NIST CSF i ISO 27001: odaberite operativnu ulogu

NIST CSF i ISO 27001 pomažu organizacijama da organiziraju sigurnost, ali imaju različite operativne uloge. Odluka uprave postaje jasnija kada se zapitate kakav rezultat poslovanju treba: zajednički pogled na prioritete kibernetičke sigurnosti, formalno upravljan program informacijske sigurnosti, neovisno jamstvo za kupce ili kombinaciju toga.

Odabir okvira ne prenosi odgovornost s uprave. Uprava i dalje mora odrediti opseg, financirati poboljšanja, imenovati vlasnike i odlučiti koje će preostale rizike poslovanje prihvatiti. Korisno pitanje stoga nije „Koji je okvir bolji?“, nego „Koju bi ulogu svaki od njih trebao imati u načinu na koji vodimo i dokazujemo sigurnost?“

Usporedite rezultate, a ne samo popise kontrola

NIST Cybersecurity Framework, trenutačno CSF 2.0, opisuje ishode kibernetičke sigurnosti. Tehničkim timovima i izvršnoj upravi daje zajednički jezik za raspravu o rizicima, sposobnostima i prioritetima, bez propisivanja jedne implementacije za svaku organizaciju.

ISO/IEC 27001 propisuje zahtjeve za sustav upravljanja informacijskom sigurnošću, odnosno ISMS. Taj sustav utvrđuje kako organizacija identificira rizike informacijske sigurnosti, odabire obradu, dodjeljuje odgovornost, vrednuje učinak i poboljšava se. Neovisna certifikacija može pružiti jamstvo o sukladnosti sustava upravljanja unutar njegova definiranog opsega.

Oba pristupa mogu koristiti organizacije različitih veličina i razina zrelosti. NIST CSF nije samo za početnike ili američka poduzeća, a ISO 27001 nije rezerviran za velika međunarodna poduzeća. Spremnost utječe na potreban napor, a ne na to je li pristup konceptualno prikladan.

Što NIST CSF pridonosi odlukama uprave

CSF 2.0 organizira ishode u šest funkcija. One djeluju zajedno; to nije šest projektnih faza koje trajno završavaju jedna za drugom.

Funkcija Govern posebno je važna za izvršnu upravu. Ona povezuje kibernetičku sigurnost s poslovnim ciljevima, odgovornošću, politikama i nadzorom. Sprječava da sigurnost postane tehnički zaostatak zadataka bez izričitog poslovnog vlasnika.

Pretvorite ishode u plan ulaganja

Trenutačni profil (engl. Current Profile) opisuje ishode kibernetičke sigurnosti koje organizacija trenutačno postiže. Ciljni profil (engl. Target Profile) opisuje ishode koje želi postići, na temelju svojih ciljeva, prijetnji, obveza i očekivanja dionika. Jaz između njih pruža osnovu za određivanje prioriteta rada.

Primjerice, poduzeće može imati sigurnosne kopije, ali malo dokaza da se njegova najvažnija usluga može ponovno uspostaviti u realnim uvjetima. Koristan jaz nije jednostavno „oporavak nedovršen“. To je definiran ishod, pogođena usluga, vlasnik, predložena vježba vraćanja i odluka o prihvatljivom poremećaju.

Razine CSF-a (engl. Tiers) opisuju značajke praksi upravljanja rizicima kibernetičke sigurnosti. One pružaju kontekst za raspravu o strogosti i dosljednosti; nisu certifikacijske ocjene ni univerzalna ocjena zrelosti koju svaka organizacija mora maksimizirati.

Sam CSF nije certifikacijska norma po uzoru na ISO. Organizacija može naručiti procjenu i potkrijepiti svoj profil dokazima, ali to ne bi smjela predstavljati kao certifikaciju koju izdaje NIST. Poslovna vrijednost proizlazi iz jasnoće procjene i poboljšanja koja ona potiče.

Što ISO 27001 dodaje operativnom sustavu

ISO 27001 usredotočuje se na sustav upravljanja s definiranim opsegom. Njegove točke 4–10 obrađuju kontekst organizacije, vodstvo, planiranje, podršku, rad, vrednovanje učinka i poboljšavanje. Implementacija znači uspostavu funkcionalnog ciklusa upravljanja, a ne samo slaganje politika za revizora.

Informacijska sigurnost uključuje povjerljivost, cjelovitost i dostupnost. Povjerljivost se odnosi na primjeren pristup; cjelovitost na točnost, potpunost i zaštitu od neprimjerenih izmjena; dostupnost na ovlašteni pristup kada je potreban. Cjelovitost ne znači da se informacije nikada ne smiju mijenjati: legitimne promjene trebaju primjereno odobrenje i kontrolu.

ISMS primjenjuje ta načela kroz procjenu i obradu rizika. To nije opća uputa za uvođenje svake moguće sigurnosne tehnologije.

Držite glavne rezultate ISMS-a odvojenima

Nekoliko dokumenata usko je povezano, ali odgovaraju na različita pitanja:

• Opseg: Koje organizacijske aktivnosti, lokacije, informacije, sustave i sučelja ISMS obuhvaća?
• Procjena rizika: Što bi se moglo dogoditi, koliko bi to bilo značajno i kako se ta prosudba donosi dosljedno?
• Plan obrade rizika: Koje će radnje riješiti utvrđene rizike, tko je njihov vlasnik i koja su odobrenja potrebna?
• Izjava o primjenjivosti: Koje su potrebne kontrole uključene, zašto su uključene, jesu li implementirane i zašto su neke kontrole iz Priloga A isključene?
• Interna revizija: Je li ISMS sukladan primjenjivim zahtjevima i funkcionira li učinkovito, na temelju primjereno nepristranog ispitivanja?
• Upravina ocjena: Razmatra li uprava učinak, promjene, nalaze i potrebe za poboljšanjem te donosi li iz toga proizašle odluke?

Registar rizika ne zamjenjuje Izjavu o primjenjivosti. Sastanak uprave ne predstavlja automatski upravinu ocjenu. Svaki rezultat treba vlastitu svrhu, ulazne podatke i zabilježene zaključke.

Prilog A norme ISO 27001:2022 sadrži 93 kontrole grupirane u organizacijske, kadrovske, fizičke i tehnološke kategorije. Primjenjivost se temelji na riziku. Organizacije utvrđuju potrebne kontrole i uspoređuju ih s Prilogom A kako ne bi previdjele potrebne kontrole; možda će trebati i kontrole izvan tog referentnog skupa. ISO 27002 pruža smjernice za implementaciju kontrola.

Naš vodič za Prilog A detaljnije objašnjava strukturu kontrola. Za upravu je ključno da ispunjen kontrolni popis nije isto što i ISMS koji funkcionira.

Razumijte što certifikacija dokazuje

Certifikacija nije obvezna, osim ako je zahtijeva ugovor ili druga primjenjiva obveza. Organizacija može voditi ISMS a da ne traži certifikat.

Kada je certifikacija potrebna, ISMS ocjenjuje neovisno certifikacijsko tijelo; ISO ne izdaje certifikat. Početna certifikacija općenito uključuje pregled spremnosti i dokumentiranih aranžmana u prvoj fazi, nakon čega slijedi ocjena implementacije u drugoj fazi. Održavanje certifikacije uključuje kontinuirane ocjene i recertifikaciju prema aranžmanima certifikacijskog tijela.

Pročitajte opseg prije nego što se oslonite na certifikat. Certifikacija jedne usluge ili poslovne jedinice ne bi se smjela predstavljati kao da obuhvaća svaki proizvod, društvo kćer ili lokaciju. Ona također ne jamči da se incidenti nikada neće dogoditi niti utvrđuje usklađenost sa svakim primjenjivim zakonom.

Odaberite na temelju odluke koju poslovanje mora donijeti

Počnite s vanjskim očekivanjima, a zatim ispitajte interne operativne potrebe. Zamolite prodajne i nabavne timove da razluče što kupci stvarno zahtijevaju od onoga što samo preferiraju.

„Usklađeno s ISO 27001“, „certificirano prema ISO 27001“ i „usklađeno s NIST CSF-om“ različite su tvrdnje. Ako ugovor zahtijeva certifikat, procjena prema CSF-u neće zadovoljiti tu formulaciju. Ako nadzornom odboru treba jasan plan poboljšanja, sam certifikat možda neće objasniti gdje bi organizacija trebala sljedeće ulagati.

Koristite ove točke odlučivanja:

• Odaberite CSF kao primarnu komunikacijsku strukturu kada je neposredna potreba uspostaviti zajedničko polazište, usporediti trenutačne i željene ishode te odrediti prioritete ulaganja u kibernetičku sigurnost.
• Odaberite ISO 27001 kao primarnu upravljačku strukturu kada organizaciji treba formalni ISMS s dosljednom obradom rizika, vrednovanjem i poboljšavanjem.
• Težite certifikaciji kada neovisno jamstvo s definiranim opsegom služi dokumentiranom cilju povezanom s kupcima, ugovorima ili poslovanjem.
• Koristite oboje kada ISMS može upravljati isporukom, dok profili CSF-a komuniciraju namjeravane ishode upravi i dionicima.

Zrela organizacija može koristiti CSF za ponovnu procjenu prioriteta nakon preuzimanja. Malo poduzeće može rano uspostaviti ISMS prema ISO 27001 jer to zahtijevaju očekivanja u nabavi. Izbjegavajte da veličina tvrtke zamijeni razumijevanje stvarne potrebe.

Nijedan pristup ne uklanja potrebu da se zakonske obveze analiziraju zasebno. Primjerice, certifikat ISO ne utvrđuje usklađenost s GDPR-om ili NIS2. Primjenjive zakonske obveze trebaju informirati procjenu rizika i odabir kontrola, s vlastitim dokazima i odgovornošću.

Uspostavite jedan model isporuke s pregledanim mapiranjima

Upotreba obaju pristupa ne bi smjela značiti stvaranje dvaju nepovezanih sigurnosnih programa. Kao praktičnu preporuku, organizirajte implementaciju oko usluga, rizika, kontrola, vlasnika i dokaza, a zatim taj rad povežite sa svakim okvirom.

Koristan zapis o implementaciji sadrži sljedeće:

Mapiranja su odnosi više-prema-više. Jedan proces odgovora na incidente može podupirati nekoliko ishoda CSF-a i više zahtjeva ISMS-a. S druge strane, jedan ishod može ovisiti o politikama, tehničkim zaštitnim mjerama, obuci i aranžmanima s dobavljačima.

Za odgovor na incidente CSF opisuje namjeravane sposobnosti kao što su koordinacija odgovora i analiza incidenata. ISMS dodaje upravljačke aranžmane oko vlasništva, obrade rizika, vrednovanja i poboljšavanja. Zapis o vježbi može podupirati oboje, ali ne dokazuje da je ispunjen svaki mapirani zahtjev.

Opseg i verzije okvira neka budu izričiti. Ne primjenjujte mapiranje razvijeno za produkcijsku uslugu na preuzeto društvo kćer bez pregleda razlika. Naš vodič za mapiranje među okvirima objašnjava kako dijeliti posao a da se različiti zahtjevi ne tretiraju kao istovjetni.

Razrađeni primjer: uslužno poduzeće suočeno s dva zahtjeva

Zamislite ilustrativno softversko poduzeće s jednom uslugom namijenjenom kupcima. Pretpostavimo da njegov nadzorni odbor želi jasniji plan ulaganja u sigurnost, a potencijalni kupac zahtijeva certifikaciju ISO 27001 koja obuhvaća tu uslugu. To su hipotetske pretpostavke, a ne studija slučaja kupca.

Izvršni direktor imenuje odgovornog sponzora iz izvršne uprave i traži od voditelja sigurnosti da predloži opseg koji uključuje rad usluge i relevantne prateće procese. Prijedlog identificira infrastrukturu u oblaku, korisničku podršku, razvoj, administraciju identiteta i vanjske pružatelje. Uprava provjerava odgovara li granica zahtjevu kupca umjesto da odabere najmanji prikladan opseg.

Tim izrađuje trenutačni profil CSF-a. Utvrđuje da se odobrenja pristupa bilježe, ali su pregledi povlaštenog pristupa nedosljedni. Sigurnosne kopije postoje, ali su dokazi o vraćanju nepotpuni. Uloge u incidentima dokumentirane su, ali eskalacija prema dobavljačima nije uvježbana.

Ciljni profil postavlja tri prioriteta: dosljedno upravljanje povlaštenim pristupom, dokazanu sposobnost vraćanja i koordiniran odgovor na incidente. Procjena rizika ISMS-a ocjenjuje odgovarajuće poslovne posljedice i utvrđuje odluke o obradi.

Uprava preispituje napredak u odnosu na ciljni profil i ciljeve ISMS-a. Financira neriješene ovisnosti oporavka i odlučuje kako će se postupati s privremenim iznimkama pristupa. Interna revizija provjerava sustav upravljanja i implementaciju; korektivne radnje rješavaju se prije certifikacijske ocjene.

Rezultat nisu dva skupa snimaka zaslona. To je jedan skup dokaza o implementaciji, tumačen u odnosu na različite zahtjeve, s vidljivim vlasništvom i odlukama uprave.

Predvidite proračun za implementaciju i kontinuirani rad

NIST CSF je besplatno dostupan, ali njegova primjena nije bez troškova. Oba pristupa zahtijevaju vrijeme osoblja za razumijevanje rizika, poboljšanje kontrola, prikupljanje dokaza, obuku ljudi i održavanje praksi. ISO 27001 dodatno uključuje nabavu norme i, kada se teži certifikaciji, naknade certifikacijskom tijelu.

Izradite proračun oko radnih paketa umjesto oko pretpostavljene tržišne cijene:

• Početna procjena i definiranje opsega.
• Promjene kontrola, uključujući inženjerski rad i rad s dobavljačima.
• Dokumentacija, pregled dokaza i obuka osoblja.
• Interna revizija, upravina ocjena i korektivne radnje.
• Vanjska certifikacijska ocjena, kada je potrebna.
• Kontinuirano vlasništvo, praćenje, vježbe i ponovna procjena.

Zatražite ponude za certifikaciju za isti opseg kako biste ih mogli smisleno usporediti. Pitajte koje su ocjene, lokacije, naknadno postupanje i troškovi uključeni. Otklanjanje nedostataka u kontrolama držite odvojeno od naknada za certifikaciju: jeftina ponuda za reviziju ne čini nedovoljno financiran sigurnosni program spremnim.

Ocijenite komercijalnu vrijednost na temelju dokumentiranih zahtjeva kupaca i prilika, a ne na temelju obećanja da certifikacija automatski donosi prihod.

Izbjegavajte tvrdnje koje dokazi ne mogu potkrijepiti

Česte pogreške jesu proglašavanje „usklađenosti s NIST-om“ bez objašnjenja profila i opsega, predstavljanje uskog certifikata kao jamstva za cijelu tvrtku i tretiranje mapiranih kontrola kao dokaza učinkovitosti.

Još je jedna pogreška mjerenje uspjeha samo prema dovršenim dokumentima. Uprava bi trebala pitati i imaju li važne usluge testirane putove oporavka, imaju li iznimke vlasnike, eskaliraju li zakašnjele obrade i ponavljaju li se prethodni nalazi. Ta pitanja povezuju sustav upravljanja s operativnim učinkom.

Ne postoji obranjiv univerzalni postotak koji pokazuje koliko je implementacija CSF-a blizu sukladnosti s ISO 27001. Postojeće kontrole mogu se ponovno upotrijebiti, ali nedostajući zahtjevi sustava upravljanja, razlike u opsegu i slabi dokazi i dalje zahtijevaju procjenu.

Neka sljedeći korak bude upravljačka odluka s definiranim opsegom

Izradite kratak sažetak za odlučivanje u kojem su navedeni potreban rezultat, predložena granica, očekivanja kupaca, odgovorni sponzor, glavni nedostaci i potrebni resursi. Odlučite je li sljedeća prekretnica pregledani profil CSF-a, ISMS u radu ili spremnost za certifikaciju. Svakoj prekretnici dodijelite kriterije prihvaćanja koji uključuju dokaze, a ne samo dovršenost dokumenata.

Secani podržava ovaj tijek rada modeliranjem sustava i usluga, povezivanjem dokaza sa zahtjevima, kontrolama i odlukama te dodjeljivanjem vlasnika i zadataka pregleda. Timovi mogu čuvati poveznice na izvore, komentare, odobrenja i vremenske oznake, a prijedloge potpomognute umjetnom inteligencijom tretirati kao nacrte koji zahtijevaju ljudski pregled. Počnite s jednim reprezentativnim opsegom i njegovim postojećim dokazima prije proširenja pokrivenosti.

Odgovornost uprave ostaje izričita: odobriti prioritete, osigurati resurse za posao i preispitati podupiru li dokazi tvrdnje koje poslovanje iznosi.