NIST CSF a ISO 27001: zvoľte prevádzkovú úlohu

NIST CSF aj ISO 27001 pomáhajú organizáciám usporiadať bezpečnosť, no plnia rozdielne prevádzkové úlohy. Rozhodnutie vedenia sa vyjasní, keď sa opýtate, aký výstup firma potrebuje: spoločný pohľad na priority kybernetickej bezpečnosti, formálne riadený program informačnej bezpečnosti, nezávislé uistenie pre zákazníkov alebo kombináciu týchto vecí.

Výber rámca nepresúva zodpovednosť z vedenia inam. Vedúci predstavitelia musia naďalej určovať rozsah, financovať zlepšenia, prideľovať vlastníkov a rozhodovať, ktoré zostatkové riziká firma akceptuje. Užitočnou otázkou preto nie je „Ktorý rámec je lepší?“, ale „Akú úlohu by mal každý z nich zohrávať v tom, ako bezpečnosť riadime a preukazujeme?“

Porovnávajte výstupy, nielen zoznamy opatrení

NIST Cybersecurity Framework, v súčasnosti CSF 2.0, opisuje výsledky kybernetickej bezpečnosti. Technickým tímom aj vedeniu poskytuje spoločný jazyk na diskusiu o rizikách, schopnostiach a prioritách bez toho, aby predpisoval jednu implementáciu pre každú organizáciu.

ISO/IEC 27001 stanovuje požiadavky na systém riadenia informačnej bezpečnosti, teda ISMS. Tento systém určuje, ako organizácia identifikuje riziká informačnej bezpečnosti, volí ošetrenia, prideľuje zodpovednosť, hodnotí výkonnosť a zlepšuje sa. Nezávislá certifikácia môže poskytnúť uistenie o zhode systému riadenia v rámci jeho definovaného rozsahu.

Oba prístupy môžu využívať organizácie rôznej veľkosti a úrovne vyspelosti. NIST CSF nie je len pre začiatočníkov alebo americké firmy a ISO 27001 nie je vyhradená pre veľké medzinárodné podniky. Pripravenosť ovplyvňuje potrebné úsilie, nie to, či je prístup koncepčne vhodný.

Čo NIST CSF prináša pre rozhodnutia vedenia

CSF 2.0 usporadúva výsledky do šiestich funkcií. Fungujú spoločne; nie je to šesť po sebe idúcich fáz projektu, ktoré sa raz navždy ukončia.

Funkcia Govern je obzvlášť dôležitá pre vedenie. Prepája kybernetickú bezpečnosť s obchodnými cieľmi, zodpovednosťou, politikou a dohľadom. Zabraňuje tomu, aby sa bezpečnosť stala technickým backlogom bez explicitného obchodného vlastníka.

Premeňte výsledky na investičný plán

Aktuálny profil (Current Profile) opisuje výsledky kybernetickej bezpečnosti, ktoré organizácia v súčasnosti dosahuje. Cieľový profil (Target Profile) opisuje výsledky, ktoré chce dosiahnuť, na základe svojich cieľov, hrozieb, povinností a očakávaní zainteresovaných strán. Rozdiel medzi nimi poskytuje základ na prioritizáciu práce.

Napríklad firma môže mať zálohy, ale len málo dôkazov o tom, že jej najdôležitejšiu službu možno obnoviť za realistických podmienok. Užitočnou medzerou nie je jednoducho „obnova nedokončená“. Je ňou definovaný výsledok, dotknutá služba, vlastník, navrhované cvičenie obnovy a rozhodnutie o prijateľnom narušení.

Úrovne (Tiers) CSF opisujú charakteristiky postupov riadenia a manažmentu rizík kybernetickej bezpečnosti. Poskytujú kontext pre diskusie o dôslednosti a konzistentnosti; nie sú to certifikačné známky ani univerzálne skóre vyspelosti, ktoré musí každá organizácia maximalizovať.

Samotný CSF nie je certifikačnou normou v štýle ISO. Organizácia si môže objednať posúdenie a svoj profil podložiť dôkazmi, ale nemala by to prezentovať tak, akoby NIST vydal certifikáciu. Obchodná hodnota vychádza z jasnosti posúdenia a zo zlepšení, ktoré prináša.

Čo ISO 27001 pridáva do prevádzkového systému

ISO 27001 sa zameriava na systém riadenia s vymedzeným rozsahom. Jej kapitoly 4 – 10 sa venujú kontextu organizácie, vodcovstvu, plánovaniu, podpore, prevádzke, hodnoteniu výkonnosti a zlepšovaniu. Jej zavedenie znamená vytvoriť fungujúci cyklus riadenia, nie len zostaviť politiky pre audítora.

Informačná bezpečnosť zahŕňa dôvernosť, integritu a dostupnosť. Dôvernosť sa týka primeraného prístupu; integrita sa týka presnosti, úplnosti a ochrany pred neoprávnenými zmenami; dostupnosť sa týka oprávneného prístupu v čase potreby. Integrita neznamená, že sa informácie nikdy nesmú zmeniť: legitímne zmeny si vyžadujú primerané oprávnenie a kontrolu.

ISMS uplatňuje tieto hľadiská prostredníctvom posudzovania a ošetrenia rizík. Nie je to plošný pokyn nasadiť každú možnú bezpečnostnú technológiu.

Udržiavajte hlavné výstupy ISMS oddelene

Viaceré dokumenty spolu úzko súvisia, ale odpovedajú na rozdielne otázky:

• Rozsah: Ktoré organizačné činnosti, lokality, informácie, systémy a rozhrania ISMS pokrýva?
• Posúdenie rizík: Čo sa môže stať, aké závažné by to bolo a ako sa tento úsudok robí konzistentne?
• Plán ošetrenia rizík: Aké kroky budú riešiť identifikované riziká, kto ich vlastní a aké schválenia sú potrebné?
• Vyhlásenie o aplikovateľnosti: Ktoré potrebné opatrenia sú zahrnuté, prečo sú zahrnuté, či sú zavedené a prečo sú prípadne vylúčené opatrenia z prílohy A?
• Interný audit: Zodpovedá ISMS uplatniteľným požiadavkám a funguje účinne na základe primerane nestranného preverenia?
• Preskúmanie manažmentom: Zohľadňuje vedenie výkonnosť, zmeny, zistenia a potreby zlepšenia a prijíma z toho vyplývajúce rozhodnutia?

Register rizík nenahrádza vyhlásenie o aplikovateľnosti. Porada vedenia automaticky nepredstavuje preskúmanie manažmentom. Každý výstup potrebuje vlastný účel, vstupy a zaznamenané závery.

Príloha A normy ISO 27001:2022 obsahuje 93 opatrení zoskupených do organizačných, personálnych, fyzických a technologických kategórií. Uplatniteľnosť je založená na riziku. Organizácie určujú potrebné opatrenia a porovnávajú ich s prílohou A, aby žiadne potrebné opatrenie neprehliadli; môžu potrebovať aj opatrenia nad rámec tejto referenčnej sady. ISO 27002 poskytuje návod na implementáciu opatrení.

Náš návod k prílohe A vysvetľuje štruktúru opatrení podrobnejšie. Pre vedenie je podstatné, že vyplnený kontrolný zoznam nie je to isté ako fungujúci ISMS.

Pochopte, čo certifikácia preukazuje

Certifikácia je dobrovoľná, pokiaľ ju nevyžaduje zmluva alebo iná uplatniteľná povinnosť. Organizácia môže prevádzkovať ISMS bez toho, aby sa uchádzala o certifikát.

Ak je certifikácia potrebná, ISMS posudzuje nezávislý certifikačný orgán; certifikát nevydáva ISO. Prvotná certifikácia spravidla zahŕňa prvý stupeň, ktorý preskúma pripravenosť a zdokumentované opatrenia, a následne druhý stupeň, ktorý posúdi zavedenie. Udržiavanie certifikácie zahŕňa priebežné posudzovanie a recertifikáciu podľa pravidiel certifikačného orgánu.

Predtým, ako sa na certifikát spoľahnete, prečítajte si jeho rozsah. Certifikácia jednej služby alebo organizačnej jednotky by sa nemala prezentovať tak, akoby pokrývala každý produkt, dcérsku spoločnosť alebo lokalitu. Nezaručuje ani, že nikdy nenastanú incidenty, a nezakladá súlad s každým uplatniteľným právnym predpisom.

Rozhodujte podľa rozhodnutia, ktoré musí firma prijať

Začnite externými očakávaniami a potom preskúmajte interné prevádzkové potreby. Požiadajte obchodné a nákupné tímy, aby rozlíšili, čo zákazníci skutočne vyžadujú, od toho, čo len uprednostňujú.

„V súlade s ISO 27001“, „certifikované podľa ISO 27001“ a „zosúladené s NIST CSF“ sú rozdielne tvrdenia. Ak zmluva vyžaduje certifikát, posúdenie podľa CSF toto znenie nesplní. Ak predstavenstvo potrebuje jasný plán zlepšení, samotný certifikát nemusí vysvetliť, kam by mala organizácia ďalej investovať.

Použite tieto rozhodovacie body:

• Zvoľte CSF ako primárnu komunikačnú štruktúru, keď je bezprostrednou potrebou vytvoriť spoločný východiskový stav, porovnať súčasné a želané výsledky a prioritizovať investície do kybernetickej bezpečnosti.
• Zvoľte ISO 27001 ako primárnu štruktúru riadenia, keď organizácia potrebuje formálny ISMS s konzistentným ošetrením rizík, hodnotením a zlepšovaním.
• Uchádzajte sa o certifikáciu, keď nezávislé uistenie s vymedzeným rozsahom slúži zdokumentovanému zákazníckemu, zmluvnému alebo obchodnému cieľu.
• Použite oboje, keď ISMS môže riadiť realizáciu a profily CSF komunikujú zamýšľané výsledky vedeniu a zainteresovaným stranám.

Vyspelá organizácia môže použiť CSF na prehodnotenie priorít po akvizícii. Malá firma môže zaviesť ISMS podľa ISO 27001 včas, pretože to vyžadujú očakávania v obstarávaní. Veľkosť spoločnosti by nemala nahrádzať pochopenie skutočnej potreby.

Ani jeden prístup neodstraňuje potrebu analyzovať zákonné povinnosti samostatne. Napríklad certifikát ISO nezakladá súlad s GDPR ani s NIS2. Uplatniteľné zákonné povinnosti by mali byť vstupom do posúdenia rizík a výberu opatrení, s vlastnými dôkazmi a zodpovednosťou.

Zaveďte jeden model realizácie s preskúmanými mapovaniami

Používanie oboch prístupov by nemalo znamenať vytvorenie dvoch nesúvisiacich bezpečnostných programov. Ako praktické odporúčanie usporiadajte implementáciu okolo služieb, rizík, opatrení, vlastníkov a dôkazov a túto prácu potom vzťahujte ku každému rámcu.

Užitočný záznam o implementácii obsahuje nasledujúce:

Mapovania sú typu M:N. Jeden proces reakcie na incidenty môže podporovať viacero výsledkov CSF a viacero požiadaviek ISMS. Naopak, jeden výsledok môže závisieť od politík, technických ochranných opatrení, školení a dohôd s dodávateľmi.

Pri reakcii na incidenty CSF opisuje zamýšľané schopnosti, ako je koordinácia reakcie a analýza incidentov. ISMS pridáva manažérske opatrenia týkajúce sa vlastníctva, ošetrenia rizík, hodnotenia a zlepšovania. Záznam z cvičenia môže podporovať oboje, ale nedokazuje, že každá namapovaná požiadavka bola splnená.

Rozsah a verzie rámcov udržiavajte explicitné. Mapovanie vytvorené pre produkčnú službu neuplatňujte na získanú dcérsku spoločnosť bez preskúmania rozdielov. Náš návod k mapovaniu naprieč rámcami vysvetľuje, ako zdieľať prácu bez toho, aby sa rozdielne požiadavky považovali za rovnocenné.

Modelový príklad: firma poskytujúca služby čelí dvom požiadavkám

Predstavte si ilustratívnu softvérovú firmu s jednou službou pre zákazníkov. Predpokladajme, že jej predstavenstvo chce jasnejší plán investícií do bezpečnosti a potenciálny zákazník vyžaduje certifikáciu ISO 27001 pokrývajúcu túto službu. Ide o hypotetické predpoklady, nie o prípadovú štúdiu zákazníka.

Generálny riaditeľ vymenuje zodpovedného sponzora z vedenia a požiada vedúceho bezpečnosti, aby navrhol rozsah zahŕňajúci prevádzku služby a relevantné podporné procesy. Návrh identifikuje cloudovú infraštruktúru, zákaznícku podporu, vývoj, správu identít a externých poskytovateľov. Vedenie overí, že hranica zodpovedá požiadavke zákazníka, namiesto výberu najmenšieho pohodlného rozsahu.

Tím vypracuje aktuálny profil CSF. Zistí, že schválenia prístupov sa zaznamenávajú, ale preskúmania privilegovaných prístupov sú nekonzistentné. Zálohy existujú, ale dôkazy o obnove sú neúplné. Roly pri incidentoch sú zdokumentované, ale eskalácia smerom k dodávateľom sa necvičila.

Cieľový profil stanovuje tri priority: konzistentné riadenie privilegovaných prístupov, preukázanú schopnosť obnovy a koordinovanú reakciu na incidenty. Posúdenie rizík v rámci ISMS vyhodnotí zodpovedajúce obchodné dôsledky a stanoví rozhodnutia o ošetrení.

Vedenie preskúmava pokrok voči cieľovému profilu a cieľom ISMS. Financuje nevyriešené závislosti obnovy a rozhodne, ako sa budú riešiť dočasné výnimky v prístupoch. Interný audit preverí systém riadenia a implementáciu; nápravné opatrenia sa vyriešia pred certifikačným posúdením.

Výsledkom nie sú dve sady snímok obrazovky. Je ním jeden súbor dôkazov o implementácii, interpretovaný voči rozdielnym požiadavkám, s viditeľným vlastníctvom a rozhodnutiami vedenia.

Rozpočtujte implementáciu aj priebežnú prevádzku

NIST CSF je voľne dostupný, ale jeho uplatnenie nie je bezplatné. Oba prístupy si vyžadujú čas zamestnancov na pochopenie rizík, zlepšenie opatrení, zber dôkazov, školenie ľudí a udržiavanie postupov. ISO 27001 navyše zahŕňa zakúpenie normy a v prípade certifikácie aj poplatky certifikačnému orgánu.

Rozpočet postavte na pracovných balíkoch, nie na predpokladanej trhovej cene:

• Východiskové posúdenie a vymedzenie rozsahu.
• Zmeny opatrení vrátane vývojárskej práce a práce s dodávateľmi.
• Dokumentácia, preskúmanie dôkazov a školenie zamestnancov.
• Interný audit, preskúmanie manažmentom a nápravné opatrenia.
• Externé certifikačné posúdenie, ak je potrebné.
• Opakujúce sa vlastníctvo, monitorovanie, cvičenia a opätovné posúdenia.

Ponuky na certifikáciu si vyžiadajte pre rovnaký rozsah, aby sa dali zmysluplne porovnať. Opýtajte sa, aké posúdenia, lokality, nadväzujúca práca a výdavky sú zahrnuté. Nápravu opatrení oddeľte od poplatkov za certifikáciu: lacná ponuka na audit nepripraví podfinancovaný bezpečnostný program.

Obchodnú hodnotu posudzujte na základe zdokumentovaných požiadaviek a príležitostí zákazníkov, nie na základe prísľubu, že certifikácia automaticky prinesie tržby.

Vyhnite sa tvrdeniam, ktoré dôkazy nedokážu podložiť

Častými chybami sú deklarovanie „súladu s NIST“ bez vysvetlenia profilu a rozsahu, prezentovanie úzkeho certifikátu ako uistenia za celú spoločnosť a považovanie namapovaných opatrení za dôkaz účinnosti.

Ďalšou chybou je merať úspech iba počtom dokončených dokumentov. Vedenie by sa malo pýtať aj na to, či majú dôležité služby otestované cesty obnovy, či majú výnimky vlastníkov, či sa oneskorené ošetrenia eskalujú a či sa predchádzajúce zistenia opakujú. Tieto otázky prepájajú systém riadenia s prevádzkovou výkonnosťou.

Neexistuje obhájiteľné univerzálne percento, ktoré by ukazovalo, ako blízko je implementácia CSF k zhode s ISO 27001. Existujúce opatrenia možno použiť opakovane, ale chýbajúce požiadavky na systém riadenia, rozdiely v rozsahu a slabé dôkazy si stále vyžadujú posúdenie.

Urobte z ďalšieho kroku rozhodnutie vedenia s vymedzeným rozsahom

Vytvorte krátky rozhodovací podklad, ktorý uvádza požadovaný výstup, navrhovanú hranicu, očakávania zákazníkov, zodpovedného sponzora, hlavné medzery a potrebné zdroje. Rozhodnite, či je ďalším míľnikom preskúmaný profil CSF, fungujúci ISMS alebo pripravenosť na certifikáciu. Každému míľniku stanovte kritériá prijatia, ktoré zahŕňajú dôkazy, nielen dokončenie dokumentov.

Secani tento pracovný postup podporuje modelovaním systémov a služieb, prepájaním dôkazov s požiadavkami, opatreniami a rozhodnutiami a prideľovaním vlastníkov a úloh na preskúmanie. Tímy môžu zachovať odkazy na zdroje, komentáre, schválenia a časové pečiatky a návrhy s podporou AI pritom považovať za pracovné verzie, ktoré si vyžadujú ľudské preskúmanie. Začnite jedným reprezentatívnym rozsahom a jeho existujúcimi dôkazmi a až potom rozširujte pokrytie.

Zodpovednosť vedenia zostáva explicitná: schvaľovať priority, zabezpečovať zdroje na prácu a preskúmavať, či dôkazy podporujú tvrdenia, ktoré firma vyslovuje.