NIST CSF in ISO 27001: izberite operativno vlogo

NIST CSF in ISO 27001 organizacijam pomagata urediti varnost, vendar imata različni operativni vlogi. Odločitev vodstva postane jasnejša, ko se vprašate, kakšen rezultat podjetje potrebuje: skupen pogled na prednostne naloge kibernetske varnosti, formalno upravljan program informacijske varnosti, neodvisno zagotovilo za stranke ali kombinacijo teh.

Izbira okvira odgovornosti ne prenese z vodstva. Vodje morajo še vedno določiti obseg, financirati izboljšave, dodeliti lastnike in odločiti, katera preostala tveganja bo podjetje sprejelo. Uporabno vprašanje zato ni »Kateri okvir je boljši?«, temveč »Kakšno vlogo naj ima vsak od njiju pri tem, kako vodimo varnost in jo izkazujemo?«

Primerjajte rezultate, ne le seznamov kontrol

NIST Cybersecurity Framework, trenutno CSF 2.0, opisuje kibernetskovarnostne izide. Tehničnim ekipam in vodstvu daje skupen jezik za razpravo o tveganjih, zmogljivostih in prednostnih nalogah, ne da bi vsaki organizaciji predpisoval eno samo izvedbo.

ISO/IEC 27001 določa zahteve za sistem upravljanja informacijske varnosti (ISMS). Ta sistem določa, kako organizacija prepoznava tveganja informacijske varnosti, izbira obravnave, dodeljuje odgovornost, vrednoti izvedbo in se izboljšuje. Neodvisna certifikacija lahko zagotovi zagotovilo o skladnosti sistema upravljanja v njegovem opredeljenem obsegu.

Oba lahko uporabljajo organizacije različnih velikosti in ravni zrelosti. NIST CSF ni namenjen le začetnikom ali ameriškim podjetjem, ISO 27001 pa ni rezerviran za velika mednarodna podjetja. Pripravljenost vpliva na potreben trud, ne pa na to, ali je pristop pojmovno primeren.

Kaj NIST CSF prispeva k odločitvam vodstva

CSF 2.0 izide razvršča v šest funkcij. Te delujejo skupaj; niso šest projektnih faz, ki se zaporedoma dokončno zaključijo.

Funkcija Govern je za vodstvo še posebej pomembna. Kibernetsko varnost povezuje s poslovnimi cilji, odgovornostjo, politiko in nadzorom. Preprečuje, da bi varnost postala tehnični zaostanek brez izrecnega poslovnega lastnika.

Izide pretvorite v naložbeni načrt

Trenutni profil (Current Profile) opisuje kibernetskovarnostne izide, ki jih organizacija trenutno dosega. Ciljni profil (Target Profile) opisuje izide, ki jih želi doseči, na podlagi svojih ciljev, groženj, obveznosti in pričakovanj deležnikov. Vrzel med njima je podlaga za določanje prednosti dela.

Podjetje ima lahko na primer varnostne kopije, a malo dokazov, da je mogoče njegovo najpomembnejšo storitev obnoviti v realnih pogojih. Uporabna vrzel ni preprosto »okrevanje nedokončano«. Je opredeljen izid, prizadeta storitev, lastnik, predlagana vaja obnovitve in odločitev o sprejemljivi motnji.

Ravni CSF (Tiers) opisujejo značilnosti praks upravljanja kibernetskovarnostnih tveganj. Dajejo kontekst za razprave o strogosti in doslednosti; niso certifikacijske ocene ali univerzalna ocena zrelosti, ki bi jo morala vsaka organizacija maksimirati.

CSF sam po sebi ni certifikacijski standard po vzoru ISO. Organizacija lahko naroči oceno in svoj profil podkrepi z dokazi, vendar tega ne bi smela predstavljati, kot da NIST izdaja certifikacijo. Poslovna vrednost izhaja iz jasnosti ocene in izboljšav, ki jih ta spodbudi.

Kaj ISO 27001 doda operativnemu sistemu

ISO 27001 se osredotoča na sistem upravljanja z opredeljenim obsegom. Njegove točke 4–10 obravnavajo kontekst organizacije, voditeljstvo, planiranje, podporo, delovanje, vrednotenje izvedbe in izboljševanje. Njegova uvedba pomeni vzpostavitev delujočega cikla upravljanja, ne zgolj zbiranja politik za presojevalca.

Informacijska varnost vključuje zaupnost, celovitost in razpoložljivost. Zaupnost se nanaša na ustrezen dostop; celovitost na točnost, popolnost in zaščito pred neustreznimi spremembami; razpoložljivost na pooblaščen dostop, ko je ta potreben. Celovitost ne pomeni, da se informacije nikoli ne smejo spremeniti: upravičene spremembe potrebujejo ustrezno odobritev in nadzor.

ISMS te vidike uveljavlja z ocenjevanjem in obravnavo tveganj. Ni splošno navodilo za uvedbo vseh mogočih varnostnih tehnologij.

Glavne rezultate ISMS ohranite ločene

Več dokumentov je tesno povezanih, vendar odgovarjajo na različna vprašanja:

• Obseg: katere organizacijske dejavnosti, lokacije, informacije, sisteme in vmesnike zajema ISMS?
• Ocena tveganj: kaj bi se lahko zgodilo, kako pomembno bi bilo in kako se ta presoja izvaja dosledno?
• Načrt obravnave tveganj: kateri ukrepi bodo naslovili prepoznana tveganja, kdo je njihov lastnik in katere odobritve so potrebne?
• Izjava o uporabnosti (Statement of Applicability): katere potrebne kontrole so vključene, zakaj so vključene, ali so izvedene in zakaj so morebitne kontrole iz Dodatka A izključene?
• Notranja presoja: ali je ISMS skladen z veljavnimi zahtevami in ali deluje učinkovito, na podlagi ustrezno nepristranskega pregleda?
• Vodstveni pregled: ali vodstvo obravnava izvedbo, spremembe, ugotovitve in potrebe po izboljšavah ter sprejme ustrezne odločitve?

Register tveganj ne nadomesti izjave o uporabnosti. Sestanek vodstva ni samodejno vodstveni pregled. Vsak rezultat potrebuje lasten namen, vhodne podatke in zapisane sklepe.

Dodatek A standarda ISO 27001:2022 vsebuje 93 kontrol, razvrščenih v organizacijske, kadrovske, fizične in tehnološke kategorije. Uporabnost temelji na tveganjih. Organizacije določijo potrebne kontrole in jih primerjajo z Dodatkom A, da potrebne kontrole niso spregledane; morda potrebujejo tudi kontrole zunaj tega referenčnega nabora. ISO 27002 daje smernice za izvedbo kontrol.

Naš vodnik po Dodatku A podrobneje pojasnjuje strukturo kontrol. Za vodstvo je bistveno, da izpolnjen kontrolni seznam ni isto kot delujoč ISMS.

Razumite, kaj certifikacija izkazuje

Certifikacija je neobvezna, razen če jo zahteva pogodba ali druga veljavna obveznost. Organizacija lahko upravlja ISMS, ne da bi si prizadevala za certifikat.

Kjer je certifikacija potrebna, ISMS presodi neodvisni certifikacijski organ; certifikata ne izda ISO. Začetna certifikacija praviloma vključuje prvo stopnjo, ki pregleda pripravljenost in dokumentirane ureditve, ter drugo stopnjo, ki presodi izvedbo. Ohranjanje certifikacije vključuje stalne presoje in ponovno certifikacijo po ureditvah certifikacijskega organa.

Preden se zanesete na certifikat, preberite njegov obseg. Certifikacije ene storitve ali poslovne enote ne bi smeli predstavljati, kot da zajema vse izdelke, hčerinske družbe ali lokacije. Prav tako ne zagotavlja, da do incidentov nikoli ne bo prišlo, niti ne izkazuje skladnosti z vsemi veljavnimi zakoni.

Izbirajte glede na odločitev, ki jo mora podjetje sprejeti

Začnite z zunanjimi pričakovanji, nato preučite notranje operativne potrebe. Prodajne in nabavne ekipe prosite, naj ločijo, kaj stranke dejansko zahtevajo, od tega, kar jim je zgolj ljubše.

»Skladno z ISO 27001«, »certificirano po ISO 27001« in »usklajeno z NIST CSF« so različne trditve. Če pogodba zahteva certifikat, ocena po CSF tega besedila ne bo izpolnila. Če uprava potrebuje jasen načrt izboljšav, sam certifikat morda ne bo pojasnil, kam naj organizacija vlaga naprej.

Uporabite te točke odločanja:

• CSF izberite kot primarno strukturo za komunikacijo, kadar je takojšnja potreba vzpostaviti skupno izhodišče, primerjati trenutne in želene izide ter določiti prednosti naložb v kibernetsko varnost.
• ISO 27001 izberite kot primarno strukturo upravljanja, kadar organizacija potrebuje formalen ISMS z dosledno obravnavo tveganj, vrednotenjem in izboljševanjem.
• Certifikacijo pridobite, kadar neodvisno zagotovilo z opredeljenim obsegom služi dokumentiranemu cilju strank, pogodbe ali poslovanja.
• Uporabite oboje, kadar lahko ISMS upravlja izvedbo, medtem ko profili CSF vodstvu in deležnikom sporočajo načrtovane izide.

Zrela organizacija lahko CSF uporabi za ponovno oceno prednostnih nalog po prevzemu. Majhno podjetje lahko ISMS po ISO 27001 vzpostavi zgodaj, ker to zahtevajo pričakovanja pri nabavi. Velikost podjetja naj ne nadomesti razumevanja dejanske potrebe.

Noben pristop ne odpravi potrebe po ločeni analizi pravnih dolžnosti. Certifikat ISO na primer ne izkazuje skladnosti z GDPR ali NIS2. Veljavne pravne obveznosti naj vplivajo na oceno tveganj in izbiro kontrol, z lastnimi dokazi in odgovornostjo.

Vzpostavite en model izvedbe s pregledanimi preslikavami

Uporaba obeh pristopov ne bi smela pomeniti ustvarjanja dveh nepovezanih varnostnih programov. Kot praktično priporočilo izvedbo organizirajte okoli storitev, tveganj, kontrol, lastnikov in dokazov, nato pa to delo povežite z vsakim okvirom.

Uporaben zapis o izvedbi vsebuje naslednje:

Preslikave so »več proti več«. En proces odziva na incidente lahko podpira več izidov CSF in več zahtev ISMS. Nasprotno je lahko en izid odvisen od politik, tehničnih zaščitnih ukrepov, usposabljanja in ureditev z dobavitelji.

Pri odzivu na incidente CSF opisuje načrtovane zmogljivosti, kot sta usklajevanje odziva in analiza incidentov. ISMS doda ureditve upravljanja glede lastništva, obravnave tveganj, vrednotenja in izboljševanja. Zapis o vaji lahko podpira oboje, vendar ne dokazuje, da je izpolnjena vsaka preslikana zahteva.

Obseg in različice okvirov ohranite izrecne. Preslikave, razvite za produkcijsko storitev, ne uporabite za prevzeto hčerinsko družbo, ne da bi pregledali razlike. Naš vodnik po preslikavah med okviri pojasnjuje, kako deliti delo, ne da bi različne zahteve obravnavali kot enakovredne.

Primer: storitveno podjetje pred dvema zahtevama

Vzemimo ponazoritveno programsko podjetje z eno storitvijo za stranke. Predpostavimo, da uprava želi jasnejši načrt varnostnih naložb, potencialna stranka pa zahteva certifikacijo ISO 27001, ki zajema to storitev. To so hipotetične predpostavke, ne študija primera stranke.

Direktor imenuje odgovornega izvršnega pokrovitelja in vodjo varnosti prosi, naj predlaga obseg, ki vključuje delovanje storitve in relevantne podporne procese. Predlog opredeli infrastrukturo v oblaku, podporo strankam, razvoj, upravljanje identitet in zunanje ponudnike. Vodstvo preveri, ali se meja ujema z zahtevo stranke, namesto da bi izbralo najmanjši priročen obseg.

Ekipa pripravi trenutni profil CSF. Ugotovi, da so odobritve dostopa zabeležene, pregledi privilegiranega dostopa pa so nedosledni. Varnostne kopije obstajajo, dokazi o obnovitvi pa so nepopolni. Vloge pri incidentih so dokumentirane, stopnjevanje k dobaviteljem pa še ni bilo preizkušeno z vajo.

Ciljni profil določi tri prednostne naloge: dosledno upravljanje privilegiranega dostopa, izkazano zmožnost obnovitve in usklajen odziv na incidente. Ocena tveganj ISMS ovrednoti ustrezne poslovne posledice in določi odločitve o obravnavi.

Vodstvo pregleduje napredek glede na ciljni profil in cilje ISMS. Financira nerazrešene odvisnosti okrevanja in odloči, kako se bodo obravnavale začasne izjeme pri dostopu. Notranja presoja preveri sistem upravljanja in izvedbo; korektivni ukrepi se izvedejo pred certifikacijsko presojo.

Rezultat nista dva nabora posnetkov zaslona. Je en sklop dokazov o izvedbi, razložen glede na različne zahteve, z vidnim lastništvom in odločitvami vodstva.

Proračun za izvedbo in nadaljnje delovanje

NIST CSF je prosto dostopen, vendar njegova uporaba ni brezplačna. Oba pristopa zahtevata čas osebja za razumevanje tveganj, izboljšanje kontrol, zbiranje dokazov, usposabljanje ljudi in vzdrževanje praks. ISO 27001 dodatno vključuje nakup standarda in, kjer se zanjo odločite, stroške certifikacijskega organa.

Proračun zgradite okoli delovnih paketov, ne okoli predpostavljene tržne cene:

• Izhodiščna ocena in opredelitev obsega.
• Spremembe kontrol, vključno z inženirskim delom in delom z dobavitelji.
• Dokumentacija, pregled dokazov in usposabljanje osebja.
• Notranja presoja, vodstveni pregled in korektivni ukrepi.
• Zunanja certifikacijska presoja, kjer je potrebna.
• Ponavljajoče se lastništvo, spremljanje, vaje in ponovne ocene.

Ponudbe za certifikacijo zahtevajte za isti obseg, da jih lahko smiselno primerjate. Vprašajte, katere presoje, lokacije, nadaljnje delo in stroški so vključeni. Odpravo pomanjkljivosti kontrol ohranite ločeno od stroškov certifikacije: poceni ponudba za presojo ne naredi premalo financiranega varnostnega programa pripravljenega.

Poslovno vrednost ovrednotite na podlagi dokumentiranih zahtev strank in priložnosti, ne na podlagi obljube, da certifikacija samodejno prinese prihodke.

Izogibajte se trditvam, ki jih dokazi ne morejo podpreti

Pogoste napake so razglašanje »skladnosti z NIST« brez pojasnila profila in obsega, predstavljanje ozkega certifikata kot zagotovila za celotno podjetje ter obravnava preslikanih kontrol kot dokaza o učinkovitosti.

Druga napaka je merjenje uspeha zgolj po dokončanih dokumentih. Vodstvo naj se vpraša tudi, ali imajo pomembne storitve preizkušene poti okrevanja, ali imajo izjeme lastnike, ali se zapadle obravnave stopnjujejo in ali se prejšnje ugotovitve ponavljajo. Ta vprašanja povezujejo sistem upravljanja z operativno izvedbo.

Ni zagovorljivega univerzalnega odstotka, ki bi kazal, kako blizu je izvedba CSF skladnosti z ISO 27001. Obstoječe kontrole so morda ponovno uporabne, vendar je manjkajoče zahteve sistema upravljanja, razlike v obsegu in šibke dokaze še vedno treba oceniti.

Naslednji korak naj bo odločitev vodstva z opredeljenim obsegom

Pripravite kratek povzetek za odločanje, ki navaja zahtevani rezultat, predlagano mejo, pričakovanja strank, odgovornega pokrovitelja, glavne vrzeli in potrebne vire. Odločite, ali je naslednji mejnik pregledan profil CSF, delujoč ISMS ali pripravljenost na certifikacijo. Vsakemu mejniku dodelite merila sprejemljivosti, ki vključujejo dokaze, ne le dokončanih dokumentov.

Secani ta delovni tok podpira z modeliranjem sistemov in storitev, povezovanjem dokazov z zahtevami, kontrolami in odločitvami ter dodeljevanjem lastnikov in nalog pregleda. Ekipe lahko ohranijo povezave do virov, komentarje, odobritve in časovne žige, predloge, podprte z umetno inteligenco, pa obravnavajo kot osnutke, ki zahtevajo človeški pregled. Začnite z enim reprezentativnim obsegom in njegovimi obstoječimi dokazi, preden razširite pokritost.

Odgovornost vodstva ostaja izrecna: odobriti prednostne naloge, zagotoviti vire za delo in pregledati, ali dokazi podpirajo trditve, ki jih podjetje daje.