NIST RMF, ISO 27001 i CIS Controls

Ramy bezpieczeństwa to uporządkowane zbiory wytycznych, najlepszych praktyk i zabezpieczeń, które pomagają organizacjom tworzyć i utrzymywać skuteczne programy bezpieczeństwa. Zamiast zaczynać od zera, można skorzystać ze sprawdzonej metodyki i dostosować ją do wielkości organizacji, branży oraz profilu ryzyka. Egzamin Security+ koncentruje się na trzech powszechnie stosowanych ramach: NIST RMF, ISO 27001 i CIS Controls — z których każda podchodzi do bezpieczeństwa z innej perspektywy.

NIST Risk Management Framework (NIST SP 800-37) to sześcioetapowy cykl zarządzania ryzykiem związanym z bezpieczeństwem i prywatnością w federalnych systemach informacyjnych, choć jest również szeroko stosowany w sektorze prywatnym. Sześć etapów to: Categorize (kategoryzacja wrażliwości systemu i danych), Select (wybór odpowiednich zabezpieczeń z SP 800-53), Implement (wdrożenie zabezpieczeń), Assess (ocena skuteczności), Authorize (decyzja ATO podejmowana przez urzędnika upoważniającego) oraz Monitor (ciągłe monitorowanie). RMF kładzie nacisk na bieżące upoważnianie, a nie na certyfikacje wydawane w jednym określonym momencie.

NIST SP 800-53 to katalog zabezpieczeń wykorzystywany w fazie Select modelu RMF. Porządkuje setki zabezpieczeń z zakresu bezpieczeństwa i prywatności w 20 rodzin, takich jak Access Control (AC), Audit and Accountability (AU), Incident Response (IR) oraz System and Communications Protection (SC). Zabezpieczenia są oznaczane przypisaniami do poziomów bazowych (Low, Moderate, High), odpowiadającymi poziomowi wpływu systemu według FIPS-199, dzięki czemu organizacje mogą wybrać właściwy zestaw zabezpieczeń dla swojej kategorii ryzyka.

ISO/IEC 27001 to międzynarodowa norma dotycząca Information Security Management Systems (ISMS). W przeciwieństwie do NIST, który koncentruje się na Stanach Zjednoczonych, ISO 27001 jest uznawana na całym świecie, a organizacje mogą uzyskać formalną certyfikację przeprowadzaną przez niezależną stronę — co zwiększa zaufanie klientów i ma znaczenie w umowach międzynarodowych. Norma opiera się na cyklu Plan-Do-Check-Act (PDCA) i koncentruje się na budowie systemu zarządzania bezpieczeństwem informacji, a nie na określaniu pojedynczych zabezpieczeń technicznych.

Annex A normy ISO 27001:2022 zawiera 93 zabezpieczenia uporządkowane według czterech obszarów: Organizational (37 zabezpieczeń — polityki, role, relacje z dostawcami), People (8 zabezpieczeń — zatrudnianie, szkolenia, rozwiązanie stosunku pracy), Physical (14 zabezpieczeń — obiekty, sprzęt) oraz Technological (34 zabezpieczenia — kontrola dostępu, złośliwe oprogramowanie, szyfrowanie, rejestrowanie). Nie trzeba wdrażać każdego zabezpieczenia — organizacje wybierają zabezpieczenia mające zastosowanie na podstawie Statement of Applicability (SoA), uzasadniając wyłączenie pozostałych.

CIS Critical Security Controls (wcześniej SANS Top 20) to uporządkowany według priorytetów zestaw 18 grup zabezpieczeń opracowany przez Center for Internet Security. Są to rozwiązania bardzo praktyczne i ukierunkowane na działanie, przeznaczone do natychmiastowego wdrożenia, a nie do długoterminowego zarządzania programem. CIS Controls są podzielone na trzy grupy wdrożeniowe (IG): IG1 (podstawowa higiena cyberbezpieczeństwa, 56 zabezpieczeń), IG2 (dodatkowe 74 zabezpieczenia dla bardziej złożonych środowisk) oraz IG3 (wszystkie 153 zabezpieczenia dla dojrzałych organizacji narażonych na zaawansowane zagrożenia).

CIS Controls określają na wysokim poziomie, co należy zrobić, natomiast CIS Benchmarks określają, jak to zrobić dla konkretnych platform. CIS Benchmarks zawierają nakazowe, szczegółowe instrukcje wzmacniania zabezpieczeń systemów operacyjnych (Windows, Linux), platform chmurowych (AWS, Azure, GCP), urządzeń sieciowych, przeglądarek i baz danych. Można je bezpłatnie pobrać i są one powszechnie używane jako specyfikacja techniczna dla CIS Control 4 (Secure Configuration). Narzędzia automatyzacji, takie jak Chef, Ansible i InSpec, mogą stosować CIS Benchmarks na dużą skalę.

Każda rama służy przede wszystkim innemu celowi. NIST RMF najlepiej sprawdza się w administracji rządowej Stanów Zjednoczonych i u wykonawców z sektora obronnego, którzy potrzebują formalnych procesów upoważniania. ISO 27001 jest najlepszym wyborem dla organizacji, które chcą uzyskać uznawaną na całym świecie certyfikację potwierdzającą bezpieczeństwo wobec klientów. CIS Controls najlepiej odpowiada organizacjom poszukującym uporządkowanych według priorytetów, konkretnych działań umożliwiających szybkie wzmocnienie zabezpieczeń. Wiele dojrzałych organizacji korzysta ze wszystkich trzech ram: CIS Controls w codziennych działaniach, NIST RMF w zarządzaniu ryzykiem oraz ISO 27001 w certyfikacji prezentowanej klientom.

Dodatkowe ramy pojawiają się na egzaminie Security+. COBIT (Control Objectives for Information Technologies) koncentruje się na zarządzaniu IT i dostosowaniu bezpieczeństwa do celów biznesowych. SOC 2 to norma audytowa dla dostawców usług, która ocenia bezpieczeństwo, dostępność, poufność, integralność przetwarzania oraz prywatność. PCI-DSS to nakazowa norma zgodności dotycząca środowisk obsługujących karty płatnicze. Zrozumienie tych ram pozwala posługiwać się terminologią właściwą dla różnych branż i środowisk regulacyjnych.

Przy wyborze ram należy uwzględnić: wymogi regulacyjne (HIPAA wymaga zastosowania odpowiednich zabezpieczeń; FedRAMP wymaga NIST), wymagania klientów (klienci korporacyjni mogą wymagać certyfikacji ISO 27001), dojrzałość organizacji (CIS IG1 jest odpowiednia dla małych organizacji dopiero rozpoczynających działania) oraz sektor działalności (usługi finansowe mogą wymagać NIST CSF lub SOC 2). Rozpoczęcie od jednej ramy i stopniowe rozszerzanie zakresu jest lepsze niż próba jednoczesnego wdrożenia wszystkich ram, która przeciąża mniejsze zespoły.

Wszystkie trzy ramy łączy nacisk na ciągłe doskonalenie. Etap Monitor modelu NIST RMF wymusza bieżące testowanie zabezpieczeń. Faza Act w ISO 27001 wymaga działań korygujących i planów doskonalenia. CIS Controls są wersjonowane i aktualizowane wraz ze zmianami krajobrazu zagrożeń (obecnie jest to wersja 8.1). Programy bezpieczeństwa, w których ramy traktuje się jako jednorazowe ćwiczenie z zakresu zgodności, szybko pozostają w tyle — ramy te zaprojektowano jako rozwijane programy, które z czasem dojrzewają wraz z możliwościami organizacji i pojawiającymi się zagrożeniami.

Sprawdź swoją wiedzę na temat zagadnień CompTIA Security+ (SY0-701) z tej lekcji.

W tej lekcji dowiedzieli się Państwo, że: NIST RMF zapewnia sześcioetapowy cykl zarządzania ryzykiem (Categorize, Select, Implement, Assess, Authorize, Monitor) z zabezpieczeniami SP 800-53, ISO 27001 to podlegająca certyfikacji na całym świecie norma ISMS oparta na PDCA i zabezpieczeniach z Annex A, a CIS Controls oferują 18 uporządkowanych według priorytetów grup zabezpieczeń w trzech grupach wdrożeniowych, umożliwiających praktyczne i konkretne usprawnienia bezpieczeństwa. Następnie omówimy schematy klasyfikacji danych oraz wymogi dotyczące prywatności.