NIST CSF en ISO 27001: kies de operationele rol

NIST CSF en ISO 27001 helpen organisaties hun beveiliging te organiseren, maar ze vervullen verschillende operationele rollen. De keuze voor het management wordt duidelijker wanneer u vraagt welk resultaat de organisatie nodig heeft: een gedeeld beeld van cybersecurityprioriteiten, een formeel beheerd informatiebeveiligingsprogramma, onafhankelijke zekerheid voor klanten, of een combinatie daarvan.

De keuze voor een raamwerk neemt de verantwoordelijkheid niet weg bij het management. Leidinggevenden moeten nog steeds de scope bepalen, verbeteringen financieren, eigenaren aanwijzen en beslissen welke restrisico’s de organisatie accepteert. De nuttige vraag is daarom niet ‘Welk raamwerk is beter?’, maar ‘Welke rol moet elk raamwerk spelen in hoe we beveiliging organiseren en aantonen?’

Vergelijk de resultaten, niet alleen de lijsten met maatregelen

Het NIST Cybersecurity Framework, momenteel CSF 2.0, beschrijft cybersecurity-uitkomsten. Het geeft technische teams en bestuurders een gemeenschappelijke taal om risico’s, capaciteiten en prioriteiten te bespreken, zonder voor elke organisatie één implementatie voor te schrijven.

ISO/IEC 27001 specificeert eisen voor een managementsysteem voor informatiebeveiliging, oftewel ISMS. Dat systeem legt vast hoe een organisatie informatiebeveiligingsrisico’s identificeert, behandelingen kiest, verantwoordelijkheid toewijst, prestaties evalueert en verbetert. Onafhankelijke certificering kan zekerheid bieden over de conformiteit van het managementsysteem binnen de vastgestelde scope.

Beide zijn bruikbaar voor organisaties van verschillende omvang en volwassenheid. NIST CSF is niet alleen voor beginners of Amerikaanse bedrijven, en ISO 27001 is niet voorbehouden aan grote internationale ondernemingen. Gereedheid beïnvloedt de benodigde inspanning, niet of de aanpak conceptueel geschikt is.

Wat NIST CSF bijdraagt aan managementbesluiten

CSF 2.0 ordent uitkomsten in zes functies. Die werken samen; het zijn geen zes projectfasen die achter elkaar definitief worden afgerond.

Govern is vooral belangrijk voor bestuurders. Deze functie verbindt cybersecurity met bedrijfsdoelstellingen, verantwoording, beleid en toezicht. Ze voorkomt dat beveiliging een technische backlog wordt zonder expliciete eigenaar in de organisatie.

Zet uitkomsten om in een investeringsplan

Een Current Profile beschrijft de cybersecurity-uitkomsten die de organisatie op dit moment bereikt. Een Target Profile beschrijft de uitkomsten die zij wil bereiken, op basis van haar doelstellingen, dreigingen, verplichtingen en de verwachtingen van stakeholders. Het verschil daartussen vormt een basis om werk te prioriteren.

Een organisatie heeft bijvoorbeeld back-ups, maar weinig bewijs dat haar belangrijkste dienst onder realistische omstandigheden kan worden hersteld. Het bruikbare hiaat is dan niet simpelweg ‘herstel onvolledig’. Het is een benoemde uitkomst, een betrokken dienst, een eigenaar, een voorgestelde hersteloefening en een besluit over aanvaardbare verstoring.

CSF Tiers beschrijven kenmerken van governance en beheerpraktijken voor cybersecurityrisico’s. Ze bieden context voor gesprekken over grondigheid en consistentie; het zijn geen certificeringsniveaus en geen universele volwassenheidsscore die elke organisatie moet maximaliseren.

CSF zelf is geen certificeringsnorm in ISO-stijl. Een organisatie kan een beoordeling laten uitvoeren en haar Profile met bewijs onderbouwen, maar mag dat niet presenteren alsof NIST een certificering heeft uitgegeven. De waarde voor de organisatie zit in de helderheid van de beoordeling en de verbeteringen die daaruit voortkomen.

Wat ISO 27001 toevoegt aan het operationele systeem

ISO 27001 richt zich op een afgebakend managementsysteem. De hoofdstukken 4–10 behandelen de context van de organisatie, leiderschap, planning, ondersteuning, uitvoering, evaluatie van de prestaties en verbetering. Implementatie betekent een werkende managementcyclus inrichten, niet alleen beleid bij elkaar zoeken voor een auditor.

Informatiebeveiliging omvat vertrouwelijkheid, integriteit en beschikbaarheid. Vertrouwelijkheid gaat over passende toegang; integriteit over juistheid, volledigheid en bescherming tegen ongeoorloofde wijzigingen; beschikbaarheid over geautoriseerde toegang wanneer die nodig is. Integriteit betekent niet dat informatie nooit mag veranderen: legitieme wijzigingen vragen om passende autorisatie en beheersing.

Het ISMS past deze aandachtspunten toe via risicobeoordeling en -behandeling. Het is geen algemene opdracht om elke denkbare beveiligingstechnologie in te zetten.

Houd de belangrijkste ISMS-resultaten van elkaar gescheiden

Verschillende documenten hangen nauw samen, maar beantwoorden verschillende vragen:

• Scope: welke activiteiten, locaties, informatie, systemen en raakvlakken van de organisatie dekt het ISMS?
• Risicobeoordeling: wat kan er gebeuren, hoe ernstig zou dat zijn en hoe wordt dat oordeel consistent gevormd?
• Risicobehandelplan: welke acties pakken de geïdentificeerde risico’s aan, wie is eigenaar en welke goedkeuringen zijn nodig?
• Verklaring van Toepasselijkheid: welke noodzakelijke maatregelen zijn opgenomen, waarom, zijn ze geïmplementeerd en waarom zijn eventuele Annex A-maatregelen uitgesloten?
• Interne audit: voldoet het ISMS aan de toepasselijke eisen en werkt het effectief, op basis van een voldoende onpartijdig onderzoek?
• Directiebeoordeling: neemt het management prestaties, wijzigingen, bevindingen en verbeterbehoeften in overweging en neemt het de bijbehorende besluiten?

Een risicoregister vervangt geen Verklaring van Toepasselijkheid. Een managementoverleg is niet automatisch een directiebeoordeling. Elk resultaat heeft een eigen doel, eigen input en vastgelegde conclusies nodig.

Annex A van ISO 27001:2022 bevat 93 maatregelen, gegroepeerd in organisatorische, mensgerichte, fysieke en technologische categorieën. Toepasselijkheid is risicogebaseerd. Organisaties bepalen welke maatregelen nodig zijn en vergelijken die met Annex A, zodat noodzakelijke maatregelen niet over het hoofd worden gezien; ze kunnen maatregelen nodig hebben die buiten die referentieset vallen. ISO 27002 biedt implementatierichtlijnen voor de maatregelen.

Onze gids over Annex A legt de structuur van de maatregelen uitgebreider uit. Voor het management is de kern dat een ingevulde checklist niet hetzelfde is als een werkend ISMS.

Begrijp wat certificering aantoont

Certificering is optioneel, tenzij een contract of een andere toepasselijke verplichting haar vereist. Een organisatie kan een ISMS laten draaien zonder een certificaat na te streven.

Waar certificering nodig is, beoordeelt een onafhankelijke certificatie-instelling het ISMS; ISO geeft het certificaat niet uit. Een eerste certificering bestaat doorgaans uit een eerste fase waarin de gereedheid en de gedocumenteerde regelingen worden beoordeeld, gevolgd door een tweede fase waarin de implementatie wordt beoordeeld. Het behouden van certificering omvat doorlopende beoordeling en hercertificering volgens de regelingen van de certificatie-instelling.

Lees de scope voordat u op een certificaat vertrouwt. Certificering van één dienst of bedrijfsonderdeel mag niet worden gepresenteerd alsof die elk product, elke dochteronderneming of elke locatie dekt. Ze garandeert ook niet dat er nooit incidenten zullen plaatsvinden en toont geen naleving aan van alle toepasselijke wetgeving.

Kies op basis van het besluit dat de organisatie moet nemen

Begin met externe verwachtingen en kijk daarna naar interne operationele behoeften. Vraag sales- en inkoopteams onderscheid te maken tussen wat klanten werkelijk eisen en wat ze slechts prefereren.

‘Conform ISO 27001’, ‘ISO 27001-gecertificeerd’ en ‘in lijn met NIST CSF’ zijn verschillende beweringen. Als een contract een certificaat vereist, voldoet een CSF-beoordeling niet aan die formulering. Als de raad van bestuur een helder verbeterplan nodig heeft, legt een certificaat alleen misschien niet uit waar de organisatie vervolgens moet investeren.

Gebruik deze beslispunten:

• Kies CSF als primaire communicatiestructuur wanneer de directe behoefte is een gedeelde basislijn vast te stellen, huidige en gewenste uitkomsten te vergelijken en investeringen in cybersecurity te prioriteren.
• Kies ISO 27001 als primaire managementstructuur wanneer de organisatie een formeel ISMS nodig heeft met consistente risicobehandeling, evaluatie en verbetering.
• Streef certificering na wanneer afgebakende onafhankelijke zekerheid een gedocumenteerd doel van klanten, contracten of de organisatie dient.
• Gebruik beide wanneer het ISMS de uitvoering kan sturen terwijl CSF Profiles de beoogde uitkomsten communiceren aan het management en stakeholders.

Een volwassen organisatie kan CSF gebruiken om na een overname haar prioriteiten opnieuw te beoordelen. Een klein bedrijf kan al vroeg een ISO 27001-ISMS inrichten omdat inkoopverwachtingen dat vereisen. Laat de omvang van het bedrijf niet in de plaats komen van inzicht in de werkelijke behoefte.

Geen van beide benaderingen neemt de noodzaak weg om wettelijke verplichtingen afzonderlijk te analyseren. Een ISO-certificaat toont bijvoorbeeld geen naleving van de AVG of NIS2 aan. Toepasselijke wettelijke verplichtingen moeten de risicobeoordeling en de keuze van maatregelen voeden, met eigen bewijs en eigen verantwoording.

Richt één uitvoeringsmodel in, met beoordeelde mappings

Beide benaderingen gebruiken mag niet betekenen dat er twee losstaande beveiligingsprogramma’s ontstaan. Als praktische aanbeveling organiseert u de implementatie rond diensten, risico’s, maatregelen, eigenaren en bewijs, en relateert u dat werk vervolgens aan elk raamwerk.

Een bruikbare implementatieregistratie bevat het volgende:

Mappings zijn veel-op-veelrelaties. Eén incidentresponsproces kan meerdere CSF-uitkomsten en meerdere ISMS-eisen ondersteunen. Omgekeerd kan één uitkomst afhangen van beleid, technische waarborgen, training en afspraken met leveranciers.

Voor incidentrespons beschrijft CSF beoogde capaciteiten, zoals het coördineren van de respons en het analyseren van incidenten. Het ISMS voegt daar managementafspraken aan toe rond eigenaarschap, risicobehandeling, evaluatie en verbetering. Een oefenverslag kan beide ondersteunen, maar bewijst niet dat aan elke gemapte eis is voldaan.

Houd scope en versies van raamwerken expliciet. Pas een mapping die voor een productiedienst is ontwikkeld niet toe op een overgenomen dochteronderneming zonder de verschillen te beoordelen. Onze gids over mapping tussen raamwerken legt uit hoe u werk kunt delen zonder verschillende eisen als gelijkwaardig te behandelen.

Uitgewerkt voorbeeld: een dienstverlener met twee eisen

Neem als illustratie een softwarebedrijf met één klantgerichte dienst. Stel dat de raad van bestuur een helderder investeringsplan voor beveiliging wil en dat een potentiële klant ISO 27001-certificering voor die dienst eist. Dit zijn hypothetische aannames, geen klantcase.

De CEO wijst een verantwoordelijke sponsor uit de directie aan en vraagt de security lead een scope voor te stellen die de dienstverlening en de relevante ondersteunende processen omvat. Het voorstel benoemt cloudinfrastructuur, klantenservice, ontwikkeling, identiteitsbeheer en externe leveranciers. Het management controleert of de grens aansluit bij de eis van de klant, in plaats van de kleinste handige scope te kiezen.

Het team stelt een CSF Current Profile op. Daaruit blijkt dat toegangsgoedkeuringen worden vastgelegd, maar dat reviews van geprivilegieerde toegang inconsistent zijn. Er zijn back-ups, maar het bewijs van herstel is onvolledig. Incidentrollen zijn gedocumenteerd, maar escalatie naar leveranciers is niet geoefend.

Het Target Profile stelt drie prioriteiten: consistente governance van geprivilegieerde toegang, aangetoond herstelvermogen en gecoördineerde incidentrespons. De risicobeoordeling van het ISMS evalueert de bijbehorende bedrijfsgevolgen en legt behandelbesluiten vast.

Het management beoordeelt de voortgang ten opzichte van het Target Profile en de ISMS-doelstellingen. Het financiert openstaande herstelafhankelijkheden en beslist hoe tijdelijke toegangsuitzonderingen worden behandeld. De interne audit toetst het managementsysteem en de implementatie; corrigerende maatregelen worden afgehandeld vóór de certificeringsbeoordeling.

Het resultaat is geen twee sets screenshots. Het is één geheel van implementatiebewijs, geïnterpreteerd tegen verschillende eisen, met zichtbaar eigenaarschap en zichtbare managementbesluiten.

Begroot implementatie en doorlopende werking

NIST CSF is gratis beschikbaar, maar de toepassing ervan is niet kosteloos. Beide benaderingen vragen tijd van medewerkers om risico’s te begrijpen, maatregelen te verbeteren, bewijs te verzamelen, mensen te trainen en werkwijzen te onderhouden. ISO 27001 brengt daarnaast de aanschaf van de norm met zich mee en, waar nagestreefd, de kosten van de certificatie-instelling.

Stel een budget op rond werkpakketten in plaats van een veronderstelde marktprijs:

• Nulmeting en scopebepaling.
• Wijzigingen in maatregelen, inclusief engineering- en leverancierswerk.
• Documentatie, beoordeling van bewijs en training van medewerkers.
• Interne audit, directiebeoordeling en corrigerende maatregelen.
• Externe certificeringsbeoordeling, waar nodig.
• Doorlopend eigenaarschap, monitoring, oefeningen en herbeoordeling.

Vraag certificeringsvoorstellen aan op basis van dezelfde scope, zodat ze zinvol te vergelijken zijn. Vraag welke beoordelingen, locaties, vervolgwerk en onkosten zijn inbegrepen. Houd herstel van maatregelen gescheiden van certificeringskosten: een goedkope auditofferte maakt een ondergefinancierd beveiligingsprogramma niet gereed.

Beoordeel de commerciële waarde aan de hand van gedocumenteerde klanteisen en kansen, niet op basis van de belofte dat certificering automatisch omzet oplevert.

Vermijd beweringen die het bewijs niet kan dragen

Veelgemaakte fouten zijn ‘NIST-compliance’ claimen zonder het Profile en de scope uit te leggen, een smal certificaat presenteren als zekerheid voor het hele bedrijf en gemapte maatregelen behandelen als bewijs van effectiviteit.

Een andere fout is succes alleen meten aan afgeronde documenten. Het management moet ook vragen of belangrijke diensten geteste herstelpaden hebben, of uitzonderingen een eigenaar hebben, of achterstallige behandelingen worden geëscaleerd en of eerdere bevindingen terugkeren. Deze vragen verbinden het managementsysteem met de operationele prestaties.

Er bestaat geen verdedigbaar universeel percentage dat laat zien hoe dicht een CSF-implementatie bij conformiteit met ISO 27001 ligt. Bestaande maatregelen zijn mogelijk herbruikbaar, maar ontbrekende eisen aan het managementsysteem, verschillen in scope en zwak bewijs moeten nog steeds worden beoordeeld.

Maak van de volgende stap een afgebakend managementbesluit

Stel een korte beslisnotitie op met het vereiste resultaat, de voorgestelde grens, de verwachtingen van klanten, de verantwoordelijke sponsor, de belangrijkste hiaten en de benodigde middelen. Bepaal of de volgende mijlpaal een beoordeeld CSF Profile, een werkend ISMS of gereedheid voor certificering is. Geef elke mijlpaal acceptatiecriteria die bewijs omvatten, niet alleen het afronden van documenten.

Secani ondersteunt deze werkwijze door systemen en diensten te modelleren, bewijs te verbinden met eisen, maatregelen en besluiten, en eigenaren en reviewtaken toe te wijzen. Teams kunnen bronlinks, opmerkingen, goedkeuringen en tijdstempels bewaren en door AI ondersteunde suggesties behandelen als concepten die menselijke beoordeling vereisen. Begin met één representatieve scope en het bestaande bewijs daarvan voordat u de dekking uitbreidt.

De verantwoordelijkheid van het management blijft expliciet: prioriteiten goedkeuren, middelen voor het werk vrijmaken en beoordelen of het bewijs de beweringen ondersteunt die de organisatie doet.