NIST Siber Güvenlik Çerçevesi Basitçe Açıklandı

On güvenlik profesyoneline NIST Siber Güvenlik Çerçevesi (CSF) nedir diye sorun ve on biraz farklı cevap alırsınız — bir kontrol listesi, bir olgunluk modeli, bir uyum zorunluluğu, ortak bir dil. Aslında tüm bunlar ve bunun nedenini anlamak, bunu yerine getirmesi gereken başka bir kutu olarak görmekten çok daha faydalıdır.

Gerçekte Hangi Sorunu Çözer?

CSF'den önce, kuruluşlar güvenlik duruşunu tanımlamak için önemli ölçüde farklı sözcük hazinelerine sahipti. Bir CISO'nun "iyi gidiyoruz" sözü bağlam olmaksızın hiçbir şey ifade etmiyordu. NIST, kuruluşlara — boyut, sektör veya mevcut olgunluk düzeyi ne olursa olsun — mevcut siber güvenlik duruşunu tanımlamak, hedef durumları belirlemek, boşlukları belirlemek ve riskleri yönetim kurulu ve yöneticiler gibi teknik olmayan paydaşlara iletmek için ortak bir yapı sağlamak amacıyla çerçeveyi geliştirdi.

Belirli araçlar veya teknolojiler hakkında gönüllü ve reçeteci değildir. Belirli bir EDR ürünü satın almanızı veya bir güvenlik duvarını belirli bir şekilde yapılandırmanızı söylemez. Bunun yerine, ulaşmanız gereken sonuçları açıklar ve oraya nasıl gideceğinizi seçmenize izin verir.

Temel İşlevler

CSF, siber riski yönetmenin tam yaşam döngüsünü temsil eden işlevler etrafında organize edilmiştir. Daha yeni 2.0 revizyonu, orijinal beşinin yanı sıra temel bir işlev olarak oturan Govern'ı ekledi:

• Govern — Kuruluşun siber güvenlik risk yönetimi stratejisini, rollerini, politikalarını ve gözetimini kurun ve izleyin. Bu en yeni ek olup, siber güvenliğin ne kadar yönetişim ve işletme riski sorunu haline geldiğini yansıtır, yalnızca teknik bir sorun değil.
• Identify — Varlıklarınızı, verilerinizi, sistemlerinizi ve karşı karşıya oldukları riskleri anlayın. Var olduğunu bilmediğiniz şeyi korumazsınız.
• Protect — Koruyucu önlemler uygulayın: erişim kontrolü, farkındalık eğitimi, veri güvenliği ve bakım prosedürleri.
• Detect — Anormallikleri ve güvenlik olaylarını zamanında fark etme yeteneği geliştirin.
• Respond — Algılanan olayları kontrol altına alın ve hafifletin; iletişim planlarını dahil edin.
• Recover — Bir olay sırasında hasara uğrayan yetenekleri ve hizmetleri geri yükleyin ve öğrenilen dersleri programa geri besleyin.

Her işlev, belirli sonuçlar gibi kategorilere ve alt kategorilere daha da bölünür