Kerangka Risiko: NIST CSF dan ISO 27001

Tim keamanan menghadapi kemungkinan pengendalian yang tidak terbatas dan sumber daya yang terbatas. Kerangka kerja risiko menyediakan kosakata terstruktur, katalog pengendalian, dan metode penilaian yang membantu organisasi memprioritaskan investasi keamanan, mengomunikasikan risiko kepada eksekutif, serta menunjukkan kepatuhan.

NIST CSF (versi 2.0) mengelompokkan aktivitas keamanan siber ke dalam enam fungsi: Tata Kelola, Identifikasi, Perlindungan, Deteksi, Respons, dan Pemulihan. Setiap fungsi berisi kategori dan subkategori yang dipetakan ke hasil keamanan tertentu. Kerangka ini diadopsi secara luas di seluruh infrastruktur penting US dan di luarnya.

Identifikasi mencakup pengelolaan aset, penilaian risiko, strategi pengelolaan risiko, dan pengelolaan risiko rantai pasokan. Anda tidak dapat melindungi sesuatu yang tidak Anda ketahui keberadaannya. Inventaris aset dan penilaian risiko yang lengkap merupakan dasar bagi semua pengendalian keamanan berikutnya.

Perlindungan mencakup pengendalian akses, pelatihan, keamanan data, penguatan proses, dan pemeliharaan. Deteksi mencakup anomali, kejadian keamanan, dan pemantauan berkelanjutan. Fungsi Deteksi yang matang mencegah durasi keberadaan penyerang yang panjang dengan menemukan penyusupan secara cepat.

Respons menetapkan perencanaan respons insiden, komunikasi, analisis, mitigasi, dan perbaikan. Pemulihan mencakup perencanaan pemulihan, perbaikan, dan komunikasi. Menguji rencana IR dan prosedur pemulihan memastikan semuanya berfungsi saat diperlukan.

ISO 27001 adalah standar internasional untuk Sistem Manajemen Keamanan Informasi (ISMS). Standar ini menetapkan persyaratan untuk membangun, menerapkan, memelihara, dan terus meningkatkan ISMS. Sertifikasi ISO 27001 menunjukkan keamanan yang divalidasi oleh pihak ketiga kepada pelanggan dan regulator.

Lampiran A ISO 27001:2022 berisi 93 pengendalian yang dikelompokkan ke dalam empat tema: Organisasi (37 pengendalian), Manusia (8), Fisik (14), dan Teknologi (34). Lampiran A adalah menu—pilih pengendalian yang sesuai dengan profil risiko Anda melalui Pernyataan Penerapan.

Proses penanganan risiko ISMS: mengidentifikasi aset, mengidentifikasi ancaman dan kerentanan, menilai kemungkinan dan dampak, memilih penanganan (menerima, menghindari, mengalihkan, memitigasi), memilih pengendalian Lampiran A, dan mendokumentasikannya dalam Pernyataan Penerapan. Tinjauan penilaian risiko tahunan menjaga ISMS tetap mutakhir.

NIST CSF adalah kerangka kerja untuk mengatur dan meningkatkan praktik keamanan siber—bukan standar sertifikasi. ISO 27001 adalah standar yang dapat disertifikasi dengan cakupan ISMS dan audit pihak ketiga. Banyak organisasi menggunakan keduanya: NIST CSF untuk panduan operasional, ISO 27001 untuk sertifikasi dan kepercayaan pelanggan.

NIST CSF menetapkan empat tingkat kematangan (Sebagian → Berbasis Risiko → Dapat Diulang → Adaptif). Tingkat kematangan keamanan CMMI memiliki pemetaan yang serupa. Gunakan penilaian kematangan untuk mengidentifikasi kesenjangan dan menetapkan peta jalan perbaikan dengan kemajuan bertahap yang terukur menuju kematangan keamanan yang lebih tinggi.

NIST CSF dan ISO 27001 dipetakan ke peraturan utama: PCI-DSS, HIPAA, GDPR, SOC 2, dan NIST 800-53. Menggunakan kerangka kerja menyederhanakan kepatuhan terhadap berbagai peraturan: menunjukkan pengendalian Perlindungan NIST CSF biasanya memenuhi persyaratan serupa dalam berbagai kerangka kerja peraturan sekaligus.

NIST CSF dan ISO 27001 menyediakan pendekatan yang saling melengkapi untuk tata kelola keamanan. NIST CSF mengatur aktivitas keamanan di seluruh fungsi Tata Kelola, Identifikasi, Perlindungan, Deteksi, Respons, dan Pemulihan untuk panduan operasional, sedangkan ISO 27001 menyediakan kerangka kerja ISMS yang dapat disertifikasi dengan proses penanganan risiko formal dan katalog pengendalian Lampiran A.