NIST CSF ja ISO 27001: valitse kummankin rooli toiminnassa

NIST CSF ja ISO 27001 auttavat organisaatioita järjestämään tietoturvan, mutta niillä on eri roolit toiminnassa. Johdon päätös selkiytyy, kun kysytään, mitä tuotosta liiketoiminta tarvitsee: yhteistä näkemystä kyberturvallisuuden prioriteeteista, muodollisesti hallittua tietoturvaohjelmaa, riippumatonta varmuutta asiakkaille vai näiden yhdistelmää.

Viitekehyksen valinta ei siirrä vastuuta pois johdolta. Johdon on edelleen asetettava soveltamisala, rahoitettava parannukset, nimettävä omistajat ja päätettävä, mitkä jäännösriskit liiketoiminta hyväksyy. Hyödyllinen kysymys ei siksi ole ”Kumpi viitekehys on parempi?” vaan ”Mikä rooli kummallakin pitäisi olla siinä, miten johdamme tietoturvaa ja osoitamme sen?”

Vertailkaa tuotoksia, älkää pelkkiä kontrolliluetteloita

NIST Cybersecurity Framework, nykyisin CSF 2.0, kuvaa kyberturvallisuuden tavoiteltuja lopputuloksia. Se antaa teknisille tiimeille ja johdolle yhteisen kielen riskeistä, kyvykkyyksistä ja prioriteeteista keskustelemiseen määräämättä yhtä toteutustapaa kaikille organisaatioille.

ISO/IEC 27001 määrittelee vaatimukset tietoturvan hallintajärjestelmälle eli ISMS:lle. Järjestelmä määrittää, miten organisaatio tunnistaa tietoturvariskit, valitsee käsittelytavat, osoittaa vastuut, arvioi suorituskykyä ja parantaa toimintaansa. Riippumaton sertifiointi voi tuottaa varmuutta hallintajärjestelmän vaatimustenmukaisuudesta sen määritellyssä soveltamisalassa.

Molemmat soveltuvat erikokoisille ja eri kypsyystasoilla oleville organisaatioille. NIST CSF ei ole vain aloittelijoille tai yhdysvaltalaisille yrityksille, eikä ISO 27001 ole varattu suurille kansainvälisille yrityksille. Valmiustaso vaikuttaa tarvittavaan työmäärään, ei siihen, onko lähestymistapa käsitteellisesti sopiva.

Mitä NIST CSF tuo johdon päätöksentekoon

CSF 2.0 jäsentää lopputulokset kuuteen toimintoon. Ne toimivat yhdessä; ne eivät ole kuusi projektivaihetta, jotka valmistuvat pysyvästi peräkkäin.

Govern on erityisen tärkeä johdolle. Se yhdistää kyberturvallisuuden liiketoiminnan tavoitteisiin, vastuuvelvollisuuteen, politiikkaan ja valvontaan. Se estää tietoturvaa muuttumasta tekniseksi työjonoksi, jolla ei ole nimettyä liiketoiminnan omistajaa.

Muuntakaa lopputulokset investointisuunnitelmaksi

Nykytilan profiili (Current Profile) kuvaa kyberturvallisuuden lopputulokset, jotka organisaatio tällä hetkellä saavuttaa. Tavoitetilan profiili (Target Profile) kuvaa lopputulokset, jotka se haluaa saavuttaa tavoitteidensa, uhkiensa, velvoitteidensa ja sidosryhmien odotusten perusteella. Niiden välinen ero antaa perustan työn priorisoinnille.

Yrityksellä voi esimerkiksi olla varmuuskopiot, mutta vain vähän näyttöä siitä, että sen tärkein palvelu voidaan palauttaa realistisissa olosuhteissa. Hyödyllinen puute ei ole pelkästään ”palautuminen keskeneräinen”. Se on määritelty lopputulos, kyseinen palvelu, omistaja, ehdotettu palautusharjoitus ja päätös hyväksyttävästä häiriöstä.

CSF:n tasot (Tiers) kuvaavat kyberturvallisuusriskien hallinnon ja hallintakäytäntöjen ominaisuuksia. Ne antavat kontekstia keskusteluille perusteellisuudesta ja johdonmukaisuudesta; ne eivät ole sertifiointiarvosanoja tai yleinen kypsyyspistemäärä, joka jokaisen organisaation pitäisi maksimoida.

CSF itsessään ei ole ISO-tyyppinen sertifiointistandardi. Organisaatio voi tilata arvioinnin ja perustella profiilinsa näytöllä, mutta sen ei pidä esittää tätä NIST:n myöntämänä sertifiointina. Liiketoiminnallinen arvo syntyy arvioinnin selkeydestä ja sen käynnistämistä parannuksista.

Mitä ISO 27001 tuo toimintajärjestelmään

ISO 27001 keskittyy rajattuun hallintajärjestelmään. Sen kohdat 4–10 käsittelevät organisaation toimintaympäristöä, johtajuutta, suunnittelua, tukea, toimintaa, suorituskyvyn arviointia ja parantamista. Sen toteuttaminen tarkoittaa toimivan hallintasyklin vakiinnuttamista, ei pelkkien politiikkojen kokoamista auditoijaa varten.

Tietoturva kattaa luottamuksellisuuden, eheyden ja saatavuuden. Luottamuksellisuus koskee asianmukaista pääsyä; eheys koskee tarkkuutta, täydellisyyttä ja suojaa asiattomilta muutoksilta; saatavuus koskee valtuutettua pääsyä silloin, kun sitä tarvitaan. Eheys ei tarkoita, ettei tieto voisi koskaan muuttua: oikeutetut muutokset tarvitsevat asianmukaisen valtuutuksen ja hallinnan.

ISMS soveltaa näitä näkökohtia riskien arvioinnin ja käsittelyn kautta. Se ei ole yleinen ohje ottaa käyttöön kaikkia mahdollisia tietoturvateknologioita.

Pitäkää keskeiset ISMS-tuotokset erillään

Useat asiakirjat liittyvät läheisesti toisiinsa mutta vastaavat eri kysymyksiin:

• Soveltamisala: Mitä organisaation toimintoja, sijainteja, tietoja, järjestelmiä ja rajapintoja ISMS kattaa?
• Riskiarviointi: Mitä voisi tapahtua, kuinka merkittävää se olisi ja miten arvio tehdään johdonmukaisesti?
• Riskienkäsittelysuunnitelma: Mitkä toimenpiteet käsittelevät tunnistetut riskit, kuka omistaa ne ja mitä hyväksyntöjä tarvitaan?
• Soveltuvuuslausuma: Mitkä tarpeelliset kontrollit on sisällytetty, miksi ne on sisällytetty, onko ne toteutettu ja miksi liitteen A kontrolleja on mahdollisesti rajattu pois?
• Sisäinen auditointi: Onko ISMS sovellettavien vaatimusten mukainen ja toimiiko se vaikuttavasti asianmukaisen puolueettoman tarkastelun perusteella?
• Johdon katselmus: Käsitteleekö johto suorituskykyä, muutoksia, havaintoja ja parantamistarpeita ja tekeekö se niiden perusteella päätöksiä?

Riskirekisteri ei korvaa soveltuvuuslausumaa. Johdon kokous ei automaattisesti ole johdon katselmus. Jokaisella tuotoksella on oltava oma tarkoituksensa, lähtötietonsa ja kirjatut johtopäätöksensä.

ISO 27001:2022:n liite A sisältää 93 kontrollia, jotka on ryhmitelty organisatorisiin, henkilöstöön liittyviin, fyysisiin ja teknologisiin luokkiin. Sovellettavuus on riskiperusteista. Organisaatiot määrittävät tarvittavat kontrollit ja vertaavat niitä liitteeseen A, jotta tarpeellisia kontrolleja ei jää huomaamatta; ne voivat tarvita myös tämän viitejoukon ulkopuolisia kontrolleja. ISO 27002 antaa kontrollien toteutusohjeita.

Liite A -oppaamme selittää kontrollirakenteen tarkemmin. Johdon kannalta olennaista on, että täytetty tarkistuslista ei ole sama asia kuin toimiva ISMS.

Ymmärtäkää, mitä sertifiointi osoittaa

Sertifiointi on vapaaehtoista, ellei sopimus tai muu sovellettava velvoite edellytä sitä. Organisaatio voi ylläpitää ISMS:ää hakematta sertifikaattia.

Kun sertifiointia tarvitaan, riippumaton sertifiointielin arvioi ISMS:n; ISO ei myönnä sertifikaattia. Ensimmäinen sertifiointi sisältää yleensä ensimmäisen vaiheen arvioinnin valmiudesta ja dokumentoiduista järjestelyistä ja sen jälkeen toisen vaiheen arvioinnin toteutuksesta. Sertifioinnin ylläpitoon kuuluvat jatkuvat arvioinnit ja uudelleensertifiointi sertifiointielimen järjestelyjen mukaisesti.

Lukekaa soveltamisala ennen kuin luotatte sertifikaattiin. Yhden palvelun tai liiketoimintayksikön sertifiointia ei pidä esittää kaikkia tuotteita, tytäryhtiöitä tai sijainteja kattavana. Se ei myöskään takaa, ettei poikkeamia koskaan tapahdu, eikä osoita kaikkien sovellettavien lakien noudattamista.

Valitkaa sen päätöksen perusteella, joka liiketoiminnan on tehtävä

Aloittakaa ulkoisista odotuksista ja tarkastelkaa sitten sisäisiä toiminnallisia tarpeita. Pyytäkää myynti- ja hankintatiimejä erottamaan se, mitä asiakkaat todella vaativat, siitä, mitä he vain toivovat.

”ISO 27001 -vaatimusten mukainen”, ”ISO 27001 -sertifioitu” ja ”NIST CSF:n mukainen” ovat eri väitteitä. Jos sopimus edellyttää sertifikaattia, CSF-arviointi ei täytä tätä muotoilua. Jos hallitus tarvitsee selkeän parannussuunnitelman, pelkkä sertifikaatti ei välttämättä kerro, mihin organisaation pitäisi seuraavaksi investoida.

Käyttäkää näitä päätöskohtia:

• Valitkaa CSF ensisijaiseksi viestintärakenteeksi, kun välitön tarve on muodostaa yhteinen lähtötaso, verrata nykyisiä ja tavoiteltuja lopputuloksia ja priorisoida kyberturvallisuusinvestointeja.
• Valitkaa ISO 27001 ensisijaiseksi hallintarakenteeksi, kun organisaatio tarvitsee muodollisen ISMS:n, jossa riskien käsittely, arviointi ja parantaminen ovat johdonmukaisia.
• Tavoitelkaa sertifiointia, kun rajattu riippumaton varmuus palvelee dokumentoitua asiakas-, sopimus- tai liiketoimintatavoitetta.
• Käyttäkää molempia, kun ISMS voi ohjata toteutusta samalla kun CSF-profiilit viestivät tavoitellut lopputulokset johdolle ja sidosryhmille.

Kypsä organisaatio voi käyttää CSF:ää prioriteettien uudelleenarviointiin yrityskaupan jälkeen. Pieni yritys voi perustaa ISO 27001 -ISMS:n varhain, koska hankintaodotukset edellyttävät sitä. Välttäkää käyttämästä yrityksen kokoa korvikkeena todellisen tarpeen ymmärtämiselle.

Kumpikaan lähestymistapa ei poista tarvetta analysoida lakisääteiset velvoitteet erikseen. Esimerkiksi ISO-sertifikaatti ei osoita GDPR:n tai NIS2:n noudattamista. Sovellettavien lakisääteisten velvoitteiden tulee ohjata riskiarviointia ja kontrollien valintaa, ja niillä on oltava oma näyttönsä ja vastuunsa.

Luokaa yksi toteutusmalli katselmoiduin vastaavuuksin

Molempien lähestymistapojen käyttämisen ei pitäisi tarkoittaa kahden toisistaan irrallisen tietoturvaohjelman luomista. Käytännön suosituksena järjestäkää toteutus palvelujen, riskien, kontrollien, omistajien ja näytön ympärille ja liittäkää tämä työ sitten kuhunkin viitekehykseen.

Hyödyllinen toteutustallenne sisältää seuraavat:

Vastaavuudet ovat monen suhde moneen. Yksi poikkeamien käsittelyprosessi voi tukea useita CSF-lopputuloksia ja useita ISMS-vaatimuksia. Toisaalta yksi lopputulos voi riippua politiikoista, teknisistä suojauksista, koulutuksesta ja toimittajajärjestelyistä.

Poikkeamien käsittelyssä CSF kuvaa tavoiteltuja kyvykkyyksiä, kuten reagoinnin koordinointia ja poikkeamien analysointia. ISMS lisää niiden ympärille hallintajärjestelyt omistajuudesta, riskien käsittelystä, arvioinnista ja parantamisesta. Harjoitustallenne voi tukea molempia, mutta se ei todista, että jokainen siihen kohdistettu vaatimus on täytetty.

Pitäkää soveltamisala ja viitekehysten versiot näkyvissä. Älkää soveltako tuotantopalvelua varten laadittua vastaavuutta ostettuun tytäryhtiöön tarkastelematta eroja. Viitekehysten välisiä vastaavuuksia käsittelevä oppaamme selittää, miten työtä jaetaan käsittelemättä erilaisia vaatimuksia samanarvoisina.

Esimerkki: palveluyritys kahden vaatimuksen edessä

Tarkastellaan havainnollistavaa ohjelmistoyritystä, jolla on yksi asiakkaille näkyvä palvelu. Oletetaan, että sen hallitus haluaa selkeämmän tietoturvainvestointisuunnitelman ja mahdollinen asiakas vaatii palvelun kattavan ISO 27001 -sertifioinnin. Nämä ovat kuvitteellisia oletuksia, eivät asiakastapaustutkimus.

Toimitusjohtaja nimeää vastuullisen johdon sponsorin ja pyytää tietoturvavastaavaa ehdottamaan soveltamisalaa, joka sisältää palvelun operoinnin ja asiaankuuluvat tukiprosessit. Ehdotus yksilöi pilvi-infrastruktuurin, asiakastuen, kehityksen, identiteettien hallinnan ja ulkoiset palveluntarjoajat. Johto tarkistaa, että rajaus vastaa asiakkaan vaatimusta, sen sijaan että valittaisiin pienin kätevä soveltamisala.

Tiimi laatii CSF:n nykytilan profiilin. Se havaitsee, että käyttöoikeuksien hyväksynnät kirjataan, mutta etuoikeutettujen käyttöoikeuksien katselmoinnit ovat epäjohdonmukaisia. Varmuuskopiot ovat olemassa, mutta palautusnäyttö on puutteellista. Poikkeamaroolit on dokumentoitu, mutta toimittajien eskalointia ei ole harjoiteltu.

Tavoitetilan profiili asettaa kolme prioriteettia: johdonmukainen etuoikeutettujen käyttöoikeuksien hallinta, osoitettu palautuskyky ja koordinoitu poikkeamien käsittely. ISMS:n riskiarviointi arvioi vastaavat liiketoiminnalliset seuraukset ja määrittää käsittelypäätökset.

Johto katselmoi edistymistä suhteessa tavoitetilan profiiliin ja ISMS-tavoitteisiin. Se rahoittaa ratkaisemattomat palautumisriippuvuudet ja päättää, miten väliaikaisia käyttöoikeuspoikkeuksia käsitellään. Sisäinen auditointi tarkistaa hallintajärjestelmän ja toteutuksen; korjaavat toimenpiteet käsitellään ennen sertifiointiarviointia.

Lopputulos ei ole kaksi kuvakaappauskokoelmaa. Se on yksi toteutusnäytön kokonaisuus, jota tulkitaan eri vaatimuksia vasten ja jossa omistajuus ja johdon päätökset ovat näkyvissä.

Budjetoikaa toteutus ja jatkuva toiminta

NIST CSF on vapaasti saatavilla, mutta sen soveltaminen ei ole maksutonta. Molemmat lähestymistavat edellyttävät henkilöstön aikaa riskien ymmärtämiseen, kontrollien parantamiseen, näytön keräämiseen, ihmisten kouluttamiseen ja käytäntöjen ylläpitoon. ISO 27001 sisältää lisäksi standardin hankkimisen ja, jos sertifiointia tavoitellaan, sertifiointielimen maksut.

Rakentakaa budjetti työpakettien eikä oletetun markkinahinnan ympärille:

• Lähtötason arviointi ja soveltamisalan määrittely.
• Kontrollien muutokset, mukaan lukien kehitys- ja toimittajatyö.
• Dokumentaatio, näytön katselmointi ja henkilöstön koulutus.
• Sisäinen auditointi, johdon katselmus ja korjaavat toimenpiteet.
• Ulkoinen sertifiointiarviointi tarvittaessa.
• Toistuva omistajuus, valvonta, harjoitukset ja uudelleenarviointi.

Pyytäkää sertifiointitarjoukset samalle soveltamisalalle, jotta niitä voi vertailla mielekkäästi. Kysykää, mitkä arvioinnit, sijainnit, jatkotyöt ja kulut sisältyvät. Pitäkää kontrollien korjaustyö erillään sertifiointimaksuista: edullinen auditointitarjous ei tee alirahoitetusta tietoturvaohjelmasta valmista.

Arvioikaa kaupallista arvoa dokumentoitujen asiakasvaatimusten ja -mahdollisuuksien perusteella, ei lupauksella, että sertifiointi tuottaa automaattisesti liikevaihtoa.

Välttäkää väitteitä, joita näyttö ei pysty tukemaan

Yleisiä virheitä ovat ”NIST-vaatimustenmukaisuuden” julistaminen selittämättä profiilia ja soveltamisalaa, kapean sertifikaatin esittäminen koko yrityksen kattavana varmuutena ja kohdistettujen kontrollien pitäminen todisteena vaikuttavuudesta.

Toinen virhe on mitata onnistumista pelkästään valmistuneilla asiakirjoilla. Johdon tulee myös kysyä, onko tärkeiden palvelujen palautumispolut testattu, onko poikkeuksilla omistajat, eskaloituvatko myöhässä olevat käsittelytoimet ja toistuvatko aiemmat havainnot. Nämä kysymykset yhdistävät hallintajärjestelmän toiminnalliseen suorituskykyyn.

Ei ole olemassa puolustettavaa yleistä prosenttilukua, joka osoittaisi, kuinka lähellä CSF-toteutus on ISO 27001 -vaatimustenmukaisuutta. Olemassa olevia kontrolleja voi ehkä käyttää uudelleen, mutta puuttuvat hallintajärjestelmävaatimukset, soveltamisalojen erot ja heikko näyttö on silti arvioitava.

Tehkää seuraavasta askeleesta rajattu johdon päätös

Laatikaa lyhyt päätösmuistio, jossa todetaan vaadittu tuotos, ehdotettu rajaus, asiakkaiden odotukset, vastuullinen sponsori, keskeiset puutteet ja tarvittavat resurssit. Päättäkää, onko seuraava välitavoite katselmoitu CSF-profiili, toimiva ISMS vai valmius sertifiointiin. Antakaa jokaiselle välitavoitteelle hyväksymiskriteerit, jotka sisältävät näytön eivätkä pelkkää asiakirjojen valmistumista.

Secani tukee tätä työnkulkua mallintamalla järjestelmät ja palvelut, yhdistämällä näytön vaatimuksiin, kontrolleihin ja päätöksiin sekä osoittamalla omistajia ja katselmointitehtäviä. Tiimit voivat säilyttää lähdelinkit, kommentit, hyväksynnät ja aikaleimat ja käsitellä tekoälyavusteisia ehdotuksia luonnoksina, jotka edellyttävät ihmisen katselmointia. Aloittakaa yhdestä edustavasta soveltamisalasta ja sen olemassa olevasta näytöstä ennen kattavuuden laajentamista.

Johdon vastuu pysyy selkeänä: hyväksykää prioriteetit, resursoikaa työ ja katselmoikaa, tukeeko näyttö liiketoiminnan esittämiä väitteitä.