NIST CSF ir ISO 27001: pasirinkite veikimo vaidmenį

NIST CSF ir ISO 27001 padeda organizacijoms organizuoti saugumą, tačiau atlieka skirtingus veikimo vaidmenis. Vadovybės sprendimas tampa aiškesnis, kai paklausiate, kokio rezultato reikia verslui: bendro kibernetinio saugumo prioritetų vaizdo, formaliai valdomos informacijos saugumo programos, nepriklausomo patikinimo klientams ar šių dalykų derinio.

Sistemos pasirinkimas neperkelia atskaitomybės nuo vadovybės. Vadovai vis tiek turi nustatyti apimtį, finansuoti patobulinimus, paskirti atsakingus asmenis ir nuspręsti, kokias likutines rizikas verslas priims. Todėl naudingas klausimas yra ne „Kuri sistema geresnė?“, o „Kokį vaidmenį kiekviena turėtų atlikti tame, kaip valdome saugumą ir jį įrodome?“

Palyginkite rezultatus, o ne tik kontrolės priemonių sąrašus

NIST kibernetinio saugumo sistema, šiuo metu CSF 2.0, apibūdina kibernetinio saugumo rezultatus. Ji suteikia techninėms komandoms ir vadovams bendrą kalbą rizikoms, pajėgumams ir prioritetams aptarti, nenustatydama vieno įgyvendinimo būdo kiekvienai organizacijai.

ISO/IEC 27001 nustato informacijos saugumo valdymo sistemos (ISMS) reikalavimus. Ši sistema nustato, kaip organizacija identifikuoja informacijos saugumo rizikas, parenka rizikos valdymo priemones, paskiria atsakomybę, vertina veiksmingumą ir tobulėja. Nepriklausomas sertifikavimas gali suteikti patikinimą dėl valdymo sistemos atitikties jos apibrėžtoje apimtyje.

Abi gali naudoti įvairaus dydžio ir brandos organizacijos. NIST CSF nėra skirta tik pradedantiesiems ar JAV įmonėms, o ISO 27001 nėra rezervuotas didelėms tarptautinėms įmonėms. Pasirengimas lemia reikalingas pastangas, o ne tai, ar požiūris konceptualiai tinkamas.

Ką NIST CSF suteikia vadovybės sprendimams

CSF 2.0 rezultatus suskirsto į šešias funkcijas. Jos veikia kartu; tai nėra šeši projekto etapai, kurie paeiliui galutinai užbaigiami.

Funkcija „Valdyti“ ypač svarbi vadovams. Ji sieja kibernetinį saugumą su verslo tikslais, atskaitomybe, politika ir priežiūra. Ji neleidžia saugumui tapti techninių darbų sąrašu be aiškaus verslo savininko.

Rezultatus paverskite investicijų planu

Dabartinis profilis apibūdina kibernetinio saugumo rezultatus, kuriuos organizacija šiuo metu pasiekia. Tikslinis profilis apibūdina rezultatus, kuriuos ji nori pasiekti, atsižvelgdama į savo tikslus, grėsmes, prievoles ir suinteresuotųjų šalių lūkesčius. Atotrūkis tarp jų suteikia pagrindą darbų prioritetams nustatyti.

Pavyzdžiui, įmonė gali turėti atsargines kopijas, bet turėti mažai įrodymų, kad jos svarbiausią paslaugą galima atkurti realiomis sąlygomis. Naudingas atotrūkis nėra tiesiog „atkūrimas neužbaigtas“. Tai apibrėžtas rezultatas, paveikta paslauga, atsakingas asmuo, siūlomos atkūrimo pratybos ir sprendimas dėl priimtino sutrikimo.

CSF lygmenys apibūdina kibernetinio saugumo rizikos valdysenos ir valdymo praktikos ypatybes. Jie suteikia kontekstą diskusijoms apie griežtumą ir nuoseklumą; tai nėra sertifikavimo įvertinimai ar universalus brandos balas, kurį kiekviena organizacija turi maksimizuoti.

Pati CSF nėra ISO tipo sertifikavimo standartas. Organizacija gali užsakyti vertinimą ir pagrįsti savo profilį įrodymais, tačiau neturėtų to pateikti kaip NIST išduoto sertifikato. Verslo vertė kyla iš vertinimo aiškumo ir jo skatinamų patobulinimų.

Ką ISO 27001 prideda prie veikimo sistemos

ISO 27001 sutelktas į apibrėžtos apimties valdymo sistemą. Jo 4–10 skyriai apima organizacijos kontekstą, lyderystę, planavimą, paramą, veiklą, veiksmingumo vertinimą ir gerinimą. Jį įgyvendinti reiškia įdiegti veikiantį valdymo ciklą, o ne vien surinkti politikas auditoriui.

Informacijos saugumas apima konfidencialumą, vientisumą ir prieinamumą. Konfidencialumas susijęs su tinkama prieiga; vientisumas – su tikslumu, išsamumu ir apsauga nuo netinkamų pakeitimų; prieinamumas – su įgaliota prieiga, kai jos reikia. Vientisumas nereiškia, kad informacija niekada negali keistis: teisėtiems pakeitimams reikia tinkamo leidimo ir kontrolės.

ISMS šiuos aspektus įgyvendina per rizikos vertinimą ir valdymą. Tai nėra visuotinis nurodymas diegti kiekvieną įmanomą saugumo technologiją.

Pagrindinius ISMS rezultatus laikykite atskirus

Keli dokumentai yra glaudžiai susiję, tačiau atsako į skirtingus klausimus:

• Apimtis: kokią organizacijos veiklą, vietas, informaciją, sistemas ir sąsajas apima ISMS?
• Rizikos vertinimas: kas gali nutikti, kokia tai būtų reikšminga ir kaip šis vertinimas atliekamas nuosekliai?
• Rizikos valdymo planas: kokie veiksmai spręs nustatytas rizikas, kas už juos atsakingas ir kokių patvirtinimų reikia?
• Taikomumo pareiškimas: kurios būtinos kontrolės priemonės įtrauktos, kodėl jos įtrauktos, ar jos įgyvendintos ir kodėl kurios nors A priedo kontrolės priemonės neįtrauktos?
• Vidaus auditas: ar ISMS atitinka taikomus reikalavimus ir veikia veiksmingai, remiantis tinkamai nešališku patikrinimu?
• Vadovybinė peržiūra: ar vadovybė svarsto veiksmingumą, pokyčius, išvadas ir tobulinimo poreikius bei priima atitinkamus sprendimus?

Rizikų registras nepakeičia taikomumo pareiškimo. Vadovybės susitikimas savaime nėra vadovybinė peržiūra. Kiekvienas rezultatas turi turėti savo paskirtį, įvesties duomenis ir užfiksuotas išvadas.

ISO 27001:2022 A priede yra 93 kontrolės priemonės, suskirstytos į organizacines, su žmonėmis susijusias, fizines ir technologines kategorijas. Taikomumas grindžiamas rizika. Organizacijos nustato būtinas kontrolės priemones ir palygina jas su A priedu, kad nė viena būtina kontrolės priemonė nebūtų praleista; joms gali prireikti ir kontrolės priemonių, nepatenkančių į šį etaloninį rinkinį. ISO 27002 pateikia kontrolės priemonių įgyvendinimo gaires.

Mūsų A priedo vadovas išsamiau paaiškina kontrolės priemonių struktūrą. Vadovybei esminis dalykas yra tai, kad užpildytas kontrolinis sąrašas nėra tas pats, kas veikianti ISMS.

Supraskite, ką įrodo sertifikavimas

Sertifikavimas yra neprivalomas, nebent jo reikalauja sutartis ar kita taikoma prievolė. Organizacija gali valdyti ISMS nesiekdama sertifikato.

Kai sertifikavimas reikalingas, ISMS vertina nepriklausoma sertifikavimo įstaiga; sertifikato išduoda ne ISO. Pirminis sertifikavimas paprastai apima pirmąjį etapą, kurio metu peržiūrimas pasirengimas ir dokumentuota tvarka, ir antrąjį etapą, kurio metu vertinamas įgyvendinimas. Sertifikato palaikymas apima nuolatinį vertinimą ir pakartotinį sertifikavimą pagal sertifikavimo įstaigos tvarką.

Prieš remdamiesi sertifikatu perskaitykite jo apimtį. Vienos paslaugos ar verslo padalinio sertifikavimas neturėtų būti pateikiamas kaip apimantis kiekvieną produktą, dukterinę įmonę ar vietą. Jis taip pat negarantuoja, kad incidentų niekada nebus, ir neįrodo atitikties kiekvienam taikomam įstatymui.

Rinkitės pagal sprendimą, kurį turi priimti verslas

Pradėkite nuo išorės lūkesčių, tada išnagrinėkite vidinius veiklos poreikius. Paprašykite pardavimų ir pirkimų komandų atskirti, ko klientai iš tikrųjų reikalauja, nuo to, ką jie tik vertina palankiai.

„Atitinka ISO 27001“, „sertifikuota pagal ISO 27001“ ir „suderinta su NIST CSF“ yra skirtingi teiginiai. Jei sutartis reikalauja sertifikato, CSF vertinimas šios formuluotės netenkins. Jei valdybai reikia aiškaus tobulinimo plano, vien sertifikatas gali nepaaiškinti, kur organizacija turėtų investuoti toliau.

Naudokite šiuos sprendimo taškus:

• Rinkitės CSF kaip pagrindinę komunikacijos struktūrą, kai artimiausias poreikis yra nustatyti bendrą bazinį lygį, palyginti dabartinius ir pageidaujamus rezultatus ir nustatyti kibernetinio saugumo investicijų prioritetus.
• Rinkitės ISO 27001 kaip pagrindinę valdymo struktūrą, kai organizacijai reikia formalios ISMS su nuosekliu rizikos valdymu, vertinimu ir tobulinimu.
• Siekite sertifikavimo, kai apibrėžtos apimties nepriklausomas patikinimas tarnauja dokumentuotam kliento, sutartiniam ar verslo tikslui.
• Naudokite abi, kai ISMS gali valdyti įgyvendinimą, o CSF profiliai vadovybei ir suinteresuotosioms šalims komunikuoja siekiamus rezultatus.

Brandi organizacija po įsigijimo gali naudoti CSF prioritetams iš naujo įvertinti. Maža įmonė gali anksti įdiegti ISO 27001 ISMS, nes to reikalauja pirkimų lūkesčiai. Nepakeiskite tikrojo poreikio supratimo įmonės dydžiu.

Nė vienas požiūris nepanaikina poreikio atskirai analizuoti teisines pareigas. Pavyzdžiui, ISO sertifikatas neįrodo atitikties BDAR ar NIS2. Taikomos teisinės prievolės turėtų būti įtrauktos į rizikos vertinimą ir kontrolės priemonių pasirinkimą, su savo įrodymais ir atskaitomybe.

Įdiekite vieną įgyvendinimo modelį su peržiūrėtais susiejimais

Abiejų požiūrių naudojimas neturėtų reikšti dviejų nesusijusių saugumo programų kūrimo. Praktiškai rekomenduojame įgyvendinimą organizuoti aplink paslaugas, rizikas, kontrolės priemones, atsakingus asmenis ir įrodymus, o tada šį darbą susieti su kiekviena sistema.

Naudingas įgyvendinimo įrašas apima:

Susiejimai yra „daug su daug“. Vienas reagavimo į incidentus procesas gali palaikyti kelis CSF rezultatus ir kelis ISMS reikalavimus. Ir atvirkščiai, vienas rezultatas gali priklausyti nuo politikų, techninių apsaugos priemonių, mokymų ir susitarimų su tiekėjais.

Reagavimo į incidentus atveju CSF apibūdina numatomus pajėgumus, pavyzdžiui, reagavimo koordinavimą ir incidentų analizę. ISMS prideda valdymo tvarką, susijusią su atsakomybe, rizikos valdymu, vertinimu ir tobulinimu. Pratybų įrašas gali palaikyti abu, tačiau jis neįrodo, kad įvykdytas kiekvienas susietas reikalavimas.

Apimtį ir sistemų versijas nurodykite aiškiai. Gamybinei paslaugai parengto susiejimo netaikykite įsigytai dukterinei įmonei neperžiūrėję skirtumų. Mūsų kelių sistemų susiejimo vadovas paaiškina, kaip dalytis darbu nelaikant skirtingų reikalavimų lygiaverčiais.

Pavyzdys: paslaugų įmonė, susidūrusi su dviem reikalavimais

Panagrinėkime iliustracinę programinės įrangos įmonę su viena klientams skirta paslauga. Tarkime, jos valdyba nori aiškesnio saugumo investicijų plano, o potencialus klientas reikalauja ISO 27001 sertifikavimo, apimančio šią paslaugą. Tai hipotetinės prielaidos, o ne kliento atvejo analizė.

Generalinis direktorius paskiria atsakingą vadovą rėmėją ir paprašo saugumo vadovo pasiūlyti apimtį, apimančią paslaugos veiklą ir atitinkamus pagalbinius procesus. Pasiūlyme nurodoma debesijos infrastruktūra, klientų aptarnavimas, kūrimas, tapatybių administravimas ir išorės teikėjai. Vadovybė patikrina, ar riba atitinka kliento reikalavimą, o ne pasirenka mažiausią patogią apimtį.

Komanda parengia CSF dabartinį profilį. Nustatoma, kad prieigos patvirtinimai fiksuojami, tačiau privilegijuotosios prieigos peržiūros nenuoseklios. Atsarginės kopijos yra, tačiau atkūrimo įrodymai neišsamūs. Incidentų vaidmenys dokumentuoti, tačiau eskalavimas tiekėjams nebuvo išbandytas pratybose.

Tiksliniame profilyje nustatomi trys prioritetai: nuosekli privilegijuotosios prieigos valdysena, įrodyti atkūrimo pajėgumai ir koordinuotas reagavimas į incidentus. ISMS rizikos vertinime įvertinamos atitinkamos verslo pasekmės ir priimami rizikos valdymo sprendimai.

Vadovybė peržiūri pažangą pagal tikslinį profilį ir ISMS tikslus. Ji finansuoja neišspręstas atkūrimo priklausomybes ir nusprendžia, kaip bus tvarkomos laikinos prieigos išimtys. Vidaus auditas patikrina valdymo sistemą ir įgyvendinimą; taisomieji veiksmai atliekami prieš sertifikavimo vertinimą.

Rezultatas nėra du ekrano nuotraukų rinkiniai. Tai vienas įgyvendinimo įrodymų rinkinys, interpretuojamas pagal skirtingus reikalavimus, su matoma atsakomybe ir vadovybės sprendimais.

Biudžetą planuokite įgyvendinimui ir tolesniam veikimui

NIST CSF prieinama nemokamai, tačiau jos taikymas nėra be išlaidų. Abiem požiūriams reikia darbuotojų laiko rizikoms suprasti, kontrolės priemonėms tobulinti, įrodymams rinkti, žmonėms mokyti ir praktikai palaikyti. ISO 27001 papildomai apima standarto įsigijimą ir, jei siekiama sertifikavimo, sertifikavimo įstaigos mokesčius.

Biudžetą sudarykite pagal darbų paketus, o ne pagal tariamą rinkos kainą:

• Bazinis vertinimas ir apimties apibrėžimas.
• Kontrolės priemonių pakeitimai, įskaitant inžinerinius ir tiekėjų darbus.
• Dokumentacija, įrodymų peržiūra ir darbuotojų mokymas.
• Vidaus auditas, vadovybinė peržiūra ir taisomieji veiksmai.
• Išorinis sertifikavimo vertinimas, jei reikia.
• Nuolatinė atsakomybė, stebėsena, pratybos ir pakartotinis vertinimas.

Sertifikavimo pasiūlymų prašykite tai pačiai apimčiai, kad juos būtų galima prasmingai palyginti. Paklauskite, kokie vertinimai, vietos, tolesni darbai ir išlaidos įtraukti. Kontrolės priemonių taisymą laikykite atskirai nuo sertifikavimo mokesčių: pigus audito pasiūlymas nepadaro nepakankamai finansuotos saugumo programos pasirengusios.

Komercinę vertę vertinkite pagal dokumentuotus klientų reikalavimus ir galimybes, o ne pagal pažadą, kad sertifikavimas automatiškai atneš pajamų.

Venkite teiginių, kurių įrodymai negali pagrįsti

Dažnos klaidos – skelbti „NIST atitiktį“ nepaaiškinant profilio ir apimties, siaurą sertifikatą pateikti kaip visos įmonės patikinimą ir susietas kontrolės priemones laikyti veiksmingumo įrodymu.

Kita klaida – sėkmę matuoti tik parengtais dokumentais. Vadovybė taip pat turėtų klausti, ar svarbioms paslaugoms yra išbandyti atkūrimo keliai, ar išimtys turi atsakingus asmenis, ar vėluojančios rizikos valdymo priemonės eskaluojamos ir ar ankstesnės išvados kartojasi. Šie klausimai sieja valdymo sistemą su veiklos rezultatais.

Nėra pagrįsto universalaus procento, rodančio, kiek CSF įgyvendinimas artimas ISO 27001 atitikčiai. Esamas kontrolės priemones gali būti įmanoma pakartotinai panaudoti, tačiau trūkstamus valdymo sistemos reikalavimus, apimties skirtumus ir silpnus įrodymus vis tiek reikia įvertinti.

Kitas žingsnis – apibrėžtos apimties vadovybės sprendimas

Parenkite trumpą sprendimo aprašą, kuriame būtų nurodytas reikalingas rezultatas, siūloma riba, klientų lūkesčiai, atsakingas rėmėjas, pagrindinės spragos ir reikalingi ištekliai. Nuspręskite, ar kitas etapas yra peržiūrėtas CSF profilis, veikianti ISMS ar pasirengimas sertifikavimui. Kiekvienam etapui nustatykite priėmimo kriterijus, apimančius įrodymus, o ne tik dokumentų parengimą.

Secani palaiko šią darbo eigą modeliuodama sistemas ir paslaugas, susiedama įrodymus su reikalavimais, kontrolės priemonėmis ir sprendimais bei paskirdama atsakingus asmenis ir peržiūros užduotis. Komandos gali išsaugoti šaltinių nuorodas, komentarus, patvirtinimus ir laiko žymas, o DI pasiūlymus laikyti juodraščiais, kuriuos turi peržiūrėti žmogus. Pradėkite nuo vienos tipiškos apimties ir jos esamų įrodymų, o tik tada plėskite aprėptį.

Vadovybės atsakomybė išlieka aiški: patvirtinti prioritetus, skirti išteklių darbui ir peržiūrėti, ar įrodymai pagrindžia verslo teiginius.