NIST RMF, ISO 27001 e CIS Controls

I framework di sicurezza sono insiemi strutturati di linee guida, best practice e controlli che aiutano le organizzazioni a creare e mantenere programmi di sicurezza efficaci. Invece di partire da zero, i framework offrono una metodologia collaudata, adattabile alle dimensioni dell'organizzazione, al settore e al profilo di rischio. L'esame Security+ si concentra su tre framework ampiamente adottati: NIST RMF, ISO 27001 e i CIS Controls, ciascuno dei quali affronta la sicurezza da una prospettiva diversa.

Il NIST Risk Management Framework (NIST SP 800-37) è un ciclo di vita in sei fasi per la gestione dei rischi per la sicurezza e la privacy nei sistemi informativi federali, sebbene sia ampiamente adottato anche nel settore privato. Le sei fasi sono: Categorize (sensibilità del sistema e dei dati), Select (controlli appropriati da SP 800-53), Implement (implementazione dei controlli), Assess (verifica dell'efficacia), Authorize (decisione ATO da parte del responsabile dell'autorizzazione) e Monitor (monitoraggio continuo). L'RMF privilegia l'autorizzazione continua rispetto alle certificazioni rilasciate in un singolo momento.

NIST SP 800-53 è il catalogo dei controlli utilizzato nella fase Select dell'RMF. Organizza centinaia di controlli di sicurezza e privacy in 20 famiglie, come Access Control (AC), Audit and Accountability (AU), Incident Response (IR) e System and Communications Protection (SC). Ai controlli sono associate assegnazioni di baseline (Low, Moderate, High) corrispondenti al livello di impatto FIPS-199 del sistema; in questo modo le organizzazioni selezionano l'insieme di controlli adeguato alla propria categoria di rischio.

ISO/IEC 27001 è uno standard internazionale per i Information Security Management Systems (ISMS). A differenza di NIST, orientato agli Stati Uniti, ISO 27001 è riconosciuto a livello globale e consente alle organizzazioni di ottenere una certificazione formale da parte di terzi, preziosa per la fiducia dei clienti e per i contratti internazionali. Lo standard segue il ciclo Plan-Do-Check-Act (PDCA) e si concentra sulla creazione di un sistema di gestione della sicurezza delle informazioni, anziché specificare singoli controlli tecnici.

L'Annex A di ISO 27001:2022 contiene 93 controlli organizzati in quattro temi: Organizational (37 controlli: policy, ruoli, rapporti con i fornitori), People (8 controlli: assunzione, formazione, cessazione del rapporto), Physical (14 controlli: sedi, apparecchiature) e Technological (34 controlli: controllo degli accessi, malware, crittografia, logging). Non è necessario implementare ogni controllo: le organizzazioni selezionano i controlli applicabili in base alla propria Statement of Applicability (SoA), motivando l'esclusione di eventuali controlli.

I CIS Critical Security Controls, precedentemente SANS Top 20, sono un insieme prioritizzato di 18 gruppi di controlli sviluppati dal Center for Internet Security. Sono altamente pratici e orientati all'azione, progettati per un'implementazione immediata anziché per la gestione di programmi a lungo termine. I CIS Controls sono organizzati in tre Implementation Groups (IG): IG1 (igiene informatica essenziale, 56 safeguard), IG2 (aggiunge 74 safeguard per ambienti più complessi) e IG3 (tutti i 153 safeguard per organizzazioni mature che affrontano minacce sofisticate).

I CIS Controls definiscono cosa fare ad alto livello; i CIS Benchmarks definiscono come farlo per piattaforme specifiche. I CIS Benchmarks forniscono indicazioni prescrittive, dettagliate passo per passo, per l'hardening di sistemi operativi (Windows, Linux), piattaforme cloud (AWS, Azure, GCP), dispositivi di rete, browser e database. Sono scaricabili gratuitamente e ampiamente utilizzati come specifica tecnica per il CIS Control 4 (Secure Configuration). Strumenti di automazione come Chef, Ansible e InSpec possono applicare i CIS Benchmarks su larga scala.

Ogni framework risponde a un'esigenza primaria diversa. NIST RMF è particolarmente adatto alle amministrazioni statunitensi e agli appaltatori della difesa che richiedono processi formali di autorizzazione. ISO 27001 è indicato per le organizzazioni che desiderano una certificazione riconosciuta a livello internazionale per dimostrare la propria sicurezza ai clienti. I CIS Controls sono ideali per le organizzazioni che cercano interventi prioritizzati e concreti per migliorare rapidamente le proprie difese. Molte organizzazioni mature utilizzano tutti e tre: CIS Controls per le operazioni quotidiane, NIST RMF per la governance del rischio e ISO 27001 per la certificazione rivolta ai clienti.

Altri framework compaiono nell'esame Security+. COBIT (Control Objectives for Information Technologies) si concentra sulla governance IT e sull'allineamento della sicurezza agli obiettivi aziendali. SOC 2 è uno standard di audit per i fornitori di servizi che valuta sicurezza, disponibilità, riservatezza, integrità dell'elaborazione e privacy. PCI-DSS è uno standard di conformità prescrittivo per gli ambienti che gestiscono carte di pagamento. Comprendere questi framework consente di parlare il linguaggio di diversi settori e contesti normativi.

Quando sceglie un framework, consideri: il requisito normativo (HIPAA richiede safeguard soggetti a valutazione; FedRAMP richiede NIST), i requisiti dei clienti (i clienti aziendali possono richiedere la certificazione ISO 27001), la maturità dell'organizzazione (CIS IG1 è appropriato per le piccole organizzazioni che iniziano il proprio percorso) e il settore di appartenenza (i servizi finanziari possono richiedere NIST CSF o SOC 2). È preferibile iniziare con un framework e ampliarlo in seguito, invece di tentare di implementare tutti i framework contemporaneamente, sovraccaricando i team più piccoli.

Tutti e tre i framework condividono l'impegno per il miglioramento continuo. La fase Monitor dell'RMF NIST promuove il test continuo dei controlli. La fase Act di ISO 27001 richiede azioni correttive e piani di miglioramento. I CIS Controls vengono sottoposti a versioning e aggiornati con l'evolversi del panorama delle minacce (attualmente alla versione 8.1). I programmi di sicurezza che considerano i framework un esercizio di conformità una tantum rimangono rapidamente indietro: i framework sono progettati come programmi dinamici, destinati a maturare nel tempo insieme alle capacità dell'organizzazione e alle minacce emergenti.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha appreso che NIST RMF offre un ciclo di vita del rischio in sei fasi (Categorize, Select, Implement, Assess, Authorize, Monitor) con i controlli SP 800-53, ISO 27001 è uno standard ISMS certificabile a livello globale basato su PDCA e sui controlli dell'Annex A e i CIS Controls offrono 18 gruppi di controlli prioritizzati, suddivisi in tre gruppi di implementazione, per miglioramenti della sicurezza pratici e concreti. Prossimamente esamineremo gli schemi di classificazione dei dati e i requisiti di privacy.