ effectuer des t\xE2ches g\xE9n\xE9rales en tenant compte des risques\
            \ de cybers\xE9curit\xE9"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Fournir une sensibilisation\
            \ et une formation de base en mati\xE8re de cybers\xE9curit\xE9 aux employ\xE9\
            s, aux entrepreneurs, aux partenaires, aux fournisseurs et \xE0 tous les\
            \ autres utilisateurs des ressources non publiques de l'organisation.\n\
            Ex2 : Former le personnel \xE0 reconna\xEEtre les tentatives d'ing\xE9\
            nierie sociale et autres attaques courantes, \xE0 signaler les attaques\
            \ et les activit\xE9s suspectes, \xE0 se conformer aux politiques d'utilisation\
            \ acceptable et \xE0 effectuer des t\xE2ches de base en mati\xE8re de\
            \ cyberhygi\xE8ne (p. ex., corriger les logiciels, choisir des mots de\
            \ passe, prot\xE9ger les justificatifs d'identit\xE9)\nEx3 : Expliquer\
            \ les cons\xE9quences des violations de la politique de cybers\xE9curit\xE9\
            , \xE0 la fois aux utilisateurs individuels et \xE0 l'organisation dans\
            \ son ensemble\nEx4 : \xC9valuer ou tester p\xE9riodiquement les utilisateurs\
            \ sur leur compr\xE9hension des pratiques de base en mati\xE8re de cybers\xE9\
            curit\xE9\nEx5 : Exiger des mises \xE0 jour annuelles pour renforcer les\
            \ pratiques existantes et introduire de nouvelles pratiques"
        es:
          description: "Se sensibiliza y capacita al personal para que disponga de\
            \ los conocimientos y habilidades necesarios para realizar tareas generales\
            \ teniendo en cuenta los riesgos de seguridad cibern\xE9tica"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Proporcionar concienciaci\xF3\
            n y formaci\xF3n b\xE1sicas en materia de ciberseguridad a los empleados,\
            \ contratistas, socios, proveedores y todos los dem\xE1s usuarios de los\
            \ recursos no p\xFAblicos de la organizaci\xF3n.\nEx2: Capacitar al personal\
            \ para reconocer intentos de ingenier\xEDa social y otros ataques comunes,\
            \ informar ataques y actividades sospechosas, cumplir con las pol\xED\
            ticas de uso aceptable y realizar tareas b\xE1sicas de higiene cibern\xE9\
            tica (por ejemplo, parchear software, elegir contrase\xF1as, proteger\
            \ credenciales)\nEx3: Explicar las consecuencias de las violaciones de\
            \ las pol\xEDticas de ciberseguridad, tanto a los usuarios individuales\
            \ como a la organizaci\xF3n en su conjunto\nEx4: Evaluar o evaluar peri\xF3\
            dicamente a los usuarios en su comprensi\xF3n de las pr\xE1cticas b\xE1\
            sicas de ciberseguridad\nEx5: Exigir un repaso anual para reforzar las\
            \ pr\xE1cticas existentes e introducir nuevas pr\xE1cticas"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.at-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.at
      ref_id: PR.AT-02
      description: Individuals in specialized roles are provided with awareness and
        training so that they possess the knowledge and skills to perform relevant
        tasks with cybersecurity risks in mind
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Identify the specialized roles within the organization that require additional
        cybersecurity training, such as physical and cybersecurity personnel, finance
        personnel, senior leadership, and anyone with access to business-critical
        data

        Ex2: Provide role-based cybersecurity awareness and training to all those
        in specialized roles, including contractors, partners, suppliers, and other
        third parties

        Ex3: Periodically assess or test users on their understanding of cybersecurity
        practices for their specialized roles

        Ex4: Require annual refreshers to reinforce existing practices and introduce
        new practices'
      translations:
        fr:
          description: "Les personnes occupant des postes sp\xE9cialis\xE9s re\xE7\
            oivent une sensibilisation et une formation afin qu\u2019elles poss\xE8\
            dent les connaissances et les comp\xE9tences n\xE9cessaires pour effectuer\
            \ des t\xE2ches pertinentes en tenant compte des risques de cybers\xE9\
            curit\xE9"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Identifiez les r\xF4les sp\xE9cialis\xE9s au sein de l'organisation\
            \ qui n\xE9cessitent une formation suppl\xE9mentaire en cybers\xE9curit\xE9\
            , tels que le personnel physique et de cybers\xE9curit\xE9, le personnel\
            \ financier, la haute direction et toute personne ayant acc\xE8s \xE0\
            \ des donn\xE9es critiques pour l'entreprise\nEx2 : Fournir une sensibilisation\
            \ et une formation en cybers\xE9curit\xE9 bas\xE9es sur les r\xF4les \xE0\
            \ toutes les personnes occupant des r\xF4les sp\xE9cialis\xE9s, y compris\
            \ les entrepreneurs, les partenaires, les fournisseurs et d'autres tiers\n\
            Ex3 : \xC9valuer ou tester p\xE9riodiquement la compr\xE9hension des utilisateurs\
            \ des pratiques de cybers\xE9curit\xE9 pour leurs r\xF4les sp\xE9cialis\xE9\
            s\nEx4 : Exiger des mises \xE0 jour annuelles pour renforcer les pratiques\
            \ existantes et introduire de nouvelles pratiques"
        es:
          description: "Se sensibiliza y capacita a las personas que desempe\xF1an\
            \ funciones especializadas para que posean los conocimientos y aptitudes\
            \ necesarios para realizar las tareas pertinentes teniendo en cuenta los\
            \ riesgos de seguridad cibern\xE9tica"
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Identificar los roles especializados dentro de la organizaci\xF3\
            n que requieren capacitaci\xF3n adicional en ciberseguridad, como el personal\
            \ f\xEDsico y de ciberseguridad, el personal financiero, el liderazgo\
            \ s\xE9nior y cualquier persona con acceso a datos cr\xEDticos para el\
            \ negocio\nEx2: Proporcionar concienciaci\xF3n y formaci\xF3n en ciberseguridad\
            \ basada en funciones a todos los que desempe\xF1an funciones especializadas,\
            \ incluidos contratistas, socios, proveedores y otros terceros.\nEx3:\
            \ Evaluar o evaluar peri\xF3dicamente a los usuarios sobre su comprensi\xF3\
            n de las pr\xE1cticas de ciberseguridad para sus roles especializados\n\
            Ex4: Exigir un repaso anual para reforzar las pr\xE1cticas existentes\
            \ e introducir nuevas pr\xE1cticas"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ds
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr
      ref_id: PR.DS
      name: Data Security
      description: Data are managed consistent with the organization's risk strategy
        to protect the confidentiality, integrity, and availability of information
      translations:
        fr:
          name: "S\xE9curit\xE9 des donn\xE9es"
          description: "Les donn\xE9es sont g\xE9r\xE9es conform\xE9ment \xE0 la strat\xE9\
            gie de risque de l\u2019organisation afin de prot\xE9ger la confidentialit\xE9\
            , l\u2019int\xE9grit\xE9 et la disponibilit\xE9 des informations"
        es:
          name: Seguridad de datos
          description: "Los datos se gestionan de forma coherente con la estrategia\
            \ de riesgos de la organizaci\xF3n para proteger la confidencialidad,\
            \ integridad y disponibilidad de la informaci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ds-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ds
      ref_id: PR.DS-01
      description: The confidentiality, integrity, and availability of data-at-rest
        are protected
      annotation: '1st: 1st Party Risk

        Ex1: Use encryption, digital signatures, and cryptographic hashes to protect
        the confidentiality and integrity of stored data in files, databases, virtual
        machine disk images, container images, and other resources

        Ex2: Use full disk encryption to protect data stored on user endpoints

        Ex3: Confirm the integrity of software by validating signatures

        Ex4: Restrict the use of removable media to prevent data exfiltration

        Ex5: Physically secure removable media containing unencrypted sensitive information,
        such as within locked offices or file cabinets'
      translations:
        fr:
          description: "La confidentialit\xE9, l\u2019int\xE9grit\xE9 et la disponibilit\xE9\
            \ des donn\xE9es au repos sont prot\xE9g\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Utilisez le chiffrement,\
            \ les signatures num\xE9riques et les hachages cryptographiques pour prot\xE9\
            ger la confidentialit\xE9 et l'int\xE9grit\xE9 des donn\xE9es stock\xE9\
            es dans des fichiers, des bases de donn\xE9es, des images de disque de\
            \ machine virtuelle, des images de conteneur et d'autres ressources\n\
            Ex2 : Utiliser le chiffrement complet du disque pour prot\xE9ger les donn\xE9\
            es stock\xE9es sur les terminaux des utilisateurs\nEx3 : Confirmer l'int\xE9\
            grit\xE9 du logiciel en validant les signatures\nEx4 : Restreindre l'utilisation\
            \ des supports amovibles pour \xE9viter l'exfiltration de donn\xE9es\n\
            Ex5 : Supports amovibles physiquement s\xE9curis\xE9s contenant des informations\
            \ sensibles non crypt\xE9es, par exemple dans des bureaux verrouill\xE9\
            s ou des classeurs"
        es:
          description: "La confidencialidad, la integridad y la disponibilidad de\
            \ los datos en reposo est\xE1n protegidas"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: use el cifrado, las firmas\
            \ digitales y los hashes criptogr\xE1ficos para proteger la confidencialidad\
            \ y la integridad de los datos almacenados en archivos, bases de datos,\
            \ im\xE1genes de disco de m\xE1quina virtual, im\xE1genes de contenedor\
            \ y otros recursos\nEx2: Utilice el cifrado de disco completo para proteger\
            \ los datos almacenados en los puntos de conexi\xF3n de usuario\nEx3:\
            \ Confirme la integridad del software mediante la validaci\xF3n de firmas\n\
            Ex4: Restrinja el uso de medios extra\xEDbles para evitar la exfiltraci\xF3\
            n de datos\nEx5: Medios extra\xEDbles f\xEDsicamente seguros que contienen\
            \ informaci\xF3n confidencial sin cifrar, como dentro de oficinas o archivadores\
            \ cerrados con llave"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ds-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ds
      ref_id: PR.DS-02
      description: The confidentiality, integrity, and availability of data-in-transit
        are protected
      annotation: '1st: 1st Party Risk

        Ex1: Use encryption, digital signatures, and cryptographic hashes to protect
        the confidentiality and integrity of network communications

        Ex2: Automatically encrypt or block outbound emails and other communications
        that contain sensitive data, depending on the data classification

        Ex3: Block access to personal email, file sharing, file storage services,
        and other personal communications applications and services from organizational
        systems and networks

        Ex4: Prevent reuse of sensitive data from production environments (e.g., customer
        records) in development, testing, and other non-production environments'
      translations:
        fr:
          description: "La confidentialit\xE9, l\u2019int\xE9grit\xE9 et la disponibilit\xE9\
            \ des donn\xE9es en transit sont prot\xE9g\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Utilisez le cryptage,\
            \ les signatures num\xE9riques et les hachages cryptographiques pour prot\xE9\
            ger la confidentialit\xE9 et l'int\xE9grit\xE9 des communications r\xE9\
            seau\nEx2 : Chiffrer ou bloquer automatiquement les e-mails sortants et\
            \ autres communications contenant des donn\xE9es sensibles, en fonction\
            \ de la classification des donn\xE9es\nEx3 : Bloquer l'acc\xE8s \xE0 la\
            \ messagerie personnelle, au partage de fichiers, aux services de stockage\
            \ de fichiers et \xE0 d'autres applications et services de communications\
            \ personnelles \xE0 partir des syst\xE8mes et r\xE9seaux de l'organisation\n\
            Ex4 : Emp\xEAcher la r\xE9utilisation des donn\xE9es sensibles des environnements\
            \ de production (par exemple, les dossiers clients) dans les environnements\
            \ de d\xE9veloppement, de test et autres environnements hors production"
        es:
          description: "La confidencialidad, la integridad y la disponibilidad de\
            \ los datos en tr\xE1nsito est\xE1n protegidas"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Utilice el cifrado, las\
            \ firmas digitales y los hashes criptogr\xE1ficos para proteger la confidencialidad\
            \ y la integridad de las comunicaciones de red\nEx2: Cifre o bloquee autom\xE1\
            ticamente los correos electr\xF3nicos salientes y otras comunicaciones\
            \ que contengan datos confidenciales, seg\xFAn la clasificaci\xF3n de\
            \ datos\nEx3: Bloquear el acceso al correo electr\xF3nico personal, el\
            \ uso compartido de archivos, los servicios de almacenamiento de archivos\
            \ y otras aplicaciones y servicios de comunicaciones personales desde\
            \ los sistemas y redes de la organizaci\xF3n\nEx4: Evitar la reutilizaci\xF3\
            n de datos confidenciales de entornos de producci\xF3n (por ejemplo, registros\
            \ de clientes) en entornos de desarrollo, pruebas y otros entornos que\
            \ no sean de producci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ds-10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ds
      ref_id: PR.DS-10
      description: The confidentiality, integrity, and availability of data-in-use
        are protected
      annotation: '1st: 1st Party Risk

        Ex1: Remove data that must remain confidential (e.g., from processors and
        memory) as soon as it is no longer needed

        Ex2: Protect data in use from access by other users and processes of the same
        platform'
      translations:
        fr:
          description: "La confidentialit\xE9, l\u2019int\xE9grit\xE9 et la disponibilit\xE9\
            \ des donn\xE9es en cours d\u2019utilisation sont prot\xE9g\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Supprimez les donn\xE9\
            es qui doivent rester confidentielles (par exemple, des processeurs et\
            \ de la m\xE9moire) d\xE8s qu'elles ne sont plus n\xE9cessaires\nEx2 :\
            \ Prot\xE9ger les donn\xE9es en cours d'utilisation contre l'acc\xE8s\
            \ par d'autres utilisateurs et processus de la m\xEAme plateforme"
        es:
          description: "La confidencialidad, la integridad y la disponibilidad de\
            \ los datos en uso est\xE1n protegidas"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Eliminar los datos que deben\
            \ permanecer confidenciales (por ejemplo, de los procesadores y la memoria)\
            \ tan pronto como ya no sean necesarios\nEx2: Proteger los datos en uso\
            \ del acceso de otros usuarios y procesos de la misma plataforma"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ds-11
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ds
      ref_id: PR.DS-11
      description: Backups of data are created, protected, maintained, and tested
      annotation: '1st: 1st Party Risk

        Ex1: Continuously back up critical data in near-real-time, and back up other
        data frequently at agreed-upon schedules

        Ex2: Test backups and restores for all types of data sources at least annually

        Ex3: Securely store some backups offline and offsite so that an incident or
        disaster will not damage them

        Ex4: Enforce geographic separation and geolocation restrictions for data backup
        storage'
      translations:
        fr:
          description: "Les sauvegardes des donn\xE9es sont cr\xE9\xE9es, prot\xE9\
            g\xE9es, maintenues et test\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Sauvegardez en continu\
            \ les donn\xE9es critiques en temps quasi r\xE9el et sauvegardez fr\xE9\
            quemment d'autres donn\xE9es selon des calendriers convenus\nEx2 : Testez\
            \ les sauvegardes et les restaurations pour tous les types de sources\
            \ de donn\xE9es au moins une fois par an\nEx3 : Stocker en toute s\xE9\
            curit\xE9 certaines sauvegardes hors ligne et hors site afin qu'un incident\
            \ ou un d\xE9sastre ne les endommage pas\nEx4 : Appliquer des restrictions\
            \ de s\xE9paration g\xE9ographique et de g\xE9olocalisation pour le stockage\
            \ des sauvegardes de donn\xE9es"
        es:
          description: Se crean, protegen, mantienen y comprueban copias de seguridad
            de los datos
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Realice copias de seguridad\
            \ continuas de datos cr\xEDticos casi en tiempo real y haga copias de\
            \ seguridad de otros datos con frecuencia en los horarios acordados\n\
            Ex2: Pruebe las copias de seguridad y restauraciones de todos los tipos\
            \ de fuentes de datos al menos una vez al a\xF1o\nEx3: Almacene de forma\
            \ segura algunas copias de seguridad fuera de l\xEDnea y fuera del sitio\
            \ para que un incidente o desastre no las da\xF1e\nEx4: Aplicar restricciones\
            \ de separaci\xF3n geogr\xE1fica y geolocalizaci\xF3n para el almacenamiento\
            \ de copias de seguridad de datos"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr
      ref_id: PR.PS
      name: Platform Security
      description: The hardware, software (e.g., firmware, operating systems, applications),
        and services of physical and virtual platforms are managed consistent with
        the organization's risk strategy to protect their confidentiality, integrity,
        and availability
      translations:
        fr:
          name: "S\xE9curit\xE9 de la plateforme"
          description: "Le mat\xE9riel, les logiciels (p. ex., les micrologiciels,\
            \ les syst\xE8mes d\u2019exploitation, les applications) et les services\
            \ des plateformes physiques et virtuelles sont g\xE9r\xE9s conform\xE9\
            ment \xE0 la strat\xE9gie de risque de l\u2019organisation pour prot\xE9\
            ger leur confidentialit\xE9, leur int\xE9grit\xE9 et leur disponibilit\xE9"
        es:
          name: Seguridad de plataformas
          description: "El hardware, el software (p. ej., firmware, sistemas operativos,\
            \ aplicaciones) y los servicios de las plataformas f\xEDsicas y virtuales\
            \ se gestionan de acuerdo con la estrategia de riesgos de la organizaci\xF3\
            n para proteger su confidencialidad, integridad y disponibilidad"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps
      ref_id: PR.PS-01
      description: Configuration management practices are established and applied
      annotation: '1st: 1st Party Risk

        Ex1: Establish, test, deploy, and maintain hardened baselines that enforce
        the organization''s cybersecurity policies and provide only essential capabilities
        (i.e., principle of least functionality)

        Ex2: Review all default configuration settings that may potentially impact
        cybersecurity when installing or upgrading software

        Ex3: Monitor implemented software for deviations from approved baselines'
      translations:
        fr:
          description: "Les pratiques de gestion de la configuration sont \xE9tablies\
            \ et appliqu\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : \xC9tablir, tester, d\xE9\
            ployer et maintenir des bases de r\xE9f\xE9rence renforc\xE9es qui appliquent\
            \ les politiques de cybers\xE9curit\xE9 de l'organisation et ne fournissent\
            \ que des capacit\xE9s essentielles (c'est-\xE0-dire le principe de la\
            \ moindre fonctionnalit\xE9)\nEx2 : Passez en revue tous les param\xE8\
            tres de configuration par d\xE9faut susceptibles d'avoir un impact sur\
            \ la cybers\xE9curit\xE9 lors de l'installation ou de la mise \xE0 niveau\
            \ d'un logiciel\nEx3 : Surveiller les logiciels mis en \u0153uvre pour\
            \ d\xE9tecter les \xE9carts par rapport aux lignes de base approuv\xE9\
            es"
        es:
          description: "Se establecen y aplican pr\xE1cticas de gesti\xF3n de la configuraci\xF3\
            n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Establecer, probar, implementar\
            \ y mantener l\xEDneas de base reforzadas que hagan cumplir las pol\xED\
            ticas de ciberseguridad de la organizaci\xF3n y proporcionen solo capacidades\
            \ esenciales (es decir, el principio de funcionalidad m\xEDnima)\nEx2:\
            \ Revise todos los ajustes de configuraci\xF3n predeterminados que puedan\
            \ afectar a la ciberseguridad al instalar o actualizar software\nEx3:\
            \ Supervisar el software implementado para detectar desviaciones de las\
            \ l\xEDneas de base aprobadas"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps
      ref_id: PR.PS-02
      description: Software is maintained, replaced, and removed commensurate with
        risk
      annotation: '1st: 1st Party Risk

        Ex1: Perform routine and emergency patching within the timeframes specified
        in the vulnerability management plan

        Ex2: Update container images, and deploy new container instances to replace
        rather than update existing instances

        Ex3: Replace end-of-life software and service versions with supported, maintained
        versions

        Ex4: Uninstall and remove unauthorized software and services that pose undue
        risks

        Ex5: Uninstall and remove any unnecessary software components (e.g., operating
        system utilities) that attackers might misuse

        Ex6: Define and implement plans for software and service end-of-life maintenance
        support and obsolescence'
      translations:
        fr:
          description: "Le logiciel est maintenu, remplac\xE9 et supprim\xE9 en fonction\
            \ du risque"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Effectuer des correctifs\
            \ de routine et d'urgence dans les d\xE9lais sp\xE9cifi\xE9s dans le plan\
            \ de gestion des vuln\xE9rabilit\xE9s\nEx2 : Mettre \xE0 jour les images\
            \ de conteneur et d\xE9ployer de nouvelles instances de conteneur pour\
            \ remplacer plut\xF4t que mettre \xE0 jour les instances existantes\n\
            Ex3 : Remplacer les versions logicielles et de service en fin de vie par\
            \ des versions prises en charge et g\xE9r\xE9es\nEx4 : D\xE9sinstaller\
            \ et supprimer les logiciels et services non autoris\xE9s qui pr\xE9sentent\
            \ des risques excessifs\nEx5 : D\xE9sinstallez et supprimez tous les composants\
            \ logiciels inutiles (par exemple, les utilitaires du syst\xE8me d'exploitation)\
            \ que les attaquants pourraient utiliser \xE0 mauvais escient\nEx6 : D\xE9\
            finir et mettre en \u0153uvre des plans de support de maintenance en fin\
            \ de vie et d'obsolescence des logiciels et des services"
        es:
          description: "Se mantiene, sustituye y elimina el software en funci\xF3\
            n del riesgo"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Realizar parches de rutina\
            \ y de emergencia dentro de los plazos especificados en el plan de gesti\xF3\
            n de vulnerabilidades\nEx2: Actualice las im\xE1genes de contenedor e\
            \ implemente nuevas instancias de contenedor para reemplazar las instancias\
            \ existentes en lugar de actualizarlas\nEx3: Sustituya las versiones de\
            \ software y servicios al final de su vida \xFAtil por versiones compatibles\
            \ y mantenidas\nEx4: Desinstalar y eliminar software y servicios no autorizados\
            \ que presenten riesgos indebidos\nEx5: Desinstale y elimine cualquier\
            \ componente de software innecesario (por ejemplo, utilidades del sistema\
            \ operativo) que los atacantes puedan utilizar indebidamente\nEx6: Definir\
            \ e implementar planes para el soporte de mantenimiento al final de la\
            \ vida \xFAtil del software y los servicios y la obsolescencia"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps
      ref_id: PR.PS-03
      description: Hardware is maintained, replaced, and removed commensurate with
        risk
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Replace hardware when it lacks needed security capabilities or when it
        cannot support software with needed security capabilities

        Ex2: Define and implement plans for hardware end-of-life maintenance support
        and obsolescence

        Ex3: Perform hardware disposal in a secure, responsible, and auditable manner'
      translations:
        fr:
          description: "Le mat\xE9riel est entretenu, remplac\xE9 et retir\xE9 en\
            \ fonction du risque"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Remplacer le mat\xE9riel lorsqu'il ne dispose pas des\
            \ fonctionnalit\xE9s de s\xE9curit\xE9 n\xE9cessaires ou lorsqu'il ne\
            \ peut pas prendre en charge les logiciels dot\xE9s des capacit\xE9s de\
            \ s\xE9curit\xE9 n\xE9cessaires\nEx2 : D\xE9finir et mettre en \u0153\
            uvre des plans de support de maintenance en fin de vie et d'obsolescence\
            \ du mat\xE9riel\nEx3 : Effectuer la mise au rebut du mat\xE9riel de mani\xE8\
            re s\xE9curis\xE9e, responsable et v\xE9rifiable"
        es:
          description: "Se mantiene, sustituye y elimina el hardware en funci\xF3\
            n del riesgo"
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Reemplace el hardware cuando carezca de las capacidades de seguridad\
            \ necesarias o cuando no pueda admitir software con las capacidades de\
            \ seguridad necesarias\nEx2: Definir e implementar planes para el soporte\
            \ de mantenimiento al final de la vida \xFAtil del hardware y la obsolescencia\n\
            Ex3: Realizar la eliminaci\xF3n de hardware de forma segura, responsable\
            \ y auditable"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps
      ref_id: PR.PS-04
      description: Log records are generated and made available for continuous monitoring
      annotation: '1st: 1st Party Risk

        Ex1: Configure all operating systems, applications, and services (including
        cloud-based services) to generate log records

        Ex2: Configure log generators to securely share their logs with the organization''s
        logging infrastructure systems and services

        Ex3: Configure log generators to record the data needed by zero-trust architectures'
      translations:
        fr:
          description: "Les enregistrements de journaux sont g\xE9n\xE9r\xE9s et mis\
            \ \xE0 disposition pour une surveillance continue"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Configurer tous les syst\xE8\
            mes d'exploitation, applications et services (y compris les services bas\xE9\
            s sur le cloud) pour g\xE9n\xE9rer des enregistrements de journal\nEx2\
            \ : Configurer les g\xE9n\xE9rateurs de journaux pour partager en toute\
            \ s\xE9curit\xE9 leurs journaux avec les syst\xE8mes et services d'infrastructure\
            \ de journalisation de l'organisation.\nEx3 : Configurer des g\xE9n\xE9\
            rateurs de journaux pour enregistrer les donn\xE9es requises par les architectures\
            \ Zero Trust"
        es:
          description: "Se generen registros y se ponen a disposici\xF3n para una\
            \ supervisi\xF3n continua"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Configurar todos los sistemas\
            \ operativos, aplicaciones y servicios (incluidos los servicios basados\
            \ en la nube) para generar registros\nEx2: Configurar generadores de registros\
            \ para compartir de forma segura sus registros con los sistemas y servicios\
            \ de infraestructura de registro de la organizaci\xF3n\nEx3: Configurar\
            \ generadores de registros para registrar los datos que necesitan las\
            \ arquitecturas de confianza cero"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps
      ref_id: PR.PS-05
      description: Installation and execution of unauthorized software are prevented
      annotation: '1st: 1st Party Risk

        Ex1: When risk warrants it, restrict software execution to permitted products
        only or deny the execution of prohibited and unauthorized software

        Ex2: Verify the source of new software and the software''s integrity before
        installing it

        Ex3: Configure platforms to use only approved DNS services that block access
        to known malicious domains

        Ex4: Configure platforms to allow the installation of organization-approved
        software only'
      translations:
        fr:
          description: "L\u2019installation et l\u2019ex\xE9cution de logiciels non\
            \ autoris\xE9s sont emp\xEAch\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Lorsque le risque le\
            \ justifie, limitez l'ex\xE9cution du logiciel aux seuls produits autoris\xE9\
            s ou refusez l'ex\xE9cution des logiciels interdits et non autoris\xE9\
            s\nEx2 : V\xE9rifiez la source du nouveau logiciel et son int\xE9grit\xE9\
            \ avant de l'installer\nEx3 : Configurer les plates-formes pour qu'elles\
            \ n'utilisent que des services DNS approuv\xE9s qui bloquent l'acc\xE8\
            s aux domaines malveillants connus\nEx4 : Configurer les plates-formes\
            \ pour autoriser l'installation de logiciels approuv\xE9s par l'organisation\
            \ uniquement"
        es:
          description: "Se impide la instalaci\xF3n y la ejecuci\xF3n de software\
            \ no autorizado"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Cuando el riesgo lo justifique,\
            \ restrinja la ejecuci\xF3n del software solo a los productos permitidos\
            \ o deniegue la ejecuci\xF3n de software prohibido y no autorizado\nEx2:\
            \ Verifique la fuente del nuevo software y la integridad del software\
            \ antes de instalarlo\nEx3: Configurar plataformas para usar solo servicios\
            \ DNS aprobados que bloqueen el acceso a dominios malintencionados conocidos\n\
            Ex4: Configurar plataformas para permitir la instalaci\xF3n solo de software\
            \ aprobado por la organizaci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ps
      ref_id: PR.PS-06
      description: Secure software development practices are integrated, and their
        performance is monitored throughout the software development life cycle
      annotation: '1st: 1st Party Risk

        Ex1: Protect all components of organization-developed software from tampering
        and unauthorized access

        Ex2: Secure all software produced by the organization, with minimal vulnerabilities
        in their releases

        Ex3: Maintain the software used in production environments, and securely dispose
        of software once it is no longer needed'
      translations:
        fr:
          description: "Les pratiques de d\xE9veloppement de logiciels s\xE9curis\xE9\
            s sont int\xE9gr\xE9es et leurs performances sont surveill\xE9es tout\
            \ au long du cycle de vie du d\xE9veloppement logiciel"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Prot\xE9ger tous les\
            \ composants des logiciels d\xE9velopp\xE9s par l'organisation contre\
            \ la falsification et l'acc\xE8s non autoris\xE9\nEx2 : S\xE9curiser tous\
            \ les logiciels produits par l'organisation, avec un minimum de vuln\xE9\
            rabilit\xE9s dans leurs versions\nEx3 : Maintenir les logiciels utilis\xE9\
            s dans les environnements de production et \xE9liminer en toute s\xE9\
            curit\xE9 les logiciels une fois qu'ils ne sont plus n\xE9cessaires"
        es:
          description: "Se integran pr\xE1cticas seguras de desarrollo de software\
            \ y se supervisa su rendimiento durante todo el ciclo de vida de desarrollo\
            \ del software"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Proteger todos los componentes\
            \ del software desarrollado por la organizaci\xF3n contra la manipulaci\xF3\
            n y el acceso no autorizado\nEx2: Asegurar todo el software producido\
            \ por la organizaci\xF3n, con vulnerabilidades m\xEDnimas en sus versiones\n\
            Ex3: Mantener el software utilizado en los entornos de producci\xF3n y\
            \ desechar de forma segura el software una vez que ya no sea necesario"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ir
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr
      ref_id: PR.IR
      name: Technology Infrastructure Resilience
      description: Security architectures are managed with the organization's risk
        strategy to protect asset confidentiality, integrity, and availability, and
        organizational resilience
      translations:
        fr:
          name: "R\xE9silience des infrastructures technologiques"
          description: "Les architectures de s\xE9curit\xE9 sont g\xE9r\xE9es avec\
            \ la strat\xE9gie de risque de l\u2019organisation pour prot\xE9ger la\
            \ confidentialit\xE9, l\u2019int\xE9grit\xE9 et la disponibilit\xE9 des\
            \ actifs, ainsi que la r\xE9silience organisationnelle"
        es:
          name: "Resistencia de la infraestructura tecnol\xF3gica"
          description: "Las arquitecturas de seguridad se gestionan con la estrategia\
            \ de riesgos de la organizaci\xF3n a fin de proteger la confidencialidad,\
            \ la integridad y la disponibilidad de los activos, as\xED como la resiliencia\
            \ de la organizaci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ir-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ir
      ref_id: PR.IR-01
      description: Networks and environments are protected from unauthorized logical
        access and usage
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Logically segment organization networks and cloud-based platforms according
        to trust boundaries and platform types (e.g., IT, IoT, OT, mobile, guests),
        and permit required communications only between segments

        Ex2: Logically segment organization networks from external networks, and permit
        only necessary communications to enter the organization''s networks from the
        external networks

        Ex3: Implement zero trust architectures to restrict network access to each
        resource to the minimum necessary

        Ex4: Check the cyber health of endpoints before allowing them to access and
        use production resources'
      translations:
        fr:
          description: "Les r\xE9seaux et les environnements sont prot\xE9g\xE9s contre\
            \ les acc\xE8s logiques et les utilisations non autoris\xE9s"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Segmenter logiquement les r\xE9seaux d'organisation et\
            \ les plateformes bas\xE9es sur le cloud en fonction des limites de confiance\
            \ et des types de plateformes (par exemple, IT, IoT, OT, mobile, invit\xE9\
            s) et autoriser les communications requises uniquement entre les segments\n\
            Ex2 : Segmenter logiquement les r\xE9seaux de l'organisation des r\xE9\
            seaux externes et autoriser uniquement les communications n\xE9cessaires\
            \ \xE0 entrer dans les r\xE9seaux de l'organisation \xE0 partir des r\xE9\
            seaux externes\nEx3 : Mettre en \u0153uvre des architectures Zero Trust\
            \ pour limiter l'acc\xE8s au r\xE9seau \xE0 chaque ressource au minimum\
            \ n\xE9cessaire\nEx4 : V\xE9rifier la cybersant\xE9 des points de terminaison\
            \ avant de les autoriser \xE0 acc\xE9der aux ressources de production\
            \ et \xE0 les utiliser"
        es:
          description: "Las redes y los entornos est\xE1n protegidos contra el acceso\
            \ l\xF3gico y el uso no autorizados"
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Segmentar l\xF3gicamente las redes de la organizaci\xF3n y las plataformas\
            \ basadas en la nube de acuerdo con los l\xEDmites de confianza y los\
            \ tipos de plataforma (por ejemplo, TI, IoT, OT, m\xF3vil, invitados)\
            \ y permitir las comunicaciones necesarias solo entre segmentos.\nEx2:\
            \ Segmentar l\xF3gicamente las redes de la organizaci\xF3n de las redes\
            \ externas y permitir que solo las comunicaciones necesarias ingresen\
            \ a las redes de la organizaci\xF3n desde las redes externas\nEx3: Implementar\
            \ arquitecturas de confianza cero para restringir el acceso a la red a\
            \ cada recurso al m\xEDnimo necesario\nEx4: Comprobar el estado cibern\xE9\
            tico de los endpoints antes de permitirles acceder y utilizar los recursos\
            \ de producci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ir-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ir
      ref_id: PR.IR-02
      description: The organization's technology assets are protected from environmental
        threats
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Protect organizational equipment from known environmental threats, such
        as flooding, fire, wind, and excessive heat and humidity

        Ex2: Include protection from environmental threats and provisions for adequate
        operating infrastructure in requirements for service providers that operate
        systems on the organization''s behalf'
      translations:
        fr:
          description: "Les actifs technologiques de l\u2019organisation sont prot\xE9\
            g\xE9s contres les menaces environnementales"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Prot\xE9gez l'\xE9quipement organisationnel contre les\
            \ menaces environnementales connues, telles que les inondations, les incendies,\
            \ le vent, la chaleur et l'humidit\xE9 excessives\nEx2 : Inclure la protection\
            \ contre les menaces environnementales et des dispositions relatives \xE0\
            \ une infrastructure d'exploitation ad\xE9quate dans les exigences pour\
            \ les fournisseurs de services qui exploitent des syst\xE8mes au nom de\
            \ l'organisation."
        es:
          description: "Los activos tecnol\xF3gicos de la organizaci\xF3n est\xE1\
            n protegidos de las amenazas del entorno"
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Proteger el equipo de la organizaci\xF3n de amenazas ambientales\
            \ conocidas, como inundaciones, incendios, vientos y calor y humedad excesivos\n\
            Ex2: Incluir la protecci\xF3n contra las amenazas ambientales y las disposiciones\
            \ para una infraestructura operativa adecuada en los requisitos para los\
            \ proveedores de servicios que operan sistemas en nombre de la organizaci\xF3\
            n."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ir-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ir
      ref_id: PR.IR-03
      description: Mechanisms are implemented to achieve resilience requirements in
        normal and adverse situations
      annotation: '1st: 1st Party Risk

        Ex1: Avoid single points of failure in systems and infrastructure

        Ex2: Use load balancing to increase capacity and improve reliability

        Ex3: Use high-availability components like redundant storage and power supplies
        to improve system reliability'
      translations:
        fr:
          description: "Les m\xE9canismes sont mis en \u0153uvre pour satisfaire aux\
            \ exigences de r\xE9silience dans des situations normales et d\xE9favorables"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : \xC9viter les points\
            \ de d\xE9faillance uniques dans les syst\xE8mes et l'infrastructure\n\
            Ex2 : Utiliser l'\xE9quilibrage de charge pour augmenter la capacit\xE9\
            \ et am\xE9liorer la fiabilit\xE9\nEx3 : Utiliser des composants \xE0\
            \ haute disponibilit\xE9 tels que le stockage redondant et les alimentations\
            \ pour am\xE9liorer la fiabilit\xE9 du syst\xE8me"
        es:
          description: Se implementan mecanismos para lograr los requisitos de resiliencia
            en situaciones normales y adversas
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Evitar puntos \xFAnicos\
            \ de fallo en los sistemas y la infraestructura\nEx2: Utilice el equilibrio\
            \ de carga para aumentar la capacidad y mejorar la confiabilidad\nEx3:\
            \ Utilice componentes de alta disponibilidad, como almacenamiento redundante\
            \ y fuentes de alimentaci\xF3n, para mejorar la fiabilidad del sistema"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ir-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:pr.ir
      ref_id: PR.IR-04
      description: Adequate resource capacity to ensure availability is maintained
      annotation: 'Ex1: Monitor usage of storage, power, compute, network bandwidth,
        and other resources

        Ex2: Forecast future needs, and scale resources accordingly'
      translations:
        fr:
          description: "Les capacit\xE9 de ressources ad\xE9quate pour assurer la\
            \ disponibilit\xE9 sont maintenues"
          annotation: "Ex1 : Surveiller l'utilisation du stockage, de l'alimentation,\
            \ du calcul, de la bande passante r\xE9seau et d'autres ressources\nEx2\
            \ : Pr\xE9voir les besoins futurs et faire \xE9voluer les ressources en\
            \ cons\xE9quence"
        es:
          description: Se mantiene una capacidad de recursos adecuada para garantizar
            la disponibilidad
          annotation: "Ex1: Supervise el uso del almacenamiento, la energ\xEDa, la\
            \ computaci\xF3n, el ancho de banda de red y otros recursos\nEx2: Pronostique\
            \ las necesidades futuras y escale los recursos en consecuencia"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de
      assessable: false
      depth: 1
      ref_id: DE
      name: DETECT
      description: Possible cybersecurity attacks and compromises are found and analyzed
      translations:
        fr:
          name: "D\xC9TECTER"
          description: "Les attaques et compromissions de cybers\xE9curit\xE9 possibles\
            \ sont d\xE9tect\xE9es et analys\xE9es"
        es:
          name: DETECTAR
          description: "Se detectan y analizan posibles ataques y situaciones comprometedoras\
            \ en materia de seguridad cibern\xE9tica."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.cm
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de
      ref_id: DE.CM
      name: Continuous Monitoring
      description: Assets are monitored to find anomalies, indicators of compromise,
        and other potentially adverse events
      translations:
        fr:
          name: "Contr\xF4le continu"
          description: "Les actifs sont surveill\xE9s pour d\xE9tecter des anomalies,\
            \ des indicateurs de compromission et d\u2019autres \xE9v\xE9nements potentiellement\
            \ ind\xE9sirables"
        es:
          name: Monitoreo continuo
          description: "Los activos se monitorean para encontrar anomal\xEDas, indicadores\
            \ de compromiso y otros acontecimientos potencialmente adversos"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.cm-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.cm
      ref_id: DE.CM-01
      description: Networks and network services are monitored to find potentially
        adverse events
      annotation: 'Ex1: Monitor DNS, BGP, and other network services for adverse events

        Ex2: Monitor wired and wireless networks for connections from unauthorized
        endpoints

        Ex3: Monitor facilities for unauthorized or rogue wireless networks

        Ex4: Compare actual network flows against baselines to detect deviations

        Ex5: Monitor network communications to identify changes in security postures
        for zero trust purposes

        1st: 1st Party Risk'
      translations:
        fr:
          description: "Les r\xE9seaux et services r\xE9seau sont surveill\xE9s pour\
            \ d\xE9tecter les \xE9v\xE9nements potentiellement ind\xE9sirables"
          annotation: "Ex1 : Surveiller les DNS, les BGP et d'autres services r\xE9\
            seau \xE0 la recherche d'\xE9v\xE9nements ind\xE9sirables\nEx2 : Surveiller\
            \ les r\xE9seaux c\xE2bl\xE9s et sans fil pour d\xE9tecter les connexions\
            \ \xE0 partir de points de terminaison non autoris\xE9s\nEx3 : Surveiller\
            \ les installations \xE0 la recherche de r\xE9seaux sans fil non autoris\xE9\
            s ou non autoris\xE9s\nEx4 : Comparer les flux r\xE9els du r\xE9seau par\
            \ rapport aux lignes de base pour d\xE9tecter les \xE9carts\nEx5 : Surveiller\
            \ les communications r\xE9seau pour identifier les changements dans les\
            \ postures de s\xE9curit\xE9 \xE0 des fins de Zero Trust\n1er : Risque\
            \ de 1\xE8re partie"
        es:
          description: Las redes y los servicios de red se monitorean para detectar
            acontecimientos potencialmente adversos
          annotation: "Ex1: Supervise DNS, BGP y otros servicios de red en busca de\
            \ eventos adversos\nEx2: Supervise las redes cableadas e inal\xE1mbricas\
            \ en busca de conexiones desde puntos finales no autorizados\nEx3: Supervise\
            \ las instalaciones en busca de redes inal\xE1mbricas no autorizadas o\
            \ no autorizadas\nEx4: Compare los flujos de red reales con las l\xED\
            neas de base para detectar desviaciones\nEx5: Supervisar las comunicaciones\
            \ de red para identificar cambios en las posturas de seguridad con fines\
            \ de confianza cero\n1\xBA: Riesgo de 1\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.cm-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.cm
      ref_id: DE.CM-02
      description: The physical environment is monitored to find potentially adverse
        events
      annotation: 'Ex1: Monitor logs from physical access control systems (e.g., badge
        readers) to find unusual access patterns (e.g., deviations from the norm)
        and failed access attempts

        Ex2: Review and monitor physical access records (e.g., from visitor registration,
        sign-in sheets)

        Ex3: Monitor physical access controls (e.g., locks, latches, hinge pins, alarms)
        for signs of tampering

        Ex4: Monitor the physical environment using alarm systems, cameras, and security
        guards

        1st: 1st Party Risk'
      translations:
        fr:
          description: "L\u2019environnement physique est surveill\xE9 pour d\xE9\
            tecter les \xE9v\xE9nements potentiellement ind\xE9sirables"
          annotation: "Ex1 : Surveillez les journaux des syst\xE8mes de contr\xF4\
            le d'acc\xE8s physiques (par exemple, les lecteurs de badges) pour d\xE9\
            tecter les mod\xE8les d'acc\xE8s inhabituels (par exemple, les \xE9carts\
            \ par rapport \xE0 la norme) et les tentatives d'acc\xE8s infructueuses\n\
            Ex2 : Examiner et surveiller les enregistrements d'acc\xE8s physique (p.\
            \ ex., enregistrement des visiteurs, feuilles d'\xE9margement)\nEx3 :\
            \ Surveiller les contr\xF4les d'acc\xE8s physiques (p. ex., serrures,\
            \ loquets, axes de charni\xE8re, alarmes) pour d\xE9tecter tout signe\
            \ d'alt\xE9ration\nEx4 : Surveiller l'environnement physique \xE0 l'aide\
            \ de syst\xE8mes d'alarme, de cam\xE9ras et d'agents de s\xE9curit\xE9\
            \n1er : Risque de 1\xE8re partie"
        es:
          description: "Se monitorea el entorno f\xEDsico para detectar posibles acontecimientos\
            \ adversos"
          annotation: "Ex1: Supervise los registros de los sistemas f\xEDsicos de\
            \ control de acceso (p. ej., lectores de credenciales) para encontrar\
            \ patrones de acceso inusuales (p. ej., desviaciones de la norma) e intentos\
            \ de acceso fallidos\nEx2: Revisar y supervisar los registros de acceso\
            \ f\xEDsico (p. ej., desde el registro de visitantes, las hojas de registro)\n\
            Ex3: Supervise los controles de acceso f\xEDsico (p. ej., cerraduras,\
            \ pestillos, pasadores de bisagras, alarmas) para detectar signos de manipulaci\xF3\
            n\nEx4: Monitoree el entorno f\xEDsico utilizando sistemas de alarma,\
            \ c\xE1maras y guardias de seguridad\n1\xBA: Riesgo de 1\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.cm-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.cm
      ref_id: DE.CM-03
      description: Personnel activity and technology usage are monitored to find potentially
        adverse events
      annotation: 'Ex1: Use behavior analytics software to detect anomalous user activity
        to mitigate insider threats

        Ex2: Monitor logs from logical access control systems to find unusual access
        patterns and failed access attempts

        Ex3: Continuously monitor deception technology, including user accounts, for
        any usage

        1st: 1st Party Risk'
      translations:
        fr:
          description: "L\u2019activit\xE9 du personnel et l\u2019utilisation de la\
            \ technologie sont surveill\xE9es pour d\xE9tecter les \xE9v\xE9nements\
            \ potentiellement ind\xE9sirables"
          annotation: "Ex1 : Utiliser un logiciel d'analyse comportementale pour d\xE9\
            tecter les activit\xE9s anormales des utilisateurs afin d'att\xE9nuer\
            \ les menaces internes\nEx2 : Surveiller les journaux des syst\xE8mes\
            \ de contr\xF4le d'acc\xE8s logique pour d\xE9tecter les mod\xE8les d'acc\xE8\
            s inhabituels et les tentatives d'acc\xE8s infructueuses\nEx3 : Surveillez\
            \ en permanence la technologie de tromperie, y compris les comptes d'utilisateurs,\
            \ pour toute utilisation\n1er : Risque de 1\xE8re partie"
        es:
          description: "Se monitorea la actividad del personal y el uso de la tecnolog\xED\
            a para detectar posibles acontecimientos adversos"
          annotation: "Ex1: Utilice software de an\xE1lisis de comportamiento para\
            \ detectar actividad an\xF3mala de los usuarios y mitigar las amenazas\
            \ internas\nEx2: Supervise los registros de los sistemas l\xF3gicos de\
            \ control de acceso para encontrar patrones de acceso inusuales e intentos\
            \ de acceso fallidos\nEx3: Supervise continuamente la tecnolog\xEDa de\
            \ enga\xF1o, incluidas las cuentas de usuario, para cualquier uso\n1\xBA\
            : Riesgo de 1\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.cm-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.cm
      ref_id: DE.CM-06
      description: External service provider activities and services are monitored
        to find potentially adverse events
      annotation: 'Ex1: Monitor remote and onsite administration and maintenance activities
        that external providers perform on organizational systems

        Ex2: Monitor activity from cloud-based services, internet service providers,
        and other service providers for deviations from expected behavior

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "Les activit\xE9s et services des prestataires de services\
            \ externes sont surveill\xE9s pour d\xE9tecter les \xE9v\xE9nements potentiellement\
            \ ind\xE9sirables"
          annotation: "Ex1 : Surveiller les activit\xE9s d'administration et de maintenance\
            \ \xE0 distance et sur site que les fournisseurs externes effectuent sur\
            \ les syst\xE8mes organisationnels\nEx2 : Surveiller l'activit\xE9 des\
            \ services cloud, des fournisseurs de services Internet et d'autres fournisseurs\
            \ de services pour d\xE9tecter les \xE9carts par rapport au comportement\
            \ attendu\n3\xE8me : Risque de 3\xE8me partie"
        es:
          description: Se monitorean las actividades y los servicios de los proveedores
            de servicios externos para detectar acontecimientos potencialmente adversos.
          annotation: "Ex1: Supervisar las actividades de administraci\xF3n y mantenimiento\
            \ remotas e in situ que los proveedores externos realizan en los sistemas\
            \ de la organizaci\xF3n\nEx2: Supervise la actividad de los servicios\
            \ basados en la nube, los proveedores de servicios de Internet y otros\
            \ proveedores de servicios para detectar desviaciones del comportamiento\
            \ esperado\n3\xBA: Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.cm-09
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.cm
      ref_id: DE.CM-09
      description: Computing hardware and software, runtime environments, and their
        data are monitored to find potentially adverse events
      annotation: 'Ex1: Monitor email, web, file sharing, collaboration services,
        and other common attack vectors to detect malware, phishing, data leaks and
        exfiltration, and other adverse events

        Ex2: Monitor authentication attempts to identify attacks against credentials
        and unauthorized credential reuse

        Ex3: Monitor software configurations for deviations from security baselines

        Ex4: Monitor hardware and software for signs of tampering

        Ex5: Use technologies with a presence on endpoints to detect cyber health
        issues (e.g., missing patches, malware infections, unauthorized software),
        and redirect the endpoints to a remediation environment before access is authorized

        1st: 1st Party Risk'
      translations:
        fr:
          description: "Le mat\xE9riel informatique et les logiciels, les environnements\
            \ d\u2019ex\xE9cution et leurs donn\xE9es sont surveill\xE9s pour d\xE9\
            tecter les \xE9v\xE9nements potentiellement ind\xE9sirables"
          annotation: "Ex1 : Surveillez les e-mails, le Web, le partage de fichiers,\
            \ les services de collaboration et d'autres vecteurs d'attaque courants\
            \ pour d\xE9tecter les logiciels malveillants, le phishing, les fuites\
            \ et l'exfiltration de donn\xE9es, ainsi que d'autres \xE9v\xE9nements\
            \ ind\xE9sirables.\nEx2 : Surveillez les tentatives d'authentification\
            \ pour identifier les attaques contre les identifiants et la r\xE9utilisation\
            \ non autoris\xE9e des identifiants\nEx3 : Surveiller les configurations\
            \ logicielles pour d\xE9tecter les \xE9carts par rapport aux bases de\
            \ r\xE9f\xE9rence de s\xE9curit\xE9\nEx4 : Surveiller le mat\xE9riel et\
            \ les logiciels pour d\xE9tecter les signes d'alt\xE9ration\nEx5 : Utiliser\
            \ des technologies pr\xE9sentes sur les terminaux pour d\xE9tecter les\
            \ probl\xE8mes de cybersant\xE9 (par exemple, correctifs manquants, infections\
            \ par des logiciels malveillants, logiciels non autoris\xE9s) et rediriger\
            \ les terminaux vers un environnement de conversion avant que l'acc\xE8\
            s ne soit autoris\xE9\n1er : Risque de 1\xE8re partie"
        es:
          description: "Se monitorean el hardware y el software inform\xE1ticos, los\
            \ entornos de ejecuci\xF3n y sus datos para detectar posibles acontecimientos\
            \ adversos"
          annotation: "Ex1: Supervise el correo electr\xF3nico, la web, el uso compartido\
            \ de archivos, los servicios de colaboraci\xF3n y otros vectores de ataque\
            \ comunes para detectar malware, phishing, fugas y exfiltraciones de datos\
            \ y otros eventos adversos\nEx2: Supervise los intentos de autenticaci\xF3\
            n para identificar ataques contra credenciales y reutilizaci\xF3n no autorizada\
            \ de credenciales\nEx3: Supervisar las configuraciones de software para\
            \ detectar desviaciones de las l\xEDneas de base de seguridad\nEx4: Supervise\
            \ el hardware y el software en busca de signos de manipulaci\xF3n\nEx5:\
            \ Utilice tecnolog\xEDas con presencia en los puntos finales para detectar\
            \ problemas de salud cibern\xE9tica (por ejemplo, parches faltantes, infecciones\
            \ de malware, software no autorizado) y redirija los puntos finales a\
            \ un entorno de correcci\xF3n antes de que se autorice el acceso\n1\xBA\
            : Riesgo de 1\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de
      ref_id: DE.AE
      name: Adverse Event Analysis
      description: Anomalies, indicators of compromise, and other potentially adverse
        events are analyzed to characterize the events and detect cybersecurity incidents
      translations:
        fr:
          name: "Analyse des \xE9v\xE9nements ind\xE9sirables"
          description: "Les anomalies, les indicateurs de compromission et d\u2019\
            autres \xE9v\xE9nements potentiellement ind\xE9sirables sont analys\xE9\
            s pour caract\xE9riser les \xE9v\xE9nements et d\xE9tecter les incidents\
            \ de cybers\xE9curit\xE9"
        es:
          name: "An\xE1lisis de eventos adversos"
          description: "Se analizan anomal\xEDas, indicadores de compromiso y otros\
            \ acontecimientos potencialmente adversos para caracterizarlos y detectar\
            \ incidentes de seguridad cibern\xE9tica"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae
      ref_id: DE.AE-02
      description: Potentially adverse events are analyzed to better understand associated
        activities
      annotation: 'Ex1: Use security information and event management (SIEM) or other
        tools to continuously monitor log events for known malicious and suspicious
        activity

        Ex2: Utilize up-to-date cyber threat intelligence in log analysis tools to
        improve detection accuracy and characterize threat actors, their methods,
        and indicators of compromise

        Ex3: Regularly conduct manual reviews of log events for technologies that
        cannot be sufficiently monitored through automation

        Ex4: Use log analysis tools to generate reports on their findings

        1st: 1st Party Risk'
      translations:
        fr:
          description: "Les \xE9v\xE9nements potentiellement ind\xE9sirables sont\
            \ analys\xE9s pour mieux comprendre les activit\xE9s associ\xE9es"
          annotation: "Ex1 : Utilisez la gestion des informations et des \xE9v\xE9\
            nements de s\xE9curit\xE9 (SIEM) ou d'autres outils pour surveiller en\
            \ permanence les \xE9v\xE9nements de journal \xE0 la recherche d'activit\xE9\
            s malveillantes et suspectes connues\nEx2 : Utiliser des renseignements\
            \ \xE0 jour sur les cybermenaces dans les outils d'analyse des journaux\
            \ pour am\xE9liorer la pr\xE9cision de la d\xE9tection et caract\xE9riser\
            \ les acteurs de la menace, leurs m\xE9thodes et les indicateurs de compromission\n\
            Ex3 : Effectuer r\xE9guli\xE8rement des examens manuels des \xE9v\xE9\
            nements de journal pour les technologies qui ne peuvent pas \xEAtre suffisamment\
            \ surveill\xE9es par l'automatisation\nEx4 : Utiliser des outils d'analyse\
            \ de journaux pour g\xE9n\xE9rer des rapports sur leurs r\xE9sultats\n\
            1er : Risque de 1\xE8re partie"
        es:
          description: Los acontecimientos potencialmente adversos se analizan para
            comprender mejor las actividades asociadas
          annotation: "Ex1: Utilice la administraci\xF3n de eventos e informaci\xF3\
            n de seguridad (SIEM) u otras herramientas para monitorear continuamente\
            \ los eventos de registro en busca de actividades maliciosas y sospechosas\
            \ conocidas.\nEx2: Utilice inteligencia actualizada sobre amenazas cibern\xE9\
            ticas en herramientas de an\xE1lisis de registros para mejorar la precisi\xF3\
            n de la detecci\xF3n y caracterizar a los actores de amenazas, sus m\xE9\
            todos e indicadores de compromiso.\nEx3: Realizar revisiones manuales\
            \ peri\xF3dicas de los eventos de registro para las tecnolog\xEDas que\
            \ no se pueden supervisar suficientemente mediante la automatizaci\xF3\
            n\nEx4: Utilice herramientas de an\xE1lisis de registros para generar\
            \ informes sobre sus hallazgos\n1\xBA: Riesgo de 1\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae
      ref_id: DE.AE-03
      description: Information is correlated from multiple sources
      annotation: 'Ex1: Constantly transfer log data generated by other sources to
        a relatively small number of log servers

        Ex2: Use event correlation technology (e.g., SIEM) to collect information
        captured by multiple sources

        Ex3: Utilize cyber threat intelligence to help correlate events among log
        sources

        1st: 1st Party Risk'
      translations:
        fr:
          description: "Les informations sont corr\xE9l\xE9es \xE0 partir de sources\
            \ multiples"
          annotation: "Ex1 : Transf\xE9rer constamment les donn\xE9es de journal g\xE9\
            n\xE9r\xE9es par d'autres sources vers un nombre relativement restreint\
            \ de serveurs de journaux\nEx2 : Utiliser la technologie de corr\xE9lation\
            \ d'\xE9v\xE9nements (par exemple, SIEM) pour collecter des informations\
            \ captur\xE9es par plusieurs sources\nEx3 : Utiliser les renseignements\
            \ sur les cybermenaces pour aider \xE0 corr\xE9ler les \xE9v\xE9nements\
            \ entre les sources de journaux\n1er : Risque de 1\xE8re partie"
        es:
          description: "Se correlaciona la informaci\xF3n procedente de diversas fuentes"
          annotation: "Ex1: Transfiera constantemente datos de registro generados\
            \ por otras fuentes a un n\xFAmero relativamente peque\xF1o de servidores\
            \ de registro\nEx2: Utilice la tecnolog\xEDa de correlaci\xF3n de eventos\
            \ (por ejemplo, SIEM) para recopilar informaci\xF3n capturada por m\xFA\
            ltiples fuentes\nEx3: Utilice la inteligencia de amenazas cibern\xE9ticas\
            \ para ayudar a correlacionar eventos entre or\xEDgenes de registro\n\
            1\xBA: Riesgo de 1\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae
      ref_id: DE.AE-04
      description: The estimated impact and scope of adverse events are understood
      annotation: 'Ex1: Use SIEMs or other tools to estimate impact and scope, and
        review and refine the estimates

        Ex2: A person creates their own estimates of impact and scope

        1st: 1st Party Risk'
      translations:
        fr:
          description: "L\u2019impact et la port\xE9e estim\xE9s des \xE9v\xE9nements\
            \ ind\xE9sirables sont compris"
          annotation: "Ex1 : Utiliser des SIEM ou d'autres outils pour estimer l'impact\
            \ et la port\xE9e, et examiner et affiner les estimations\nEx2 : Une personne\
            \ cr\xE9e ses propres estimations de l'impact et de la port\xE9e.\n1er\
            \ : Risque de 1\xE8re partie"
        es:
          description: Se comprende el impacto estimado y el alcance de los acontecimientos
            adversos
          annotation: "Ex1: Utilice SIEM u otras herramientas para estimar el impacto\
            \ y el alcance, y revise y perfeccione las estimaciones\nEx2: Una persona\
            \ crea sus propias estimaciones de impacto y alcance\n1\xBA: Riesgo de\
            \ 1\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae
      ref_id: DE.AE-06
      description: Information on adverse events is provided to authorized staff and
        tools
      annotation: 'Ex1: Use cybersecurity software to generate alerts and provide
        them to the security operations center (SOC), incident responders, and incident
        response tools

        Ex2: Incident responders and other authorized personnel can access log analysis
        findings at all times

        Ex3: Automatically create and assign tickets in the organization''s ticketing
        system when certain types of alerts occur

        Ex4: Manually create and assign tickets in the organization''s ticketing system
        when technical staff discover indicators of compromise

        1st: 1st Party Risk'
      translations:
        fr:
          description: "Les informations sur les \xE9v\xE9nements ind\xE9sirables\
            \ sont fournies au personnel et aux outils autoris\xE9s"
          annotation: "Ex1 : Utilisez un logiciel de cybers\xE9curit\xE9 pour g\xE9\
            n\xE9rer des alertes et les transmettre au centre d'op\xE9rations de s\xE9\
            curit\xE9 (SOC), aux intervenants en cas d'incident et aux outils de r\xE9\
            ponse aux incidents.\nEx2 : Les intervenants en cas d'incident et les\
            \ autres membres du personnel autoris\xE9 peuvent acc\xE9der aux r\xE9\
            sultats de l'analyse des journaux \xE0 tout moment\nEx3 : Cr\xE9er et\
            \ attribuer automatiquement des tickets dans le syst\xE8me de billetterie\
            \ de l'organisation lorsque certains types d'alertes se produisent\nEx4\
            \ : Cr\xE9er et attribuer manuellement des tickets dans le syst\xE8me\
            \ de tickets de l'organisation lorsque le personnel technique d\xE9couvre\
            \ des indicateurs de compromission\n1er : Risque de 1\xE8re partie"
        es:
          description: "La informaci\xF3n sobre acontecimientos adversos se proporciona\
            \ al personal y a las herramientas autorizadas"
          annotation: "Ex1: Utilice el software de ciberseguridad para generar alertas\
            \ y proporcionarlas al centro de operaciones de seguridad (SOC), los respondedores\
            \ a incidentes y las herramientas de respuesta a incidentes\nEx2: Los\
            \ respondedores de incidentes y otro personal autorizado pueden acceder\
            \ a los resultados del an\xE1lisis de registros en todo momento\nEx3:\
            \ Cree y asigne tickets autom\xE1ticamente en el sistema de tickets de\
            \ la organizaci\xF3n cuando se produzcan ciertos tipos de alertas.\nEx4:\
            \ Crear y asignar tickets manualmente en el sistema de tickets de la organizaci\xF3\
            n cuando el personal t\xE9cnico descubra indicadores de compromiso\n1\xBA\
            : Riesgo de 1\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae-07
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae
      ref_id: DE.AE-07
      description: Cyber threat intelligence and other contextual information are
        integrated into the analysis
      annotation: 'Ex1: Securely provide cyber threat intelligence feeds to detection
        technologies, processes, and personnel

        Ex2: Securely provide information from asset inventories to detection technologies,
        processes, and personnel

        Ex3: Rapidly acquire and analyze vulnerability disclosures for the organization''s
        technologies from suppliers, vendors, and third-party security advisories

        1st: 1st Party Risk'
      translations:
        fr:
          description: "Les renseignements sur les cybermenaces et d\u2019autres informations\
            \ contextuelles sont int\xE9gr\xE9s dans l\u2019analyse"
          annotation: "Ex1 : Fournir en toute s\xE9curit\xE9 des flux de renseignements\
            \ sur les cybermenaces aux technologies, aux processus et au personnel\
            \ de d\xE9tection\nEx2 : Fournir en toute s\xE9curit\xE9 des informations\
            \ allant des inventaires d'actifs aux technologies de d\xE9tection, aux\
            \ processus et au personnel\nEx3 : Acqu\xE9rir et analyser rapidement\
            \ les divulgations de vuln\xE9rabilit\xE9s pour les technologies de l'organisation\
            \ aupr\xE8s de fournisseurs, de vendeurs et d'avis de s\xE9curit\xE9 tiers\n\
            1er : Risque de 1\xE8re partie"
        es:
          description: "La inteligencia sobre amenazas cibern\xE9ticas y otra informaci\xF3\
            n contextual se integran en el an\xE1lisis"
          annotation: "Ex1: Proporcionar de forma segura informaci\xF3n sobre inteligencia\
            \ de amenazas cibern\xE9ticas a las tecnolog\xEDas de detecci\xF3n, los\
            \ procesos y el personal\nEx2: Proporcione de forma segura informaci\xF3\
            n desde los inventarios de activos hasta las tecnolog\xEDas de detecci\xF3\
            n, los procesos y el personal\nEx3: Adquiera y analice r\xE1pidamente\
            \ las divulgaciones de vulnerabilidades de las tecnolog\xEDas de la organizaci\xF3\
            n de proveedores, vendedores y avisos de seguridad de terceros.\n1\xBA\
            : Riesgo de 1\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae-08
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:de.ae
      ref_id: DE.AE-08
      description: Incidents are declared when adverse events meet the defined incident
        criteria
      annotation: 'Ex1: Apply incident criteria to known and assumed characteristics
        of activity in order to determine whether an incident should be declared

        Ex2: Take known false positives into account when applying incident criteria

        1st: 1st Party Risk'
      translations:
        fr:
          description: "Les incidents sont d\xE9clar\xE9s lorsque les \xE9v\xE9nements\
            \ ind\xE9sirables r\xE9pondent aux crit\xE8res d\u2019incident d\xE9finis"
          annotation: "Ex1 : Appliquer les crit\xE8res d'incident aux caract\xE9ristiques\
            \ connues et pr\xE9sum\xE9es de l'activit\xE9 afin de d\xE9terminer si\
            \ un incident doit \xEAtre d\xE9clar\xE9\nEx2 : Prendre en compte les\
            \ faux positifs connus lors de l'application des crit\xE8res d'incident\n\
            1er : Risque de 1\xE8re partie"
        es:
          description: Se declaran incidentes cuando los acontecimientos adversos
            cumplen con los criterios de incidente definidos
          annotation: "Ex1: Aplicar criterios de incidente a las caracter\xEDsticas\
            \ conocidas y supuestas de la actividad para determinar si un incidente\
            \ debe declararse\nEx2: Tener en cuenta los falsos positivos conocidos\
            \ al aplicar los criterios de incidentes\n1\xBA: Riesgo de 1\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs
      assessable: false
      depth: 1
      ref_id: RS
      name: RESPOND
      description: Actions regarding a detected cybersecurity incident are taken
      translations:
        fr:
          name: "R\xC9PONDRE"
          description: "Des mesures concernant un incident de cybers\xE9curit\xE9\
            \ d\xE9tect\xE9 sont prises"
        es:
          name: RESPONDER
          description: "Se toman medidas en relaci\xF3n con un incidente de seguridad\
            \ cibern\xE9tica detectado"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.ma
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs
      ref_id: RS.MA
      name: Incident Management
      description: Responses to detected cybersecurity incidents are managed
      translations:
        fr:
          name: Gestion des incidents
          description: "Les r\xE9ponses aux incidents de cybers\xE9curit\xE9 d\xE9\
            tect\xE9s sont g\xE9r\xE9es"
        es:
          name: "Gesti\xF3n de incidentes"
          description: "Se gestionan las respuestas a los incidentes de seguridad\
            \ cibern\xE9tica detectados"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.ma-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.ma
      ref_id: RS.MA-01
      description: The incident response plan is executed in coordination with relevant
        third parties once an incident is declared
      annotation: 'Ex1: Detection technologies automatically report confirmed incidents

        Ex2: Request incident response assistance from the organization''s incident
        response outsourcer

        Ex3: Designate an incident lead for each incident

        Ex4: Initiate execution of additional cybersecurity plans as needed to support
        incident response (for example, business continuity and disaster recovery)

        3rd: 3rd Party Risk'
      translations:
        fr:
          description: "Le plan de r\xE9ponse aux incidents est ex\xE9cut\xE9 en coordination\
            \ avec les tiers concern\xE9s une fois qu\u2019un incident est d\xE9clar\xE9"
          annotation: "Ex1 : Les technologies de d\xE9tection signalent automatiquement\
            \ les incidents confirm\xE9s\nEx2 : Demander de l'aide \xE0 l'externalisateur\
            \ de r\xE9ponse aux incidents de l'organisation\nEx3 : D\xE9signez un\
            \ responsable d'incident pour chaque incident\nEx4 : Lancer l'ex\xE9cution\
            \ de plans de cybers\xE9curit\xE9 suppl\xE9mentaires au besoin pour soutenir\
            \ la r\xE9ponse aux incidents (par exemple, continuit\xE9 des activit\xE9\
            s et reprise apr\xE8s sinistre)\n3\xE8me : Risque de 3\xE8me partie"
        es:
          description: "Se ejecuta el plan de respuesta a incidentes en coordinaci\xF3\
            n con los terceros pertinentes una vez que se declara un incidente"
          annotation: "Ex1: Las tecnolog\xEDas de detecci\xF3n informan autom\xE1\
            ticamente de los incidentes confirmados\nEx2: Solicitar asistencia de\
            \ respuesta a incidentes del subcontratista de respuesta a incidentes\
            \ de la organizaci\xF3n\nEx3: Designar un l\xEDder de incidentes para\
            \ cada incidente\nEx4: Iniciar la ejecuci\xF3n de planes de ciberseguridad\
            \ adicionales seg\xFAn sea necesario para respaldar la respuesta a incidentes\
            \ (por ejemplo, continuidad del negocio y recuperaci\xF3n ante desastres)\n\
            3\xBA: Riesgo de 3\xAA parte"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.ma-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.ma
      ref_id: RS.MA-02
      description: Incident reports are triaged and validated
      annotation: '1st: 1st Party Risk

        Ex1: Preliminarily review incident reports to confirm that they are cybersecurity-related
        and necessitate incident response activities

        Ex2: Apply criteria to estimate the severity of an incident'
      translations:
        fr:
          description: "Les rapports d\u2019incidents sont tri\xE9s et valid\xE9s"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Examiner pr\xE9liminairement\
            \ les rapports d'incident pour confirmer qu'ils sont li\xE9s \xE0 la cybers\xE9\
            curit\xE9 et qu'ils n\xE9cessitent des activit\xE9s d'intervention en\
            \ cas d'incident.\nEx2 : Appliquer des crit\xE8res pour estimer la gravit\xE9\
            \ d'un incident"
        es:
          description: Se clasifican y validan los informes de incidentes
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Revisar preliminarmente\
            \ los informes de incidentes para confirmar que est\xE1n relacionados\
            \ con la ciberseguridad y requieren actividades de respuesta a incidentes.\n\
            Ex2: Aplicar criterios para estimar la gravedad de un incidente"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.ma-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.ma
      ref_id: RS.MA-03
      description: Incidents are categorized and prioritized
      annotation: '1st: 1st Party Risk

        Ex1: Further review and categorize incidents based on the type of incident
        (e.g., data breach, ransomware, DDoS, account compromise)

        Ex2: Prioritize incidents based on their scope, likely impact, and time-critical
        nature

        Ex3: Select incident response strategies for active incidents by balancing
        the need to quickly recover from an incident with the need to observe the
        attacker or conduct a more thorough investigation'
      translations:
        fr:
          description: "Les incidents sont cat\xE9goris\xE9s et prioris\xE9s"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Examiner et cat\xE9goriser\
            \ les incidents en fonction du type d'incident (par exemple, violation\
            \ de donn\xE9es, ransomware, DDoS, compromission de compte)\nEx2 : Hi\xE9\
            rarchiser les incidents en fonction de leur port\xE9e, de leur impact\
            \ probable et de leur caract\xE8re critique\nEx3 : S\xE9lectionner des\
            \ strat\xE9gies de r\xE9ponse aux incidents actifs en \xE9quilibrant la\
            \ n\xE9cessit\xE9 de se remettre rapidement d'un incident et la n\xE9\
            cessit\xE9 d'observer l'attaquant ou de mener une enqu\xEAte plus approfondie"
        es:
          description: Se clasifican y priorizan los incidentes
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Revise y clasifique los\
            \ incidentes en funci\xF3n del tipo de incidente (por ejemplo, violaci\xF3\
            n de datos, ransomware, DDoS, compromiso de la cuenta)\nEx2: Priorice\
            \ los incidentes en funci\xF3n de su alcance, impacto probable y naturaleza\
            \ cr\xEDtica en el tiempo\nEx3: seleccione estrategias de respuesta a\
            \ incidentes para incidentes activos equilibrando la necesidad de recuperarse\
            \ r\xE1pidamente de un incidente con la necesidad de observar al atacante\
            \ o realizar una investigaci\xF3n m\xE1s exhaustiva"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.ma-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.ma
      ref_id: RS.MA-04
      description: Incidents are escalated or elevated as needed
      annotation: '1st: 1st Party Risk

        Ex1: Track and validate the status of all ongoing incidents

        Ex2: Coordinate incident escalation or elevation with designated internal
        and external stakeholders'
      translations:
        fr:
          description: "Les incidents sont escalad\xE9s ou augment\xE9s selon les\
            \ besoins"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Suivre et valider l'\xE9\
            tat de tous les incidents en cours\nEx2 : Coordonner l'escalade ou l'\xE9\
            l\xE9vation des incidents avec les parties prenantes internes et externes\
            \ d\xE9sign\xE9es"
        es:
          description: "Se escalan o elevan los incidentes seg\xFAn sea necesario"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Seguimiento y validaci\xF3\
            n del estado de todos los incidentes en curso\nEx2: Coordinar la escalada\
            \ o elevaci\xF3n de incidentes con las partes interesadas internas y externas\
            \ designadas"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.ma-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.ma
      ref_id: RS.MA-05
      description: The criteria for initiating incident recovery are applied
      annotation: '1st: 1st Party Risk

        Ex1: Apply incident recovery criteria to known and assumed characteristics
        of the incident to determine whether incident recovery processes should be
        initiated

        Ex2: Take the possible operational disruption of incident recovery activities
        into account'
      translations:
        fr:
          description: "Les crit\xE8res d\u2019initiation de la reprise apr\xE8s incident\
            \ sont appliqu\xE9s"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Appliquer des crit\xE8\
            res de r\xE9cup\xE9ration d'incident aux caract\xE9ristiques connues et\
            \ pr\xE9sum\xE9es de l'incident pour d\xE9terminer si des processus de\
            \ r\xE9cup\xE9ration d'incident doivent \xEAtre lanc\xE9s\nEx2 : Prendre\
            \ en compte l'\xE9ventuelle perturbation op\xE9rationnelle des activit\xE9\
            s de r\xE9cup\xE9ration d'incident"
        es:
          description: "Se aplican los criterios para iniciar la recuperaci\xF3n de\
            \ incidentes"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Aplicar criterios de recuperaci\xF3\
            n de incidentes a las caracter\xEDsticas conocidas y supuestas del incidente\
            \ para determinar si se deben iniciar procesos de recuperaci\xF3n de incidentes\n\
            Ex2: Tener en cuenta la posible interrupci\xF3n operativa de las actividades\
            \ de recuperaci\xF3n de incidentes"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.an
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs
      ref_id: RS.AN
      name: Incident Analysis
      description: Investigations are conducted to ensure effective response and support
        forensics and recovery activities
      translations:
        fr:
          name: Analyse des incidents
          description: "Des enqu\xEAtes sont men\xE9es pour garantir une r\xE9ponse\
            \ efficace et soutenir les activit\xE9s criminalistiques et de r\xE9cup\xE9\
            ration"
        es:
          name: "An\xE1lisis de incidentes"
          description: "Se llevan a cabo investigaciones con el fin de garantizar\
            \ una respuesta eficaz y apoyar las actividades forenses y de recuperaci\xF3\
            n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.an-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.an
      ref_id: RS.AN-03
      description: Analysis is performed to establish what has taken place during
        an incident and the root cause of the incident
      annotation: '1st: 1st Party Risk

        Ex1: Determine the sequence of events that occurred during the incident and
        which assets and resources were involved in each event

        Ex2: Attempt to determine what vulnerabilities, threats, and threat actors
        were directly or indirectly involved in the incident

        Ex3: Analyze the incident to find the underlying, systemic root causes

        Ex4: Check any cyber deception technology for additional information on attacker
        behavior'
      translations:
        fr:
          description: "Une analyse est effectu\xE9e pour \xE9tablir ce qui s\u2019\
            est pass\xE9 lors d\u2019un incident et la cause profonde de l\u2019incident"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : D\xE9terminez la s\xE9\
            quence des \xE9v\xE9nements qui se sont produits pendant l'incident et\
            \ quels biens et ressources ont \xE9t\xE9 impliqu\xE9s dans chaque \xE9\
            v\xE9nement\nEx2 : Tenter de d\xE9terminer quelles vuln\xE9rabilit\xE9\
            s, menaces et acteurs de menace ont \xE9t\xE9 directement ou indirectement\
            \ impliqu\xE9s dans l'incident\nEx3 : Analyser l'incident pour trouver\
            \ les causes profondes syst\xE9miques sous-jacentes\nEx4 : V\xE9rifiez\
            \ toute technologie de cyber-tromperie pour plus d'informations sur le\
            \ comportement de l'attaquant"
        es:
          description: "Se realizan an\xE1lisis para determinar lo que ocurri\xF3\
            \ durante un incidente y la causa ra\xEDz del mismo"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Determine la secuencia de\
            \ eventos que ocurrieron durante el incidente y qu\xE9 activos y recursos\
            \ estuvieron involucrados en cada evento\nEx2: Intento de determinar qu\xE9\
            \ vulnerabilidades, amenazas y actores de amenazas estuvieron directa\
            \ o indirectamente involucrados en el incidente\nEx3: Analice el incidente\
            \ para encontrar las causas ra\xEDz sist\xE9micas subyacentes\nEx4: Compruebe\
            \ cualquier tecnolog\xEDa de enga\xF1o cibern\xE9tico para obtener informaci\xF3\
            n adicional sobre el comportamiento del atacante"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.an-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.an
      ref_id: RS.AN-06
      description: Actions performed during an investigation are recorded, and the
        records' integrity and provenance are preserved
      annotation: '1st: 1st Party Risk

        Ex1: Require each incident responder and others (e.g., system administrators,
        cybersecurity engineers) who perform incident response tasks to record their
        actions and make the record immutable

        Ex2: Require the incident lead to document the incident in detail and be responsible
        for preserving the integrity of the documentation and the sources of all information
        being reported'
      translations:
        fr:
          description: "Les actions effectu\xE9es au cours d\u2019une enqu\xEAte sont\
            \ enregistr\xE9es et l\u2019int\xE9grit\xE9 et la provenance des enregistrements\
            \ sont pr\xE9serv\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Exiger que chaque intervenant\
            \ en cas d'incident et d'autres personnes (par exemple, les administrateurs\
            \ syst\xE8me, les ing\xE9nieurs en cybers\xE9curit\xE9) qui effectuent\
            \ des t\xE2ches d'intervention en cas d'incident consignent leurs actions\
            \ et rendent l'enregistrement immuable\nEx2 : Exiger que le responsable\
            \ de l'incident documente l'incident en d\xE9tail et \xEAtre responsable\
            \ de pr\xE9server l'int\xE9grit\xE9 de la documentation et les sources\
            \ de toutes les informations signal\xE9es"
        es:
          description: "Se registran las acciones realizadas durante una investigaci\xF3\
            n y se preservan la integridad y la procedencia de los registros"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Exigir a cada respondedor\
            \ de incidentes y a otros (por ejemplo, administradores de sistemas, ingenieros\
            \ de ciberseguridad) que realizan tareas de respuesta a incidentes que\
            \ registren sus acciones y hagan que el registro sea inmutable.\nEx2:\
            \ Exigir al l\xEDder del incidente que documente el incidente en detalle\
            \ y sea responsable de preservar la integridad de la documentaci\xF3n\
            \ y las fuentes de toda la informaci\xF3n que se informa."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.an-07
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.an
      ref_id: RS.AN-07
      description: Incident data and metadata are collected, and their integrity and
        provenance are preserved
      annotation: '1st: 1st Party Risk

        Ex1: Collect, preserve, and safeguard the integrity of all pertinent incident
        data and metadata (e.g., data source, date/time of collection) based on evidence
        preservation and chain-of-custody procedures'
      translations:
        fr:
          description: "Les donn\xE9es et m\xE9tadonn\xE9es relatives aux incidents\
            \ sont collect\xE9es, et leur int\xE9grit\xE9 et leur provenance sont\
            \ pr\xE9serv\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Recueillir, pr\xE9server\
            \ et prot\xE9ger l'int\xE9grit\xE9 de toutes les donn\xE9es et m\xE9tadonn\xE9\
            es pertinentes sur les incidents (p. ex., source de donn\xE9es, date et\
            \ heure de la collecte) en fonction des proc\xE9dures de pr\xE9servation\
            \ des preuves et de la cha\xEEne de possession"
        es:
          description: Se recopilan los datos y metadatos del incidente y se preservan
            su integridad y su procedencia
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Recopilar, preservar y salvaguardar\
            \ la integridad de todos los datos y metadatos pertinentes del incidente\
            \ (por ejemplo, fuente de datos, fecha/hora de recopilaci\xF3n) en funci\xF3\
            n de los procedimientos de preservaci\xF3n de pruebas y cadena de custodia"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.an-08
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.an
      ref_id: RS.AN-08
      description: An incident's magnitude is estimated and validated
      annotation: '1st: 1st Party Risk

        Ex1: Review other potential targets of the incident to search for indicators
        of compromise and evidence of persistence

        Ex2: Automatically run tools on targets to look for indicators of compromise
        and evidence of persistence'
      translations:
        fr:
          description: "L\u2019ampleur d\u2019un incident est estim\xE9e et valid\xE9\
            e"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Examiner d'autres cibles\
            \ potentielles de l'incident pour rechercher des indicateurs de compromission\
            \ et des preuves de persistance\nEx2 : Ex\xE9cuter automatiquement des\
            \ outils sur les cibles pour rechercher des indicateurs de compromission\
            \ et des preuves de persistance"
        es:
          description: Se estima y valida la magnitud de un incidente.
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Revisar otros posibles objetivos\
            \ del incidente para buscar indicadores de compromiso y evidencia de persistencia\n\
            Ex2: Ejecute autom\xE1ticamente herramientas en los objetivos para buscar\
            \ indicadores de compromiso y evidencia de persistencia"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.co
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs
      ref_id: RS.CO
      name: Incident Response Reporting and Communication
      description: Response activities are coordinated with internal and external
        stakeholders as required by laws, regulations, or policies
      translations:
        fr:
          name: "Rapports et communications en mati\xE8re de r\xE9ponse aux incidents"
          description: "Les activit\xE9s de r\xE9ponse sont coordonn\xE9es avec les\
            \ parties prenantes internes et externes, comme l\u2019exigent les lois,\
            \ les r\xE9glementations ou les politiques"
        es:
          name: "Notificaci\xF3n y comunicaci\xF3n de la respuesta al incidente"
          description: "Las actividades de respuesta se coordinan con las partes interesadas\
            \ internas y externas, seg\xFAn lo exijan las leyes, las normativas o\
            \ las pol\xEDticas"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.co-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.co
      ref_id: RS.CO-02
      description: Internal and external stakeholders are notified of incidents
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Follow the organization''s breach notification procedures after discovering
        a data breach incident, including notifying affected customers

        Ex2: Notify business partners and customers of incidents in accordance with
        contractual requirements

        Ex3: Notify law enforcement agencies and regulatory bodies of incidents based
        on criteria in the incident response plan and management approval'
      translations:
        fr:
          description: "Les parties prenantes internes et externes sont inform\xE9\
            es des incidents"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Suivre les proc\xE9dures de notification des atteintes\
            \ \xE0 la vie priv\xE9e de l'organisation apr\xE8s la d\xE9couverte d'un\
            \ incident d'atteinte \xE0 la protection des donn\xE9es, y compris la\
            \ notification des clients touch\xE9s\nEx2 : Informer les partenaires\
            \ commerciaux et les clients des incidents conform\xE9ment aux exigences\
            \ contractuelles\nEx3 : Informer les organismes d'application de la loi\
            \ et les organismes de r\xE9glementation des incidents en fonction des\
            \ crit\xE8res du plan d'intervention en cas d'incident et de l'approbation\
            \ de la direction"
        es:
          description: Se notifican los incidentes a las partes interesadas internas
            y externas
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Siga los procedimientos de notificaci\xF3n de infracciones de la\
            \ organizaci\xF3n despu\xE9s de descubrir un incidente de infracci\xF3\
            n de datos, incluida la notificaci\xF3n a los clientes afectados\nEx2:\
            \ Notificar a los socios comerciales y clientes de los incidentes de acuerdo\
            \ con los requisitos contractuales\nEx3: Notificar a las agencias de aplicaci\xF3\
            n de la ley y a los organismos reguladores de los incidentes en funci\xF3\
            n de los criterios del plan de respuesta a incidentes y la aprobaci\xF3\
            n de la direcci\xF3n."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.co-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.co
      ref_id: RS.CO-03
      description: Information is shared with designated internal and external stakeholders
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Securely share information consistent with response plans and information
        sharing agreements

        Ex2: Voluntarily share information about an attacker''s observed TTPs, with
        all sensitive data removed, with an Information Sharing and Analysis Center
        (ISAC)

        Ex3: Notify HR when malicious insider activity occurs

        Ex4: Regularly update senior leadership on the status of major incidents

        Ex5: Follow the rules and protocols defined in contracts for incident information
        sharing between the organization and its suppliers

        Ex6: Coordinate crisis communication methods between the organization and
        its critical suppliers'
      translations:
        fr:
          description: "Les informations sont partag\xE9es avec des parties prenantes\
            \ internes et externes d\xE9sign\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Partager en toute s\xE9curit\xE9 des informations conform\xE9\
            ment aux plans d'intervention et aux ententes de partage d'informations\n\
            Ex2 : Partager volontairement des informations sur les TTP observ\xE9\
            s d'un attaquant, en supprimant toutes les donn\xE9es sensibles, avec\
            \ un centre de partage et d'analyse d'informations (ISAC)\nEx3 : Informer\
            \ les RH en cas d'activit\xE9 interne malveillante\nEx4 : Informer r\xE9\
            guli\xE8rement la haute direction de l'\xE9tat des incidents majeurs\n\
            Ex5 : Suivre les r\xE8gles et protocoles d\xE9finis dans les contrats\
            \ d'\xE9change d'informations sur les incidents entre l'organisation et\
            \ ses fournisseurs\nEx6 : Coordonner les m\xE9thodes de communication\
            \ de crise entre l'organisation et ses fournisseurs critiques"
        es:
          description: "La informaci\xF3n se comparte con las partes interesadas internas\
            \ y externas designadas"
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Compartir informaci\xF3n de forma segura de acuerdo con los planes\
            \ de respuesta y los acuerdos de intercambio de informaci\xF3n\nEx2: Compartir\
            \ voluntariamente informaci\xF3n sobre las TTP observadas por un atacante,\
            \ con todos los datos confidenciales eliminados, con un Centro de an\xE1\
            lisis e intercambio de informaci\xF3n (ISAC)\nEx3: Notificar a RRHH cuando\
            \ se produzca una actividad interna maliciosa\nEx4: Actualizar peri\xF3\
            dicamente a la alta direcci\xF3n sobre el estado de los incidentes importantes\n\
            Ex5: Seguir las reglas y protocolos definidos en los contratos para el\
            \ intercambio de informaci\xF3n sobre incidentes entre la organizaci\xF3\
            n y sus proveedores\nEx6: Coordinar los m\xE9todos de comunicaci\xF3n\
            \ de crisis entre la organizaci\xF3n y sus proveedores cr\xEDticos"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.mi
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs
      ref_id: RS.MI
      name: Incident Mitigation
      description: Activities are performed to prevent expansion of an event and mitigate
        its effects
      translations:
        fr:
          name: "Att\xE9nuation des incidents"
          description: "Les activit\xE9s sont r\xE9alis\xE9es pour emp\xEAcher l\u2019\
            expansion d\u2019un \xE9v\xE9nement et att\xE9nuer ses effets"
        es:
          name: "Mitigaci\xF3n de incidentes"
          description: "Se llevan a cabo actividades a fin de evitar la expansi\xF3\
            n de un incidente y mitigar sus efectos"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.mi-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.mi
      ref_id: RS.MI-01
      description: Incidents are contained
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Cybersecurity technologies (e.g., antivirus software) and cybersecurity
        features of other technologies (e.g., operating systems, network infrastructure
        devices) automatically perform containment actions

        Ex2: Allow incident responders to manually select and perform containment
        actions

        Ex3: Allow a third party (e.g., internet service provider, managed security
        service provider) to perform containment actions on behalf of the organization

        Ex4: Automatically transfer compromised endpoints to a remediation virtual
        local area network (VLAN)'
      translations:
        fr:
          description: Les incidents sont contenus
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Les technologies de cybers\xE9curit\xE9 (par exemple,\
            \ les logiciels antivirus) et les fonctionnalit\xE9s de cybers\xE9curit\xE9\
            \ d'autres technologies (par exemple, les syst\xE8mes d'exploitation,\
            \ les p\xE9riph\xE9riques d'infrastructure r\xE9seau) effectuent automatiquement\
            \ des actions de confinement\nEx2 : Autoriser les intervenants en cas\
            \ d'incident \xE0 s\xE9lectionner et \xE0 ex\xE9cuter manuellement des\
            \ actions de confinement\nEx3 : Permettre \xE0 un tiers (par exemple,\
            \ un fournisseur de services Internet, un fournisseur de services de s\xE9\
            curit\xE9 g\xE9r\xE9s) d'effectuer des actions de confinement au nom de\
            \ l'organisation\nEx4 : Transfert automatique des points de terminaison\
            \ compromis vers un r\xE9seau local virtuel (VLAN) de conversion"
        es:
          description: Se contienen los incidentes
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Las tecnolog\xEDas de ciberseguridad (por ejemplo, software antivirus)\
            \ y las caracter\xEDsticas de ciberseguridad de otras tecnolog\xEDas (por\
            \ ejemplo, sistemas operativos, dispositivos de infraestructura de red)\
            \ realizan autom\xE1ticamente acciones de contenci\xF3n\nEx2: Permitir\
            \ que los respondedores de incidentes seleccionen y realicen manualmente\
            \ acciones de contenci\xF3n\nEx3: Permitir que un tercero (por ejemplo,\
            \ proveedor de servicios de Internet, proveedor de servicios de seguridad\
            \ administrada) realice acciones de contenci\xF3n en nombre de la organizaci\xF3\
            n\nEx4: Transfiera autom\xE1ticamente los puntos de conexi\xF3n comprometidos\
            \ a una red de \xE1rea local virtual (VLAN) de correcci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.mi-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rs.mi
      ref_id: RS.MI-02
      description: Incidents are eradicated
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Cybersecurity technologies and cybersecurity features of other technologies
        (e.g., operating systems, network infrastructure devices) automatically perform
        eradication actions

        Ex2: Allow incident responders to manually select and perform eradication
        actions

        Ex3: Allow a third party (e.g., managed security service provider) to perform
        eradication actions on behalf of the organization'
      translations:
        fr:
          description: "Les incidents sont \xE9radiqu\xE9s"
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Les technologies de cybers\xE9curit\xE9 et les fonctionnalit\xE9\
            s de cybers\xE9curit\xE9 d'autres technologies (par exemple, les syst\xE8\
            mes d'exploitation, les p\xE9riph\xE9riques d'infrastructure r\xE9seau)\
            \ effectuent automatiquement des actions d'\xE9radication\nEx2 : Autoriser\
            \ les intervenants en cas d'incident \xE0 s\xE9lectionner et \xE0 ex\xE9\
            cuter manuellement des actions d'\xE9radication\nEx3 : Autoriser un tiers\
            \ (par exemple, un fournisseur de services de s\xE9curit\xE9 g\xE9r\xE9\
            s) \xE0 effectuer des actions d'\xE9radication au nom de l'organisation"
        es:
          description: Se erradican los incidentes
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Las tecnolog\xEDas de ciberseguridad y las caracter\xEDsticas de\
            \ ciberseguridad de otras tecnolog\xEDas (por ejemplo, sistemas operativos,\
            \ dispositivos de infraestructura de red) realizan autom\xE1ticamente\
            \ acciones de erradicaci\xF3n\nEx2: Permitir que los respondedores de\
            \ incidentes seleccionen y realicen manualmente acciones de erradicaci\xF3\
            n\nEx3: Permitir que un tercero (por ejemplo, un proveedor de servicios\
            \ de seguridad administrados) realice acciones de erradicaci\xF3n en nombre\
            \ de la organizaci\xF3n."
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc
      assessable: false
      depth: 1
      ref_id: RC
      name: RECOVER
      description: Assets and operations affected by a cybersecurity incident are
        restored
      translations:
        fr:
          name: "R\xC9CUP\xC9RER"
          description: "Les actifs et les op\xE9rations affect\xE9s par un incident\
            \ de cybers\xE9curit\xE9 sont restaur\xE9s"
        es:
          name: RECUPERAR
          description: "Se restauran los activos y las operaciones afectados por un\
            \ incidente de seguridad cibern\xE9tica"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc
      ref_id: RC.RP
      name: Incident Recovery Plan Execution
      description: Restoration activities are performed to ensure operational availability
        of systems and services affected by cybersecurity incidents
      translations:
        fr:
          name: "Ex\xE9cution du plan de r\xE9cup\xE9ration apr\xE8s incident"
          description: "Les activit\xE9s de restauration sont effectu\xE9es pour garantir\
            \ la disponibilit\xE9 op\xE9rationnelle des syst\xE8mes et services affect\xE9\
            s par les incidents de cybers\xE9curit\xE9"
        es:
          name: "Ejecuci\xF3n del Plan de Recuperaci\xF3n de Incidentes"
          description: "Se realizan actividades de restauraci\xF3n que garantizan\
            \ la disponibilidad operativa de los sistemas y servicios afectados por\
            \ incidentes de seguridad cibern\xE9tica"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp
      ref_id: RC.RP-01
      description: The recovery portion of the incident response plan is executed
        once initiated from the incident response process
      annotation: '1st: 1st Party Risk

        Ex1: Begin recovery procedures during or after incident response processes

        Ex2: Make all individuals with recovery responsibilities aware of the plans
        for recovery and the authorizations required to implement each aspect of the
        plans'
      translations:
        fr:
          description: "La partie r\xE9cup\xE9ration du plan de r\xE9ponse aux incidents\
            \ est ex\xE9cut\xE9e une fois lanc\xE9e \xE0 partir du processus de r\xE9\
            ponse aux incidents."
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Commencer les proc\xE9\
            dures de r\xE9cup\xE9ration pendant ou apr\xE8s les processus de r\xE9\
            ponse aux incidents\nEx2 : Informer toutes les personnes ayant des responsabilit\xE9\
            s en mati\xE8re de r\xE9tablissement des plans de r\xE9tablissement et\
            \ des autorisations requises pour mettre en \u0153uvre chaque aspect des\
            \ plans."
        es:
          description: "La parte de recuperaci\xF3n del plan de respuesta a incidentes\
            \ se ejecuta una vez que se inicia desde el proceso de respuesta a incidentes"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Iniciar procedimientos de\
            \ recuperaci\xF3n durante o despu\xE9s de los procesos de respuesta a\
            \ incidentes\nEx2: Informar a todas las personas con responsabilidades\
            \ de recuperaci\xF3n de los planes de recuperaci\xF3n y de las autorizaciones\
            \ necesarias para implementar cada aspecto de los planes"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp
      ref_id: RC.RP-02
      description: Recovery actions are selected, scoped, prioritized, and performed
      annotation: '1st: 1st Party Risk

        Ex1: Select recovery actions based on the criteria defined in the incident
        response plan and available resources

        Ex2: Change planned recovery actions based on a reassessment of organizational
        needs and resources'
      translations:
        fr:
          description: "Les actions de r\xE9cup\xE9ration sont s\xE9lectionn\xE9es,\
            \ d\xE9limit\xE9es, prioris\xE9es et ex\xE9cut\xE9es"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : S\xE9lectionner les actions\
            \ de r\xE9cup\xE9ration en fonction des crit\xE8res d\xE9finis dans le\
            \ plan de r\xE9ponse \xE0 l'incident et des ressources disponibles\nEx2\
            \ : Modifier les mesures de r\xE9tablissement pr\xE9vues en fonction d'une\
            \ r\xE9\xE9valuation des besoins et des ressources organisationnelles"
        es:
          description: "Se seleccionan, delimitan, priorizan y llevan a cabo las acciones\
            \ de recuperaci\xF3n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Seleccione las acciones\
            \ de recuperaci\xF3n en funci\xF3n de los criterios definidos en el plan\
            \ de respuesta a incidentes y los recursos disponibles\nEx2: Cambiar las\
            \ acciones de recuperaci\xF3n planificadas en funci\xF3n de una reevaluaci\xF3\
            n de las necesidades y los recursos de la organizaci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp
      ref_id: RC.RP-03
      description: The integrity of backups and other restoration assets is verified
        before using them for restoration
      annotation: '1st: 1st Party Risk

        Ex1: Check restoration assets for indicators of compromise, file corruption,
        and other integrity issues before use'
      translations:
        fr:
          description: "L\u2019int\xE9grit\xE9 des sauvegardes et autres actifs de\
            \ restauration est v\xE9rifi\xE9e avant de les utiliser pour la restauration"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : V\xE9rifiez les ressources\
            \ de restauration pour d\xE9tecter des indicateurs de compromission, de\
            \ corruption de fichiers et d'autres probl\xE8mes d'int\xE9grit\xE9 avant\
            \ de les utiliser"
        es:
          description: "Se verifica la integridad de las copias de seguridad y otros\
            \ activos de restauraci\xF3n antes de usarlos para la restauraci\xF3n"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Compruebe los activos de\
            \ restauraci\xF3n en busca de indicadores de compromiso, da\xF1os en los\
            \ archivos y otros problemas de integridad antes de su uso"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp
      ref_id: RC.RP-04
      description: Critical mission functions and cybersecurity risk management are
        considered to establish post-incident operational norms
      annotation: '1st: 1st Party Risk

        Ex1: Use business impact and system categorization records (including service
        delivery objectives) to validate that essential services are restored in the
        appropriate order

        Ex2: Work with system owners to confirm the successful restoration of systems
        and the return to normal operations

        Ex3: Monitor the performance of restored systems to verify the adequacy of
        the restoration'
      translations:
        fr:
          description: "Les fonctions critiques de la mission et la gestion des risques\
            \ de cybers\xE9curit\xE9 sont consid\xE9r\xE9es pour \xE9tablir des normes\
            \ op\xE9rationnelles apr\xE8s incident."
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Utiliser les enregistrements\
            \ d'impact sur l'entreprise et de cat\xE9gorisation du syst\xE8me (y compris\
            \ les objectifs de prestation de services) pour confirmer que les services\
            \ essentiels sont r\xE9tablis dans l'ordre appropri\xE9\nEx2 : Travailler\
            \ avec les propri\xE9taires de syst\xE8mes pour confirmer la r\xE9ussite\
            \ de la restauration des syst\xE8mes et le retour \xE0 des op\xE9rations\
            \ normales\nEx3 : Surveiller le rendement des syst\xE8mes restaur\xE9\
            s pour v\xE9rifier la pertinence de la restauration"
        es:
          description: "Se tienen en cuenta las funciones cr\xEDticas de la misi\xF3\
            n y la gesti\xF3n de riesgos de seguridad cibern\xE9tica para establecer\
            \ normas operativas posteriores al incidente"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Utilice los registros de\
            \ categorizaci\xF3n del sistema y de impacto en el negocio (incluidos\
            \ los objetivos de prestaci\xF3n de servicios) para validar que los servicios\
            \ esenciales se restablezcan en el orden adecuado\nEx2: Trabajar con los\
            \ propietarios de los sistemas para confirmar la restauraci\xF3n exitosa\
            \ de los sistemas y el retorno a las operaciones normales\nEx3: Supervisar\
            \ el rendimiento de los sistemas restaurados para verificar la idoneidad\
            \ de la restauraci\xF3n"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp
      ref_id: RC.RP-05
      description: The integrity of restored assets is verified, systems and services
        are restored, and normal operating status is confirmed
      annotation: '1st: 1st Party Risk

        Ex1: Check restored assets for indicators of compromise and remediation of
        root causes of the incident before production use

        Ex2: Verify the correctness and adequacy of the restoration actions taken
        before putting a restored system online'
      translations:
        fr:
          description: "L\u2019int\xE9grit\xE9 des actifs restaur\xE9s est v\xE9rifi\xE9\
            e, les syst\xE8mes et services sont restaur\xE9s et l\u2019\xE9tat de\
            \ fonctionnement normal est confirm\xE9"
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : V\xE9rifier les actifs\
            \ restaur\xE9s pour d\xE9tecter les indicateurs de compromission et rem\xE9\
            dier aux causes profondes de l'incident avant l'utilisation en production\n\
            Ex2 : V\xE9rifier l'exactitude et l'ad\xE9quation des actions de restauration\
            \ entreprises avant de mettre en ligne un syst\xE8me restaur\xE9"
        es:
          description: Se verifica la integridad de los activos restaurados, se restauran
            los sistemas y servicios y se confirma el estado operativo normal
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Compruebe los activos restaurados\
            \ en busca de indicadores de compromiso y correcci\xF3n de las causas\
            \ ra\xEDz del incidente antes del uso en producci\xF3n\nEx2: Verificar\
            \ la exactitud y adecuaci\xF3n de las acciones de restauraci\xF3n realizadas\
            \ antes de poner en l\xEDnea un sistema restaurado"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.rp
      ref_id: RC.RP-06
      description: The end of incident recovery is declared based on criteria, and
        incident-related documentation is completed
      annotation: '1st: 1st Party Risk

        Ex1: Prepare an after-action report that documents the incident itself, the
        response and recovery actions taken, and lessons learned

        Ex2: Declare the end of incident recovery once the criteria are met'
      translations:
        fr:
          description: "La fin de la reprise apr\xE8s incident est d\xE9clar\xE9e\
            \ sur la base de crit\xE8res et la documentation relative \xE0 l\u2019\
            incident est compl\xE9t\xE9e."
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Pr\xE9parer un rapport\
            \ apr\xE8s action qui documente l'incident lui-m\xEAme, les mesures d'intervention\
            \ et de r\xE9tablissement prises, ainsi que les le\xE7ons apprises.\n\
            Ex2 : D\xE9clarer la fin de la reprise d'incident une fois les crit\xE8\
            res remplis"
        es:
          description: "Se declara el fin de la recuperaci\xF3n del incidente sobre\
            \ la base de criterios y se completa la documentaci\xF3n relacionada con\
            \ el incidente"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Prepare un informe posterior\
            \ a la acci\xF3n que documente el incidente en s\xED, las acciones de\
            \ respuesta y recuperaci\xF3n tomadas, y las lecciones aprendidas\nEx2:\
            \ Declarar el fin de la recuperaci\xF3n de incidentes una vez que se cumplan\
            \ los criterios"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.co
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc
      ref_id: RC.CO
      name: Incident Recovery Communication
      description: Restoration activities are coordinated with internal and external
        parties
      translations:
        fr:
          name: "Communication de r\xE9cup\xE9ration apr\xE8s incident"
          description: "Les activit\xE9s de restauration sont coordonn\xE9es avec\
            \ les parties internes et externes"
        es:
          name: "Comunicaci\xF3n de la recuperaci\xF3n del incidente"
          description: "Se coordinan las actividades de restauraci\xF3n con las partes\
            \ internas y externas"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.co-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.co
      ref_id: RC.CO-03
      description: Recovery activities and progress in restoring operational capabilities
        are communicated to designated internal and external stakeholders
      annotation: '1st: 1st Party Risk

        3rd: 3rd Party Risk

        Ex1: Securely share recovery information, including restoration progress,
        consistent with response plans and information sharing agreements

        Ex2: Regularly update senior leadership on recovery status and restoration
        progress for major incidents

        Ex3: Follow the rules and protocols defined in contracts for incident information
        sharing between the organization and its suppliers

        Ex4: Coordinate crisis communication between the organization and its critical
        suppliers'
      translations:
        fr:
          description: "Les activit\xE9s de r\xE9cup\xE9ration et les progr\xE8s r\xE9\
            alis\xE9s dans la restauration des capacit\xE9s op\xE9rationnelles sont\
            \ communiqu\xE9s aux parties prenantes internes et externes d\xE9sign\xE9\
            es."
          annotation: "1er : Risque de 1\xE8re partie\n3\xE8me : Risque de 3\xE8me\
            \ partie\nEx1 : Partagez en toute s\xE9curit\xE9 les informations de r\xE9\
            cup\xE9ration, y compris la progression de la restauration, conform\xE9\
            ment aux plans d'intervention et aux ententes de partage d'informations\n\
            Ex2 : Informer r\xE9guli\xE8rement la haute direction de l'\xE9tat du\
            \ r\xE9tablissement et des progr\xE8s du r\xE9tablissement en cas d'incidents\
            \ majeurs.\nEx3 : Suivre les r\xE8gles et les protocoles d\xE9finis dans\
            \ les contrats pour l'\xE9change d'informations sur les incidents entre\
            \ l'organisation et ses fournisseurs\nEx4 : Coordonner la communication\
            \ de crise entre l'organisation et ses fournisseurs critiques"
        es:
          description: "Las actividades de recuperaci\xF3n y los progresos en el restablecimiento\
            \ de las capacidades operativas se comunican a las partes interesadas\
            \ internas y externas designadas"
          annotation: "1\xBA: Riesgo de 1\xAA parte\n3\xBA: Riesgo de 3\xAA parte\n\
            Ex1: Compartir de forma segura la informaci\xF3n de recuperaci\xF3n, incluido\
            \ el progreso de la restauraci\xF3n, de acuerdo con los planes de respuesta\
            \ y los acuerdos de intercambio de informaci\xF3n\nEx2: Actualizar peri\xF3\
            dicamente a la alta direcci\xF3n sobre el estado de la recuperaci\xF3\
            n y el progreso de la restauraci\xF3n en caso de incidentes graves\nEx3:\
            \ Seguir las reglas y protocolos definidos en los contratos para el intercambio\
            \ de informaci\xF3n sobre incidentes entre la organizaci\xF3n y sus proveedores\n\
            Ex4: Coordinar la comunicaci\xF3n de crisis entre la organizaci\xF3n y\
            \ sus proveedores cr\xEDticos"
    - urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.co-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:nist-csf-2.0:rc.co
      ref_id: RC.CO-04
      description: Public updates on incident recovery are shared using approved methods
        and messaging
      annotation: '1st: 1st Party Risk

        Ex1: Follow the organization''s breach notification procedures for recovering
        from a data breach incident

        Ex2: Explain the steps being taken to recover from the incident and to prevent
        a recurrence'
      translations:
        fr:
          description: "Les mises \xE0 jour publiques sur la r\xE9cup\xE9ration apr\xE8\
            s incident sont partag\xE9es \xE0 l\u2019aide de m\xE9thodes et de messages\
            \ approuv\xE9s."
          annotation: "1er : Risque de 1\xE8re partie\nEx1 : Suivre les proc\xE9dures\
            \ de notification des atteintes \xE0 la vie priv\xE9e de l'organisation\
            \ pour se remettre d'un incident d'atteinte \xE0 la protection des donn\xE9\
            es.\nEx2 : Expliquer les mesures prises pour se remettre de l'incident\
            \ et \xE9viter qu'il ne se reproduise"
        es:
          description: "Las actualizaciones p\xFAblicas sobre la recuperaci\xF3n del\
            \ incidente se comparten mediante el uso de m\xE9todos y mensajes aprobados"
          annotation: "1\xBA: Riesgo de 1\xAA parte\nEx1: Siga los procedimientos\
            \ de notificaci\xF3n de violaci\xF3n de la organizaci\xF3n para recuperarse\
            \ de un incidente de violaci\xF3n de datos\nEx2: Explique los pasos que\
            \ se est\xE1n tomando para recuperarse del incidente y evitar que se repita"
