NIST RMF, ISO 27001 ja CIS Controls

Tietoturvakehykset ovat jäsenneltyjä ohjeiden, parhaiden käytäntöjen ja kontrollien kokonaisuuksia, jotka auttavat organisaatioita rakentamaan ja ylläpitämään tehokkaita tietoturvaohjelmia. Sen sijaan, että kaikki aloitettaisiin tyhjästä, kehykset tarjoavat hyväksi havaitun menetelmän, jota voidaan mukauttaa organisaation kokoon, toimialaan ja riskiprofiiliin. Security+ -kokeessa keskitytään kolmeen laajasti käytettyyn kehykseen: NIST RMF, ISO 27001 ja CIS Controls — joista kukin lähestyy tietoturvaa eri näkökulmasta.

NIST Risk Management Framework (NIST SP 800-37) on kuusivaiheinen elinkaari liittovaltion tietojärjestelmien tietoturva- ja tietosuojariskien hallintaan, vaikka sitä käytetään laajasti myös yksityisellä sektorilla. Kuusi vaihetta ovat: Categorize (järjestelmän ja tietojen arkaluonteisuus), Select (sopivat kontrollit julkaisusta SP 800-53), Implement (kontrollien käyttöönotto), Assess (tehokkuuden testaaminen), Authorize (valtuuttavan viranomaisen tekemä ATO-päätös) ja Monitor (jatkuva valvonta). RMF korostaa jatkuvaa valtuutusta yksittäisenä ajankohtana tehtävien sertifiointien sijaan.

NIST SP 800-53 on kontrolliluettelo, johon RMF:n Select-vaihe perustuu. Se järjestää satoja tietoturva- ja tietosuojakontrolleja 20 perheeseen, kuten Access Control (AC), Audit and Accountability (AU), Incident Response (IR) sekä System and Communications Protection (SC). Kontrolleihin on merkitty perustason määritykset (Low, Moderate, High), jotka vastaavat järjestelmän FIPS-199-vaikutustasoa, joten organisaatiot voivat valita riskiluokkaansa sopivan kontrollijoukon.

ISO/IEC 27001 on kansainvälinen standardi tietoturvallisuuden hallintajärjestelmille (ISMS). NISTistä poiketen (joka keskittyy Yhdysvaltoihin) ISO 27001 tunnetaan maailmanlaajuisesti, ja organisaatiot voivat hankkia virallisen kolmannen osapuolen myöntämän sertifioinnin — mikä on arvokasta asiakasluottamuksen ja kansainvälisten sopimusten kannalta. Standardi noudattaa Plan-Do-Check-Act (PDCA) -sykliä ja keskittyy tietoturvan ympärille rakennettavaan hallintajärjestelmään yksittäisten teknisten kontrollien määrittämisen sijaan.

ISO 27001:2022 -standardin liite A sisältää 93 kontrollia, jotka on järjestetty neljään teemaan: Organizational (37 kontrollia — käytännöt, roolit, toimittajasuhteet), People (8 kontrollia — rekrytointi, koulutus, työsuhteen päättäminen), Physical (14 kontrollia — toimitilat, laitteet) ja Technological (34 kontrollia — pääsynhallinta, haittaohjelmat, salaus, lokikirjaus). Kaikkia kontrolleja ei tarvitse ottaa käyttöön — organisaatiot valitsevat sovellettavat kontrollit sovellettavuuslausumansa (SoA) perusteella ja perustelevat kaikki pois jätetyt kontrollit.

CIS Critical Security Controls (aiemmin SANS Top 20) on Center for Internet Securityn kehittämä 18 priorisoidun kontrolliryhmän kokonaisuus. Ne ovat erittäin käytännönläheisiä ja toimintaan suuntautuneita, ja ne on suunniteltu otettaviksi käyttöön heti pitkän aikavälin ohjelmahallinnan sijaan. CIS Controls on järjestetty kolmeen Implementation Group -ryhmään (IG): IG1 (olennainen kyberhygienia, 56 suojaustoimenpidettä), IG2 (lisää 74 suojaustoimenpidettä monimutkaisempiin ympäristöihin) ja IG3 (kaikki 153 suojaustoimenpidettä kypsille organisaatioille, jotka kohtaavat kehittyneitä uhkia).

CIS Controls määrittää korkean tason tasolla, mitä tehdään; CIS Benchmarks määrittää, miten se tehdään tietyillä alustoilla. CIS Benchmarks tarjoaa ohjailevat, vaiheittaiset kovennusohjeet käyttöjärjestelmille (Windows, Linux), pilvialustoille (AWS, Azure, GCP), verkkolaitteille, selaimille ja tietokannoille. Ne voi ladata maksutta, ja niitä käytetään laajasti CIS Control 4:n (Secure Configuration) teknisenä määrityksenä. Chef-, Ansible- ja InSpec-ohjelmistojen kaltaiset automaatiotyökalut voivat soveltaa CIS Benchmarks -määrityksiä suuressa mittakaavassa.

Kukin kehys palvelee eri ensisijaista tarvetta. NIST RMF sopii parhaiten Yhdysvaltain hallinnolle ja puolustusalan sopimuskumppaneille, jotka tarvitsevat muodollisia valtuutusprosesseja. ISO 27001 sopii parhaiten organisaatioille, jotka haluavat kansainvälisesti tunnustetun sertifioinnin osoittaakseen tietoturvansa asiakkaille. CIS Controls sopii parhaiten organisaatioille, jotka etsivät priorisoituja ja käytännönläheisiä toimenpiteitä puolustuksen nopeaan parantamiseen. Monet kypsät organisaatiot käyttävät kaikkia kolmea: CIS Controlsia päivittäiseen toimintaan, NIST RMF:ää riskien hallinnointiin ja ISO 27001:tä asiakkaille suunnattuun sertifiointiin.

Security+ -kokeessa käsitellään myös muita kehyksiä. COBIT (Control Objectives for Information Technologies) keskittyy IT-hallintoon ja tietoturvan yhteensovittamiseen liiketoimintatavoitteiden kanssa. SOC 2 on palveluntarjoajien auditointistandardi, jossa arvioidaan tietoturvaa, saatavuutta, luottamuksellisuutta, käsittelyn eheyttä ja tietosuojaa. PCI-DSS on maksukorttiympäristöille tarkoitettu yksityiskohtainen vaatimustenmukaisuusstandardi. Näiden kehysten ymmärtäminen auttaa teitä puhumaan eri toimialojen ja sääntely-ympäristöjen käyttämää kieltä.

Kun valitsette kehystä, huomioikaa: sääntelyvaatimus (HIPAA edellyttää soveltuvien suojaustoimien käsittelyä; FedRAMP edellyttää NISTiä), asiakasvaatimukset (yritysasiakkaat voivat edellyttää ISO 27001 -sertifiointia), organisaation kypsyys (CIS IG1 sopii pienille organisaatioille, jotka ovat vasta aloittamassa) ja toimiala (rahoituspalvelut voivat edellyttää NIST CSF:ää tai SOC 2:ta). Yhdestä kehyksestä aloittaminen ja laajentaminen on parempi vaihtoehto kuin kaikkien kehysten samanaikainen käyttöönotto, sillä se kuormittaa pienempiä tiimejä liikaa.

Kaikkia kolmea kehystä yhdistää sitoutuminen jatkuvaan parantamiseen. NIST RMF:n Monitor-vaihe ohjaa jatkuvaa kontrollien testaamista. ISO 27001:n Act-vaihe edellyttää korjaavia toimenpiteitä ja parannussuunnitelmia. CIS Controlsia versioidaan ja päivitetään uhkaympäristön kehittyessä (nykyinen versio on 8.1). Tietoturvaohjelmat, joissa kehyksiä käsitellään kertaluonteisena vaatimustenmukaisuusharjoituksena, jäävät nopeasti jälkeen — kehykset on suunniteltu eläviksi ohjelmiksi, jotka kypsyvät ajan myötä organisaation valmiuksien ja uusien uhkien rinnalla.

Tässä oppitunnissa opit, että NIST RMF tarjoaa kuusivaiheisen riskienhallinnan elinkaaren (Categorize, Select, Implement, Assess, Authorize, Monitor) SP 800-53 -kontrolleineen, ISO 27001 on PDCA-malliin perustuva maailmanlaajuisesti sertifioitava ISMS-standardi, jonka liitteessä A määritellään kontrollit, ja CIS Controls tarjoaa 18 priorisoitua kontrolliryhmää kolmessa käyttöönottoryhmässä käytännönläheisiä ja konkreettisia tietoturvaparannuksia varten. Seuraavaksi tutustumme tietojen luokittelumalleihin ja tietosuojavaatimuksiin.