Framework cyberbezpieczeństwa NIST

NIST Cybersecurity Framework (CSF) to dobrowolny framework oparty na ryzyku, opublikowany przez amerykański National Institute of Standards and Technology. Został celowo zaprojektowany jako niezależny od technologii i możliwy do dostosowania do organizacji dowolnej wielkości i z dowolnego sektora.

Jego siłą jest prosta, łatwa do zapamiętania struktura służąca do organizowania programu bezpieczeństwa. Początkowo opracowany z myślą o infrastrukturze krytycznej, jest obecnie szeroko stosowany na całym świecie jako wspólny język opisu ryzyka cyberbezpieczeństwa.

Sercem CSF jest rdzeń, uporządkowany według funkcji wysokiego poziomu. Klasyczna piątka obejmuje:

• Identyfikowanie — poznawanie własnych zasobów i ryzyka.
• Ochrona — wdrażanie zabezpieczeń.
• Wykrywanie — znajdowanie zdarzeń w chwili ich wystąpienia.
• Reagowanie — działanie w odpowiedzi na wykryte incydenty.
• Odtwarzanie — przywracanie działania i wyciąganie wniosków.

CSF 2.0 (2024) dodaje szóstą funkcję, zarządzanie, która otacza pozostałe funkcje nadzorem i strategią.

Identyfikowanie buduje wiedzę organizacyjną niezbędną do zarządzania ryzykiem. Nie można chronić zasobów, o których istnieniu się nie wie.

• Zarządzanie zasobami: sprzętem, oprogramowaniem, danymi i usługami.
• Środowisko biznesowe i kluczowe zależności.
• Ocena ryzyka i strategia zarządzania ryzykiem.
• Ryzyko związane z łańcuchem dostaw.

Ta funkcja odpowiada na pytanie co mamy i co temu zagraża? Wszystko, co następuje później, zależy od prawidłowego wykonania tego etapu.

Ochrona wdraża zabezpieczenia ograniczające lub powstrzymujące skutki zdarzenia. Obejmuje większość mechanizmów kontrolnych związanych z prewencją:

• Zarządzanie tożsamością i kontrola dostępu (zasada najmniejszych uprawnień, MFA).
• Podnoszenie świadomości i szkolenia.
• Bezpieczeństwo danych, szyfrowanie danych w spoczynku i podczas przesyłania.
• Utrzymanie i technologie ochronne (wzmacnianie zabezpieczeń, instalowanie poprawek).

Ochrona zmniejsza prawdopodobieństwo wystąpienia incydentów i ogranicza zasięg ich skutków, zanim do nich dojdzie.

Wykrywanie definiuje działania służące do terminowego identyfikowania zdarzeń związanych z cyberbezpieczeństwem. Zapobieganie w końcu zawsze zawodzi, dlatego wykrywanie jest niezbędne.

• Ciągłe monitorowanie bezpieczeństwa (SIEM, EDR, czujniki sieciowe).
• Wykrywanie anomalii i zdarzeń oraz znajomość stanu bazowego.
• Procesy wykrywania, które są testowane i utrzymywane.

Kluczową miarą jest tutaj czas wykrycia — im dłużej zagrożenie pozostaje niewykryte, tym większe powoduje szkody.

Reagowanie obejmuje działania podejmowane po wykryciu incydentu w celu ograniczenia jego skutków.

• Planowanie reagowania, czyli udokumentowany plan reagowania na incydenty.
• Komunikacja wewnętrzna i zewnętrzna, w tym komunikacja z działem prawnym i PR.
• Analiza zakresu incydentu i jego przyczyny źródłowej.
• Łagodzenie skutków, czyli powstrzymanie i usunięcie zagrożenia.

To tutaj znajdują się playbooki SOAR i runbooki IR. Dobrze przećwiczone reagowanie ogranicza skutki każdego naruszenia bezpieczeństwa.

Odtwarzanie przywraca funkcje ograniczone w wyniku incydentu i przekazuje wnioski z powrotem do programu.

• Planowanie odtwarzania i przetestowane kopie zapasowe.
• Ulepszenia, czyli przegląd po incydencie, który aktualizuje mechanizmy kontrolne.
• Komunikacja podczas przywracania działania.

Odtwarzanie zamyka pętlę. Etap wyciągania wniosków po incydencie pozwala przekształcić bolesne naruszenie w silniejszy program, zamiast powtarzać ten sam błąd.

CSF 2.0 wprowadził funkcję zarządzania, która obejmuje wszystkie pozostałe funkcje. Ustanawia ona i monitoruje strategię zarządzania ryzykiem cyberbezpieczeństwa organizacji, a także związane z nią oczekiwania i zasady.

• Role, zakresy odpowiedzialności i rozliczalność.
• Strategia zarządzania ryzykiem powiązana z celami biznesowymi.
• Zasady i nadzór, w tym zaangażowanie zarządu.

Zarządzanie odzwierciedla fakt, że cyberbezpieczeństwo jest kwestią przywództwa i ryzyka całej organizacji, a nie tylko problemem technicznym.

Każda funkcja dzieli się na kategorie i podkategorie (konkretne rezultaty), oznaczane kodami.

CSF definiuje poziomy wdrożenia, które opisują dojrzałość i stopień integracji zarządzania ryzykiem — od poziomu 1 do poziomu 4:

• Poziom 1 częściowy — działania doraźne i reaktywne.
• Poziom 2 uwzględniający ryzyko — praktyki zatwierdzone, ale niestosowane w całej organizacji.
• Poziom 3 powtarzalny — formalne zasady stosowane w sposób spójny.
• Poziom 4 adaptacyjny — ciągłe doskonalenie i działania oparte na zagrożeniach.

Poziomy nie są skalą dojrzałości, którą należy bezrefleksyjnie maksymalizować — należy wybrać poziom odpowiadający ryzyku i dostępnym zasobom.

CSF staje się możliwy do zastosowania dzięki profilom. Należy utworzyć dwa profile i je porównać:

• Profil bieżący — rezultaty osiągane obecnie.
• Profil docelowy — rezultaty wymagane z uwzględnieniem ryzyka i celów biznesowych.

Różnica między nimi stanowi uszeregowaną według priorytetów mapę drogową. Ta analiza luk przekształca abstrakcyjne ramy w konkretny plan z określonym budżetem: w pierwszej kolejności należy zamknąć luki związane z największym ryzykiem. W ten sposób CSF wpływa na decyzje inwestycyjne, zamiast pozostawać jedynie dokumentem referencyjnym.

Framework cyberbezpieczeństwa NIST:

• Dobrowolna, oparta na ryzyku i neutralna technologicznie struktura służąca do organizowania programu bezpieczeństwa.
• Funkcje podstawowe: Identify, Protect, Detect, Respond, Recover oraz Govern (dodana w CSF 2.0), która obejmuje wszystkie pozostałe.
• Identify rozpoznaje zasoby i ryzyko; Protect zapobiega; Detect wykrywa zdarzenia; Respond ogranicza ich skutki; Recover przywraca działanie i pozwala wyciągać wnioski.
• Funkcje dzielą się na Kategorie i Podkategorie (zakodowane rezultaty), a profil to zestaw rezultatów, do których osiągnięcia się dąży.
• Poziomy wdrożenia (od 1 częściowego do 4 adaptacyjnego) opisują dojrzałość; należy wybrać poziom odpowiedni do ryzyka, a nie bezrefleksyjnie dążyć do maksymalnego.