NIST RMF, ISO 27001 og CIS Controls

Sikkerhetsrammeverk er strukturerte sett med retningslinjer, anbefalte fremgangsmåter og sikkerhetstiltak som hjelper organisasjoner med å bygge opp og vedlikeholde effektive sikkerhetsprogrammer. I stedet for å begynne fra grunnen av gir rammeverk en utprøvd metodikk som kan tilpasses organisasjonens størrelse, bransje og risikoprofil. Security+-eksamenen fokuserer på tre utbredte rammeverk: NIST RMF, ISO 27001 og CIS Controls – hvert av dem tilnærmer seg sikkerhet fra en ulik vinkel.

NIST Risk Management Framework (NIST SP 800-37) er en livssyklus i seks trinn for håndtering av sikkerhets- og personvernrisiko i føderale informasjonssystemer, selv om rammeverket også er mye brukt i privat sektor. De seks trinnene er: Categorize (systemets og dataenes sensitivitet), Select (egnede sikkerhetstiltak fra SP 800-53), Implement (ta i bruk sikkerhetstiltakene), Assess (teste effektiviteten), Authorize (ATO-beslutning av godkjenningsansvarlig) og Monitor (kontinuerlig overvåking). RMF legger vekt på løpende godkjenning i stedet for sertifiseringer på et bestemt tidspunkt.

NIST SP 800-53 er katalogen over sikkerhetstiltak som brukes i Select-fasen i RMF. Den organiserer hundrevis av sikkerhets- og personverntiltak i 20 familier, for eksempel Access Control (AC), Audit and Accountability (AU), Incident Response (IR) og System and Communications Protection (SC). Sikkerhetstiltakene er merket med grunnlinjetildelinger (Low, Moderate, High) som samsvarer med systemets påvirkningsnivå i FIPS-199. Dermed kan organisasjoner velge riktig sett med sikkerhetstiltak for sin risikokategori.

ISO/IEC 27001 er en internasjonal standard for Information Security Management Systems (ISMS). I motsetning til NIST, som er USA-fokusert, er ISO 27001 internasjonalt anerkjent, og organisasjoner kan oppnå formell sertifisering utført av en uavhengig tredjepart. Dette er verdifullt for kundetillit og internasjonale kontrakter. Standarden følger Plan-Do-Check-Act (PDCA)-syklusen og fokuserer på å bygge et styringssystem for informasjonssikkerhet, ikke på å spesifisere individuelle tekniske sikkerhetstiltak.

Annex A i ISO 27001:2022 inneholder 93 sikkerhetstiltak organisert i fire temaer: Organizational (37 tiltak – retningslinjer, roller og leverandørforhold), People (8 tiltak – ansettelse, opplæring og avslutning av arbeidsforhold), Physical (14 tiltak – lokaler og utstyr) og Technological (34 tiltak – tilgangskontroll, skadevare, kryptering og logging). Det er ikke nødvendig å implementere alle tiltakene. Organisasjoner velger relevante tiltak basert på sin Statement of Applicability (SoA) og begrunner eventuelle tiltak som er utelatt.

CIS Critical Security Controls (tidligere SANS Top 20) er et prioritert sett med 18 kontrollgrupper utviklet av Center for Internet Security. De er svært praktiske og handlingsorienterte, og er utformet for umiddelbar implementering snarere enn langsiktig programstyring. CIS Controls er organisert i tre Implementation Groups (IG-er): IG1 (grunnleggende cyberhygiene, 56 sikkerhetstiltak), IG2 (ytterligere 74 sikkerhetstiltak for mer komplekse miljøer) og IG3 (alle 153 sikkerhetstiltakene for modne organisasjoner som møter avanserte trusler).

CIS Controls definerer hva som skal gjøres på et overordnet nivå, mens CIS Benchmarks definerer hvordan det skal gjøres for bestemte plattformer. CIS Benchmarks gir detaljerte, trinnvise retningslinjer for sikring av operativsystemer (Windows, Linux), skyplattformer (AWS, Azure, GCP), nettverksenheter, nettlesere og databaser. De kan lastes ned kostnadsfritt og brukes i stor utstrekning som den tekniske spesifikasjonen for CIS Control 4 (Secure Configuration). Automatiseringsverktøy som Chef, Ansible og InSpec kan ta i bruk CIS Benchmarks i stor skala.

Hvert rammeverk dekker et ulikt hovedbehov. NIST RMF passer best for amerikanske myndigheter og forsvarsleverandører som trenger formelle godkjenningsprosesser. ISO 27001 passer best for organisasjoner som ønsker internasjonalt anerkjent sertifisering for å dokumentere sikkerhet overfor kunder. CIS Controls passer best for organisasjoner som ønsker prioriterte og handlingsrettede trinn for raskt å forbedre forsvaret. Mange modne organisasjoner bruker alle tre: CIS Controls til den daglige driften, NIST RMF til risikostyring og ISO 27001 til kundevendt sertifisering.

Ytterligere rammeverk inngår i Security+-eksamenen. COBIT (Control Objectives for Information Technologies) fokuserer på IT-styring og på å samordne sikkerhet med virksomhetens mål. SOC 2 er en revisjonsstandard for tjenesteleverandører som vurderer sikkerhet, tilgjengelighet, konfidensialitet, behandlingsintegritet og personvern. PCI-DSS er en detaljert etterlevelsesstandard for miljøer som håndterer betalingskort. Når du forstår disse rammeverkene, kan du bruke terminologien som er vanlig i ulike bransjer og regulatoriske miljøer.

Ved valg av rammeverk bør du vurdere: regulatoriske krav (HIPAA krever at relevante sikkerhetstiltak håndteres, og FedRAMP krever NIST), kundekrav (store bedriftskunder kan kreve ISO 27001-sertifisering), organisasjonens modenhet (CIS IG1 passer for små organisasjoner som nettopp har startet), og bransjesektor (finanssektoren kan kreve NIST CSF eller SOC 2). Det er bedre å begynne med ett rammeverk og utvide enn å forsøke å implementere alle rammeverk samtidig, noe som kan overbelaste mindre team.

Alle de tre rammeverkene bygger på en forpliktelse til kontinuerlig forbedring. Monitor-trinnet i NIST RMF driver løpende testing av sikkerhetstiltak. Act-fasen i ISO 27001 krever korrigerende tiltak og forbedringsplaner. CIS Controls versjoneres og oppdateres etter hvert som trusselbildet utvikler seg (for tiden versjon 8.1). Sikkerhetsprogrammer som behandler rammeverk som en engangsøvelse for etterlevelse, blir raskt hengende etter – rammeverkene er utformet som levende programmer som modnes over tid sammen med organisasjonens kapasitet og nye trusler.

I denne leksjonen lærte du at NIST RMF gir en risikolivssyklus i seks trinn (Categorize, Select, Implement, Assess, Authorize, Monitor) med sikkerhetstiltak fra SP 800-53, at ISO 27001 er en globalt sertifiserbar ISMS-standard basert på PDCA med sikkerhetstiltak i Annex A, og at CIS Controls tilbyr 18 prioriterte kontrollgrupper i tre implementeringsgrupper for praktiske og handlingsrettede sikkerhetsforbedringer. Neste tema er ordninger for dataklassifisering og personvernkrav.