Govern è una funzione fondamentale nel NIST CSF 2.0 che comprende la supervisione, la gestione del rischio, i ruoli e le decisioni di policy che modellano la cybersecurity. È la parte della strategia di sicurezza che definisce chi è responsabile, quali regole si applicano e come vengono prese le decisioni in tutta l'organizzazione. In pratica, Govern trasforma la sicurezza da un insieme di controlli tecnici isolati in un programma gestito con una chiara titolarità e obiettivi misurabili.
Questo è importante perché molti rischi informatici derivano da una scarsa coordinazione più che da strumenti deboli. Una governance carente può lasciare poco chiari i permessi cloud, la conservazione dei dati, l'accesso dei fornitori e le responsabilità sugli incidenti, rendendo più facile per gli aggressori sfruttare configurazioni errate o account con privilegi eccessivi. Una governance solida aiuta i difensori a definire le policy, rivedere il rischio, approvare le architetture e applicare controlli coerenti in ambienti ibridi. Supporta inoltre decisioni basate su evidenze riguardo alla localizzazione dei dati, alla portabilità e alla pianificazione dell'uscita, aspetti essenziali quando cambiano normative, fornitori o condizioni aziendali.