NIST CSF и ISO 27001: изберете оперативната роля

NIST CSF и ISO 27001 помагат на организациите да организират сигурността, но изпълняват различни оперативни роли. Управленското решение става по-ясно, когато попитате какъв резултат е необходим на бизнеса: обща картина на приоритетите в киберсигурността, официално управлявана програма за информационна сигурност, независима увереност за клиентите или комбинация от тях.

Изборът на рамка не прехвърля отговорността от ръководството. Ръководителите все пак трябва да определят обхвата, да финансират подобренията, да възлагат собственици и да решават кои остатъчни рискове бизнесът ще приеме. Затова полезният въпрос не е „Коя рамка е по-добра?“, а „Каква роля трябва да играе всяка от тях в начина, по който управляваме сигурността и я демонстрираме?“

Сравнявайте резултатите, а не само списъците с контроли

NIST Cybersecurity Framework, понастоящем CSF 2.0, описва резултати в киберсигурността. Тя дава на техническите екипи и на висшите ръководители общ език за обсъждане на рисковете, възможностите и приоритетите, без да предписва едно внедряване за всяка организация.

ISO/IEC 27001 определя изисквания към система за управление на информационната сигурност (ISMS). Тази система установява как организацията идентифицира рисковете за информационната сигурност, избира третирания, възлага отговорности, оценява представянето и се подобрява. Независимото сертифициране може да осигури увереност относно съответствието на системата за управление в рамките на определения ѝ обхват.

И двете могат да се използват от организации с различен размер и ниво на зрялост. NIST CSF не е само за начинаещи или за американски компании, а ISO 27001 не е запазена за големи международни предприятия. Готовността влияе върху необходимите усилия, а не върху това дали подходът е концептуално подходящ.

Какво допринася NIST CSF за управленските решения

CSF 2.0 организира резултатите в шест функции. Те действат заедно; не са шест фази на проект, които приключват окончателно една след друга.

Функцията Govern е особено важна за висшите ръководители. Тя свързва киберсигурността с бизнес целите, отчетността, политиките и надзора. Тя не позволява сигурността да се превърне в технически списък със задачи без изричен бизнес собственик.

Превърнете резултатите в инвестиционен план

Текущият профил описва резултатите в киберсигурността, които организацията постига в момента. Целевият профил описва резултатите, които тя иска да постигне, въз основа на своите цели, заплахи, задължения и очакванията на заинтересованите страни. Разликата между тях дава основа за приоритизиране на работата.

Например един бизнес може да има резервни копия, но малко доказателства, че най-важната му услуга може да бъде възстановена при реалистични условия. Полезният пропуск не е просто „възстановяването е незавършено“. Това е определен резултат, засегната услуга, собственик, предложено упражнение по възстановяване и решение за приемливото прекъсване.

Нивата в CSF описват характеристиките на практиките за управление на риска в киберсигурността. Те дават контекст за дискусии относно строгостта и последователността; не са оценки за сертифициране или универсален показател за зрялост, който всяка организация трябва да максимизира.

Самата CSF не е стандарт за сертифициране по модела на ISO. Една организация може да възложи оценка и да обоснове своя профил с доказателства, но не бива да представя това като сертифициране, издадено от NIST. Бизнес стойността идва от яснотата на оценката и от подобренията, които тя движи.

Какво добавя ISO 27001 към оперативната система

ISO 27001 се фокусира върху система за управление с определен обхват. Клаузи 4–10 се отнасят до контекста на организацията, лидерството, планирането, подкрепата, дейността, оценката на представянето и подобряването. Внедряването ѝ означава установяване на работещ управленски цикъл, а не просто събиране на политики за одитора.

Информационната сигурност включва поверителност, цялост и наличност. Поверителността се отнася до подходящия достъп; целостта — до точността, пълнотата и защитата срещу неправомерни промени; наличността — до оторизирания достъп, когато е необходим. Целостта не означава, че информацията никога не може да се променя: легитимните промени се нуждаят от подходящо разрешение и контрол.

ISMS прилага тези съображения чрез оценка и третиране на риска. Тя не е общо указание да се внедри всяка възможна технология за сигурност.

Поддържайте отделни основните резултати на ISMS

Няколко документа са тясно свързани, но отговарят на различни въпроси:

• Обхват: Кои дейности на организацията, местоположения, информация, системи и интерфейси обхваща ISMS?
• Оценка на риска: Какво може да се случи, колко значимо би било и как тази преценка се прави последователно?
• План за третиране на риска: Какви действия ще адресират установените рискове, кой отговаря за тях и какви одобрения са необходими?
• Декларация за приложимост: Кои необходими контроли са включени, защо са включени, дали са внедрени и защо са изключени контроли от приложение A?
• Вътрешен одит: Съответства ли ISMS на приложимите изисквания и функционира ли ефективно, въз основа на подходящо безпристрастна проверка?
• Преглед от ръководството: Разглежда ли ръководството представянето, промените, констатациите и нуждите от подобрения и взема ли произтичащите от тях решения?

Регистърът на рисковете не замества Декларацията за приложимост. Една среща на ръководството не представлява автоматично преглед от ръководството. Всеки резултат се нуждае от собствена цел, входни данни и записани заключения.

Приложение A към ISO 27001:2022 съдържа 93 контрола, групирани в организационни, свързани с хората, физически и технологични категории. Приложимостта се основава на риска. Организациите определят необходимите контроли и ги сравняват с приложение A, така че необходимите контроли да не бъдат пропуснати; може да се нуждаят и от контроли извън този референтен набор. ISO 27002 дава насоки за внедряването на контролите.

Нашето ръководство за приложение A обяснява структурата на контролите по-подробно. За ръководството съществената теза е, че попълненият контролен списък не е същото като функционираща ISMS.

Разберете какво демонстрира сертифицирането

Сертифицирането е по избор, освен ако договор или друго приложимо задължение не го изисква. Една организация може да поддържа ISMS, без да търси сертификат.

Когато сертифициране е необходимо, независим сертифициращ орган оценява ISMS; ISO не издава сертификата. Първоначалното сертифициране обикновено включва първи етап на преглед на готовността и документираните договорености, последван от втори етап на оценка на внедряването. Поддържането на сертифицирането включва текуща оценка и пресертифициране съгласно правилата на сертифициращия орган.

Прочетете обхвата, преди да разчитате на сертификат. Сертифицирането на една услуга или бизнес звено не бива да се представя като обхващащо всеки продукт, дъщерно дружество или местоположение. То също не гарантира, че инциденти никога няма да възникнат, и не установява съответствие с всеки приложим закон.

Избирайте въз основа на решението, което бизнесът трябва да вземе

Започнете с външните очаквания и след това разгледайте вътрешните оперативни нужди. Помолете екипите по продажби и снабдяване да разграничат това, което клиентите действително изискват, от това, което просто предпочитат.

„В съответствие с ISO 27001“, „сертифициран по ISO 27001“ и „съгласуван с NIST CSF“ са различни твърдения. Ако договор изисква сертификат, оценка по CSF няма да удовлетвори тази формулировка. Ако съветът на директорите се нуждае от ясен план за подобрения, сертификатът сам по себе си може да не обясни къде организацията трябва да инвестира по-нататък.

Използвайте тези точки за решение:

• Изберете CSF като основна структура за комуникация, когато непосредствената нужда е да се установи обща базова линия, да се сравнят текущите и желаните резултати и да се приоритизират инвестициите в киберсигурност.
• Изберете ISO 27001 като основна структура за управление, когато организацията се нуждае от официална ISMS с последователно третиране на риска, оценка и подобряване.
• Стремете се към сертифициране, когато независимата увереност с определен обхват служи на документирана клиентска, договорна или бизнес цел.
• Използвайте и двете, когато ISMS може да управлява изпълнението, докато профилите по CSF комуникират желаните резултати на ръководството и заинтересованите страни.

Зряла организация може да използва CSF, за да преоцени приоритетите си след придобиване. Малък бизнес може да изгради ISMS по ISO 27001 рано, защото очакванията при възлагане на поръчки го изискват. Не допускайте размерът на компанията да замести разбирането на действителната нужда.

Нито един от подходите не премахва необходимостта от отделен анализ на законовите задължения. Например сертификатът по ISO не установява съответствие с ОРЗД или NIS2. Приложимите законови задължения трябва да информират оценката на риска и избора на контроли, със собствени доказателства и отчетност.

Установете един модел на изпълнение с прегледани съпоставяния

Използването на двата подхода не бива да означава създаване на две несвързани програми за сигурност. Като практическа препоръка организирайте внедряването около услуги, рискове, контроли, собственици и доказателства и след това свържете тази работа с всяка рамка.

Полезният запис за внедряването съдържа следното:

Съпоставянията са „много към много“. Един процес за реагиране при инциденти може да подкрепя няколко резултата по CSF и множество изисквания на ISMS. И обратно, един резултат може да зависи от политики, технически защитни мерки, обучения и договорености с доставчици.

При реагирането при инциденти CSF описва желани възможности като координиране на реагирането и анализ на инцидентите. ISMS добавя управленски договорености относно собствеността, третирането на риска, оценката и подобряването. Запис от упражнение може да подкрепя и двете, но не доказва, че всяко съпоставено изискване е изпълнено.

Поддържайте обхвата и версиите на рамките изрични. Не прилагайте съпоставяне, разработено за производствена услуга, към придобито дъщерно дружество, без да прегледате разликите. Нашето ръководство за съпоставяне между рамки обяснява как да споделяте работа, без да третирате различните изисквания като равностойни.

Практически пример: бизнес за услуги, изправен пред две искания

Да разгледаме илюстративен софтуерен бизнес с една клиентска услуга. Да приемем, че съветът на директорите иска по-ясен план за инвестиции в сигурността, а потенциален клиент изисква сертифициране по ISO 27001, обхващащо тази услуга. Това са хипотетични допускания, а не клиентски казус.

Главният изпълнителен директор определя отговорен спонсор от висшето ръководство и възлага на ръководителя по сигурността да предложи обхват, който включва експлоатацията на услугата и съответните поддържащи процеси. Предложението посочва облачната инфраструктура, поддръжката на клиенти, разработката, администрирането на идентичностите и външните доставчици. Ръководството проверява дали границата съответства на изискването на клиента, вместо да избира най-малкия удобен обхват.

Екипът разработва текущ профил по CSF. Той установява, че одобренията на достъп се записват, но прегледите на привилегирования достъп са непоследователни. Резервни копия съществуват, но доказателствата за възстановяване са непълни. Ролите при инциденти са документирани, но ескалацията към доставчиците не е упражнявана.

Целевият профил определя три приоритета: последователно управление на привилегирования достъп, демонстрирана способност за възстановяване и координирано реагиране при инциденти. Оценката на риска в ISMS оценява съответните бизнес последици и установява решенията за третиране.

Ръководството преглежда напредъка спрямо целевия профил и целите на ISMS. То финансира нерешените зависимости при възстановяването и решава как ще се третират временните изключения в достъпа. Вътрешният одит проверява системата за управление и внедряването; коригиращите действия се адресират преди оценката за сертифициране.

Резултатът не са два комплекта екранни снимки. Той е едно цяло от доказателства за внедряването, тълкувано спрямо различни изисквания, с видима собственост и решения на ръководството.

Предвидете бюджет за внедряването и за продължаващата дейност

NIST CSF е свободно достъпна, но прилагането ѝ не е безплатно. И двата подхода изискват време на персонала, за да се разберат рисковете, да се подобрят контролите, да се събират доказателства, да се обучават хората и да се поддържат практиките. ISO 27001 допълнително включва закупуването на стандарта и, когато се търси сертифициране, таксите на сертифициращия орган.

Изградете бюджета около работни пакети, а не около предполагаема пазарна цена:

• Базова оценка и определяне на обхвата.
• Промени в контролите, включително инженерна работа и работа с доставчици.
• Документация, преглед на доказателствата и обучение на персонала.
• Вътрешен одит, преглед от ръководството и коригиращи действия.
• Външна оценка за сертифициране, когато е необходима.
• Текуща собственост, мониторинг, упражнения и повторна оценка.

Поискайте предложения за сертифициране за един и същ обхват, за да могат да бъдат сравнени смислено. Попитайте какви оценки, местоположения, последваща работа и разходи са включени. Дръжте отстраняването на пропуски в контролите отделно от таксите за сертифициране: евтина оферта за одит не прави недофинансирана програма за сигурност готова.

Оценявайте търговската стойност въз основа на документирани изисквания и възможности при клиенти, а не на обещание, че сертифицирането автоматично носи приходи.

Избягвайте твърдения, които доказателствата не могат да подкрепят

Чести грешки са обявяването на „съответствие с NIST“, без да се обяснят профилът и обхватът, представянето на тесен сертификат като увереност за цялата компания и третирането на съпоставените контроли като доказателство за ефективност.

Друга грешка е измерването на успеха само по броя на завършените документи. Ръководството трябва също да пита дали важните услуги имат тествани пътища за възстановяване, дали изключенията имат собственици, дали просрочените третирания се ескалират и дали предишните констатации се повтарят. Тези въпроси свързват системата за управление с оперативното представяне.

Няма защитим универсален процент, който да показва колко близо е внедряването на CSF до съответствие с ISO 27001. Съществуващите контроли може да се използват повторно, но липсващите изисквания към системата за управление, разликите в обхвата и слабите доказателства все пак трябва да бъдат оценени.

Направете следващата стъпка управленско решение с определен обхват

Изгответе кратка записка за решение, в която са посочени необходимият резултат, предложената граница, очакванията на клиентите, отговорният спонсор, основните пропуски и необходимите ресурси. Решете дали следващият етап е прегледан профил по CSF, функционираща ISMS или готовност за сертифициране. Дайте на всеки етап критерии за приемане, които включват доказателства, а не само завършени документи.

Secani подпомага този работен процес, като моделира системи и услуги, свързва доказателствата с изисквания, контроли и решения и възлага собственици и задачи за преглед. Екипите могат да запазват връзките към източниците, коментарите, одобренията и времевите клейма, като третират предложенията, подпомогнати от AI, като чернови, изискващи човешки преглед. Започнете с един представителен обхват и съществуващите за него доказателства, преди да разширите покритието.

Отговорността на ръководството остава изрична: да одобрява приоритетите, да осигурява ресурси за работата и да преглежда дали доказателствата подкрепят твърденията, които бизнесът прави.