NIST CSF și ISO 27001: alegeți rolul operațional

NIST CSF și ISO 27001 ajută organizațiile să-și organizeze securitatea, dar îndeplinesc roluri operaționale diferite. Decizia conducerii devine mai clară atunci când vă întrebați de ce rezultat are nevoie afacerea: o viziune comună asupra priorităților de securitate cibernetică, un program de securitate a informației gestionat formal, o asigurare independentă pentru clienți sau o combinație a acestora.

Alegerea unui cadru nu transferă răspunderea de la conducere. Liderii trebuie în continuare să stabilească domeniul de aplicare, să finanțeze îmbunătățirile, să atribuie responsabili și să decidă ce riscuri reziduale va accepta afacerea. Întrebarea utilă nu este, așadar, „Care cadru este mai bun?”, ci „Ce rol ar trebui să joace fiecare în modul în care conducem securitatea și o demonstrăm?”

Comparați rezultatele, nu doar listele de controale

NIST Cybersecurity Framework, în prezent CSF 2.0, descrie rezultate de securitate cibernetică. El oferă echipelor tehnice și conducerii un limbaj comun pentru a discuta despre riscuri, capabilități și priorități, fără a prescrie o implementare unică pentru fiecare organizație.

ISO/IEC 27001 specifică cerințe pentru un sistem de management al securității informației, SMSI. Acest sistem stabilește modul în care o organizație identifică riscurile de securitate a informației, selectează tratamentele, atribuie responsabilitățile, evaluează performanța și se îmbunătățește. Certificarea independentă poate oferi asigurare privind conformitatea sistemului de management în cadrul domeniului său de aplicare definit.

Ambele pot fi folosite de organizații de dimensiuni și niveluri de maturitate diferite. NIST CSF nu este doar pentru începători sau pentru companiile din SUA, iar ISO 27001 nu este rezervat marilor întreprinderi internaționale. Gradul de pregătire influențează efortul necesar, nu adecvarea conceptuală a abordării.

Ce aduce NIST CSF deciziilor conducerii

CSF 2.0 organizează rezultatele în șase funcții. Acestea funcționează împreună; nu sunt șase faze de proiect care se încheie definitiv una după alta.

Funcția Govern este deosebit de importantă pentru conducere. Ea leagă securitatea cibernetică de obiectivele de business, răspundere, politici și supraveghere. Ea împiedică transformarea securității într-un backlog tehnic fără un responsabil de business explicit.

Transformați rezultatele într-un plan de investiții

Un profil actual (Current Profile) descrie rezultatele de securitate cibernetică pe care organizația le obține în prezent. Un profil țintă (Target Profile) descrie rezultatele pe care dorește să le obțină, pe baza obiectivelor, amenințărilor, obligațiilor și așteptărilor părților interesate. Diferența dintre ele oferă o bază pentru prioritizarea activității.

De exemplu, o companie poate avea copii de rezervă, dar puține dovezi că serviciul său cel mai important poate fi restaurat în condiții realiste. Lacuna utilă nu este pur și simplu „recuperare incompletă”. Este un rezultat definit, un serviciu afectat, un responsabil, un exercițiu de restaurare propus și o decizie privind perturbarea acceptabilă.

Nivelurile CSF (Tiers) descriu caracteristicile practicilor de guvernanță și de management al riscurilor de securitate cibernetică. Ele oferă context pentru discuțiile despre rigoare și consecvență; nu sunt calificative de certificare sau un scor universal de maturitate pe care fiecare organizație trebuie să-l maximizeze.

CSF în sine nu este un standard de certificare de tip ISO. O organizație poate comanda o evaluare și își poate fundamenta profilul cu dovezi, dar nu ar trebui să prezinte acest lucru ca pe o certificare emisă de NIST. Valoarea de business provine din claritatea evaluării și din îmbunătățirile pe care le generează.

Ce adaugă ISO 27001 sistemului de funcționare

ISO 27001 se concentrează pe un sistem de management cu domeniu de aplicare definit. Clauzele 4–10 tratează contextul organizației, leadershipul, planificarea, suportul, operarea, evaluarea performanței și îmbunătățirea. Implementarea sa înseamnă stabilirea unui ciclu de management funcțional, nu doar adunarea de politici pentru un auditor.

Securitatea informației include confidențialitatea, integritatea și disponibilitatea. Confidențialitatea privește accesul adecvat; integritatea privește exactitatea, completitudinea și protecția împotriva modificărilor necorespunzătoare; disponibilitatea privește accesul autorizat atunci când este nevoie. Integritatea nu înseamnă că informațiile nu se pot schimba niciodată: modificările legitime au nevoie de autorizare și control adecvate.

SMSI aplică aceste preocupări prin evaluarea și tratarea riscurilor. Nu este o instrucțiune generală de a implementa orice tehnologie de securitate posibilă.

Păstrați distincte principalele livrabile ale SMSI

Mai multe documente sunt strâns legate, dar răspund la întrebări diferite:

• Domeniul de aplicare: Ce activități organizaționale, locații, informații, sisteme și interfețe acoperă SMSI?
• Evaluarea riscurilor: Ce s-ar putea întâmpla, cât de semnificativ ar fi și cum se face această apreciere în mod consecvent?
• Planul de tratare a riscurilor: Ce acțiuni vor aborda riscurile identificate, cine este responsabil de ele și ce aprobări sunt necesare?
• Declarația de aplicabilitate: Ce controale necesare sunt incluse, de ce sunt incluse, dacă sunt implementate și de ce sunt excluse eventuale controale din anexa A?
• Auditul intern: Este SMSI conform cu cerințele aplicabile și funcționează eficace, pe baza unei examinări suficient de imparțiale?
• Analiza efectuată de management: Ia conducerea în considerare performanța, schimbările, constatările și nevoile de îmbunătățire și ia deciziile care decurg de aici?

Un registru al riscurilor nu înlocuiește o declarație de aplicabilitate. O ședință a conducerii nu constituie automat o analiză efectuată de management. Fiecare livrabil are nevoie de propriul scop, de propriile date de intrare și de concluzii consemnate.

Anexa A a ISO 27001:2022 conține 93 de controale grupate în categoriile organizaționale, referitoare la oameni, fizice și tehnologice. Aplicabilitatea se bazează pe risc. Organizațiile își stabilesc controalele necesare și le compară cu anexa A, astfel încât niciun control necesar să nu fie omis; ele pot avea nevoie și de controale dincolo de acest set de referință. ISO 27002 oferă îndrumări de implementare pentru controale.

Ghidul nostru privind anexa A explică mai detaliat structura controalelor. Pentru conducere, punctul esențial este că o listă de verificare completată nu este același lucru cu un SMSI funcțional.

Înțelegeți ce demonstrează certificarea

Certificarea este opțională, cu excepția cazului în care un contract sau o altă obligație aplicabilă o impune. O organizație poate opera un SMSI fără să solicite un certificat.

Acolo unde certificarea este necesară, un organism de certificare independent evaluează SMSI; ISO nu emite certificatul. Certificarea inițială implică, în general, o primă etapă de evaluare a gradului de pregătire și a aranjamentelor documentate, urmată de o a doua etapă de evaluare a implementării. Menținerea certificării implică evaluări continue și recertificare, conform aranjamentelor organismului de certificare.

Citiți domeniul de aplicare înainte de a vă baza pe un certificat. Certificarea unui serviciu sau a unei unități de business nu ar trebui prezentată ca acoperind fiecare produs, filială sau locație. De asemenea, ea nu garantează că incidentele nu vor avea loc niciodată și nu stabilește conformitatea cu fiecare lege aplicabilă.

Alegeți în funcție de decizia pe care trebuie s-o ia afacerea

Începeți cu așteptările externe, apoi examinați nevoile operaționale interne. Cereți echipelor de vânzări și de achiziții să facă distincția între ceea ce clienții cer efectiv și ceea ce doar preferă.

„Conform cu ISO 27001”, „certificat ISO 27001” și „aliniat la NIST CSF” sunt afirmații diferite. Dacă un contract impune un certificat, o evaluare CSF nu va satisface această formulare. Dacă consiliul are nevoie de un plan de îmbunătățire clar, un certificat singur poate să nu explice unde ar trebui să investească organizația în continuare.

Folosiți aceste puncte de decizie:

• Alegeți CSF ca structură principală de comunicare atunci când nevoia imediată este stabilirea unei baze comune, compararea rezultatelor actuale cu cele dorite și prioritizarea investițiilor în securitate cibernetică.
• Alegeți ISO 27001 ca structură principală de management atunci când organizația are nevoie de un SMSI formal, cu tratare consecventă a riscurilor, evaluare și îmbunătățire.
• Urmăriți certificarea atunci când asigurarea independentă cu domeniu de aplicare definit servește unui obiectiv documentat al clienților, contractual sau de business.
• Folosiți-le pe amândouă atunci când SMSI poate guverna livrarea, în timp ce profilurile CSF comunică rezultatele vizate conducerii și părților interesate.

O organizație matură poate folosi CSF pentru a-și reevalua prioritățile după o achiziție. O companie mică își poate stabili devreme un SMSI conform ISO 27001, pentru că așteptările din achiziții o impun. Evitați să faceți din dimensiunea companiei un substitut pentru înțelegerea nevoii reale.

Niciuna dintre abordări nu elimină nevoia de a analiza separat obligațiile legale. De exemplu, un certificat ISO nu stabilește conformitatea cu RGPD sau NIS2. Obligațiile legale aplicabile ar trebui să fundamenteze evaluarea riscurilor și selectarea controalelor, cu propriile dovezi și propria răspundere.

Stabiliți un singur model de livrare, cu corespondențe revizuite

Folosirea ambelor abordări nu ar trebui să însemne crearea a două programe de securitate deconectate. Ca recomandare practică, organizați implementarea în jurul serviciilor, riscurilor, controalelor, responsabililor și dovezilor, apoi raportați această activitate la fiecare cadru.

O înregistrare utilă a implementării conține următoarele:

Corespondențele sunt de tip mulți-la-mulți. Un singur proces de răspuns la incidente poate susține mai multe rezultate CSF și mai multe cerințe ale SMSI. Invers, un rezultat poate depinde de politici, măsuri tehnice de protecție, instruire și aranjamente cu furnizorii.

Pentru răspunsul la incidente, CSF descrie capabilitățile vizate, precum coordonarea răspunsului și analiza incidentelor. SMSI adaugă aranjamente de management privind responsabilitatea, tratarea riscurilor, evaluarea și îmbunătățirea. O evidență a unui exercițiu le poate susține pe amândouă, dar nu dovedește că fiecare cerință asociată a fost îndeplinită.

Mențineți explicite domeniul de aplicare și versiunile cadrelor. Nu aplicați o corespondență dezvoltată pentru un serviciu de producție unei filiale achiziționate fără a revizui diferențele. Ghidul nostru privind corespondențele între cadre explică cum să partajați activitatea fără a trata cerințe diferite ca fiind echivalente.

Exemplu practic: o companie de servicii care face față la două cerințe

Să luăm în considerare, cu titlu ilustrativ, o companie de software cu un singur serviciu destinat clienților. Să presupunem că consiliul său dorește un plan mai clar de investiții în securitate, iar un client potențial cere o certificare ISO 27001 care să acopere acel serviciu. Acestea sunt ipoteze, nu un studiu de caz al unui client.

CEO-ul numește un sponsor executiv responsabil și îi cere responsabilului de securitate să propună un domeniu de aplicare care să includă operarea serviciului și procesele de suport relevante. Propunerea identifică infrastructura cloud, suportul pentru clienți, dezvoltarea, administrarea identităților și furnizorii externi. Conducerea verifică dacă limitele corespund cerinței clientului, în loc să aleagă cel mai mic domeniu convenabil.

Echipa elaborează un profil actual CSF. Constată că aprobările de acces sunt consemnate, dar revizuirile accesului privilegiat sunt inconsecvente. Există copii de rezervă, dar dovezile de restaurare sunt incomplete. Rolurile în caz de incident sunt documentate, dar escaladarea către furnizori nu a fost exersată.

Profilul țintă stabilește trei priorități: o guvernanță consecventă a accesului privilegiat, o capacitate de restaurare demonstrată și un răspuns coordonat la incidente. Evaluarea riscurilor din SMSI apreciază consecințele de business corespunzătoare și stabilește deciziile de tratare.

Managementul analizează progresul în raport cu profilul țintă și cu obiectivele SMSI. Finanțează dependențele de recuperare nerezolvate și decide cum vor fi tratate excepțiile temporare de acces. Auditul intern verifică sistemul de management și implementarea; acțiunile corective sunt tratate înaintea evaluării pentru certificare.

Rezultatul nu este două seturi de capturi de ecran. Este un singur corp de dovezi de implementare, interpretat în raport cu cerințe diferite, cu responsabilitate vizibilă și decizii ale conducerii.

Bugetați implementarea și funcționarea continuă

NIST CSF este disponibil gratuit, dar aplicarea lui nu este lipsită de costuri. Ambele abordări necesită timp din partea personalului pentru a înțelege riscurile, a îmbunătăți controalele, a colecta dovezi, a instrui oamenii și a menține practicile. ISO 27001 implică, în plus, achiziționarea standardului și, acolo unde este urmărită, onorariile organismului de certificare.

Construiți un buget în jurul pachetelor de lucru, nu al unui preț de piață presupus:

• Evaluarea de referință și definirea domeniului de aplicare.
• Modificările controalelor, inclusiv activitatea de inginerie și cea cu furnizorii.
• Documentarea, revizuirea dovezilor și instruirea personalului.
• Auditul intern, analiza efectuată de management și acțiunile corective.
• Evaluarea externă pentru certificare, acolo unde este necesară.
• Responsabilitatea recurentă, monitorizarea, exercițiile și reevaluarea.

Solicitați oferte de certificare pentru același domeniu de aplicare, astfel încât să poată fi comparate în mod relevant. Întrebați ce evaluări, locații, activități ulterioare și cheltuieli sunt incluse. Păstrați remedierea controalelor separat de onorariile de certificare: o ofertă de audit ieftină nu face pregătit un program de securitate subfinanțat.

Evaluați valoarea comercială folosind cerințe și oportunități documentate ale clienților, nu promisiunea că certificarea produce automat venituri.

Evitați afirmațiile pe care dovezile nu le pot susține

Greșelile frecvente sunt declararea „conformității NIST” fără explicarea profilului și a domeniului de aplicare, prezentarea unui certificat restrâns drept asigurare la nivelul întregii companii și tratarea controalelor puse în corespondență drept dovadă a eficacității.

O altă greșeală este măsurarea succesului doar prin documentele finalizate. Conducerea ar trebui să se întrebe și dacă serviciile importante au căi de recuperare testate, dacă excepțiile au responsabili, dacă tratamentele întârziate sunt escaladate și dacă se repetă constatări anterioare. Aceste întrebări leagă sistemul de management de performanța operațională.

Nu există un procent universal susținut care să arate cât de aproape este o implementare CSF de conformitatea cu ISO 27001. Controalele existente pot fi reutilizabile, dar cerințele lipsă ale sistemului de management, diferențele de domeniu de aplicare și dovezile slabe trebuie totuși evaluate.

Faceți din pasul următor o decizie de management cu domeniu de aplicare definit

Redactați un scurt document de decizie care să precizeze rezultatul necesar, limitele propuse, așteptările clienților, sponsorul responsabil, lacunele majore și resursele necesare. Decideți dacă următoarea etapă este un profil CSF revizuit, un SMSI funcțional sau pregătirea pentru certificare. Stabiliți pentru fiecare etapă criterii de acceptare care includ dovezi, nu doar finalizarea documentelor.

Secani susține acest flux de lucru prin modelarea sistemelor și serviciilor, legarea dovezilor de cerințe, controale și decizii și atribuirea de responsabili și sarcini de revizuire. Echipele pot păstra linkurile către surse, comentariile, aprobările și marcajele temporale, tratând sugestiile asistate de AI ca pe niște ciorne care necesită revizuire umană. Începeți cu un domeniu de aplicare reprezentativ și cu dovezile sale existente înainte de a extinde acoperirea.

Responsabilitatea conducerii rămâne explicită: să aprobe prioritățile, să asigure resursele pentru activitate și să verifice dacă dovezile susțin afirmațiile pe care le face afacerea.