NIST CSF.
Kuvatkaa kyberturvallisuusriskejä yhteisellä tuloskielellä ja priorisoikaa parannukset sopivalla laajuudella.
- NIST CSWP 29 · CSF 2.0
- Kirjoittaja: Jonathan Bezdek
- Tilanne: 22.10.2026
- Lukuaika: 5 min.
Lyhyt vastaus.
NIST CSF on kyberturvallisuusriskien ohjauskehys eri kokoisille ja eri toimialojen organisaatioille. NIST Cybersecurity Framework 2.0 jäsentää tavoitellut tulokset kuuteen toimintoon. Nyky- ja tavoiteprofiilit auttavat priorisoimaan parannuksia. Kehys ei määrää yhtenäistä toimenpideluetteloa. Tier-tasot kuvaavat riskien ohjauksen luonnetta.
NIST Cybersecurity Framework 2.0.
NIST CSF 2.0 kuvaa tuloksia, joista johto, toimintayksiköt ja turvallisuustiimit voivat keskustella yhdessä. Versio julkaistiin 26.2.2024 tunnuksella NIST CSWP 29. Nykyinen julkaisijasivu esittää edelleen tämän perusversion. Lisäoppaat ja Community Profile -profiilit täydentävät soveltamista. Myöhemmin julkaistu tukiasiakirja ei siksi automaattisesti ole uusi viitekehysversio.
Core jäsentää tulokset toimintoihin, luokkiin ja alaluokkiin. Organizational Profile dokumentoi tietylle soveltamisalalle saavutetut tai tavoitellut tulokset. Tier-tasot antavat täydentävää tietoa riskien ohjauksesta. NIST SP 1299 selittää nämä kolme osaa erikseen: aiheiden yleiskuva, profiili ja toimintatavan luonnehdinta vastaavat eri kysymyksiin.
Konkreettinen toteutus riippuu toimintaympäristöstä. NIST CSWP 29:n kohta 1 on tarkoitettu eri toimialoille ja organisaatiokokoluokille määräämättä samanlaista toimenpideluetteloa. Käytännön soveltamisessa tulos on siis yhdistettävä omiin palveluihin, riskeihin ja vastuisiin ennen mielekkään toteutustehtävän muodostamista.
Kenelle NIST CSF sopii.
NIST CSF sopii organisaatioille, jotka haluavat perustella turvallisuusprioriteettinsa ymmärrettävästi ja yhdistää ne liiketoimintatavoitteisiin. NIST:n julkinen julkaisusivu mainitsee nimenomaisesti eri koot, toimialat ja lähtötilanteet. Kehys voi tukea sekä alkuvaihetta että nykyisen turvallisuusohjelman uudelleenarviointia. Korkea tekninen taso ei tee hyväksyttävistä riskeistä päättämistä tarpeettomaksi.
Soveltaminen on lähtökohtaisesti vapaaehtoista. Konkreettiset laki-, viranomais- tai sopimusvaatimukset on arvioitava erikseen. NIST:n nykyiset usein kysytyt kysymykset viittaavat mahdollisiin ulkoisiin vaatimuksiin. Alkuperä Yhdysvaltain kauppaministeriön yhteydessä ei merkitse saksalaiselle yritykselle yleistä käyttövelvollisuutta eikä poissulkemista. Selvittäkää käytännössä, odottaako asiakas tiettyä profiilia, arviointia vai muuta näyttömuotoa.
NIST CSF:n kuusi toimintoa.
Kuusi CSF-toimintoa jäsentää toisiinsa liittyviä kyberturvallisuustuloksia. NIST CSWP 29:n kohta 2 käsittelee niitä samanaikaisesti. Järjestys ei ole kerran päätettävien projektivaiheiden ketju. Seuraavat kuvaukset selittävät pääalueet omin sanoin.
Govern: suunnan ja vastuiden määrittäminen.
Govern yhdistää turvallisuuspäätökset organisaation tehtävään, sen riskiodotuksiin ja johdon valvontaan. Vastuut ja ulkoisten riippuvuuksien käsittely kuuluvat tähän yhteyteen. Käytännössä vaatimus on käyttökelpoinen vasta, kun on selvää, kuka saa päättää poikkeamista.
Identify: riskien ymmärtäminen toiminnan yhteydessä.
Identify tarkastelee nykyistä omaisuutta ja siihen liittyviä riskejä. Tähän kuuluvat toiminnalle olennaiset tiedot, palvelut ja riippuvuudet. Inventaario tukee työtä. Pelkkä luettelo ei vielä selitä liiketoimintamerkitystä tai yhteyttä toimittajiin.
Protect: asianmukaisen suojan ylläpito.
Protect koskee järjestelyjä, joilla organisaatiot rajoittavat palveluihinsa ja tietoihinsa kohdistuvia riskejä. Ihmiset, työnkulut ja tekniikka vaikuttavat yhdessä. Asianmukainen toteutus on johdettava omasta toimintaympäristöstä. Pelkkä toiminnon nimi ei ratkaise tuotetta tai konkreettista määritystä.
Detect: poikkeavien tapahtumien havaitseminen ja arviointi.
Detect käsittelee kykyä havaita ja analysoida mahdollisia haitallisia tapahtumia. Käytännön arvioinnissa ratkaisee siksi myös havaintojen muuttuminen ymmärrettäväksi päätökseksi. Käynnistetty valvontatyökalu ei vielä osoita kattavuutta, käsittelyä tai havaitsemisen laatua.
Respond: koordinoitu toiminta poikkeamissa.
Respond jäsentää havaittuun kyberturvallisuuspoikkeamaan liittyvän toiminnan. Organisaation on yhdistettävä reagointinsa asianomaisiin osapuoliin. Käytännön aloituksena auttaa harjoitus, jossa testataan päätösreittejä ja käytettävissä olevia tietoja. Lakisääteiset ilmoituskynnykset on arvioitava lisäksi erikseen.
Recover: toiminnan palauttaminen.
Recover tarkastelee häiriintyneiden kyvykkyyksien palauttamista ja siihen liittyvää viestintää. Valmistelu alkaa ennen poikkeamaa. Arjessa vastuuhenkilöiden on siksi voitava arvioida, onnistuuko uudelleenkäynnistys oletetuilla riippuvuuksilla ja mitä päätöksiä häiriössä todella tarvitaan.
NIST CSF:n soveltaminen profiileilla.
Sopikaa laajuudesta ja tarkoituksesta.
Rajatkaa käytännön aluksi palvelu tai organisaatioalue ja selvittäkää, mihin riskikysymykseen johto haluaa profiilin vastaavan.
Kootkaa olemassa olevat tiedot.
Kerätkää NIST SP 1301:n lähestymistavan mukaan tämän laajuuden olennaiset tavoitteet, riskit, vaatimukset, vastuut ja toimintatiedot.
Erottakaa Current ja Target Profile.
Kuvatkaa saavutettu tilanne jäljitettävästi ja määrittäkää erikseen tavoitellut tulokset prioriteetteineen.
Päättäkää parannuksista.
Arvioikaa erot ja määrittäkää konkreettinen työ, vastuuhenkilöt ja resurssit antamatta jokaiselle mahdolliselle parannukselle samaa painoarvoa.
Toteuttakaa ja arvioikaa uudelleen.
Seuratkaa sovittua suunnitelmaa ja päivittäkää profiilit uusien havaintojen tai muuttuneiden riskien yhteydessä. Vaiheet muodostavat NIST SP 1301:een perustuvan toistettavan aloituksen.
Profiilien ja Tier-tasojen jäljitettävä arviointi.
CSF-profiili on perusteltu kuvaus tarkastellusta tilanteesta. NIST SP 1301 erottaa Current ja Target Profile -profiilit: ensimmäinen kuvaa saavutettuja tuloksia, toinen valittuja tavoitteita ja prioriteetteja. Community Profile voi ohjata. NIST:n profiilisivu kuvaa sen ryhmän yhteiseksi lähtöpohjaksi. Oma rajaus ja todelliset päätökset on silti selitettävä.
Neljä Tier-tasoa ovat Partial, Risk Informed, Repeatable ja Adaptive. NIST SP 1302:n mukaan ne luonnehtivat riskien ohjauksen ja hallinnan tasoa. Valinta huomioi muun muassa tavoitteet, riskit, vaatimukset ja käytettävissä olevat resurssit. Tasot täydentävät riskimenetelmää eivätkä korvaa konkreettista näyttöä tai perusteltua päätöstä tarvittavasta tilasta.
Sisäisen tai tilatun ulkoisen arvioinnin on hyvä osoittaa laajuus, ajankohta, menetelmä ja johtopäätösten rajat. NIST ei tarjoa CSF-sertifiointia. Yksityistä arviointiraporttia ei siksi saa kutsua NIST:n myöntämäksi sertifikaatiksi. Ylläpitoa varten on käytännössä määritettävä uudelleenarvioinnin käynnistävät muutokset. CSF:stä ei voida johtaa yleistä sertifikaatin voimassaoloaikaa.
Suhde muihin viitekehyksiin.
ISO 27001 kuvaa tietoturvan hallintajärjestelmän vaatimukset ja mahdollisen sertifioinnin. NIST SP 800-53 tarjoaa yksityiskohtaisen turvallisuuden ja tietosuojan hallintakeinoluettelon, kun taas CIS Controls jäsentää priorisoituja suojauskäytäntöjä. Nämä apuvälineet voivat konkretisoida toiminnallista työtä. Niiden soveltaminen on arvioitava erikseen CSF-profiilin esittämisestä.
Secanissa.
Secani tarjoaa toimituksellisen saksan- ja englanninkielisen NIST CSF 2.0 -työluettelon. Nykyiset profiilitiedot kattavat muun muassa arviointipäivän, sovitun laajuuden ja profiilin tarkoituksen nykytilana, tavoitteena tai molempina. Luettelo ei korvaa englanninkielistä julkaisijatekstiä eikä asiantuntija-arviota. Se ei lupaa automaattista Tier-tason määritystä tai NIST-sertifiointia.
Aloittakaa konkreettisesta riskikysymyksestä.
Valitkaa edustava palvelu ja nimetkää päätös, jota profiililla valmistellaan. Kirjatkaa laajuus tärkeine toimittajineen ja tukiprosesseineen. Kerätkää nykyiset tallenteet ennen tavoitetilan kuvaamista. Näin selviää, mitkä väitteet ovat jo luotettavia ja missä tarvitaan ensin lisätarkastelua.
Lähteet.
- NIST – nykyinen CSF 2.0 Resource Center
- NIST CSWP 29 – Cybersecurity Framework 2.0, 26.2.2024
- NIST – CSF 2.0:n julkaisusivu
- NIST SP 1299 – Resource & Overview Guide
- NIST SP 1301 – Organizational Profiles
- NIST – nykyiset profiilit ja mallit
- NIST SP 1302 – Using the CSF Tiers
- NIST – CSF:n usein kysytyt kysymykset
Usein kysytyt kysymykset.
Ei. CSF 2.0 on suunniteltu eri maiden, kokoluokkien ja toimialojen organisaatioille. Mahdolliset lakisääteiset tai sopimuksen käyttövaatimukset on arvioitava erikseen.
Eivät. Tasot luonnehtivat riskien ohjausta ja hallintaa kyseisessä toimintaympäristössä. Ne eivät ole NIST:n myöntämiä sertifiointitasoja tai yleispäteviä kypsyysarvosanoja.
Ei. NIST SP 1302 perustaa valinnan tavoitteisiin, riskeihin, vaatimuksiin ja toteutettavuuteen. Korkeampi luokitus ei ole yleinen itseisarvo.
Ei. CSF-profiili ja tietoturvan hallintajärjestelmän sertifiointi osoittavat eri asioita. Sopimuksessa vaadittu näyttö on arvioitava sovitun sanamuodon ja soveltamisalan perusteella.
Yhdistäkää tulokset ja todisteet.
Keskustelkaa siitä, miten turvallisuusohjelman työ jäsennetään Secanissa.
Tämä sivu selittää NIST CSF 2.0:aa omin sanoin. Ratkaisevia ovat julkaisijan julkaisut. Profiiliarviointi ei korvaa laki- tai sopimusvelvoitteiden erillistä arviointia.