NIST CSF a ISO 27001: zvolte provozní roli

NIST CSF i ISO 27001 pomáhají organizacím uspořádat bezpečnost, ale plní odlišné provozní role. Rozhodnutí vedení se vyjasní, když se zeptáte, jaký výstup firma potřebuje: společný pohled na priority kybernetické bezpečnosti, formálně řízený program bezpečnosti informací, nezávislé ujištění pro zákazníky, nebo jejich kombinaci.

Volba rámce nepřenáší odpovědnost z vedení jinam. Vedoucí pracovníci stále musí stanovit rozsah, financovat zlepšení, přidělit vlastníky a rozhodnout, která zbytková rizika firma akceptuje. Užitečná otázka proto nezní „Který rámec je lepší?“, ale „Jakou roli má každý z nich hrát v tom, jak bezpečnost řídíme a prokazujeme?“

Porovnávejte výstupy, nejen seznamy opatření

NIST Cybersecurity Framework, aktuálně CSF 2.0, popisuje výsledky v oblasti kybernetické bezpečnosti. Technickým týmům i vedení poskytuje společný jazyk pro diskusi o rizicích, schopnostech a prioritách, aniž by předepisoval jedinou implementaci pro každou organizaci.

ISO/IEC 27001 stanovuje požadavky na systém řízení bezpečnosti informací (ISMS). Tento systém určuje, jak organizace identifikuje rizika bezpečnosti informací, volí jejich ošetření, přiděluje odpovědnost, hodnotí výkonnost a zlepšuje se. Nezávislá certifikace může poskytnout ujištění o shodě systému řízení v jeho definovaném rozsahu.

Oba přístupy mohou používat organizace různé velikosti a vyspělosti. NIST CSF není jen pro začátečníky nebo americké firmy a ISO 27001 není vyhrazena velkým mezinárodním podnikům. Připravenost ovlivňuje potřebné úsilí, nikoli to, zda je přístup koncepčně vhodný.

Čím NIST CSF přispívá k rozhodování vedení

CSF 2.0 uspořádává výsledky do šesti funkcí. Ty fungují společně; nejde o šest projektových fází, které by se postupně a natrvalo uzavřely.

Funkce Govern je zvlášť důležitá pro vrcholové vedení. Propojuje kybernetickou bezpečnost s obchodními cíli, odpovědností, politikou a dohledem. Brání tomu, aby se bezpečnost stala technickým backlogem bez výslovného obchodního vlastníka.

Převeďte výsledky na investiční plán

Současný profil (Current Profile) popisuje výsledky v oblasti kybernetické bezpečnosti, kterých organizace v současnosti dosahuje. Cílový profil (Target Profile) popisuje výsledky, kterých chce dosáhnout, na základě svých cílů, hrozeb, povinností a očekávání zúčastněných stran. Rozdíl mezi nimi poskytuje základ pro prioritizaci práce.

Firma může mít například zálohy, ale jen málo důkazů, že její nejdůležitější službu lze za realistických podmínek obnovit. Užitečná mezera není jen „obnova neúplná“. Je to definovaný výsledek, dotčená služba, vlastník, navržené cvičení obnovy a rozhodnutí o přijatelném narušení.

Úrovně CSF (Tiers) popisují charakteristiky postupů řízení a správy kybernetických rizik. Poskytují kontext pro diskusi o důslednosti a konzistenci; nejsou to certifikační stupně ani univerzální skóre vyspělosti, které musí každá organizace maximalizovat.

CSF sám o sobě není certifikační norma ve stylu ISO. Organizace si může objednat posouzení a svůj profil doložit důkazy, ale neměla by to prezentovat tak, že certifikaci vydal NIST. Obchodní hodnota spočívá v jasnosti posouzení a zlepšeních, která podněcuje.

Co ISO 27001 přidává do provozního systému

ISO 27001 se zaměřuje na systém řízení s vymezeným rozsahem. Její kapitoly 4–10 se zabývají kontextem organizace, vedením, plánováním, podporou, provozem, hodnocením výkonnosti a zlepšováním. Její zavedení znamená vytvořit fungující cyklus řízení, nikoli pouze shromáždit politiky pro auditora.

Bezpečnost informací zahrnuje důvěrnost, integritu a dostupnost. Důvěrnost se týká přiměřeného přístupu; integrita se týká přesnosti, úplnosti a ochrany před nepatřičnými změnami; dostupnost se týká oprávněného přístupu v okamžiku potřeby. Integrita neznamená, že se informace nikdy nesmí měnit: legitimní změny potřebují přiměřené schválení a kontrolu.

ISMS tyto zájmy uplatňuje prostřednictvím posouzení a ošetření rizik. Nejde o plošný pokyn nasadit každou možnou bezpečnostní technologii.

Udržujte hlavní výstupy ISMS oddělené

Několik dokumentů spolu úzce souvisí, ale odpovídá na různé otázky:

• Rozsah: Které činnosti organizace, lokality, informace, systémy a rozhraní ISMS pokrývá?
• Posouzení rizik: Co se může stát, jak závažné by to bylo a jak se tento úsudek činí konzistentně?
• Plán ošetření rizik: Jaké kroky budou řešit identifikovaná rizika, kdo je vlastní a jaká schválení jsou potřeba?
• Prohlášení o aplikovatelnosti: Která nezbytná opatření jsou zahrnuta, proč jsou zahrnuta, zda jsou zavedena a proč jsou případně vyloučena některá opatření z přílohy A?
• Interní audit: Je ISMS ve shodě s platnými požadavky a funguje účinně, na základě přiměřeně nestranného prověření?
• Přezkoumání vedením: Posuzuje vedení výkonnost, změny, zjištění a potřeby zlepšení a přijímá z toho vyplývající rozhodnutí?

Registr rizik nenahrazuje prohlášení o aplikovatelnosti. Schůzka vedení automaticky nepředstavuje přezkoumání vedením. Každý výstup potřebuje vlastní účel, vstupy a zaznamenané závěry.

Příloha A normy ISO 27001:2022 obsahuje 93 opatření seskupených do organizačních, personálních, fyzických a technologických kategorií. Použitelnost se určuje na základě rizik. Organizace určí nezbytná opatření a porovnají je s přílohou A, aby žádné nezbytné opatření nebylo přehlédnuto; mohou potřebovat i opatření nad rámec této referenční sady. ISO 27002 poskytuje k opatřením návod pro implementaci.

Náš průvodce přílohou A vysvětluje strukturu opatření podrobněji. Pro vedení je podstatné, že vyplněný checklist není totéž co fungující ISMS.

Pochopte, co certifikace prokazuje

Certifikace je dobrovolná, pokud ji nevyžaduje smlouva nebo jiná platná povinnost. Organizace může provozovat ISMS, aniž by usilovala o certifikát.

Tam, kde je certifikace potřeba, posuzuje ISMS nezávislý certifikační orgán; ISO certifikát nevydává. Prvotní certifikace obecně zahrnuje první stupeň, kdy se přezkoumává připravenost a zdokumentovaná opatření, a poté druhý stupeň, kdy se posuzuje implementace. Udržení certifikace zahrnuje průběžná posouzení a recertifikaci podle pravidel certifikačního orgánu.

Než se na certifikát spolehnete, přečtěte si jeho rozsah. Certifikace jedné služby nebo organizační jednotky by neměla být prezentována jako pokrývající každý produkt, dceřinou společnost nebo lokalitu. Také nezaručuje, že nikdy nedojde k incidentům, a neprokazuje soulad se všemi platnými právními předpisy.

Rozhodujte podle toho, co musí firma rozhodnout

Začněte vnějšími očekáváními a poté prozkoumejte interní provozní potřeby. Požádejte obchodní a nákupní týmy, aby rozlišily, co zákazníci skutečně vyžadují a co jen upřednostňují.

„V souladu s ISO 27001“, „certifikováno podle ISO 27001“ a „sladěno s NIST CSF“ jsou odlišná tvrzení. Pokud smlouva vyžaduje certifikát, posouzení podle CSF tomuto znění nevyhoví. Pokud představenstvo potřebuje jasný plán zlepšení, samotný certifikát nemusí vysvětlit, kam by organizace měla investovat dál.

Použijte tyto rozhodovací body:

• Zvolte CSF jako primární komunikační strukturu, když je bezprostřední potřebou stanovit společnou výchozí úroveň, porovnat současné a požadované výsledky a prioritizovat investice do kybernetické bezpečnosti.
• Zvolte ISO 27001 jako primární strukturu řízení, když organizace potřebuje formální ISMS s konzistentním ošetřením rizik, hodnocením a zlepšováním.
• Usilujte o certifikaci, když nezávislé ujištění s vymezeným rozsahem slouží zdokumentovanému zákaznickému, smluvnímu nebo obchodnímu cíli.
• Používejte obojí, když ISMS může řídit realizaci, zatímco profily CSF komunikují zamýšlené výsledky vedení a zúčastněným stranám.

Vyspělá organizace může použít CSF k přehodnocení priorit po akvizici. Malá firma může zavést ISMS podle ISO 27001 brzy, protože to vyžadují očekávání nákupu. Velikost firmy by neměla nahrazovat porozumění skutečné potřebě.

Ani jeden přístup neodstraňuje potřebu analyzovat zákonné povinnosti samostatně. Například certifikát ISO neprokazuje soulad s GDPR ani s NIS2. Platné zákonné povinnosti by měly ovlivňovat posouzení rizik a výběr opatření, s vlastními důkazy a odpovědností.

Zaveďte jeden model realizace s přezkoumanými mapováními

Používání obou přístupů by nemělo znamenat vytvoření dvou nepropojených bezpečnostních programů. Jako praktické doporučení uspořádejte implementaci kolem služeb, rizik, opatření, vlastníků a důkazů a teprve poté tuto práci vztahujte k jednotlivým rámcům.

Užitečný záznam o implementaci obsahuje následující:

Mapování jsou typu M:N. Jeden proces reakce na incidenty může podporovat několik výsledků CSF a více požadavků ISMS. Naopak jeden výsledek může záviset na politikách, technických ochranných opatřeních, školení a ujednáních s dodavateli.

U reakce na incidenty CSF popisuje zamýšlené schopnosti, jako je koordinace reakce a analýza incidentů. ISMS přidává ujednání o řízení týkající se vlastnictví, ošetření rizik, hodnocení a zlepšování. Záznam ze cvičení může podporovat obojí, ale neprokazuje, že každý namapovaný požadavek byl splněn.

Rozsah a verze rámců udržujte explicitní. Nepoužívejte mapování vytvořené pro produkční službu na akvírovanou dceřinou společnost, aniž byste přezkoumali rozdíly. Náš průvodce mapováním napříč rámci vysvětluje, jak sdílet práci, aniž byste různé požadavky považovali za rovnocenné.

Modelový příklad: firma poskytující služby čelí dvěma požadavkům

Vezměme si ilustrativní softwarovou firmu s jednou službou pro zákazníky. Předpokládejme, že její představenstvo chce jasnější plán investic do bezpečnosti a potenciální zákazník vyžaduje certifikaci ISO 27001 pokrývající tuto službu. Jde o hypotetické předpoklady, nikoli o případovou studii zákazníka.

Generální ředitel jmenuje odpovědného sponzora z vedení a požádá vedoucího bezpečnosti, aby navrhl rozsah zahrnující provoz služby a relevantní podpůrné procesy. Návrh identifikuje cloudovou infrastrukturu, zákaznickou podporu, vývoj, správu identit a externí poskytovatele. Vedení ověří, že hranice odpovídá požadavku zákazníka, místo aby zvolilo nejmenší pohodlný rozsah.

Tým vypracuje současný profil CSF. Zjistí, že schválení přístupů se zaznamenávají, ale přezkoumání privilegovaných přístupů jsou nekonzistentní. Zálohy existují, ale důkazy o obnově jsou neúplné. Role pro incidenty jsou zdokumentované, ale eskalace k dodavatelům nebyla procvičena.

Cílový profil stanoví tři priority: konzistentní řízení privilegovaných přístupů, prokázanou schopnost obnovy a koordinovanou reakci na incidenty. Posouzení rizik v rámci ISMS vyhodnotí odpovídající obchodní důsledky a stanoví rozhodnutí o ošetření.

Vedení přezkoumává pokrok vůči cílovému profilu a cílům ISMS. Financuje nevyřešené závislosti obnovy a rozhoduje, jak se bude nakládat s dočasnými výjimkami v přístupech. Interní audit kontroluje systém řízení a implementaci; nápravná opatření se řeší před certifikačním posouzením.

Výsledkem nejsou dvě sady snímků obrazovky. Je to jeden soubor důkazů o implementaci, interpretovaný vůči různým požadavkům, s viditelným vlastnictvím a rozhodnutími vedení.

Rozpočtujte implementaci i průběžný provoz

NIST CSF je volně dostupný, ale jeho uplatnění není zdarma. Oba přístupy vyžadují čas zaměstnanců na pochopení rizik, zlepšení opatření, sběr důkazů, školení lidí a udržování postupů. ISO 27001 navíc zahrnuje pořízení normy a tam, kde se o ni usiluje, poplatky certifikačnímu orgánu.

Rozpočet sestavte kolem pracovních balíčků, nikoli kolem předpokládané tržní ceny:

• Výchozí posouzení a vymezení rozsahu.
• Změny opatření, včetně vývojové práce a práce s dodavateli.
• Dokumentace, přezkoumání důkazů a školení zaměstnanců.
• Interní audit, přezkoumání vedením a nápravná opatření.
• Externí certifikační posouzení, je-li potřeba.
• Průběžné vlastnictví, monitorování, cvičení a opakovaná posouzení.

Nabídky na certifikaci si vyžádejte pro stejný rozsah, aby je bylo možné smysluplně porovnat. Zeptejte se, jaká posouzení, lokality, navazující práce a výdaje jsou zahrnuty. Nápravu opatření držte odděleně od poplatků za certifikaci: levná nabídka na audit nepřipraví podfinancovaný bezpečnostní program.

Obchodní hodnotu vyhodnocujte na základě zdokumentovaných požadavků a příležitostí u zákazníků, nikoli na základě slibu, že certifikace automaticky přinese tržby.

Vyhněte se tvrzením, která důkazy nemohou podložit

Častými chybami jsou deklarování „souladu s NIST“ bez vysvětlení profilu a rozsahu, prezentování úzkého certifikátu jako ujištění pro celou firmu a považování namapovaných opatření za důkaz účinnosti.

Další chybou je měřit úspěch pouze dokončenými dokumenty. Vedení by se mělo ptát také na to, zda mají důležité služby otestované cesty obnovy, zda mají výjimky vlastníky, zda se ošetření po termínu eskalují a zda se předchozí zjištění opakují. Tyto otázky propojují systém řízení s provozní výkonností.

Neexistuje obhajitelné univerzální procento, které by ukazovalo, jak blízko je implementace CSF ke shodě s ISO 27001. Stávající opatření mohou být opakovaně použitelná, ale chybějící požadavky na systém řízení, rozdíly v rozsahu a slabé důkazy je stále třeba posoudit.

Udělejte z dalšího kroku rozhodnutí vedení s vymezeným rozsahem

Vytvořte stručný rozhodovací podklad, který uvádí požadovaný výstup, navrhovanou hranici, očekávání zákazníků, odpovědného sponzora, hlavní mezery a potřebné zdroje. Rozhodněte, zda dalším milníkem je přezkoumaný profil CSF, fungující ISMS, nebo připravenost na certifikaci. Každému milníku dejte kritéria přijetí, která zahrnují důkazy, nejen dokončení dokumentů.

Secani tento pracovní postup podporuje modelováním systémů a služeb, propojováním důkazů s požadavky, opatřeními a rozhodnutími a přidělováním vlastníků a úkolů k přezkoumání. Týmy mohou zachovávat odkazy na zdroje, komentáře, schválení a časová razítka a návrhy s podporou AI přitom považovat za koncepty vyžadující lidské přezkoumání. Než rozšíříte pokrytí, začněte jedním reprezentativním rozsahem a jeho stávajícími důkazy.

Odpovědnost vedení zůstává explicitní: schvalovat priority, zajistit zdroje na práci a přezkoumávat, zda důkazy podporují tvrzení, která firma činí.