NIST CSF és ISO 27001: válassza meg a működési szerepet

A NIST CSF és az ISO 27001 egyaránt segíti a szervezeteket a biztonság megszervezésében, de eltérő működési szerepet töltenek be. A vezetői döntés akkor válik világosabbá, ha megkérdezi, milyen eredményre van szüksége az üzletnek: a kiberbiztonsági prioritások közös képére, egy formálisan irányított információbiztonsági programra, az ügyfelek számára nyújtott független bizonyosságra, vagy ezek kombinációjára.

Egy keretrendszer kiválasztása nem veszi át a felelősséget a vezetéstől. A vezetőknek továbbra is meg kell határozniuk a hatókört, finanszírozniuk kell a fejlesztéseket, felelősöket kell kijelölniük, és el kell dönteniük, mely maradványkockázatokat fogadja el az üzlet. A hasznos kérdés tehát nem az, hogy „Melyik keretrendszer a jobb?”, hanem az, hogy „Milyen szerepet töltsön be mindegyik abban, ahogyan a biztonságot működtetjük és igazoljuk?”

Az eredményeket hasonlítsa össze, ne csak a kontrollistákat

A NIST Cybersecurity Framework, jelenleg a CSF 2.0, kiberbiztonsági eredményeket ír le. Közös nyelvet ad a műszaki csapatoknak és a felsővezetőknek a kockázatok, képességek és prioritások megvitatásához anélkül, hogy minden szervezet számára egyetlen megvalósítást írna elő.

Az ISO/IEC 27001 az információbiztonsági irányítási rendszerrel (IBIR) szemben támaszt követelményeket. Ez a rendszer határozza meg, hogyan azonosítja a szervezet az információbiztonsági kockázatokat, hogyan választja ki a kockázatkezelési intézkedéseket, hogyan osztja ki a felelősséget, hogyan értékeli a teljesítményt és hogyan fejlődik. A független tanúsítás bizonyosságot nyújthat az irányítási rendszer megfelelőségéről a meghatározott hatókörön belül.

Mindkettő használható különböző méretű és érettségű szervezetek számára. A NIST CSF nem csak kezdőknek vagy amerikai vállalkozásoknak szól, és az ISO 27001 sem kizárólag nagy nemzetközi vállalatoknak van fenntartva. A felkészültség a szükséges ráfordítást befolyásolja, nem azt, hogy a megközelítés elvileg alkalmas-e.

Mivel járul hozzá a NIST CSF a vezetői döntésekhez

A CSF 2.0 hat funkcióba rendezi az eredményeket. Ezek együtt működnek; nem hat projektszakaszról van szó, amelyek egymás után véglegesen lezárulnak.

Az Irányítás funkció különösen fontos a felsővezetők számára. Összekapcsolja a kiberbiztonságot az üzleti célokkal, az elszámoltathatósággal, a szabályzatokkal és a felügyelettel. Megakadályozza, hogy a biztonság olyan műszaki feladatlistává váljon, amelynek nincs kifejezett üzleti felelőse.

Alakítsa az eredményeket beruházási tervvé

A jelenlegi profil (Current Profile) azokat a kiberbiztonsági eredményeket írja le, amelyeket a szervezet jelenleg elér. A célprofil (Target Profile) azokat az eredményeket írja le, amelyeket el kíván érni, a céljai, a fenyegetések, a kötelezettségei és az érintettek elvárásai alapján. A kettő közötti különbség alapot ad a munka rangsorolásához.

Egy vállalkozásnak például lehetnek biztonsági mentései, de kevés bizonyítéka arra, hogy legfontosabb szolgáltatása valósághű körülmények között visszaállítható. A hasznos hiányosság nem egyszerűen az, hogy „a helyreállítás hiányos”, hanem egy meghatározott eredmény, egy érintett szolgáltatás, egy felelős, egy javasolt visszaállítási gyakorlat és egy döntés az elfogadható kiesésről.

A CSF szintjei (Tiers) a kiberbiztonsági kockázatirányítási és -kezelési gyakorlatok jellemzőit írják le. Kontextust adnak a szigorúságról és következetességről szóló beszélgetésekhez; nem tanúsítási fokozatok, és nem is olyan egyetemes érettségi pontszámok, amelyeket minden szervezetnek maximalizálnia kellene.

A CSF maga nem ISO-típusú tanúsítási szabvány. Egy szervezet megrendelhet értékelést, és bizonyítékokkal támaszthatja alá profilját, de ezt nem szabad úgy bemutatnia, mintha a NIST tanúsítványt adott volna ki. Az üzleti érték az értékelés világosságából és az általa elindított fejlesztésekből fakad.

Mit ad hozzá az ISO 27001 a működési rendszerhez

Az ISO 27001 egy meghatározott hatókörű irányítási rendszerre összpontosít. 4–10. fejezete a szervezet környezetével, a vezetéssel, a tervezéssel, a támogatással, a működtetéssel, a teljesítményértékeléssel és a fejlesztéssel foglalkozik. Bevezetése egy működő irányítási ciklus kialakítását jelenti, nem csupán szabályzatok összegyűjtését egy auditor számára.

Az információbiztonság magában foglalja a bizalmasságot, a sértetlenséget és a rendelkezésre állást. A bizalmasság a megfelelő hozzáférésre vonatkozik; a sértetlenség a pontosságra, a teljességre és a nem megfelelő módosítások elleni védelemre; a rendelkezésre állás pedig arra, hogy a jogosultak szükség esetén hozzáférjenek. A sértetlenség nem azt jelenti, hogy az információ soha nem változhat: a jogszerű változtatásokhoz megfelelő engedélyezés és ellenőrzés szükséges.

Az IBIR ezeket a szempontokat kockázatértékelésen és kockázatkezelésen keresztül alkalmazza. Nem általános utasítás minden elképzelhető biztonsági technológia bevezetésére.

Tartsa külön az IBIR fő eredménytermékeit

Számos dokumentum szorosan összefügg, de különböző kérdésekre ad választ:

• Hatókör: Mely szervezeti tevékenységekre, telephelyekre, információkra, rendszerekre és interfészekre terjed ki az IBIR?
• Kockázatértékelés: Mi történhet, mennyire lenne jelentős, és hogyan alakítják ki következetesen ezt az ítéletet?
• Kockázatkezelési terv: Milyen intézkedések kezelik az azonosított kockázatokat, ki felel értük, és milyen jóváhagyások szükségesek?
• Alkalmazhatósági nyilatkozat: Mely szükséges kontrollok szerepelnek benne, miért szerepelnek, meg vannak-e valósítva, és miért zártak ki esetleg A melléklet szerinti kontrollokat?
• Belső audit: Megfelel-e az IBIR az alkalmazandó követelményeknek, és hatékonyan működik-e, egy megfelelően pártatlan vizsgálat alapján?
• Vezetőségi átvizsgálás: Figyelembe veszi-e a vezetés a teljesítményt, a változásokat, a megállapításokat és a fejlesztési igényeket, és meghozza-e az ezekből következő döntéseket?

Egy kockázati nyilvántartás nem helyettesíti az alkalmazhatósági nyilatkozatot. Egy vezetői megbeszélés nem minősül automatikusan vezetőségi átvizsgálásnak. Minden eredményterméknek saját célja, bemenetei és rögzített következtetései vannak.

Az ISO 27001:2022 A melléklete 93 kontrollt tartalmaz szervezeti, személyi, fizikai és technológiai kategóriákba sorolva. Az alkalmazhatóság kockázatalapú. A szervezetek meghatározzák a szükséges kontrollokat, és összevetik őket az A melléklettel, hogy egyetlen szükséges kontroll se maradjon ki; előfordulhat, hogy ezen a referenciakészleten túli kontrollokra is szükségük van. Az ISO 27002 megvalósítási útmutatást ad a kontrollokhoz.

A mellékletről szóló útmutatónk részletesebben elmagyarázza a kontrollstruktúrát. A vezetés számára a lényeg az, hogy egy kitöltött ellenőrzőlista nem azonos egy működő IBIR-rel.

Értse meg, mit igazol a tanúsítás

A tanúsítás nem kötelező, hacsak egy szerződés vagy más alkalmazandó kötelezettség elő nem írja. Egy szervezet tanúsítvány megszerzése nélkül is működtethet IBIR-t.

Ahol tanúsításra van szükség, egy független tanúsító szervezet értékeli az IBIR-t; a tanúsítványt nem az ISO adja ki. Az első tanúsítás általában a felkészültség és a dokumentált megoldások első szakaszbeli áttekintéséből, majd a megvalósítás második szakaszbeli értékeléséből áll. A tanúsítás fenntartása a tanúsító szervezet eljárásai szerinti folyamatos értékelést és újratanúsítást foglal magában.

Mielőtt egy tanúsítványra támaszkodna, olvassa el a hatókörét. Egy szolgáltatás vagy üzleti egység tanúsítását nem szabad úgy bemutatni, mintha minden termékre, leányvállalatra vagy telephelyre kiterjedne. A tanúsítvány azt sem garantálja, hogy soha nem fordulnak elő incidensek, és nem igazolja az összes alkalmazandó jogszabálynak való megfelelést.

Aszerint válasszon, milyen döntést kell meghoznia az üzletnek

Kezdje a külső elvárásokkal, majd vizsgálja meg a belső működési igényeket. Kérje meg az értékesítési és beszerzési csapatokat, hogy különböztessék meg, mit követelnek meg ténylegesen az ügyfelek, és mit tartanak csupán kívánatosnak.

Az „ISO 27001-nek megfelelő”, az „ISO 27001 szerint tanúsított” és a „NIST CSF-hez igazodó” különböző állítások. Ha egy szerződés tanúsítványt követel meg, egy CSF-értékelés nem felel meg ennek a megfogalmazásnak. Ha az igazgatóságnak világos fejlesztési tervre van szüksége, egy tanúsítvány önmagában nem feltétlenül magyarázza meg, hová kell a szervezetnek legközelebb beruháznia.

Használja a következő döntési pontokat:

• Válassza a CSF-et elsődleges kommunikációs struktúraként, ha az azonnali igény egy közös kiindulási állapot kialakítása, a jelenlegi és a kívánt eredmények összehasonlítása, valamint a kiberbiztonsági beruházások rangsorolása.
• Válassza az ISO 27001-et elsődleges irányítási struktúraként, ha a szervezetnek formális IBIR-re van szüksége következetes kockázatkezeléssel, értékeléssel és fejlesztéssel.
• Törekedjen tanúsításra, ha a meghatározott hatókörű független bizonyosság egy dokumentált ügyfél-, szerződéses vagy üzleti célt szolgál.
• Használja mindkettőt, ha az IBIR irányíthatja a megvalósítást, miközben a CSF-profilok kommunikálják a kitűzött eredményeket a vezetés és az érintettek felé.

Egy érett szervezet a CSF segítségével újraértékelheti prioritásait egy felvásárlás után. Egy kisvállalkozás korán kialakíthat ISO 27001 szerinti IBIR-t, mert a beszerzési elvárások ezt követelik meg. Ne helyettesítse a tényleges igény megértését a vállalat méretével.

Egyik megközelítés sem szünteti meg a jogi kötelezettségek külön elemzésének szükségességét. Egy ISO-tanúsítvány például nem igazolja a GDPR-nak vagy a NIS2-nek való megfelelést. Az alkalmazandó jogi kötelezettségeknek a kockázatértékelést és a kontrollok kiválasztását kell befolyásolniuk, saját bizonyítékokkal és elszámoltathatósággal.

Alakítson ki egyetlen megvalósítási modellt, felülvizsgált megfeleltetésekkel

Mindkét megközelítés használata nem jelentheti két egymástól elszigetelt biztonsági program létrehozását. Gyakorlati ajánlásként a megvalósítást szolgáltatások, kockázatok, kontrollok, felelősök és bizonyítékok köré szervezze, majd ezt a munkát kapcsolja az egyes keretrendszerekhez.

Egy hasznos megvalósítási rekord a következőket tartalmazza:

A megfeleltetések több-a-többhöz típusúak. Egyetlen incidensreagálási folyamat több CSF-eredményt és több IBIR-követelményt is támogathat. Fordítva: egyetlen eredmény függhet szabályzatoktól, műszaki védelmi intézkedésektől, képzéstől és beszállítói megoldásoktól.

Az incidensreagálás esetében a CSF olyan kitűzött képességeket ír le, mint a reagálás összehangolása és az incidensek elemzése. Az IBIR ehhez a felelősségre, a kockázatkezelésre, az értékelésre és a fejlesztésre vonatkozó irányítási megoldásokat teszi hozzá. Egy gyakorlatról készült nyilvántartás mindkettőt támogathatja, de nem bizonyítja, hogy minden megfeleltetett követelmény teljesült.

A hatókört és a keretrendszer-verziókat tartsa egyértelműen. Egy termelési szolgáltatásra kidolgozott megfeleltetést ne alkalmazzon egy felvásárolt leányvállalatra a különbségek felülvizsgálata nélkül. Keretrendszerek közötti megfeleltetésről szóló útmutatónk elmagyarázza, hogyan lehet megosztani a munkát anélkül, hogy a különböző követelményeket egyenértékűként kezelnénk.

Kidolgozott példa: egy szolgáltató vállalkozás két elvárással szemben

Vegyünk egy szemléltető szoftvervállalkozást egyetlen ügyfeleknek nyújtott szolgáltatással. Tegyük fel, hogy igazgatósága világosabb biztonsági beruházási tervet szeretne, egy leendő ügyfél pedig az adott szolgáltatásra kiterjedő ISO 27001 tanúsítást követel meg. Ezek hipotetikus feltevések, nem ügyféleset-tanulmány.

A vezérigazgató kinevez egy elszámoltatható felsővezetői szponzort, és felkéri a biztonsági vezetőt, hogy javasoljon olyan hatókört, amely magában foglalja a szolgáltatás üzemeltetését és a releváns támogató folyamatokat. A javaslat azonosítja a felhőinfrastruktúrát, az ügyfélszolgálatot, a fejlesztést, az identitásadminisztrációt és a külső szolgáltatókat. A vezetés ellenőrzi, hogy a határ megfelel-e az ügyfél követelményének, ahelyett hogy a legkisebb kényelmes hatókört választaná.

A csapat elkészíti a CSF jelenlegi profilját. Megállapítja, hogy a hozzáférési jóváhagyásokat rögzítik, de a kiemelt hozzáférések felülvizsgálata következetlen. Vannak biztonsági mentések, de a visszaállításra vonatkozó bizonyítékok hiányosak. Az incidenskezelési szerepkörök dokumentálva vannak, de a beszállítói eszkalációt még nem gyakorolták.

A célprofil három prioritást határoz meg: következetes kiemelthozzáférés-irányítás, igazolt visszaállítási képesség és összehangolt incidensreagálás. Az IBIR kockázatértékelése értékeli a megfelelő üzleti következményeket, és meghatározza a kezelési döntéseket.

A vezetés a célprofil és az IBIR-célok alapján tekinti át az előrehaladást. Finanszírozza a tisztázatlan helyreállítási függőségeket, és dönt arról, hogyan kezelik az ideiglenes hozzáférési kivételeket. A belső audit ellenőrzi az irányítási rendszert és a megvalósítást; a korrekciós intézkedéseket a tanúsítási értékelés előtt kezelik.

Az eredmény nem két képernyőkép-gyűjtemény. Hanem a megvalósítási bizonyítékok egyetlen együttese, különböző követelmények szerint értelmezve, látható felelősségekkel és vezetői döntésekkel.

Tervezzen költségvetést a bevezetésre és a folyamatos működésre

A NIST CSF szabadon elérhető, de alkalmazása nem költségmentes. Mindkét megközelítés munkatársi időt igényel a kockázatok megértéséhez, a kontrollok fejlesztéséhez, a bizonyítékok gyűjtéséhez, az emberek képzéséhez és a gyakorlatok fenntartásához. Az ISO 27001 ezen felül a szabvány beszerzésével és, ha törekednek rá, a tanúsító szervezet díjaival jár.

A költségvetést munkacsomagok köré építse, ne feltételezett piaci ár köré:

• Kiindulási értékelés és a hatókör meghatározása.
• Kontrollmódosítások, beleértve a mérnöki és beszállítói munkát.
• Dokumentáció, bizonyítékok felülvizsgálata és munkatársi képzés.
• Belső audit, vezetőségi átvizsgálás és korrekciós intézkedések.
• Külső tanúsítási értékelés, ahol szükséges.
• Ismétlődő felelősségi feladatok, monitorozás, gyakorlatok és újraértékelés.

A tanúsítási ajánlatokat ugyanarra a hatókörre kérje be, hogy érdemben összehasonlíthatók legyenek. Kérdezze meg, mely értékelések, telephelyek, nyomon követő munkák és költségek szerepelnek bennük. A kontrollok javítását tartsa külön a tanúsítási díjaktól: egy olcsó auditajánlat nem teszi felkészültté az alulfinanszírozott biztonsági programot.

Az üzleti értéket dokumentált ügyfélkövetelmények és lehetőségek alapján értékelje, ne annak ígérete alapján, hogy a tanúsítás automatikusan bevételt hoz.

Kerülje az olyan állításokat, amelyeket a bizonyítékok nem támasztanak alá

Gyakori hiba a „NIST-megfelelés” kinyilvánítása a profil és a hatókör magyarázata nélkül, egy szűk hatókörű tanúsítvány vállalati szintű bizonyosságként való bemutatása, valamint a megfeleltetett kontrollok hatékonyság bizonyítékaként való kezelése.

Egy másik hiba, ha a sikert csak az elkészült dokumentumok alapján mérik. A vezetésnek azt is meg kell kérdeznie, hogy a fontos szolgáltatásoknak vannak-e tesztelt helyreállítási útvonalai, a kivételeknek vannak-e felelősei, eszkalálódnak-e a lejárt kezelési intézkedések, és ismétlődnek-e a korábbi megállapítások. Ezek a kérdések kötik össze az irányítási rendszert a működési teljesítménnyel.

Nincs olyan megvédhető, egyetemes százalékos érték, amely megmutatná, mennyire áll közel egy CSF-megvalósítás az ISO 27001-nek való megfeleléshez. A meglévő kontrollok újrahasznosíthatók lehetnek, de a hiányzó irányítási rendszerbeli követelmények, a hatóköri különbségek és a gyenge bizonyítékok továbbra is értékelést igényelnek.

A következő lépés legyen egy meghatározott hatókörű vezetői döntés

Készítsen rövid döntési összefoglalót, amely tartalmazza a szükséges eredményt, a javasolt határt, az ügyfélelvárásokat, az elszámoltatható szponzort, a fő hiányosságokat és a szükséges erőforrásokat. Döntse el, hogy a következő mérföldkő egy felülvizsgált CSF-profil, egy működő IBIR vagy a tanúsításra való felkészültség. Minden mérföldkőhöz adjon meg olyan elfogadási kritériumokat, amelyek bizonyítékokat is tartalmaznak, nem csak a dokumentumok elkészültét.

A Secani ezt a munkafolyamatot azzal támogatja, hogy modellezi a rendszereket és szolgáltatásokat, a bizonyítékokat követelményekhez, kontrollokhoz és döntésekhez kapcsolja, valamint felelősöket és felülvizsgálati feladatokat jelöl ki. A csapatok megőrizhetik a forráslinkeket, megjegyzéseket, jóváhagyásokat és időbélyegeket, miközben az MI által támogatott javaslatokat emberi felülvizsgálatot igénylő vázlatként kezelik. Kezdjen egyetlen reprezentatív hatókörrel és annak meglévő bizonyítékaival, mielőtt kiterjesztené a lefedettséget.

A vezetés felelőssége továbbra is egyértelmű: hagyja jóvá a prioritásokat, biztosítsa a munka erőforrásait, és vizsgálja felül, hogy a bizonyítékok alátámasztják-e az üzlet által tett állításokat.