NIST RMF, ISO 27001 en CIS Controls

Beveiligingskaders zijn gestructureerde sets richtlijnen, best practices en beheersmaatregelen die organisaties helpen effectieve beveiligingsprogramma's op te bouwen en te onderhouden. In plaats van vanaf nul te beginnen, bieden kaders een beproefde methodologie die kan worden afgestemd op de omvang, bedrijfstak en het risicoprofiel van de organisatie. Het Security+-examen richt zich op drie veelgebruikte kaders: NIST RMF, ISO 27001 en de CIS Controls — elk met een andere benadering van beveiliging.

Het NIST Risk Management Framework (NIST SP 800-37) is een levenscyclus met zes stappen voor het beheren van beveiligings- en privacyrisico's in federale informatiesystemen, hoewel het ook breed wordt toegepast in de private sector. De zes stappen zijn: Categoriseren (gevoeligheid van het systeem en de gegevens), Selecteren (geschikte beheersmaatregelen uit SP 800-53), Implementeren (beheersmaatregelen uitrollen), Beoordelen (effectiviteit testen), Autoriseren (ATO-besluit door de bevoegde functionaris) en Monitoren (continue monitoring). De RMF benadrukt voortdurende autorisatie in plaats van certificeringen op één bepaald moment.

NIST SP 800-53 is de catalogus met beheersmaatregelen die de fase Select van de RMF voedt. De catalogus ordent honderden beveiligings- en privacybeheersmaatregelen in 20 families, zoals toegangsbeheer (AC), controle en verantwoording (AU), incidentrespons (IR) en systeem- en communicatiebeveiliging (SC). Aan beheersmaatregelen zijn baselineniveaus (Laag, Gemiddeld, Hoog) gekoppeld die overeenkomen met het impactniveau van het systeem volgens FIPS-199. Zo selecteren organisaties de juiste set beheersmaatregelen voor hun risicocategorie.

ISO/IEC 27001 is een internationale norm voor Information Security Management Systems (ISMS). In tegenstelling tot NIST (dat op de VS is gericht) wordt ISO 27001 wereldwijd erkend en kunnen organisaties een formele certificering door een derde partij behalen — waardevol voor het vertrouwen van klanten en internationale contracten. De norm volgt de cyclus Plan-Do-Check-Act (PDCA) en richt zich op het opbouwen van een managementsysteem rond informatiebeveiliging, in plaats van afzonderlijke technische beheersmaatregelen voor te schrijven.

Bijlage A van ISO 27001:2022 bevat 93 beheersmaatregelen, verdeeld over vier thema's: Organisatorisch (37 beheersmaatregelen — beleid, rollen, leveranciersrelaties), Menselijk (8 beheersmaatregelen — indienstneming, training, uitdiensttreding), Fysiek (14 beheersmaatregelen — gebouwen, apparatuur) en Technologisch (34 beheersmaatregelen — toegangsbeheer, malware, versleuteling, logging). Niet elke beheersmaatregel hoeft te worden geïmplementeerd — organisaties selecteren toepasselijke beheersmaatregelen op basis van hun Statement of Applicability (SoA) en motiveren welke beheersmaatregelen zijn uitgesloten.

De CIS Critical Security Controls (voorheen SANS Top 20) zijn een geprioriteerde set van 18 groepen beheersmaatregelen, ontwikkeld door het Center for Internet Security. Ze zijn zeer praktisch en actiegericht en ontworpen voor onmiddellijke implementatie in plaats van langetermijnbeheer van programma's. CIS Controls zijn ingedeeld in drie Implementation Groups (IG's): IG1 (essentiële cyberhygiëne, 56 beveiligingsmaatregelen), IG2 (voegt 74 beveiligingsmaatregelen toe voor complexere omgevingen) en IG3 (alle 153 beveiligingsmaatregelen voor volwassen organisaties die met geavanceerde dreigingen te maken hebben).

De CIS Controls definiëren op hoofdlijnen wat je moet doen; CIS Benchmarks definiëren voor specifieke platforms hoe je dat doet. CIS Benchmarks bieden voorschrijvende, stapsgewijze richtlijnen voor het beveiligen van besturingssystemen (Windows, Linux), cloudplatforms (AWS, Azure, GCP), netwerkapparaten, browsers en databases. Ze zijn gratis te downloaden en worden veel gebruikt als de technische specificatie voor CIS Control 4 (Veilige configuratie). Automatiseringstools zoals Chef, Ansible en InSpec kunnen CIS Benchmarks op grote schaal toepassen.

Elk kader voorziet in een andere primaire behoefte. NIST RMF is het meest geschikt voor de Amerikaanse overheid en defensieaannemers die formele autorisatieprocessen nodig hebben. ISO 27001 is het meest geschikt voor organisaties die internationaal erkende certificering willen behalen om hun beveiliging aan klanten te tonen. CIS Controls zijn het meest geschikt voor organisaties die snel geprioriteerde, uitvoerbare stappen willen zetten om hun verdediging te verbeteren. Veel volwassen organisaties gebruiken alle drie: CIS Controls voor de dagelijkse activiteiten, NIST RMF voor risicobeheer en ISO 27001 voor certificering richting klanten.

Op het Security+-examen komen ook aanvullende kaders aan bod. COBIT (Control Objectives for Information Technologies) richt zich op IT-governance en het afstemmen van beveiliging op bedrijfsdoelstellingen. SOC 2 is een auditnorm voor dienstverleners die beveiliging, beschikbaarheid, vertrouwelijkheid, integriteit van verwerking en privacy beoordeelt. PCI-DSS is een voorschrijvende compliancenorm voor omgevingen waarin betaalkaarten worden verwerkt. Als je deze kaders begrijpt, kun je de taal van verschillende bedrijfstakken en regelgevingsomgevingen spreken.

Houd bij het kiezen van een kader rekening met: wettelijke verplichtingen (HIPAA vereist passende beveiligingsmaatregelen; FedRAMP vereist NIST), klantvereisten (zakelijke klanten kunnen ISO 27001-certificering eisen), volwassenheid van de organisatie (CIS IG1 is geschikt voor kleine organisaties die net beginnen) en bedrijfstak (financiële dienstverlening kan NIST CSF of SOC 2 vereisen). Beginnen met één kader en dat later uitbreiden is beter dan alle kaders tegelijk proberen te implementeren, omdat dit kleinere teams kan overweldigen.

Alle drie de kaders zetten zich in voor continue verbetering. De stap Monitor van de NIST RMF stimuleert het voortdurend testen van beheersmaatregelen. De fase Act van ISO 27001 vereist corrigerende maatregelen en verbeterplannen. CIS Controls krijgen versies en worden bijgewerkt naarmate het dreigingslandschap verandert (momenteel versie 8.1). Beveiligingsprogramma's die kaders behandelen als een eenmalige compliance-oefening lopen snel achter — de kaders zijn ontworpen als levende programma's die in de loop van de tijd meegroeien met de mogelijkheden van de organisatie en nieuwe dreigingen.

In deze les heb je geleerd dat NIST RMF een risicolevenscyclus met zes stappen biedt (Categoriseren, Selecteren, Implementeren, Beoordelen, Autoriseren, Monitoren) met beheersmaatregelen uit SP 800-53, dat ISO 27001 een wereldwijd certificeerbare ISMS-norm is op basis van PDCA met beheersmaatregelen in bijlage A, en dat CIS Controls 18 geprioriteerde groepen beheersmaatregelen in drie implementatiegroepen bieden voor praktische, uitvoerbare beveiligingsverbeteringen. Hierna bekijken we schema's voor gegevensclassificatie en privacyvereisten.