Risikoframeworks: NIST CSF og ISO 27001

Identifikation omfatter aktivforvaltning, risikovurdering, strategi for risikostyring og risikostyring i forsyningskæden. Du kan ikke beskytte det, du ikke ved, at du har. Komplette fortegnelser over aktiver og risikovurderinger er grundlaget for alle efterfølgende sikkerhedskontroller.

Beskyttelse omfatter adgangskontrol, oplæring, datasikkerhed, hærdning af processer og vedligeholdelse. Opdagelse omfatter anomalier, sikkerhedshændelser og løbende overvågning. En moden opdagelsesfunktion forhindrer lange opholdstider for angribere ved hurtigt at opdage indtrængen.

Reaktion definerer planlægning af hændelseshåndtering, kommunikation, analyse, afhjælpning og forbedringer. Genoprettelse omfatter planlægning af genoprettelse, forbedringer og kommunikation. Afprøvning af planer for hændelseshåndtering og genoprettelsesprocedurer sikrer, at de fungerer, når der er brug for dem.

ISO 27001 er en international standard for ledelsessystemer for informationssikkerhed (ISMS). Den angiver krav til etablering, implementering, vedligeholdelse og løbende forbedring af et ISMS. ISO 27001-certificering dokumenterer over for kunder og tilsynsmyndigheder, at sikkerheden er valideret af en tredjepart.

Bilag A i ISO 27001:2022 indeholder 93 kontroller, som er organiseret i fire temaer: organisatoriske (37 kontroller), personale (8), fysiske (14) og teknologiske (34). Bilag A er et udvalg – vælg de kontroller, der passer til din risikoprofil, via erklæringen om anvendelse (SoA).

Risikobehandlingsprocessen for et ISMS omfatter følgende: identificér aktiver, identificér trusler og sårbarheder, vurder sandsynlighed og konsekvens, vælg behandling (acceptér, undgå, overfør eller afhjælp), vælg kontroller fra bilag A, og dokumentér det i SoA. Årlige gennemgange af risikovurderingen holder ISMS'et ajour.

NIST CSF er et rammeværk til organisering og forbedring af cybersikkerhedspraksis – ikke en certificeringsstandard. ISO 27001 er en certificerbar standard med et defineret ISMS-omfang og en tredjepartsrevision. Mange organisationer bruger begge: NIST CSF til operationel vejledning og ISO 27001 til certificering og kundernes tillid.

NIST CSF definerer fire modenhedsniveauer (delvist → risikoinformeret → gentageligt → adaptivt). CMMI's sikkerhedsmodenhedsniveauer kan sammenlignes hermed. Brug modenhedsvurderinger til at identificere mangler og fastlægge udviklingsplaner med målbar fremgang i etaper mod højere sikkerhedsmodenhed.

NIST CSF og ISO 27001 kan knyttes til større regelsæt: PCI-DSS, HIPAA, GDPR, SOC 2 og NIST 800-53. Brug af et rammeværk forenkler overholdelse af flere regelsæt: Hvis du dokumenterer en NIST CSF-kontrol under Beskyttelse, opfylder den typisk tilsvarende krav i flere regelsæt samtidig.

NIST CSF og ISO 27001 tilbyder supplerende tilgange til sikkerhedsstyring. NIST CSF organiserer sikkerhedsaktiviteter på tværs af Styring, Identifikation, Beskyttelse, Opdagelse, Reaktion og Genoprettelse som operationel vejledning, mens ISO 27001 giver et certificerbart ISMS-rammeværk med en formel risikobehandlingsproces og et kontrolkatalog i bilag A.