NIST CSF.

NIST CSF 2.0 apraksta rezultātus, par kuriem vadība, struktūrvienības un drošības komandas var kopīgi sarunāties. Izdevums publicēts 2024. gada 26. februārī kā NIST CSWP 29. Pašreizējā izdevēja lapā joprojām norādīts šis pamatizdevums; papildu rokasgrāmatas un kopienu profili papildina tā piemērošanu. Tādēļ vēlāk publicēts pavaddokuments automātiski nav jauna ietvara versija.

Pamatdaļa jeb Core sakārto rezultātus funkcijās, kategorijās un apakškategorijās. Organizācijas profils fiksē, kādi rezultāti noteiktā aptvērumā ir sasniegti vai tiek izvirzīti par mērķi. Līmeņi jeb Tiers sniedz papildu kontekstu risku vadībai. NIST SP 1299 skaidro šos trīs elementus atsevišķi: tēmu pārskats, profils un darba veida raksturojums atbild uz atšķirīgiem jautājumiem.

Konkrētā ieviešana paliek atkarīga no konteksta. NIST CSWP 29 1. sadaļa paredzēta dažādām nozarēm un organizāciju lielumiem, nenosakot identisku pasākumu katalogu. Praktiskai piemērošanai tas nozīmē: rezultāts jāsasaista ar pašu pakalpojumiem, riskiem un atbildību, pirms no tā rodas jēgpilns ieviešanas uzdevums.

NIST CSF ir piemērots organizācijām, kas vēlas saprotami pamatot drošības prioritātes un sasaistīt tās ar saviem darbības mērķiem. Publiskajā NIST publikācijas lapā skaidri minēti dažādi lielumi, nozares un sākotnējie stāvokļi. Ietvars var palīdzēt gan sākot darbu, gan pārvērtējot jau esošu drošības programmu. Augsts tehniskais attīstības līmenis neatceļ lēmumu par pieņemamiem riskiem.

Piemērošana principā ir brīvprātīga; konkrētas likuma, iestāžu vai līgumu prasības jāpārbauda atsevišķi. Aktuālie NIST biežākie jautājumi norāda uz iespējamām ārējām prasībām. Vācijas uzņēmumam izcelsme ASV Tirdzniecības departamentā nerada ne vispārēju izmantošanas pienākumu, ne izslēgšanu. Praktiski noskaidrojiet, vai klients sagaida konkrētu profilu, novērtējumu vai citu apliecinājuma veidu.

CSF profils ir pamatots izvērtētā stāvokļa attēlojums. NIST SP 1301 nošķir Current un Target Profile: pirmais apraksta sasniegtos rezultātus, otrais — izvēlētos mērķus un prioritātes. Kopienas profils var palīdzēt orientēties; NIST profilu lapa to apraksta kā grupas kopīgu sākumpunktu. Pašu robeža un faktiskie lēmumi joprojām jāizskaidro.

Četri līmeņi saucas Partial, Risk Informed, Repeatable un Adaptive. Saskaņā ar NIST SP 1302 tie raksturo risku vadības un pārvaldības attīstības pakāpi. To izvēlē cita starpā ņem vērā mērķus, riskus, prasības un pieejamos resursus. Tie papildina risku metodiku; tie neaizstāj ne konkrētu pierādījumu, ne pamatotu lēmumu par vajadzīgo stāvokli.

Iekšējam vai pasūtītam ārējam novērtējumam jāatklāj aptvērums, laiks, metode un secinājumu robežas. NIST nepiedāvā CSF sertifikāciju; tādēļ privātu novērtējuma ziņojumu nedrīkst dēvēt par NIST izsniegtu sertifikātu. Uzturēšanai praktiski jānosaka, kādas izmaiņas izraisa pārvērtēšanu. No CSF nevar atvasināt vispārēju sertifikāta derīguma termiņu.

ISO 27001 apraksta informācijas drošības pārvaldības sistēmas prasības ar iespējamu sertifikācijas apliecinājumu. NIST SP 800-53 piedāvā detalizētu drošības un datu aizsardzības kontroles katalogu, savukārt CIS Controls sakārto prioritāras aizsardzības prakses. Šie palīglīdzekļi var konkretizēt darbību; to piemērošana jāvērtē atsevišķi no CSF profila attēlošanas.

Secani nodrošina pašu izstrādātu DE/EN darba katalogu NIST CSF 2.0. Esošā profila informācija cita starpā aptver novērtējuma datumu, saskaņoto darbības jomu un profila mērķi — pašreizējo stāvokli, mērķi vai abus. Katalogs neaizstāj ne izdevēja tekstu angļu valodā, ne profesionālu novērtējumu; tas nesola automātisku līmeņa noteikšanu vai NIST sertifikāciju.

Izvēlieties reprezentatīvu pakalpojumu un nosauciet, kāds lēmums ar profilu jāsagatavo. Fiksējiet aptvērumu, tostarp svarīgos piegādātājus un atbalsta procesus. Pirms mērķa stāvokļa aprakstīšanas apkopojiet esošos ierakstus. Tā kļūst redzams, kuri apgalvojumi jau ir uzticami un kur vispirms nepieciešama papildu pārbaude.