NIST CSF ja ISO 27001: valige nende roll tegevusmudelis

NIST CSF ja ISO 27001 aitavad organisatsioonidel turvalisust korraldada, kuid neil on tegevusmudelis erinev roll. Juhtkonna otsus muutub selgemaks, kui küsite, millist väljundit ettevõte vajab: ühist vaadet küberturvalisuse prioriteetidele, ametlikult juhitud infoturbeprogrammi, sõltumatut kindlustandvust klientidele või nende kombinatsiooni.

Raamistiku valimine ei vabasta juhtkonda vastutusest. Juhid peavad endiselt määrama ulatuse, rahastama parendusi, määrama omanikud ja otsustama, milliseid jääkriske ettevõte aktsepteerib. Kasulik küsimus ei ole seega „Kumb raamistik on parem?“. See on „Millist rolli peaks kumbki mängima selles, kuidas me turvalisust korraldame ja tõendame?“.

Võrrelge väljundeid, mitte ainult kontrollimeetmete loendeid

NIST Cybersecurity Framework, praegu CSF 2.0, kirjeldab küberturvalisuse tulemusi. See annab tehnilistele meeskondadele ja juhtidele ühise keele riskide, võimekuste ja prioriteetide arutamiseks, ilma et see näeks igale organisatsioonile ette ühte rakendusviisi.

ISO/IEC 27001 määrab kindlaks infoturbe juhtimissüsteemi ehk ISMS-i nõuded. See süsteem kehtestab, kuidas organisatsioon tuvastab infoturberiske, valib käsitlusviisid, määrab vastutuse, hindab toimivust ja täiustab. Sõltumatu sertifitseerimine võib anda kindlustandvuse juhtimissüsteemi vastavuse kohta selle määratletud ulatuses.

Mõlemat saavad kasutada erineva suuruse ja küpsusastmega organisatsioonid. NIST CSF ei ole mõeldud ainult algajatele ega USA ettevõtetele ning ISO 27001 ei ole reserveeritud suurtele rahvusvahelistele ettevõtetele. Valmisolek mõjutab vajalikku töömahtu, mitte seda, kas lähenemisviis on põhimõtteliselt sobiv.

Mida NIST CSF annab juhtkonna otsustele

CSF 2.0 jaotab tulemused kuueks funktsiooniks. Need toimivad koos; need ei ole kuus projektietappi, mis lõpevad järjest ja jäädavalt.

Funktsioon Govern on juhtide jaoks eriti oluline. See seob küberturvalisuse äriliste eesmärkide, vastutuse, poliitika ja järelevalvega. See hoiab ära, et turvalisusest saab tehniline tööjärjekord ilma selge ärilise omanikuta.

Muutke tulemused investeerimiskavaks

Praegune profiil (Current Profile) kirjeldab küberturvalisuse tulemusi, mida organisatsioon praegu saavutab. Sihtprofiil (Target Profile) kirjeldab tulemusi, mida ta soovib saavutada, lähtudes oma eesmärkidest, ohtudest, kohustustest ja sidusrühmade ootustest. Nendevaheline lünk annab aluse töö prioriseerimiseks.

Näiteks võib ettevõttel olla varukoopiaid, kuid vähe tõendeid selle kohta, et tema kõige olulisemat teenust saab realistlikes tingimustes taastada. Kasulik lünk ei ole lihtsalt „taastamine pooleli“. See on määratletud tulemus, mõjutatud teenus, omanik, kavandatud taasteharjutus ja otsus vastuvõetava katkestuse kohta.

CSF-i tasemed (Tiers) kirjeldavad küberturvalisuse riskide juhtimise ja haldamise tavade omadusi. Need annavad konteksti arutlusteks ranguse ja järjepidevuse üle; need ei ole sertifitseerimishinded ega universaalne küpsusskoor, mida iga organisatsioon peab maksimeerima.

CSF ise ei ole ISO-laadne sertifitseerimisstandard. Organisatsioon võib tellida hindamise ja põhjendada oma profiili tõenditega, kuid ei tohiks seda esitada nii, nagu oleks NIST välja andnud sertifikaadi. Äriline väärtus tuleneb hindamise selgusest ja parendustest, mida see esile kutsub.

Mida ISO 27001 lisab tegevusmudelile

ISO 27001 keskendub piiritletud juhtimissüsteemile. Selle punktid 4–10 käsitlevad organisatsiooni konteksti, eestvedamist, planeerimist, tuge, toimimist, toimivuse hindamist ja täiustamist. Selle rakendamine tähendab toimiva juhtimistsükli loomist, mitte lihtsalt audiitorile poliitikate kokkupanemist.

Infoturve hõlmab konfidentsiaalsust, terviklikkust ja käideldavust. Konfidentsiaalsus puudutab asjakohast juurdepääsu; terviklikkus puudutab täpsust, täielikkust ja kaitset sobimatute muudatuste eest; käideldavus puudutab volitatud juurdepääsu siis, kui seda vajatakse. Terviklikkus ei tähenda, et teave ei tohi kunagi muutuda: õigustatud muudatused vajavad asjakohast volitust ja kontrolli.

ISMS rakendab neid põhimõtteid riskihindamise ja -käsitluse kaudu. See ei ole üldine juhis juurutada iga võimalik turvatehnoloogia.

Hoidke ISMS-i peamised väljundid lahus

Mitu dokumenti on omavahel tihedalt seotud, kuid vastavad erinevatele küsimustele.

• Ulatus: milliseid organisatsiooni tegevusi, asukohti, teavet, süsteeme ja liideseid ISMS hõlmab?
• Riskihindamine: mis võib juhtuda, kui oluline see oleks ja kuidas seda hinnangut järjepidevalt antakse?
• Riskikäsitluskava: millised tegevused käsitlevad tuvastatud riske, kes on nende omanikud ja milliseid heakskiite on vaja?
• Kohaldatavuse avaldus: millised vajalikud kontrollimeetmed on kaasatud, miks need on kaasatud, kas need on rakendatud ja miks on mõni lisa A meede välja jäetud?
• Siseaudit: kas ISMS vastab kohaldatavatele nõuetele ja toimib tõhusalt, tuginedes asjakohaselt erapooletule läbivaatusele?
• Juhtkonnapoolne ülevaatus: kas juhtkond käsitleb toimivust, muudatusi, leide ja täiustamisvajadusi ning teeb nende põhjal otsuseid?

Riskiregister ei asenda kohaldatavuse avaldust. Juhtkonna koosolek ei ole automaatselt juhtkonnapoolne ülevaatus. Igal väljundil peab olema oma eesmärk, sisendid ja dokumenteeritud järeldused.

ISO 27001:2022 lisa A sisaldab 93 kontrollimeedet, mis on rühmitatud organisatsioonilisteks, inimestega seotud, füüsilisteks ja tehnoloogilisteks kategooriateks. Kohaldatavus on riskipõhine. Organisatsioonid määravad kindlaks vajalikud kontrollimeetmed ja võrdlevad neid lisaga A, et vajalikud meetmed ei jääks tähelepanuta; neil võib vaja minna ka meetmeid väljaspool seda viitekogumit. ISO 27002 annab kontrollimeetmete rakendamiseks juhiseid.

Meie lisa A juhend selgitab kontrollimeetmete struktuuri üksikasjalikumalt. Juhtkonna jaoks on põhiline see, et täidetud kontroll-loend ei ole sama mis toimiv ISMS.

Mõistke, mida sertifitseerimine tõendab

Sertifitseerimine on vabatahtlik, kui leping või muu kohaldatav kohustus seda ei nõua. Organisatsioon võib käitada ISMS-i ilma sertifikaati taotlemata.

Kui sertifitseerimist on vaja, hindab ISMS-i sõltumatu sertifitseerimisasutus; ISO sertifikaati ei väljasta. Esmane sertifitseerimine hõlmab tavaliselt esimese etapi ülevaatust valmisoleku ja dokumenteeritud korralduse kohta, millele järgneb teise etapi hindamine rakendamise kohta. Sertifikaadi säilitamine hõlmab jätkuvat hindamist ja taassertifitseerimist sertifitseerimisasutuse korra kohaselt.

Lugege enne sertifikaadile tuginemist selle ulatust. Ühe teenuse või äriüksuse sertifikaati ei tohiks esitada nii, nagu hõlmaks see iga toodet, tütarettevõtet või asukohta. See ei garanteeri ka, et intsidente ei juhtu kunagi, ega tõenda vastavust kõigile kohaldatavatele seadustele.

Valige otsuse põhjal, mida ettevõte peab tegema

Alustage välistest ootustest ja uurige seejärel sisemisi tegevusvajadusi. Paluge müügi- ja hankemeeskondadel eristada, mida kliendid tegelikult nõuavad ja mida nad lihtsalt eelistavad.

„ISO 27001-le vastav“, „ISO 27001 sertifikaadiga“ ja „NIST CSF-iga kooskõlas“ on erinevad väited. Kui leping nõuab sertifikaati, ei rahulda CSF-i hindamine seda sõnastust. Kui nõukogu vajab selget parenduskava, ei pruugi sertifikaat üksi selgitada, kuhu organisatsioon peaks järgmisena investeerima.

Kasutage järgmisi otsustuspunkte.

• Valige CSF peamiseks kommunikatsioonistruktuuriks, kui kohene vajadus on luua ühine lähtetase, võrrelda praeguseid ja soovitud tulemusi ning prioriseerida küberturvalisuse investeeringuid.
• Valige ISO 27001 peamiseks juhtimisstruktuuriks, kui organisatsioon vajab formaalset ISMS-i koos järjepideva riskikäsitluse, hindamise ja täiustamisega.
• Taotlege sertifitseerimist, kui piiritletud sõltumatu kindlustandvus teenib dokumenteeritud kliendi-, lepingulist või ärilist eesmärki.
• Kasutage mõlemat, kui ISMS saab juhtida elluviimist, samal ajal kui CSF-i profiilid edastavad kavandatud tulemusi juhtkonnale ja sidusrühmadele.

Küps organisatsioon võib kasutada CSF-i prioriteetide ümberhindamiseks pärast ettevõtte omandamist. Väike ettevõte võib luua ISO 27001 ISMS-i varakult, sest hankeootused seda nõuavad. Vältige ettevõtte suuruse kasutamist tegeliku vajaduse mõistmise asendajana.

Kumbki lähenemisviis ei kõrvalda vajadust analüüsida õiguslikke kohustusi eraldi. Näiteks ei tõenda ISO sertifikaat vastavust GDPR-ile ega NIS2-le. Kohaldatavad õiguslikud kohustused peaksid suunama riskihindamist ja kontrollimeetmete valikut ning neil peavad olema oma tõendid ja vastutus.

Looge üks elluviimise mudel koos ülevaadatud vastendustega

Mõlema lähenemisviisi kasutamine ei tohiks tähendada kahe teineteisest lahutatud turvaprogrammi loomist. Praktilise soovitusena korraldage rakendamine teenuste, riskide, kontrollimeetmete, omanike ja tõendite ümber ning seostage see töö seejärel iga raamistikuga.

Kasulik rakenduskirje sisaldab järgmist:

Vastendused on mitu-mitmele. Üks intsidentidele reageerimise protsess võib toetada mitut CSF-i tulemust ja mitut ISMS-i nõuet. Vastupidi võib üks tulemus sõltuda poliitikatest, tehnilistest kaitsemeetmetest, koolitusest ja tarnijakokkulepetest.

Intsidentidele reageerimise puhul kirjeldab CSF kavandatud võimekusi, nagu reageerimise koordineerimine ja intsidentide analüüsimine. ISMS lisab juhtimiskorralduse vastutuse, riskikäsitluse, hindamise ja täiustamise ümber. Harjutuse kirje võib toetada mõlemat, kuid ei tõenda, et iga vastendatud nõue on täidetud.

Hoidke ulatus ja raamistike versioonid selgesõnalised. Ärge rakendage tootmisteenuse jaoks välja töötatud vastendust omandatud tütarettevõttele ilma erinevusi üle vaatamata. Meie raamistikeülese vastendamise juhend selgitab, kuidas tööd jagada, käsitlemata erinevaid nõudeid samaväärsetena.

Näide: teenusettevõte kahe nõudmise ees

Vaatleme illustreerivat tarkvaraettevõtet, millel on üks kliendile suunatud teenus. Oletame, et selle nõukogu soovib selgemat turvainvesteeringute kava ja potentsiaalne klient nõuab seda teenust hõlmavat ISO 27001 sertifikaati. Need on hüpoteetilised eeldused, mitte kliendi juhtumiuuring.

Tegevjuht määrab vastutava juhtkonna sponsori ja palub turvajuhil teha ettepanek ulatuse kohta, mis hõlmab teenuse käitamist ja asjaomaseid tugiprotsesse. Ettepanek tuvastab pilvetaristu, klienditoe, arenduse, identiteedihalduse ja välised teenusepakkujad. Juhtkond kontrollib, et piir vastaks kliendi nõudele, selle asemel et valida väikseim mugav ulatus.

Meeskond koostab CSF-i praeguse profiili. Selgub, et juurdepääsu heakskiidud on dokumenteeritud, kuid privilegeeritud juurdepääsu ülevaatused on ebaühtlased. Varukoopiad on olemas, kuid taastamise tõendid on puudulikud. Intsidendirollid on dokumenteeritud, kuid tarnija kaasamist eskaleerimisse ei ole harjutatud.

Sihtprofiil seab kolm prioriteeti: järjepidev privilegeeritud juurdepääsu juhtimine, tõendatud taastamisvõimekus ja koordineeritud intsidentidele reageerimine. ISMS-i riskihindamine hindab vastavaid ärilisi tagajärgi ja kehtestab käsitlusotsused.

Juhtkond vaatab edenemise üle sihtprofiili ja ISMS-i eesmärkide alusel. Ta rahastab lahendamata taastamissõltuvusi ja otsustab, kuidas ajutisi juurdepääsuerandeid käsitletakse. Siseaudit kontrollib juhtimissüsteemi ja rakendust; parandustegevused viiakse ellu enne sertifitseerimishindamist.

Tulemuseks ei ole kaks ekraanipiltide komplekti. See on üks rakendustõendite kogum, mida tõlgendatakse erinevate nõuete alusel, nähtava vastutuse ja juhtkonna otsustega.

Planeerige eelarve rakendamiseks ja jätkuvaks toimimiseks

NIST CSF on vabalt kättesaadav, kuid selle rakendamine ei ole tasuta. Mõlemad lähenemisviisid nõuavad töötajate aega riskide mõistmiseks, kontrollimeetmete parandamiseks, tõendite kogumiseks, inimeste koolitamiseks ja tavade säilitamiseks. ISO 27001 hõlmab lisaks standardi soetamist ja sertifitseerimise taotlemise korral sertifitseerimisasutuse tasusid.

Koostage eelarve tööpakettide, mitte eeldatava turuhinna põhjal:

• lähtehindamine ja ulatuse määratlemine;
• kontrollimeetmete muudatused, sealhulgas arendus- ja tarnijatöö;
• dokumentatsioon, tõendite ülevaatus ja töötajate koolitus;
• siseaudit, juhtkonnapoolne ülevaatus ja parandustegevused;
• väline sertifitseerimishindamine, kui see on vajalik;
• korduv vastutus, seire, harjutused ja ümberhindamine.

Küsige sertifitseerimispakkumisi sama ulatuse kohta, et neid saaks sisuliselt võrrelda. Küsige, millised hindamised, asukohad, järeltegevused ja kulud on hinnas. Hoidke kontrollimeetmete parandustööd sertifitseerimistasudest lahus: odav auditipakkumine ei muuda alarahastatud turvaprogrammi valmis.

Hinnake ärilist väärtust dokumenteeritud kliendinõuete ja -võimaluste põhjal, mitte lubaduse alusel, et sertifitseerimine toob automaatselt tulu.

Vältige väiteid, mida tõendid ei toeta

Tavalised vead on „NIST-i vastavuse“ väitmine ilma profiili ja ulatust selgitamata, kitsa sertifikaadi esitamine kogu ettevõtet hõlmava kindlustandvusena ning vastendatud kontrollimeetmete käsitamine tõhususe tõendina.

Teine viga on mõõta edu ainult valminud dokumentide järgi. Juhtkond peaks küsima ka seda, kas olulistel teenustel on testitud taastamisteed, kas eranditel on omanikud, kas tähtaja ületanud käsitlused eskaleeruvad ja kas varasemad leiud korduvad. Need küsimused seovad juhtimissüsteemi tegevusliku toimivusega.

Puudub põhjendatav universaalne protsent, mis näitaks, kui lähedal on CSF-i rakendus ISO 27001 vastavusele. Olemasolevad kontrollimeetmed võivad olla taaskasutatavad, kuid puuduvad juhtimissüsteemi nõuded, ulatuse erinevused ja nõrgad tõendid vajavad siiski hindamist.

Tehke järgmisest sammust piiritletud juhtimisotsus

Koostage lühike otsustusmemo, milles on kirjas nõutav väljund, kavandatud piir, klientide ootused, vastutav sponsor, peamised lüngad ja vajalikud ressursid. Otsustage, kas järgmine verstapost on ülevaadatud CSF-i profiil, toimiv ISMS või sertifitseerimisvalmidus. Andke igale verstapostile vastuvõtukriteeriumid, mis hõlmavad tõendeid, mitte ainult dokumentide valmimist.

Secani toetab seda töövoogu, modelleerides süsteeme ja teenuseid, sidudes tõendid nõuete, kontrollimeetmete ja otsustega ning määrates omanikke ja ülevaatusülesandeid. Meeskonnad saavad säilitada allikalinke, kommentaare, heakskiite ja ajatempleid, käsitledes tehisintellekti abil tehtud soovitusi mustanditena, mis vajavad inimese ülevaatust. Alustage ühest esinduslikust ulatusest ja selle olemasolevatest tõenditest, enne kui katvust laiendate.

Juhtkonna vastutus jääb selgeks: kiita heaks prioriteedid, eraldada tööks ressursid ja vaadata üle, kas tõendid toetavad väiteid, mida ettevõte esitab.