Framework di rischio: NIST CSF e ISO 27001

I team di sicurezza devono affrontare un numero infinito di possibili controlli disponendo di risorse limitate. I framework di rischio forniscono vocabolari strutturati, cataloghi di controlli e metodi di valutazione che aiutano le organizzazioni a stabilire le priorità degli investimenti nella sicurezza, comunicare i rischi ai dirigenti e dimostrare la conformità.

Il NIST CSF (versione 2.0) organizza le attività di cybersecurity in sei funzioni: Govern, Identify, Protect, Detect, Respond e Recover. Ogni funzione comprende categorie e sottocategorie associate a specifici risultati di sicurezza. È ampiamente adottato nelle infrastrutture critiche statunitensi e non solo.

Identify comprende la gestione degli asset, la valutazione dei rischi, la strategia di gestione dei rischi e la gestione dei rischi della supply chain. Non è possibile proteggere ciò che non si sa di avere. Inventari completi degli asset e valutazioni approfondite dei rischi sono il fondamento di tutti i controlli di sicurezza successivi.

Protect comprende il controllo degli accessi, la formazione, la sicurezza dei dati, l'hardening dei processi e la manutenzione. Detect riguarda le anomalie, gli eventi di sicurezza e il monitoraggio continuo. Una funzione Detect matura evita tempi di permanenza degli attaccanti troppo lunghi, rilevando rapidamente le intrusioni.

Respond definisce la pianificazione della risposta agli incidenti, le comunicazioni, l'analisi, la mitigazione e i miglioramenti. Recover riguarda la pianificazione del ripristino, i miglioramenti e le comunicazioni. Testare i piani di risposta agli incidenti (IR) e le procedure di ripristino garantisce che funzionino quando servono.

ISO 27001 è uno standard internazionale per i sistemi di gestione della sicurezza delle informazioni (ISMS). Specifica i requisiti per istituire, implementare, mantenere e migliorare continuamente un ISMS. La certificazione ISO 27001 dimostra ai clienti e agli enti regolatori una sicurezza convalidata da terze parti.

L'Annex A di ISO 27001:2022 contiene 93 controlli organizzati in quattro temi: Organizzativo (37 controlli), Persone (8), Fisico (14) e Tecnologico (34). L'Annex A è un insieme di opzioni: selezioni i controlli appropriati al proprio profilo di rischio tramite lo Statement of Applicability (SoA).

Il processo di trattamento del rischio dell'ISMS comprende: identificare gli asset, identificare minacce e vulnerabilità, valutare probabilità e impatto, scegliere il trattamento (accettare, evitare, trasferire, mitigare), selezionare i controlli dell'Annex A e documentare il tutto nello SoA. Le revisioni annuali della valutazione dei rischi mantengono aggiornato l'ISMS.

Il NIST CSF è un framework per organizzare e migliorare le pratiche di cybersecurity, non uno standard di certificazione. ISO 27001 è uno standard certificabile con un ambito ISMS e un audit di terze parti. Molte organizzazioni usano entrambi: il NIST CSF per la guida operativa e ISO 27001 per la certificazione e la fiducia dei clienti.

Il NIST CSF definisce quattro livelli di maturità (Partial → Risk-Informed → Repeatable → Adaptive). I livelli di maturità della sicurezza CMMI seguono una classificazione simile. Utilizzi le valutazioni della maturità per individuare le lacune e definire roadmap di miglioramento con progressi misurabili e graduali verso una maggiore maturità della sicurezza.

Il NIST CSF e ISO 27001 sono mappati sulle principali normative e certificazioni: PCI-DSS, HIPAA, GDPR, SOC 2 e NIST 800-53. L'uso di un framework semplifica la conformità a più normative: dimostrare la presenza di un controllo Protect del NIST CSF soddisfa in genere requisiti simili in più framework normativi contemporaneamente.

Qual è lo scopo dello Statement of Applicability (SoA) in ISO 27001?

Il NIST CSF e ISO 27001 offrono approcci complementari alla governance della sicurezza. Il NIST CSF organizza le attività di sicurezza nelle funzioni Govern/Identify/Protect/Detect/Respond/Recover per fornire una guida operativa, mentre ISO 27001 offre un framework ISMS certificabile con un processo formale di trattamento del rischio e un catalogo di controlli nell'Annex A.