NIST CSF och ISO 27001: välj rätt roll i verksamheten

NIST CSF och ISO 27001 hjälper organisationer att strukturera säkerhetsarbetet, men de fyller olika roller i verksamheten. Ledningens beslut blir tydligare när man frågar vilket resultat verksamheten behöver: en gemensam bild av prioriteringarna inom cybersäkerhet, ett formellt styrt informationssäkerhetsprogram, oberoende försäkran för kunder eller en kombination av dessa.

Att välja ett ramverk flyttar inte ansvaret bort från ledningen. Ledningen måste fortfarande fastställa omfång, finansiera förbättringar, utse ägare och besluta vilka kvarstående risker verksamheten ska acceptera. Den användbara frågan är därför inte ”Vilket ramverk är bäst?” utan ”Vilken roll ska vart och ett spela i hur vi bedriver säkerhetsarbetet och visar det?”

Jämför resultaten, inte bara kontrollistorna

NIST Cybersecurity Framework, för närvarande CSF 2.0, beskriver resultat inom cybersäkerhet. Det ger tekniska team och ledning ett gemensamt språk för att diskutera risker, förmågor och prioriteringar utan att föreskriva ett och samma genomförande för alla organisationer.

ISO/IEC 27001 specificerar krav på ett ledningssystem för informationssäkerhet, ett ISMS. Systemet fastställer hur en organisation identifierar informationssäkerhetsrisker, väljer behandlingar, fördelar ansvar, utvärderar prestanda och förbättrar sig. Oberoende certifiering kan ge försäkran om att ledningssystemet överensstämmer med kraven inom sitt definierade omfång.

Båda kan användas av organisationer av olika storlek och mognad. NIST CSF är inte bara till för nybörjare eller amerikanska företag, och ISO 27001 är inte förbehållet stora internationella koncerner. Mognaden påverkar den insats som krävs, inte om tillvägagångssättet i grunden är lämpligt.

Vad NIST CSF bidrar med till ledningens beslut

CSF 2.0 organiserar resultaten i sex funktioner. De verkar tillsammans; de är inte sex projektfaser som avslutas permanent i tur och ordning.

Govern är särskilt viktig för ledningen. Den kopplar cybersäkerhet till affärsmål, ansvarsskyldighet, policy och tillsyn. Den förhindrar att säkerhet blir en teknisk backlog utan någon uttrycklig ägare i verksamheten.

Omvandla resultat till en investeringsplan

En Current Profile beskriver de cybersäkerhetsresultat som organisationen uppnår i dag. En Target Profile beskriver de resultat den vill uppnå, utifrån sina mål, hot, skyldigheter och intressenters förväntningar. Glappet mellan dem ger en grund för att prioritera arbetet.

Ett företag kan till exempel ha säkerhetskopior men få belägg för att den viktigaste tjänsten kan återställas under realistiska förhållanden. Det användbara glappet är inte bara ”återställning ofullständig”. Det är ett definierat resultat, en påverkad tjänst, en ägare, en föreslagen återställningsövning och ett beslut om vilken störning som är acceptabel.

CSF Tiers beskriver egenskaper hos styrningen och hanteringen av cybersäkerhetsrisker. De ger sammanhang för diskussioner om stringens och konsekvens; de är inte certifieringsbetyg eller en universell mognadspoäng som varje organisation måste maximera.

CSF är i sig inte en certifieringsstandard i ISO:s mening. En organisation kan beställa en bedömning och underbygga sin profil med belägg, men bör inte framställa det som att NIST utfärdar en certifiering. Affärsvärdet kommer från bedömningens tydlighet och de förbättringar den driver fram.

Vad ISO 27001 tillför verksamhetens styrning

ISO 27001 fokuserar på ett avgränsat ledningssystem. Avsnitt 4–10 behandlar organisationens kontext, ledarskap, planering, stöd, verksamhet, utvärdering av prestanda och förbättring. Att införa standarden innebär att etablera en fungerande ledningscykel, inte bara att sammanställa policyer åt en revisor.

Informationssäkerhet omfattar konfidentialitet, riktighet och tillgänglighet. Konfidentialitet handlar om lämplig åtkomst; riktighet handlar om korrekthet, fullständighet och skydd mot otillbörliga ändringar; tillgänglighet handlar om behörig åtkomst när den behövs. Riktighet betyder inte att information aldrig får ändras: legitima ändringar kräver lämpligt godkännande och kontroll.

ISMS:et tillämpar dessa aspekter genom riskbedömning och riskbehandling. Det är ingen generell instruktion att införa varje tänkbar säkerhetsteknik.

Håll isär ISMS:ets huvudleveranser

Flera dokument är nära besläktade men besvarar olika frågor:

• Omfång: Vilka verksamheter, platser, information, system och gränssnitt omfattas av ISMS:et?
• Riskbedömning: Vad kan hända, hur betydande skulle det vara och hur görs den bedömningen konsekvent?
• Riskbehandlingsplan: Vilka åtgärder ska hantera identifierade risker, vem äger dem och vilka godkännanden krävs?
• Uttalande om tillämplighet (Statement of Applicability): Vilka nödvändiga kontroller ingår, varför ingår de, är de införda och varför utesluts eventuella kontroller i bilaga A?
• Internrevision: Överensstämmer ISMS:et med tillämpliga krav och fungerar det effektivt, enligt en granskning med lämplig opartiskhet?
• Ledningens genomgång: Beaktar ledningen prestanda, förändringar, iakttagelser och förbättringsbehov och fattar beslut utifrån dem?

Ett riskregister ersätter inte ett uttalande om tillämplighet. Ett ledningsmöte utgör inte automatiskt en ledningens genomgång. Varje leverans behöver sitt eget syfte, sina egna underlag och dokumenterade slutsatser.

Bilaga A i ISO 27001:2022 innehåller 93 kontroller grupperade i organisatoriska, personrelaterade, fysiska och tekniska kategorier. Tillämpligheten är riskbaserad. Organisationer fastställer nödvändiga kontroller och jämför dem med bilaga A för att inga nödvändiga kontroller ska förbises; de kan behöva kontroller utöver denna referensuppsättning. ISO 27002 ger vägledning för införandet av kontrollerna.

Vår guide till bilaga A förklarar kontrollstrukturen mer ingående. För ledningen är huvudpoängen att en ifylld checklista inte är detsamma som ett fungerande ISMS.

Förstå vad certifieringen visar

Certifiering är frivillig om inte ett avtal eller en annan tillämplig skyldighet kräver den. En organisation kan driva ett ISMS utan att söka certifikat.

Där certifiering behövs bedömer ett oberoende certifieringsorgan ISMS:et; ISO utfärdar inte certifikatet. En första certifiering omfattar i regel en första granskning av beredskap och dokumenterade arrangemang, följd av en andra bedömning av genomförandet. Att upprätthålla certifieringen innebär löpande bedömning och omcertifiering enligt certifieringsorganets villkor.

Läs omfånget innan ni förlitar er på ett certifikat. En certifiering av en tjänst eller affärsenhet bör inte framställas som att den omfattar varje produkt, dotterbolag eller plats. Den garanterar inte heller att incidenter aldrig inträffar och fastställer inte efterlevnad av varje tillämplig lag.

Välj utifrån det beslut verksamheten måste fatta

Börja med de externa förväntningarna och granska sedan de interna driftbehoven. Be sälj- och inköpsteamen att skilja mellan vad kunderna faktiskt kräver och vad de bara föredrar.

”Överensstämmer med ISO 27001”, ”certifierad enligt ISO 27001” och ”i linje med NIST CSF” är olika påståenden. Om ett avtal kräver ett certifikat uppfyller en CSF-bedömning inte den formuleringen. Om styrelsen behöver en tydlig förbättringsplan förklarar ett certifikat ensamt kanske inte var organisationen bör investera härnäst.

Använd dessa beslutspunkter:

• Välj CSF som primär kommunikationsstruktur när det omedelbara behovet är att etablera en gemensam utgångspunkt, jämföra nuvarande och önskade resultat och prioritera investeringar i cybersäkerhet.
• Välj ISO 27001 som primär ledningsstruktur när organisationen behöver ett formellt ISMS med konsekvent riskbehandling, utvärdering och förbättring.
• Satsa på certifiering när en avgränsad oberoende försäkran tjänar ett dokumenterat kund-, avtals- eller affärsmål.
• Använd båda när ISMS:et kan styra genomförandet medan CSF-profilerna kommunicerar de avsedda resultaten till ledningen och intressenterna.

En mogen organisation kan använda CSF för att ompröva prioriteringarna efter ett förvärv. Ett litet företag kan etablera ett ISMS enligt ISO 27001 tidigt eftersom upphandlingsförväntningar kräver det. Undvik att låta företagets storlek ersätta förståelsen av det faktiska behovet.

Inget av tillvägagångssätten tar bort behovet av att analysera rättsliga skyldigheter separat. Ett ISO-certifikat fastställer till exempel inte efterlevnad av GDPR eller NIS2. Tillämpliga rättsliga skyldigheter bör påverka riskbedömningen och valet av kontroller, med egna belägg och eget ansvar.

Etablera en genomförandemodell med granskade mappningar

Att använda båda tillvägagångssätten bör inte innebära att skapa två frånkopplade säkerhetsprogram. Som en praktisk rekommendation, organisera genomförandet kring tjänster, risker, kontroller, ägare och belägg och relatera sedan arbetet till varje ramverk.

En användbar genomförandepost innehåller följande:

Mappningar är många-till-många. En process för incidenthantering kan stödja flera CSF-resultat och flera ISMS-krav. Omvänt kan ett resultat bero på policyer, tekniska skydd, utbildning och leverantörsarrangemang.

För incidenthantering beskriver CSF avsedda förmågor som att samordna hanteringen och analysera incidenter. ISMS:et lägger till ledningsarrangemang kring ägarskap, riskbehandling, utvärdering och förbättring. En övningsrapport kan stödja båda, men den bevisar inte att varje mappat krav har uppfyllts.

Håll omfång och ramverksversioner tydliga. Tillämpa inte en mappning som tagits fram för en produktionstjänst på ett förvärvat dotterbolag utan att granska skillnaderna. Vår guide till mappning mellan ramverk förklarar hur man delar arbete utan att behandla olika krav som likvärdiga.

Räkneexempel: ett tjänsteföretag med två krav

Tänk dig ett illustrativt mjukvaruföretag med en kundnära tjänst. Anta att styrelsen vill ha en tydligare investeringsplan för säkerhet och att en presumtiv kund kräver en ISO 27001-certifiering som omfattar tjänsten. Detta är hypotetiska antaganden, inte en kundfallstudie.

VD utser en ansvarig sponsor i ledningen och ber säkerhetsansvarig att föreslå ett omfång som omfattar tjänstens drift och relevanta stödprocesser. Förslaget identifierar molninfrastruktur, kundsupport, utveckling, identitetsadministration och externa leverantörer. Ledningen kontrollerar att avgränsningen motsvarar kundens krav i stället för att välja det minsta bekväma omfånget.

Teamet tar fram en CSF Current Profile. Den visar att godkännanden av åtkomst dokumenteras men att granskningar av privilegierad åtkomst är ojämna. Säkerhetskopior finns, men beläggen för återställning är ofullständiga. Incidentroller är dokumenterade, men eskalering till leverantörer har inte övats.

Target Profile fastställer tre prioriteringar: konsekvent styrning av privilegierad åtkomst, påvisad återställningsförmåga och samordnad incidenthantering. ISMS:ets riskbedömning utvärderar motsvarande affärskonsekvenser och fastställer behandlingsbeslut.

Ledningen följer upp framstegen mot Target Profile och ISMS-målen. Den finansierar olösta beroenden för återställning och beslutar hur tillfälliga undantag för åtkomst ska hanteras. Internrevisionen kontrollerar ledningssystemet och genomförandet; korrigerande åtgärder hanteras före certifieringsbedömningen.

Resultatet är inte två uppsättningar skärmdumpar. Det är en samlad mängd belägg för genomförandet, tolkad mot olika krav, med synligt ägarskap och synliga ledningsbeslut.

Budgetera för införande och fortsatt drift

NIST CSF är fritt tillgängligt, men att tillämpa det är inte kostnadsfritt. Båda tillvägagångssätten kräver personaltid för att förstå risker, förbättra kontroller, samla belägg, utbilda personal och upprätthålla arbetssätt. ISO 27001 innebär dessutom kostnader för att köpa standarden och, om certifiering eftersträvas, avgifter till certifieringsorganet.

Bygg budgeten kring arbetspaket i stället för ett antaget marknadspris:

• Grundläggande bedömning och definition av omfång.
• Ändringar av kontroller, inklusive utvecklings- och leverantörsarbete.
• Dokumentation, granskning av belägg och utbildning av personal.
• Internrevision, ledningens genomgång och korrigerande åtgärder.
• Extern certifieringsbedömning, där det behövs.
• Återkommande ägarskap, övervakning, övningar och omprövning.

Begär certifieringsofferter för samma omfång så att de kan jämföras på ett meningsfullt sätt. Fråga vilka bedömningar, platser, uppföljningsarbete och utlägg som ingår. Håll åtgärder av kontroller åtskilda från certifieringsavgifter: en billig revisionsoffert gör inte ett underfinansierat säkerhetsprogram redo.

Utvärdera det kommersiella värdet utifrån dokumenterade kundkrav och affärsmöjligheter, inte ett löfte om att certifiering automatiskt ger intäkter.

Undvik påståenden som beläggen inte kan stödja

Vanliga misstag är att deklarera ”NIST compliance” utan att förklara profilen och omfånget, att framställa ett snävt certifikat som en försäkran för hela företaget och att behandla mappade kontroller som bevis på effektivitet.

Ett annat misstag är att mäta framgång enbart i färdigställda dokument. Ledningen bör också fråga om viktiga tjänster har testade återställningsvägar, om undantag har ägare, om försenade behandlingar eskaleras och om tidigare iakttagelser återkommer. Dessa frågor kopplar ledningssystemet till den operativa prestandan.

Det finns ingen försvarbar universell procentsats som visar hur nära ett CSF-genomförande är överensstämmelse med ISO 27001. Befintliga kontroller kan gå att återanvända, men saknade krav på ledningssystemet, skillnader i omfång och svaga belägg behöver fortfarande bedömas.

Gör nästa steg till ett avgränsat ledningsbeslut

Skapa ett kort beslutsunderlag som anger det resultat som krävs, föreslagen avgränsning, kundernas förväntningar, ansvarig sponsor, större luckor och de resurser som behövs. Besluta om nästa milstolpe är en granskad CSF-profil, ett fungerande ISMS eller beredskap för certifiering. Ge varje milstolpe godkännandekriterier som omfattar belägg, inte bara färdigställda dokument.

Secani stöder detta arbetsflöde genom att modellera system och tjänster, koppla belägg till krav, kontroller och beslut samt tilldela ägare och granskningsuppgifter. Teamen kan bevara källänkar, kommentarer, godkännanden och tidsstämplar och samtidigt behandla AI-assisterade förslag som utkast som kräver mänsklig granskning. Börja med ett representativt omfång och dess befintliga belägg innan ni utökar täckningen.

Ledningens ansvar förblir tydligt: godkänn prioriteringarna, tillsätt resurser för arbetet och granska om beläggen stöder de påståenden verksamheten gör.