NIST CSF.

NIST CSF 2.0 aprašo rezultatus, kuriuos gali kartu aptarti vadovybė, veiklos padaliniai ir saugumo komandos. Leidimas paskelbtas 2024 m. vasario 26 d. kaip NIST CSWP 29. Dabartiniame leidėjo puslapyje ir toliau nurodomas šis pagrindinis leidimas; papildomi vadovai ir bendruomenės profiliai papildo jo taikymą. Todėl vėliau paskelbtas lydimasis dokumentas automatiškai nėra nauja sistemos versija.

Pagrindas Core suskirsto rezultatus pagal funkcijas, kategorijas ir subkategorijas. Organizacijos profilis užfiksuoja, kokie rezultatai konkrečioje aprėptyje pasiekti ar siekiami. Pakopos suteikia papildomą rizikos valdymo kontekstą. NIST SP 1299 šiuos tris elementus aiškina atskirai: temų apžvalga, profilis ir darbo būdo apibūdinimas atsako į skirtingus klausimus.

Konkretus įgyvendinimas priklauso nuo aplinkybių. NIST CSWP 29 1 skirsnis skirtas įvairiems sektoriams ir organizacijų dydžiams, nenustatant vienodo priemonių katalogo. Praktiškai tai reiškia, kad rezultatą reikia susieti su savo paslaugomis, rizika ir atsakomybėmis prieš paverčiant jį prasminga įgyvendinimo užduotimi.

NIST CSF tinka organizacijoms, norinčioms suprantamai pagrįsti saugumo prioritetus ir susieti juos su verslo tikslais. Viešame NIST publikacijos puslapyje aiškiai minimi skirtingi dydžiai, sektoriai ir pradinės situacijos. Sistema gali padėti tiek pradedant, tiek iš naujo vertinant esamą saugumo programą. Aukštas techninis lygis nepanaikina būtinybės spręsti dėl priimtinos rizikos.

Taikymas iš esmės savanoriškas; konkrečius teisinius, institucinius ar sutartinius reikalavimus reikia tikrinti atskirai. Dabartiniai NIST DUK nurodo galimus išorinius reikalavimus. Vokietijos įmonei kilmė iš JAV prekybos departamento nesukuria nei bendros pareigos naudoti, nei draudimo. Praktiškai išsiaiškinkite, ar klientas tikisi konkretaus profilio, vertinimo ar kitokio įrodymo.

CSF profilis yra pagrįstas nagrinėjamos būklės aprašymas. NIST SP 1301 atskiria dabartinį ir tikslinį profilius: pirmasis aprašo pasiektus rezultatus, antrasis – pasirinktus tikslus ir prioritetus. Bendruomenės profilis gali suteikti orientyrą; NIST profilių puslapis jį aprašo kaip bendrą grupės atskaitos pagrindą. Savo ribas ir tikruosius sprendimus vis tiek reikia paaiškinti.

Keturios pakopos vadinamos Partial, Risk Informed, Repeatable ir Adaptive. Pagal NIST SP 1302 jos apibūdina rizikos valdysenos ir valdymo pobūdį. Jas renkantis atsižvelgiama, be kita ko, į tikslus, riziką, reikalavimus ir turimus išteklius. Jos papildo rizikos metodiką; nepakeičia nei konkretaus įrodymo, nei pagrįsto sprendimo dėl reikalingos būklės.

Vidinis ar užsakytas išorinis vertinimas turi parodyti aprėptį, laiką, metodą ir išvadų ribas. NIST nesiūlo CSF sertifikavimo; todėl privataus vertinimo ataskaitos negalima vadinti NIST išduotu sertifikatu. Priežiūrai reikia praktiškai nustatyti, kokie pokyčiai inicijuoja naują vertinimą. Bendros sertifikato trukmės iš CSF nustatyti negalima.

ISO 27001 aprašo informacijos saugumo vadybos sistemos reikalavimus su galimu sertifikavimo įrodymu. NIST SP 800-53 siūlo išsamų saugumo ir privatumo kontrolės priemonių katalogą, o CIS Controls struktūruoja prioritetines apsaugos praktikas. Šios priemonės gali sukonkretinti veiklos darbą; jų taikymą reikia vertinti atskirai nuo CSF profilio pateikimo.

„Secani“ pateikia redakcinį NIST CSF 2.0 darbo katalogą vokiečių ir anglų kalbomis. Esami profilio duomenys, be kita ko, apima vertinimo datą, suderintą aprėptį ir profilio paskirtį – dabartinę būklę, tikslą arba abu. Katalogas nepakeičia nei angliško leidėjo teksto, nei kompetentingo vertinimo; juo nežadamas automatinis pakopos nustatymas ar NIST sertifikavimas.

Pasirinkite reprezentatyvią paslaugą ir įvardykite, kokį sprendimą turi padėti parengti profilis. Užfiksuokite aprėptį, įskaitant svarbius tiekėjus ir pagalbinius procesus. Prieš aprašydami tikslinę būklę surinkite turimus įrašus. Taip paaiškės, kurie teiginiai jau patikimi ir kur pirmiausia reikia papildomos patikros.