NIST Cybersecurity Framework (CSF) 2.0

Що це таке

NIST Cybersecurity Framework (CSF) 2.0 - добровільна таксономія результатів кібербезпеки високого рівня, опублікована Національним інститутом стандартів і технологій США, яку "any organization... regardless of its size, sector, or maturity" може використовувати, щоб зрозуміти, оцінити, розставити пріоритети і повідомити свій ризик кібербезпеки. Він не приписує, як результат має бути досягнутий і в якому порядку; описує, що охоплює добре ведена програма кібербезпеки, а як - лишає окремому, постійно оновлюваному набору мережевих ресурсів.

До цієї версії документ називався "Framework for Improving Critical Infrastructure Cybersecurity," назва, про яку документ прямо каже "is not used for CSF 2.0." Перегляд 2.0 розширює рамку від критичної інфраструктури на будь-яку організацію і додає GOVERN, нову Function, поставлену в центр моделі, бо рішення з управління задають пріоритети для інших п'яти.

Шість Functions

CSF Core (Appendix A) організовує результати під шістьма Functions, кожну поділено на Categories і далі на Subcategories, що описують результат, а не процедуру:

• GOVERN (GV): організаційний контекст, стратегія управління ризиками, ролі й обов'язки, політика, нагляд і окрема категорія Cybersecurity Supply Chain Risk Management. Конкретно це означає цілі управління ризиками, узгоджені зацікавленими сторонами організації, політику, яку "reviewed, updated, communicated, and enforced" у міру зміни обставин, і постачальників, яких знають, ранжують за критичністю і зв'язують вимогами кібербезпеки, вбудованими в контракти.
• IDENTIFY (ID): управління активами, оцінювання ризику і поліпшення. Інвентаризації обладнання, програмного забезпечення, послуг і даних; уразливості, які "identified, validated, and recorded"; критичних постачальників оцінюють перед закупівлею.
• PROTECT (PR): контроль ідентичності та доступу, обізнаність і навчання, безпека даних, безпека платформи і стійкість технологічної інфраструктури. Дозволи доступу, що "incorporate the principles of least privilege and separation of duties," персонал навчений і загалом, і в спеціалізованих ролях, і резервні копії, які "created, protected, maintained, and tested."
• DETECT (DE): безперервний моніторинг і аналіз несприятливих подій. Мережі, фізичне середовище, діяльність персоналу і зовнішніх надавачів послуг усі моніторять "to find potentially adverse events," з кореляцією інформації з джерел перш ніж оголосити інцидент.
• RESPOND (RS): управління інцидентами, аналіз, звітування і пом'якшення. План реагування на інциденти "executed in coordination with relevant third parties once an incident is declared," інциденти стримують і викорінюють.
• RECOVER (RC): виконання плану відновлення і комунікація відновлення. Частину відновлення плану реагування на інциденти виконують, щойно її ініційовано, і цілісність відновлених активів і резервних копій перевіряють, перш ніж знову на них покладатися.

Profiles і Tiers

Над Core сидять два механізми. Organizational Profile (Current і/або Target) записує, які результати організація досягає зараз і які пріоритезувала на потім, із охопленням настільки широким чи вузьким, наскільки організація обере: ціла організація або щось настільки конкретне, як "countering ransomware threats and handling ransomware incidents involving those financial systems." Tiers тоді характеризують, наскільки суворі насправді практики управління і управління ризиками організації, від Partial (Tier 1: ситуативні, "generally unaware of the cybersecurity risks associated with its suppliers") до Adaptive (Tier 4: на всю організацію і постійно поліпшувані). Жоден не оцінюють щодо порогу проходження; вони описують стан, і розрив між Current і Target Profile стає власним планом дій організації.

Кому це має бути небайдуже і коли

Документ називає "individuals responsible for developing and leading cybersecurity programs" як основну аудиторію, розширюючи до керівників, рад директорів, фахівців із закупівель, менеджерів ризиків і тих, хто формує і впливає на політику. Ніщо в CSF не створює зобов'язання самим існуванням: його "may be adopted voluntarily and through governmental policies and mandates," і на практиці постачальник часто виконує його тому, що замовник, який уже прийняв CSF, викладає свої "requirements and expectations to suppliers, partners, and other third parties as a target for those parties to achieve" через Target Profile.

NIST - федеральне агентство США, але CSF прямо каже, що його "taxonomy and referenced standards, guidelines, and practices are not country-specific," і зазначає, що попередні версії "have been leveraged successfully by many governments and other organizations both inside and outside of the United States."

Що вирізняється

Subcategories описують результати, а не процедури, і CSF сам не дає жодного як: це делеговано Informative References, Implementation Examples і Quick-Start Guides, розміщеним у мережі і переглянутим за власним графіком, окремо від цього документа. Нумерація всередині Core також навмисно не послідовна: прогалини в нумерації позначають, куди Subcategory CSF 1.1 перенесли в 2.0, а не помилку.

Як це оцінюють

Сертифікації щодо CSF немає. Документ не називає органу акредитації, режиму урядового нагляду чи нотифікованого органу; він просто його не описує. Натомість описує самооцінювання: організація документує поточну і цільову позицію, з'ясовує розриви і відстежує результат через власний план дій (реєстр ризиків, детальний звіт про ризики або Plan of Action and Milestones), який переглядають як частину власного постійного управління ризиками.

Єдине місце, куди входить третя сторона, - контрактне, а не офіційне: замовник або партнер, що прийняв CSF, може тримати постачальника до Target Profile як заявленого очікування. Що той замовник тоді перевіряє - те, що задає Target Profile, бо сам CSF не ставить оцінки проходження. Регулятор або агентство, що прийняло CSF через власну політику, перевіряє щодо тієї політики, а не щодо цього документа.

Стандарти, на які посилається

Власна Risk Management Framework NIST (NIST SP 800-37) і каталог заходів безпеки (NIST SP 800-53) названі як пара, яку CSF доповнює для організації, що вже їх застосовує. [NIST SP 800-30](/standards/nist-sp-800-30), настанова з оцінювання ризику, і [NIST AI RMF](/standards/nist-ai-rmf), що використовує ту саму структуру Function/Category/Subcategory для ризику, специфічного для ШІ, названі безпосередньо. NIST Privacy Framework, SP 800-161r1 (ризик ланцюга постачання), SP 800-221 і SP 800-221A (корпоративний ризик ІКТ) і NIST IR 8286 A-D (корпоративне управління ризиками) кожен названий для конкретної точки інтеграції; жоден ще не в нашому каталозі, тож їх названо тут, а не з посиланням.

Запросити доступ до цього стандарту

Розкажіть, як ви плануєте працювати з NIST CSF 2.0 і що вам від нього потрібно. Ми зв'яжемося з вами та повідомимо, чим тут може допомогти ComplyTrain.