NIST CSF og ISO 27001: vælg den driftsmæssige rolle

NIST CSF og ISO 27001 hjælper organisationer med at organisere sikkerheden, men de udfylder forskellige driftsmæssige roller. Ledelsens beslutning bliver tydeligere, når man spørger, hvilket resultat forretningen har brug for: et fælles billede af prioriteterne inden for cybersikkerhed, et formelt styret informationssikkerhedsprogram, uafhængig sikkerhed over for kunderne eller en kombination af disse.

Valget af et framework flytter ikke ansvaret væk fra ledelsen. Ledere skal stadig fastlægge scope, finansiere forbedringer, udpege ejere og beslutte, hvilke restrisici forretningen vil acceptere. Det nyttige spørgsmål er derfor ikke „Hvilket framework er bedst?“. Det er „Hvilken rolle skal hvert af dem spille i den måde, vi driver sikkerhed og dokumenterer den på?“

Sammenlign resultaterne, ikke kun kontrollisterne

NIST Cybersecurity Framework, aktuelt CSF 2.0, beskriver cybersikkerhedsresultater. Det giver tekniske teams og direktioner et fælles sprog til at drøfte risici, kapabiliteter og prioriteter uden at foreskrive én implementering for alle organisationer.

ISO/IEC 27001 specificerer krav til et ledelsessystem for informationssikkerhed, et ISMS. Systemet fastlægger, hvordan en organisation identificerer informationssikkerhedsrisici, vælger håndteringer, fordeler ansvar, evaluerer præstationer og forbedrer sig. Uafhængig certificering kan give sikkerhed for, at ledelsessystemet er i overensstemmelse med standarden inden for dets definerede scope.

Begge kan bruges af organisationer af forskellig størrelse og modenhed. NIST CSF er ikke kun for begyndere eller amerikanske virksomheder, og ISO 27001 er ikke forbeholdt store internationale koncerner. Parathed påvirker den nødvendige indsats, ikke om tilgangen konceptuelt er egnet.

Hvad NIST CSF bidrager med til ledelsens beslutninger

CSF 2.0 organiserer resultaterne i seks funktioner. De virker sammen; de er ikke seks projektfaser, der afsluttes permanent i rækkefølge.

Govern er særlig vigtig for direktionen. Den forbinder cybersikkerhed med forretningsmål, ansvar, politik og tilsyn. Den forhindrer, at sikkerhed bliver en teknisk backlog uden en eksplicit forretningsmæssig ejer.

Omsæt resultater til en investeringsplan

En Current Profile beskriver de cybersikkerhedsresultater, organisationen opnår i dag. En Target Profile beskriver de resultater, den ønsker at opnå, med afsæt i dens mål, trusler, forpligtelser og interessenternes forventninger. Afstanden mellem dem giver et grundlag for at prioritere arbejdet.

En virksomhed kan for eksempel have backups, men kun lidt evidens for, at dens vigtigste tjeneste kan genoprettes under realistiske forhold. Den brugbare mangel er ikke blot „genoprettelse ufuldstændig“. Det er et defineret resultat, en berørt tjeneste, en ejer, en foreslået gendannelsesøvelse og en beslutning om, hvilken afbrydelse der er acceptabel.

CSF Tiers beskriver karakteristika ved praksis for governance og styring af cybersikkerhedsrisici. De giver kontekst til drøftelser om grundighed og konsistens; de er ikke certificeringskarakterer eller en universel modenhedsscore, som alle organisationer skal maksimere.

CSF er i sig selv ikke en certificeringsstandard i ISO-forstand. En organisation kan få udført en vurdering og underbygge sin Profile med evidens, men bør ikke fremstille det, som om NIST udsteder en certificering. Den forretningsmæssige værdi kommer fra vurderingens klarhed og de forbedringer, den driver.

Hvad ISO 27001 tilføjer driftsmodellen

ISO 27001 fokuserer på et afgrænset ledelsessystem. Punkt 4–10 omhandler organisationens kontekst, lederskab, planlægning, støtte, drift, evaluering af præstationer og forbedring. At implementere standarden betyder at etablere en fungerende ledelsescyklus, ikke blot at samle politikker til en auditor.

Informationssikkerhed omfatter fortrolighed, integritet og tilgængelighed. Fortrolighed handler om passende adgang; integritet handler om nøjagtighed, fuldstændighed og beskyttelse mod uretmæssige ændringer; tilgængelighed handler om autoriseret adgang, når der er behov for det. Integritet betyder ikke, at information aldrig må ændres: Legitime ændringer kræver passende autorisation og kontrol.

ISMS'et håndterer disse hensyn gennem risikovurdering og risikohåndtering. Det er ikke en generel instruks om at tage enhver tænkelig sikkerhedsteknologi i brug.

Hold de vigtigste ISMS-leverancer adskilt

Flere dokumenter er nært beslægtede, men besvarer forskellige spørgsmål:

• Scope: Hvilke organisatoriske aktiviteter, lokationer, informationer, systemer og grænseflader dækker ISMS'et?
• Risikovurdering: Hvad kan ske, hvor betydeligt ville det være, og hvordan træffes den vurdering konsekvent?
• Risikohåndteringsplan: Hvilke handlinger vil adressere de identificerede risici, hvem ejer dem, og hvilke godkendelser kræves?
• Anvendelseserklæring (Statement of Applicability): Hvilke nødvendige kontroller er medtaget, hvorfor er de medtaget, er de implementeret, og hvorfor er eventuelle kontroller fra Anneks A udeladt?
• Intern audit: Er ISMS'et i overensstemmelse med de gældende krav, og fungerer det effektivt, baseret på en passende upartisk undersøgelse?
• Ledelsens evaluering: Tager ledelsen stilling til præstationer, ændringer, fund og behov for forbedring og træffer de deraf følgende beslutninger?

Et risikoregister erstatter ikke en anvendelseserklæring. Et ledelsesmøde udgør ikke automatisk en ledelsesevaluering. Hver leverance har brug for sit eget formål, sine egne input og registrerede konklusioner.

ISO 27001:2022 Anneks A indeholder 93 kontroller grupperet i organisatoriske, personrelaterede, fysiske og teknologiske kategorier. Anvendeligheden er risikobaseret. Organisationer fastlægger de nødvendige kontroller og sammenligner dem med Anneks A, så nødvendige kontroller ikke bliver overset; de kan have brug for kontroller ud over dette referencesæt. ISO 27002 giver vejledning i implementering af kontrollerne.

Vores guide til Anneks A forklarer kontrolstrukturen mere detaljeret. For ledelsen er det væsentlige, at en udfyldt tjekliste ikke er det samme som et fungerende ISMS.

Forstå, hvad certificering påviser

Certificering er frivillig, medmindre en kontrakt eller en anden gældende forpligtelse kræver den. En organisation kan drive et ISMS uden at søge et certifikat.

Hvor certificering er nødvendig, vurderer et uafhængigt certificeringsorgan ISMS'et; ISO udsteder ikke certifikatet. En første certificering omfatter normalt en gennemgang på første trin af parathed og dokumenterede ordninger, efterfulgt af en vurdering på andet trin af implementeringen. Opretholdelse af certificeringen indebærer løbende vurdering og gencertificering efter certificeringsorganets ordninger.

Læs scopet, før I forlader jer på et certifikat. En certificering af én tjeneste eller forretningsenhed bør ikke fremstilles, som om den dækker alle produkter, datterselskaber eller lokationer. Den garanterer heller ikke, at hændelser aldrig vil indtræffe, og den dokumenterer ikke overholdelse af al gældende lovgivning.

Vælg ud fra den beslutning, forretningen skal træffe

Begynd med de eksterne forventninger, og undersøg derefter de interne driftsmæssige behov. Bed salgs- og indkøbsteams om at skelne mellem, hvad kunderne faktisk kræver, og hvad de blot foretrækker.

„ISO 27001-compliant“, „ISO 27001-certificeret“ og „afstemt med NIST CSF“ er forskellige påstande. Hvis en kontrakt kræver et certifikat, opfylder en CSF-vurdering ikke den formulering. Hvis bestyrelsen har brug for en klar forbedringsplan, forklarer et certifikat alene måske ikke, hvor organisationen bør investere som det næste.

Brug disse beslutningspunkter:

• Vælg CSF som den primære kommunikationsstruktur, når det umiddelbare behov er at etablere et fælles udgangspunkt, sammenligne nuværende og ønskede resultater og prioritere investeringer i cybersikkerhed.
• Vælg ISO 27001 som den primære styringsstruktur, når organisationen har brug for et formelt ISMS med konsekvent risikohåndtering, evaluering og forbedring.
• Gå efter certificering, når afgrænset uafhængig sikkerhed tjener et dokumenteret kunde-, kontrakt- eller forretningsmæssigt formål.
• Brug begge, når ISMS'et kan styre leverancerne, mens CSF Profiles kommunikerer de tilsigtede resultater til ledelse og interessenter.

En moden organisation kan bruge CSF til at revurdere prioriteter efter et opkøb. En lille virksomhed kan etablere et ISO 27001-ISMS tidligt, fordi forventningerne i indkøbsprocesser kræver det. Lad ikke virksomhedens størrelse erstatte forståelsen af det faktiske behov.

Ingen af tilgangene fjerner behovet for at analysere de juridiske forpligtelser separat. Et ISO-certifikat dokumenterer for eksempel ikke overholdelse af GDPR eller NIS2. Gældende juridiske forpligtelser bør indgå i risikovurderingen og valget af kontroller med deres egen evidens og deres eget ansvar.

Etablér én leverancemodel med gennemgåede mappings

At bruge begge tilgange bør ikke betyde, at man opretter to adskilte sikkerhedsprogrammer. Som praktisk anbefaling bør implementeringen organiseres omkring ydelser, risici, kontroller, ejere og evidens, og derefter relateres det arbejde til hvert framework.

En brugbar implementeringspost indeholder følgende:

Mappings er mange-til-mange. Én hændelseshåndteringsproces kan understøtte flere CSF-resultater og flere ISMS-krav. Omvendt kan ét resultat afhænge af politikker, tekniske sikringsforanstaltninger, træning og leverandørordninger.

For hændelseshåndtering beskriver CSF tilsigtede kapabiliteter som at koordinere indsatsen og analysere hændelser. ISMS'et tilføjer ledelsesmæssige ordninger omkring ejerskab, risikohåndtering, evaluering og forbedring. En registrering fra en øvelse kan understøtte begge, men den beviser ikke, at alle mappede krav er opfyldt.

Hold scope og frameworkversioner eksplicitte. Anvend ikke en mapping, der er udviklet til en produktionstjeneste, på et opkøbt datterselskab uden at gennemgå forskellene. Vores guide til mapping på tværs af frameworks forklarer, hvordan man deler arbejdet uden at behandle forskellige krav som ensbetydende.

Gennemregnet eksempel: en servicevirksomhed med to krav

Forestil dig en softwarevirksomhed, som illustration, med én kundevendt tjeneste. Antag, at bestyrelsen ønsker en klarere plan for sikkerhedsinvesteringer, og at en potentiel kunde kræver en ISO 27001-certificering, der dækker tjenesten. Det er hypotetiske antagelser, ikke en kundecase.

Den administrerende direktør udpeger en ansvarlig sponsor i direktionen og beder sikkerhedschefen om at foreslå et scope, der omfatter driften af tjenesten og de relevante understøttende processer. Forslaget identificerer cloudinfrastruktur, kundesupport, udvikling, identitetsadministration og eksterne leverandører. Ledelsen kontrollerer, at afgrænsningen svarer til kundens krav, i stedet for at vælge det mindste bekvemme scope.

Teamet udarbejder en CSF Current Profile. Det konstaterer, at adgangsgodkendelser registreres, men at gennemgangene af privilegeret adgang er inkonsekvente. Der findes backups, men evidensen for gendannelse er ufuldstændig. Rollerne ved hændelser er dokumenteret, men eskalering til leverandører er ikke blevet øvet.

Target Profile fastsætter tre prioriteter: konsekvent governance for privilegeret adgang, påvist gendannelsesevne og koordineret hændelseshåndtering. ISMS-risikovurderingen evaluerer de tilsvarende forretningsmæssige konsekvenser og fastlægger beslutningerne om håndtering.

Ledelsen evaluerer fremskridtet i forhold til Target Profile og ISMS-målene. Den finansierer uafklarede afhængigheder i genoprettelsen og beslutter, hvordan midlertidige undtagelser for adgang skal håndteres. Den interne audit kontrollerer ledelsessystemet og implementeringen; korrigerende handlinger håndteres før certificeringsvurderingen.

Resultatet er ikke to sæt skærmbilleder. Det er én samling implementeringsevidens, fortolket i forhold til forskellige krav, med synligt ejerskab og synlige ledelsesbeslutninger.

Budgettér med implementering og fortsat drift

NIST CSF er frit tilgængeligt, men det er ikke omkostningsfrit at anvende det. Begge tilgange kræver medarbejdertid til at forstå risici, forbedre kontroller, indsamle evidens, træne medarbejdere og vedligeholde praksis. ISO 27001 indebærer desuden køb af standarden og, hvis man går efter certificering, honorarer til certificeringsorganet.

Byg et budget op omkring arbejdspakker i stedet for en antaget markedspris:

• Basisvurdering og definition af scope.
• Ændringer i kontroller, herunder udviklings- og leverandørarbejde.
• Dokumentation, gennemgang af evidens og træning af medarbejdere.
• Intern audit, ledelsens evaluering og korrigerende handlinger.
• Ekstern certificeringsvurdering, hvor det er nødvendigt.
• Løbende ejerskab, overvågning, øvelser og fornyet vurdering.

Indhent certificeringstilbud på det samme scope, så de kan sammenlignes meningsfuldt. Spørg, hvilke vurderinger, lokationer, opfølgende arbejde og udgifter der er inkluderet. Hold afhjælpning af kontroller adskilt fra certificeringshonorarer: Et billigt tilbud på en audit gør ikke et underfinansieret sikkerhedsprogram parat.

Evaluer den kommercielle værdi ud fra dokumenterede kundekrav og forretningsmuligheder, ikke et løfte om, at certificering automatisk skaber omsætning.

Undgå påstande, som evidensen ikke kan bære

Typiske fejl er at erklære „NIST-compliance“ uden at forklare Profile og scope, at fremstille et snævert certifikat som sikkerhed for hele virksomheden og at behandle mappede kontroller som bevis for effektivitet.

En anden fejl er kun at måle succes på færdiggjorte dokumenter. Ledelsen bør også spørge, om vigtige tjenester har testede genoprettelsesveje, om undtagelser har ejere, om forsinkede håndteringer bliver eskaleret, og om tidligere fund gentager sig. Disse spørgsmål forbinder ledelsessystemet med den driftsmæssige præstation.

Der findes ingen forsvarlig universel procentsats, der viser, hvor tæt en CSF-implementering er på overensstemmelse med ISO 27001. Eksisterende kontroller kan måske genbruges, men manglende krav til ledelsessystemet, forskelle i scope og svag evidens skal stadig vurderes.

Gør det næste skridt til en afgrænset ledelsesbeslutning

Udarbejd et kort beslutningsoplæg, der angiver det krævede resultat, den foreslåede afgrænsning, kundernes forventninger, den ansvarlige sponsor, de største mangler og de nødvendige ressourcer. Beslut, om den næste milepæl er en gennemgået CSF Profile, et fungerende ISMS eller parathed til certificering. Giv hver milepæl acceptkriterier, der omfatter evidens og ikke kun færdiggjorte dokumenter.

Secani understøtter denne arbejdsgang ved at modellere systemer og ydelser, forbinde evidens med krav, kontroller og beslutninger og tildele ejere og gennemgangsopgaver. Teams kan bevare kildelinks, kommentarer, godkendelser og tidsstempler og samtidig behandle AI-understøttede forslag som udkast, der kræver menneskelig gennemgang. Begynd med ét repræsentativt scope og dets eksisterende evidens, før dækningen udvides.

Ledelsens ansvar forbliver eksplicit: godkende prioriteter, sikre ressourcer til arbejdet og vurdere, om evidensen understøtter de påstande, forretningen fremsætter.