NIST CSF i ISO 27001: wybierz rolę operacyjną

NIST CSF i ISO 27001 pomagają organizacjom uporządkować bezpieczeństwo, ale pełnią różne role operacyjne. Decyzja kierownictwa staje się jaśniejsza, gdy zapytacie, jakiego rezultatu potrzebuje firma: wspólnego obrazu priorytetów cyberbezpieczeństwa, formalnie zarządzanego programu bezpieczeństwa informacji, niezależnego zapewnienia dla klientów, czy połączenia tych elementów.

Wybór ram nie zdejmuje odpowiedzialności z kierownictwa. Liderzy nadal muszą określić zakres, sfinansować usprawnienia, wyznaczyć właścicieli i zdecydować, jakie ryzyka szczątkowe firma zaakceptuje. Użyteczne pytanie nie brzmi więc „Które ramy są lepsze?”, tylko „Jaką rolę każde z nich powinno odgrywać w tym, jak prowadzimy bezpieczeństwo i jak je wykazujemy?”.

Porównuj rezultaty, a nie tylko listy zabezpieczeń

NIST Cybersecurity Framework, obecnie w wersji CSF 2.0, opisuje rezultaty w obszarze cyberbezpieczeństwa. Daje zespołom technicznym i kadrze zarządzającej wspólny język do rozmowy o ryzykach, zdolnościach i priorytetach, nie narzucając każdej organizacji jednego sposobu wdrożenia.

ISO/IEC 27001 określa wymagania dla systemu zarządzania bezpieczeństwem informacji (SZBI). System ten ustala, w jaki sposób organizacja identyfikuje ryzyka dla bezpieczeństwa informacji, wybiera sposoby postępowania z nimi, przypisuje odpowiedzialność, ocenia efekty działania i się doskonali. Niezależna certyfikacja może zapewnić pewność co do zgodności systemu zarządzania w jego zdefiniowanym zakresie.

Oba podejścia mogą stosować organizacje o różnej wielkości i dojrzałości. NIST CSF nie jest przeznaczony wyłącznie dla początkujących czy firm amerykańskich, a ISO 27001 nie jest zarezerwowana dla dużych przedsiębiorstw międzynarodowych. Poziom przygotowania wpływa na wymagany nakład pracy, a nie na to, czy podejście jest koncepcyjnie odpowiednie.

Co NIST CSF wnosi do decyzji kierownictwa

CSF 2.0 porządkuje rezultaty w sześć funkcji. Działają one razem; nie są sześcioma fazami projektu, które kończą się na stałe jedna po drugiej.

Funkcja Govern jest szczególnie ważna dla kadry zarządzającej. Łączy cyberbezpieczeństwo z celami biznesowymi, odpowiedzialnością, politykami i nadzorem. Zapobiega temu, by bezpieczeństwo stało się technicznym backlogiem bez wyraźnego właściciela biznesowego.

Przekształć rezultaty w plan inwestycji

Profil bieżący (Current Profile) opisuje rezultaty w obszarze cyberbezpieczeństwa, które organizacja obecnie osiąga. Profil docelowy (Target Profile) opisuje rezultaty, które chce osiągnąć, z uwzględnieniem jej celów, zagrożeń, obowiązków i oczekiwań interesariuszy. Różnica między nimi stanowi podstawę do ustalania priorytetów prac.

Na przykład firma może mieć kopie zapasowe, ale niewiele dowodów na to, że jej najważniejszą usługę można odtworzyć w realistycznych warunkach. Użyteczna luka to nie po prostu „odtwarzanie niekompletne”. To zdefiniowany rezultat, dotknięta usługa, właściciel, proponowane ćwiczenie odtwarzania i decyzja o akceptowalnym poziomie zakłóceń.

Poziomy CSF (Tiers) opisują cechy praktyk ładu i zarządzania ryzykiem w obszarze cyberbezpieczeństwa. Stanowią kontekst dla rozmów o rygorze i spójności; nie są ocenami certyfikacyjnymi ani uniwersalnym wskaźnikiem dojrzałości, który każda organizacja musi maksymalizować.

Sam CSF nie jest normą certyfikacyjną w stylu ISO. Organizacja może zlecić ocenę i poprzeć swój profil dowodami, ale nie powinna przedstawiać tego jako certyfikacji wydanej przez NIST. Wartość biznesowa wynika z jasności oceny i usprawnień, do których ona prowadzi.

Co ISO 27001 dodaje do systemu operacyjnego organizacji

ISO 27001 koncentruje się na systemie zarządzania o określonym zakresie. Jej rozdziały 4–10 dotyczą kontekstu organizacji, przywództwa, planowania, wsparcia, działań operacyjnych, oceny efektów działania i doskonalenia. Wdrożenie jej oznacza ustanowienie działającego cyklu zarządzania, a nie tylko zebranie polityk dla audytora.

Bezpieczeństwo informacji obejmuje poufność, integralność i dostępność. Poufność dotyczy właściwego dostępu; integralność dotyczy dokładności, kompletności i ochrony przed niewłaściwymi zmianami; dostępność dotyczy dostępu dla uprawnionych osób wtedy, gdy jest potrzebny. Integralność nie oznacza, że informacje nigdy nie mogą się zmieniać: uzasadnione zmiany wymagają odpowiedniej autoryzacji i nadzoru.

SZBI odnosi się do tych kwestii poprzez szacowanie ryzyka i postępowanie z ryzykiem. Nie jest ogólnym poleceniem wdrożenia każdej możliwej technologii bezpieczeństwa.

Rozróżniaj główne rezultaty SZBI

Kilka dokumentów jest ze sobą ściśle powiązanych, ale odpowiada na różne pytania:

• Zakres: jakie działania organizacji, lokalizacje, informacje, systemy i interfejsy obejmuje SZBI?
• Szacowanie ryzyka: co może się wydarzyć, jak poważne by to było i jak zapewnia się spójność tej oceny?
• Plan postępowania z ryzykiem: jakie działania odpowiedzą na zidentyfikowane ryzyka, kto jest ich właścicielem i jakie zatwierdzenia są wymagane?
• Deklaracja stosowania (Statement of Applicability): które niezbędne zabezpieczenia uwzględniono, dlaczego, czy są wdrożone i dlaczego wyłączono jakiekolwiek zabezpieczenia z załącznika A?
• Audyt wewnętrzny: czy SZBI jest zgodny z mającymi zastosowanie wymaganiami i skutecznie działa, na podstawie odpowiednio bezstronnego badania?
• Przegląd zarządzania: czy kierownictwo analizuje efekty działania, zmiany, ustalenia i potrzeby doskonalenia oraz podejmuje wynikające z nich decyzje?

Rejestr ryzyk nie zastępuje deklaracji stosowania. Spotkanie kierownictwa nie jest automatycznie przeglądem zarządzania. Każdy rezultat wymaga własnego celu, danych wejściowych i udokumentowanych wniosków.

Załącznik A normy ISO 27001:2022 zawiera 93 zabezpieczenia pogrupowane w kategorie: organizacyjne, osobowe, fizyczne i technologiczne. Ich stosowanie wynika z ryzyka. Organizacje określają niezbędne zabezpieczenia i porównują je z załącznikiem A, aby nie pominąć żadnego z nich; mogą potrzebować zabezpieczeń wykraczających poza ten zestaw referencyjny. ISO 27002 zawiera wytyczne wdrożeniowe dla zabezpieczeń.

Nasz przewodnik po załączniku A szczegółowo wyjaśnia strukturę zabezpieczeń. Dla kierownictwa kluczowe jest to, że wypełniona checklista to nie to samo, co działający SZBI.

Zrozum, co wykazuje certyfikacja

Certyfikacja jest dobrowolna, chyba że wymaga jej umowa lub inny mający zastosowanie obowiązek. Organizacja może prowadzić SZBI bez ubiegania się o certyfikat.

Tam, gdzie certyfikacja jest potrzebna, SZBI ocenia niezależna jednostka certyfikująca; ISO nie wydaje certyfikatu. Certyfikacja początkowa obejmuje zazwyczaj pierwszy etap, czyli przegląd gotowości i udokumentowanych rozwiązań, a następnie drugi etap, czyli ocenę wdrożenia. Utrzymanie certyfikacji wiąże się z bieżącymi ocenami i recertyfikacją zgodnie z zasadami jednostki certyfikującej.

Zanim zaczniecie polegać na certyfikacie, przeczytajcie jego zakres. Certyfikacji jednej usługi lub jednostki biznesowej nie należy przedstawiać jako obejmującej każdy produkt, spółkę zależną czy lokalizację. Certyfikat nie gwarantuje też, że nigdy nie dojdzie do incydentów, ani nie potwierdza zgodności z każdym mającym zastosowanie przepisem prawa.

Wybieraj na podstawie decyzji, którą firma musi podjąć

Zacznijcie od oczekiwań zewnętrznych, a następnie przeanalizujcie wewnętrzne potrzeby operacyjne. Poproście zespoły sprzedaży i zakupów o odróżnienie tego, czego klienci faktycznie wymagają, od tego, co jedynie preferują.

„Zgodny z ISO 27001”, „certyfikowany na zgodność z ISO 27001” i „dostosowany do NIST CSF” to różne deklaracje. Jeśli umowa wymaga certyfikatu, ocena według CSF nie spełni tego zapisu. Jeśli rada nadzorcza potrzebuje jasnego planu usprawnień, sam certyfikat może nie wyjaśnić, w co organizacja powinna inwestować w następnej kolejności.

Stosujcie następujące punkty decyzyjne:

• Wybierzcie CSF jako główną strukturę komunikacji, gdy bezpośrednią potrzebą jest ustalenie wspólnego punktu odniesienia, porównanie bieżących i pożądanych rezultatów oraz ustalenie priorytetów inwestycji w cyberbezpieczeństwo.
• Wybierzcie ISO 27001 jako główną strukturę zarządzania, gdy organizacja potrzebuje formalnego SZBI ze spójnym postępowaniem z ryzykiem, oceną i doskonaleniem.
• Dążcie do certyfikacji, gdy niezależne zapewnienie o określonym zakresie służy udokumentowanemu celowi związanemu z klientami, umowami lub działalnością.
• Stosujcie oba podejścia, gdy SZBI może zarządzać realizacją, a profile CSF komunikować zamierzone rezultaty kierownictwu i interesariuszom.

Dojrzała organizacja może wykorzystać CSF do ponownej oceny priorytetów po przejęciu. Mała firma może wcześnie ustanowić SZBI zgodny z ISO 27001, ponieważ wymagają tego oczekiwania zakupowe. Nie traktujcie wielkości firmy jako substytutu zrozumienia faktycznej potrzeby.

Żadne z podejść nie zwalnia z odrębnej analizy obowiązków prawnych. Na przykład certyfikat ISO nie potwierdza zgodności z RODO ani z NIS2. Mające zastosowanie obowiązki prawne powinny być uwzględniane przy szacowaniu ryzyka i doborze zabezpieczeń, z własnymi dowodami i odpowiedzialnością.

Ustanów jeden model realizacji z przejrzanymi mapowaniami

Stosowanie obu podejść nie powinno oznaczać tworzenia dwóch niepowiązanych programów bezpieczeństwa. Praktycznym zaleceniem jest zorganizowanie wdrożenia wokół usług, ryzyk, zabezpieczeń, właścicieli i dowodów, a następnie powiązanie tych prac z każdymi z ram.

Użyteczny zapis wdrożenia zawiera następujące elementy:

Mapowania mają charakter wiele-do-wielu. Jeden proces reagowania na incydenty może wspierać kilka rezultatów CSF i wiele wymagań SZBI. I odwrotnie: jeden rezultat może zależeć od polityk, zabezpieczeń technicznych, szkoleń i ustaleń z dostawcami.

W przypadku reagowania na incydenty CSF opisuje zamierzone zdolności, takie jak koordynowanie reakcji i analiza incydentów. SZBI dodaje rozwiązania zarządcze dotyczące odpowiedzialności, postępowania z ryzykiem, oceny i doskonalenia. Zapis z ćwiczenia może wspierać oba, ale nie dowodzi, że każde zmapowane wymaganie zostało spełnione.

Wyraźnie określajcie zakres i wersje ram. Nie stosujcie mapowania opracowanego dla usługi produkcyjnej do przejętej spółki zależnej bez przeanalizowania różnic. Nasz przewodnik po mapowaniu między ramami wyjaśnia, jak współdzielić pracę, nie traktując różnych wymagań jako równoważnych.

Przykład: firma usługowa wobec dwóch oczekiwań

Weźmy przykładową firmę programistyczną z jedną usługą dla klientów. Załóżmy, że rada nadzorcza chce jaśniejszego planu inwestycji w bezpieczeństwo, a potencjalny klient wymaga certyfikacji ISO 27001 obejmującej tę usługę. Są to założenia hipotetyczne, a nie studium przypadku klienta.

CEO wyznacza odpowiedzialnego sponsora z kadry zarządzającej i prosi lidera ds. bezpieczeństwa o zaproponowanie zakresu obejmującego eksploatację usługi i odpowiednie procesy wspierające. Propozycja wskazuje infrastrukturę chmurową, obsługę klienta, rozwój oprogramowania, administrację tożsamościami i dostawców zewnętrznych. Kierownictwo sprawdza, czy granica odpowiada wymaganiu klienta, zamiast wybierać najmniejszy wygodny zakres.

Zespół opracowuje profil bieżący CSF. Ustala, że zatwierdzenia dostępu są dokumentowane, ale przeglądy dostępu uprzywilejowanego są niespójne. Kopie zapasowe istnieją, ale dowody odtwarzania są niekompletne. Role w obsłudze incydentów są udokumentowane, ale eskalacja do dostawców nie była ćwiczona.

Profil docelowy określa trzy priorytety: spójne zarządzanie dostępem uprzywilejowanym, wykazaną zdolność odtwarzania i skoordynowane reagowanie na incydenty. Szacowanie ryzyka w ramach SZBI ocenia odpowiadające im skutki biznesowe i ustala decyzje o postępowaniu z ryzykiem.

Kierownictwo przegląda postępy względem profilu docelowego i celów SZBI. Finansuje nierozwiązane zależności dotyczące odtwarzania i decyduje, jak postępować z tymczasowymi wyjątkami w dostępie. Audyt wewnętrzny sprawdza system zarządzania i wdrożenie; działania korygujące są realizowane przed oceną certyfikacyjną.

Rezultatem nie są dwa zestawy zrzutów ekranu. Jest nim jeden zbiór dowodów wdrożenia, interpretowany względem różnych wymagań, z widoczną odpowiedzialnością i decyzjami kierownictwa.

Zaplanuj budżet na wdrożenie i dalsze utrzymanie

NIST CSF jest dostępny bezpłatnie, ale jego stosowanie nie jest bezkosztowe. Oba podejścia wymagają czasu pracowników na zrozumienie ryzyk, usprawnienie zabezpieczeń, zbieranie dowodów, szkolenie ludzi i utrzymanie praktyk. ISO 27001 wiąże się dodatkowo z zakupem normy oraz, jeśli organizacja się na to zdecyduje, z opłatami dla jednostki certyfikującej.

Budujcie budżet wokół pakietów prac, a nie zakładanej ceny rynkowej:

• Ocena wyjściowa i określenie zakresu.
• Zmiany w zabezpieczeniach, w tym prace inżynierskie i po stronie dostawców.
• Dokumentacja, przegląd dowodów i szkolenia pracowników.
• Audyt wewnętrzny, przegląd zarządzania i działania korygujące.
• Zewnętrzna ocena certyfikacyjna, jeśli jest potrzebna.
• Stała odpowiedzialność, monitorowanie, ćwiczenia i ponowne oceny.

Proście o oferty certyfikacyjne dla tego samego zakresu, aby można je było sensownie porównać. Zapytajcie, jakie oceny, lokalizacje, działania następcze i wydatki są w nich uwzględnione. Oddzielajcie koszty naprawy zabezpieczeń od opłat za certyfikację: tania oferta audytu nie sprawi, że niedofinansowany program bezpieczeństwa będzie gotowy.

Oceniajcie wartość handlową na podstawie udokumentowanych wymagań i możliwości związanych z klientami, a nie obietnicy, że certyfikacja automatycznie przyniesie przychody.

Unikaj deklaracji, których dowody nie mogą poprzeć

Typowe błędy to deklarowanie „zgodności z NIST” bez wyjaśnienia profilu i zakresu, przedstawianie wąskiego certyfikatu jako zapewnienia obejmującego całą firmę oraz traktowanie zmapowanych zabezpieczeń jako dowodu skuteczności.

Innym błędem jest mierzenie sukcesu wyłącznie liczbą ukończonych dokumentów. Kierownictwo powinno też pytać, czy ważne usługi mają przetestowane ścieżki odtwarzania, czy wyjątki mają właścicieli, czy zaległe działania w ramach postępowania z ryzykiem są eskalowane i czy wcześniejsze ustalenia się powtarzają. Te pytania łączą system zarządzania z efektami operacyjnymi.

Nie istnieje możliwy do obrony uniwersalny wskaźnik procentowy pokazujący, jak blisko wdrożenie CSF jest zgodności z ISO 27001. Istniejące zabezpieczenia mogą nadawać się do ponownego wykorzystania, ale brakujące wymagania systemu zarządzania, różnice w zakresie i słabe dowody nadal wymagają oceny.

Niech następnym krokiem będzie decyzja kierownictwa o określonym zakresie

Przygotujcie krótką notatkę decyzyjną określającą wymagany rezultat, proponowaną granicę, oczekiwania klientów, odpowiedzialnego sponsora, główne luki i potrzebne zasoby. Zdecydujcie, czy kolejnym kamieniem milowym jest przejrzany profil CSF, działający SZBI, czy gotowość do certyfikacji. Każdemu kamieniowi milowemu nadajcie kryteria akceptacji obejmujące dowody, a nie tylko ukończenie dokumentów.

Secani wspiera ten przepływ pracy, modelując systemy i usługi, łącząc dowody z wymaganiami, zabezpieczeniami i decyzjami oraz przypisując właścicieli i zadania przeglądowe. Zespoły mogą zachowywać odnośniki do źródeł, komentarze, zatwierdzenia i znaczniki czasu, traktując sugestie wspierane przez AI jako projekty wymagające przeglądu przez człowieka. Zacznijcie od jednego reprezentatywnego zakresu i istniejących dla niego dowodów, zanim rozszerzycie pokrycie.

Odpowiedzialność kierownictwa pozostaje jednoznaczna: zatwierdzać priorytety, zapewniać zasoby na prace i sprawdzać, czy dowody wspierają deklaracje, które składa firma.