NIST CSF un ISO 27001: izvēlieties darbības lomu

NIST CSF un ISO 27001 palīdz organizācijām sakārtot drošību, taču tie pilda dažādas darbības lomas. Vadības lēmums kļūst skaidrāks, kad jautājat, kāds rezultāts uzņēmumam nepieciešams: kopīgs skatījums uz kiberdrošības prioritātēm, formāli pārvaldīta informācijas drošības programma, neatkarīga garantija klientiem vai šo elementu kombinācija.

Ietvara izvēle nenoņem atbildību no vadības. Vadītājiem joprojām jānosaka tvērums, jāfinansē uzlabojumi, jāieceļ īpašnieki un jāizlemj, kurus atlikušos riskus uzņēmums pieņems. Tāpēc noderīgais jautājums nav „Kurš ietvars ir labāks?”. Tas ir „Kādu lomu katram no tiem vajadzētu pildīt tajā, kā mēs pārvaldām un apliecinām drošību?”.

Salīdziniet rezultātus, ne tikai kontroļu sarakstus

NIST kiberdrošības ietvars, pašlaik CSF 2.0, apraksta kiberdrošības rezultātus. Tas sniedz tehniskajām komandām un vadītājiem kopīgu valodu risku, spēju un prioritāšu apspriešanai, nenosakot vienu ieviešanas veidu katrai organizācijai.

ISO/IEC 27001 nosaka prasības informācijas drošības pārvaldības sistēmai jeb ISMS. Šī sistēma nosaka, kā organizācija identificē informācijas drošības riskus, izvēlas apstrādi, piešķir atbildību, izvērtē darbības rezultātus un pilnveidojas. Neatkarīga sertifikācija var sniegt garantiju par pārvaldības sistēmas atbilstību tās noteiktajā tvērumā.

Abus var izmantot dažāda lieluma un brieduma līmeņa organizācijas. NIST CSF nav paredzēts tikai iesācējiem vai ASV uzņēmumiem, un ISO 27001 nav rezervēts lieliem starptautiskiem uzņēmumiem. Gatavība ietekmē nepieciešamo darba apjomu, nevis to, vai pieeja konceptuāli ir piemērota.

Ko NIST CSF sniedz vadības lēmumiem

CSF 2.0 sakārto rezultātus sešās funkcijās. Tās darbojas kopā; tās nav seši projekta posmi, kas secīgi un galīgi noslēdzas.

Funkcija Govern ir īpaši svarīga vadītājiem. Tā sasaista kiberdrošību ar biznesa mērķiem, pārskatatbildību, politiku un uzraudzību. Tā neļauj drošībai kļūt par tehnisku uzdevumu sarakstu bez skaidra biznesa īpašnieka.

Pārvērtiet rezultātus investīciju plānā

Pašreizējais profils (Current Profile) apraksta kiberdrošības rezultātus, ko organizācija pašlaik sasniedz. Mērķa profils (Target Profile) apraksta rezultātus, ko tā vēlas sasniegt, ņemot vērā savus mērķus, draudus, pienākumus un ieinteresēto pušu gaidas. Plaisa starp tiem sniedz pamatu darbu prioritizēšanai.

Piemēram, uzņēmumam var būt rezerves kopijas, taču maz pierādījumu, ka tā svarīgāko pakalpojumu var atjaunot reālistiskos apstākļos. Noderīgā plaisa nav vienkārši „atjaunošana nepabeigta”. Tas ir definēts rezultāts, skarts pakalpojums, īpašnieks, ierosinātas atjaunošanas mācības un lēmums par pieņemamiem traucējumiem.

CSF līmeņi (Tiers) apraksta kiberdrošības riska pārvaldības un vadības prakses raksturīgās iezīmes. Tie sniedz kontekstu diskusijām par stingrību un konsekvenci; tie nav sertifikācijas pakāpes vai universāls brieduma vērtējums, kas katrai organizācijai jāmaksimizē.

CSF pats par sevi nav ISO tipa sertifikācijas standarts. Organizācija var pasūtīt novērtējumu un pamatot savu profilu ar pierādījumiem, taču tai nevajadzētu to pasniegt tā, it kā NIST būtu izsniedzis sertifikātu. Biznesa vērtība rodas no novērtējuma skaidrības un uzlabojumiem, ko tas virza.

Ko ISO 27001 pievieno darbības sistēmai

ISO 27001 koncentrējas uz pārvaldības sistēmu noteiktā tvērumā. Tā 4.–10. punkts aplūko organizācijas kontekstu, vadību, plānošanu, atbalstu, darbību, darbības izvērtēšanu un uzlabošanu. Tā ieviešana nozīmē izveidot strādājošu pārvaldības ciklu, nevis tikai apkopot politikas auditoram.

Informācijas drošība ietver konfidencialitāti, integritāti un pieejamību. Konfidencialitāte attiecas uz piemērotu piekļuvi; integritāte attiecas uz precizitāti, pilnīgumu un aizsardzību pret nepiemērotām izmaiņām; pieejamība attiecas uz autorizētu piekļuvi, kad tā nepieciešama. Integritāte nenozīmē, ka informācija nekad nedrīkst mainīties: leģitīmām izmaiņām nepieciešama atbilstoša autorizācija un kontrole.

ISMS piemēro šos apsvērumus ar riska novērtēšanu un apstrādi. Tas nav vispārējs norādījums izvietot katru iespējamo drošības tehnoloģiju.

Turiet galvenos ISMS rezultātus atsevišķi

Vairāki dokumenti ir cieši saistīti, taču atbild uz dažādiem jautājumiem:

• Tvērums: kuras organizācijas darbības, atrašanās vietas, informāciju, sistēmas un saskarnes aptver ISMS?
• Riska novērtējums: kas varētu notikt, cik nozīmīgi tas būtu un kā šis spriedums tiek pieņemts konsekventi?
• Riska apstrādes plāns: kādas darbības risinās identificētos riskus, kas par tām atbild un kādi apstiprinājumi nepieciešami?
• Piemērojamības paziņojums: kuras nepieciešamās kontroles ir iekļautas, kāpēc tās ir iekļautas, vai tās ir ieviestas un kāpēc kādas A pielikuma kontroles ir izslēgtas?
• Iekšējais audits: vai ISMS atbilst piemērojamajām prasībām un darbojas efektīvi, balstoties uz pienācīgi objektīvu pārbaudi?
• Vadības pārskats: vai vadība izskata darbības rezultātus, izmaiņas, konstatējumus un uzlabošanas vajadzības un pieņem no tā izrietošus lēmumus?

Risku reģistrs neaizstāj Piemērojamības paziņojumu. Vadības sanāksme automātiski nav vadības pārskats. Katram rezultātam nepieciešams savs mērķis, ievaddati un dokumentēti secinājumi.

ISO 27001:2022 A pielikumā ir 93 kontroles, kas grupētas organizatoriskajās, ar cilvēkiem saistītajās, fiziskajās un tehnoloģiskajās kategorijās. Piemērojamība balstās uz risku. Organizācijas nosaka nepieciešamās kontroles un salīdzina tās ar A pielikumu, lai nepieciešamās kontroles netiktu palaistas garām; tām var būt nepieciešamas kontroles ārpus šīs atsauces kopas. ISO 27002 sniedz kontroļu ieviešanas vadlīnijas.

Mūsu ceļvedī par A pielikumu kontroļu struktūra skaidrota sīkāk. Vadībai būtiskākais ir tas, ka aizpildīts kontrolsaraksts nav tas pats, kas funkcionējoša ISMS.

Izprotiet, ko sertifikācija apliecina

Sertifikācija nav obligāta, ja vien to neprasa līgums vai cits piemērojams pienākums. Organizācija var uzturēt ISMS, netiecoties pēc sertifikāta.

Ja sertifikācija ir nepieciešama, ISMS novērtē neatkarīga sertifikācijas institūcija; ISO sertifikātu neizsniedz. Sākotnējā sertifikācija parasti ietver pirmā posma pārskatu par gatavību un dokumentēto kārtību, kam seko otrā posma ieviešanas novērtējums. Sertifikācijas uzturēšana ietver pastāvīgu novērtēšanu un atkārtotu sertifikāciju saskaņā ar sertifikācijas institūcijas noteikto kārtību.

Pirms paļaujaties uz sertifikātu, izlasiet tā tvērumu. Viena pakalpojuma vai struktūrvienības sertifikāciju nevajadzētu pasniegt kā tādu, kas aptver katru produktu, meitasuzņēmumu vai atrašanās vietu. Tā arī negarantē, ka incidenti nekad nenotiks, un neapliecina atbilstību katram piemērojamam tiesību aktam.

Izvēlieties, balstoties uz lēmumu, kas uzņēmumam jāpieņem

Sāciet ar ārējām gaidām, pēc tam izvērtējiet iekšējās darbības vajadzības. Lūdziet pārdošanas un iepirkumu komandām nošķirt to, ko klienti patiešām pieprasa, no tā, kam viņi tikai dod priekšroku.

„Atbilst ISO 27001”, „sertificēts saskaņā ar ISO 27001” un „saskaņots ar NIST CSF” ir dažādi apgalvojumi. Ja līgums prasa sertifikātu, CSF novērtējums neizpildīs šo formulējumu. Ja valdei nepieciešams skaidrs uzlabojumu plāns, sertifikāts vien var neizskaidrot, kur organizācijai turpmāk jāinvestē.

Izmantojiet šos lēmuma punktus:

• Izvēlieties CSF kā primāro komunikācijas struktūru, ja tūlītējā vajadzība ir izveidot kopīgu bāzes līniju, salīdzināt pašreizējos un vēlamos rezultātus un prioritizēt kiberdrošības investīcijas.
• Izvēlieties ISO 27001 kā primāro pārvaldības struktūru, ja organizācijai nepieciešama formāla ISMS ar konsekventu riska apstrādi, izvērtēšanu un uzlabošanu.
• Tiecieties pēc sertifikācijas, ja neatkarīga garantija noteiktā tvērumā kalpo dokumentētam klienta, līgumiskam vai biznesa mērķim.
• Izmantojiet abus, ja ISMS var pārvaldīt īstenošanu, kamēr CSF profili komunicē paredzētos rezultātus vadībai un ieinteresētajām pusēm.

Nobriedusi organizācija var izmantot CSF, lai pārvērtētu prioritātes pēc uzņēmuma iegādes. Mazs uzņēmums var agri izveidot ISO 27001 ISMS, jo to prasa iepirkumu gaidas. Neaizstājiet faktiskās vajadzības izpratni ar uzņēmuma lielumu.

Neviena no pieejām nenovērš nepieciešamību atsevišķi analizēt juridiskos pienākumus. Piemēram, ISO sertifikāts neapliecina atbilstību VDAR vai NIS2. Piemērojamajiem juridiskajiem pienākumiem jāietekmē riska novērtējums un kontroļu izvēle, ar saviem pierādījumiem un pārskatatbildību.

Izveidojiet vienu īstenošanas modeli ar pārskatītām sasaistēm

Abu pieeju izmantošanai nevajadzētu nozīmēt divu nesaistītu drošības programmu izveidi. Praktisks ieteikums ir organizēt ieviešanu ap pakalpojumiem, riskiem, kontrolēm, īpašniekiem un pierādījumiem un pēc tam sasaistīt šo darbu ar katru ietvaru.

Noderīgs ieviešanas ieraksts satur šādus elementus:

Sasaistes ir daudzi-pret-daudziem. Viens reaģēšanas uz incidentiem process var atbalstīt vairākus CSF rezultātus un vairākas ISMS prasības. Savukārt viens rezultāts var būt atkarīgs no politikām, tehniskiem aizsardzības pasākumiem, mācībām un vienošanām ar piegādātājiem.

Reaģēšanai uz incidentiem CSF apraksta paredzētās spējas, piemēram, reaģēšanas koordinēšanu un incidentu analīzi. ISMS pievieno pārvaldības kārtību attiecībā uz īpašumtiesībām, riska apstrādi, izvērtēšanu un uzlabošanu. Mācību ieraksts var atbalstīt abus, taču tas nepierāda, ka katra sasaistītā prasība ir izpildīta.

Uzturiet tvērumu un ietvaru versijas skaidri norādītas. Nepiemērojiet ražošanas pakalpojumam izstrādātu sasaisti iegādātam meitasuzņēmumam, nepārskatot atšķirības. Mūsu ceļvedī par sasaisti starp ietvariem skaidrots, kā koplietot darbu, neuzskatot dažādas prasības par līdzvērtīgām.

Piemērs: pakalpojumu uzņēmums, kas saskaras ar divām prasībām

Aplūkosim ilustratīvu programmatūras uzņēmumu ar vienu klientiem paredzētu pakalpojumu. Pieņemsim, ka tā valde vēlas skaidrāku drošības investīciju plānu, un potenciālais klients pieprasa ISO 27001 sertifikāciju, kas aptver šo pakalpojumu. Tie ir hipotētiski pieņēmumi, nevis klienta gadījuma izpēte.

Izpilddirektors ieceļ atbildīgu vadības sponsoru un lūdz drošības vadītājam ierosināt tvērumu, kas ietver pakalpojuma darbību un attiecīgos atbalsta procesus. Priekšlikumā identificēta mākoņinfrastruktūra, klientu atbalsts, izstrāde, identitāšu administrēšana un ārējie pakalpojumu sniedzēji. Vadība pārbauda, vai robeža atbilst klienta prasībai, nevis izvēlas mazāko ērto tvērumu.

Komanda izstrādā CSF pašreizējo profilu. Tā konstatē, ka piekļuves apstiprinājumi tiek dokumentēti, taču priviliģētās piekļuves pārskatīšanas ir nekonsekventas. Rezerves kopijas pastāv, taču atjaunošanas pierādījumi ir nepilnīgi. Incidentu lomas ir dokumentētas, taču eskalācija pie piegādātājiem nav izmēģināta.

Mērķa profils nosaka trīs prioritātes: konsekventu priviliģētās piekļuves pārvaldību, pierādītu atjaunošanas spēju un koordinētu reaģēšanu uz incidentiem. ISMS riska novērtējums izvērtē atbilstošās biznesa sekas un nosaka apstrādes lēmumus.

Vadība pārskata progresu attiecībā pret mērķa profilu un ISMS mērķiem. Tā finansē neatrisinātās atjaunošanas atkarības un izlemj, kā tiks apstrādāti pagaidu piekļuves izņēmumi. Iekšējais audits pārbauda pārvaldības sistēmu un ieviešanu; korektīvās darbības tiek veiktas pirms sertifikācijas novērtējuma.

Rezultāts nav divi ekrānuzņēmumu komplekti. Tas ir viens ieviešanas pierādījumu kopums, kas interpretēts attiecībā pret dažādām prasībām, ar redzamām īpašumtiesībām un vadības lēmumiem.

Plānojiet budžetu ieviešanai un turpmākai darbībai

NIST CSF ir brīvi pieejams, taču tā piemērošana nav bez izmaksām. Abām pieejām nepieciešams darbinieku laiks, lai izprastu riskus, uzlabotu kontroles, vāktu pierādījumus, apmācītu cilvēkus un uzturētu praksi. ISO 27001 papildus ietver standarta iegādi un, ja tiecas pēc sertifikācijas, sertifikācijas institūcijas maksas.

Veidojiet budžetu ap darba paketēm, nevis pieņemtu tirgus cenu:

• Bāzes novērtējums un tvēruma definēšana.
• Kontroļu izmaiņas, ieskaitot inženierijas un piegādātāju darbu.
• Dokumentācija, pierādījumu pārskatīšana un darbinieku apmācība.
• Iekšējais audits, vadības pārskats un korektīvās darbības.
• Ārējais sertifikācijas novērtējums, ja nepieciešams.
• Pastāvīgas īpašumtiesības, uzraudzība, mācības un atkārtota novērtēšana.

Pieprasiet sertifikācijas piedāvājumus vienam un tam pašam tvērumam, lai tos varētu jēgpilni salīdzināt. Jautājiet, kādi novērtējumi, atrašanās vietas, turpmākais darbs un izdevumi ir iekļauti. Nošķiriet kontroļu trūkumu novēršanu no sertifikācijas maksām: lēts audita piedāvājums nepadara nepietiekami finansētu drošības programmu gatavu.

Izvērtējiet komerciālo vērtību, izmantojot dokumentētas klientu prasības un iespējas, nevis solījumu, ka sertifikācija automātiski radīs ieņēmumus.

Izvairieties no apgalvojumiem, ko pierādījumi nevar pamatot

Biežas kļūdas ir „NIST atbilstības” deklarēšana, nepaskaidrojot profilu un tvērumu, šaura sertifikāta pasniegšana kā visa uzņēmuma garantija un sasaistīto kontroļu uzskatīšana par efektivitātes pierādījumu.

Vēl viena kļūda ir mērīt panākumus tikai pēc pabeigtajiem dokumentiem. Vadībai jājautā arī, vai svarīgiem pakalpojumiem ir pārbaudīti atjaunošanas ceļi, vai izņēmumiem ir īpašnieki, vai nokavētas apstrādes tiek eskalētas un vai iepriekšējie konstatējumi atkārtojas. Šie jautājumi sasaista pārvaldības sistēmu ar darbības rezultātiem.

Nav aizstāvama universāla procenta, kas parādītu, cik tuvu CSF ieviešana ir ISO 27001 atbilstībai. Esošās kontroles var būt atkārtoti izmantojamas, taču trūkstošās pārvaldības sistēmas prasības, tvēruma atšķirības un vāji pierādījumi joprojām ir jānovērtē.

Padariet nākamo soli par tvērumā ierobežotu vadības lēmumu

Sagatavojiet īsu lēmuma kopsavilkumu, kurā norādīts nepieciešamais rezultāts, ierosinātā robeža, klientu gaidas, atbildīgais sponsors, galvenās nepilnības un nepieciešamie resursi. Izlemiet, vai nākamais atskaites punkts ir pārskatīts CSF profils, strādājoša ISMS vai gatavība sertifikācijai. Piešķiriet katram atskaites punktam pieņemšanas kritērijus, kas ietver pierādījumus, ne tikai dokumentu pabeigšanu.

Secani atbalsta šo darbplūsmu, modelējot sistēmas un pakalpojumus, savienojot pierādījumus ar prasībām, kontrolēm un lēmumiem un piešķirot īpašniekus un pārskatīšanas uzdevumus. Komandas var saglabāt saites uz avotiem, komentārus, apstiprinājumus un laika zīmogus, vienlaikus uzskatot MI atbalstītos ieteikumus par melnrakstiem, kuriem nepieciešama cilvēka pārskatīšana. Sāciet ar vienu reprezentatīvu tvērumu un tā esošajiem pierādījumiem, pirms paplašināt pārklājumu.

Vadības atbildība paliek skaidra: apstiprināt prioritātes, nodrošināt darbam resursus un pārskatīt, vai pierādījumi pamato apgalvojumus, ko izsaka uzņēmums.