NIST Cybersecurity Framework — простим мовою

Запитайте десять фахівців з безпеки, що таке NIST Cybersecurity Framework (CSF), і ви отримаєте десять трохи різних відповідей — контрольний список, модель зрілості, вимогу комплайансу, спільну мову. Насправді це все разом, і розуміння причин робить його набагато корисніше, ніж просто відмітити його як ще один пункт в списку.

Яку проблему він насправді вирішує?

До CSF організації мали кардинально різну термінологію для опису стану кібербезпеки. «У нас це йде нормально» від CISO нічого не означало без контексту. NIST розробив фреймворк, щоб дати організаціям — незалежно від розміру, сектора чи наявного рівня зрілості — спільну структуру для описання поточного стану кібербезпеки, визначення цільових станів, виявлення прогалин та комунікації ризиків нетехнічним зацікавленим сторонам, як-от правління та керівництво.

Він добровільний і не прописує конкретні інструменти чи технології. Він не наказує вам купувати якийсь конкретний EDR продукт чи налаштовувати файрвол певним способом. Натомість він описує результати, яких ви повинні досягти, і дозволяє вам вибрати, як це зробити.

Основні функції

CSF організований навколо функцій, які представляють повний цикл управління кіберризиком. Новіша редакція 2.0 додала Govern як фундаментальну функцію поряд з п'ятьма оригінальними:

• Govern — Встановити та контролювати стратегію управління кіберризиком організації, ролі, політики та нагляд. Це найновіша додатків і відображає те, як багато кібербезпека стала проблемою управління та бізнес-ризику, а не лише технічною.
• Identify — Розуміти ваші активи, дані, системи та ризики, яким вони піддаються. Ви не можете захистити те, що не знаєте, що існує.
• Protect — Впровадити засоби захисту: контроль доступу, навчання обізнаності, безпека даних та процедури обслуговування.
• Detect — Розвинути здатність виявляти аномалії та eventi безпеки своєчасно.
• Respond — Локалізувати та зменшити інциденти після їх виявлення, включаючи плани комунікації.
• Recover — Відновити можливості та послуги, порушені під час інциденту, та повернути набуті уроки до програми.

Кожна функція розбивається далі на категорії та підкатегорії — конкретні результати, як-от