Frameworks de Risco: NIST CSF e ISO 27001

As equipes de segurança enfrentam um número infinito de controles possíveis e recursos limitados. As estruturas de risco fornecem vocabulários estruturados, catálogos de controles e métodos de avaliação que ajudam as organizações a priorizar investimentos em segurança, comunicar riscos aos executivos e demonstrar conformidade.

O NIST CSF (versão 2.0) organiza as atividades de cibersegurança em seis funções: Governar, Identificar, Proteger, Detectar, Responder e Recuperar. Cada função contém categorias e subcategorias associadas a resultados específicos de segurança. A estrutura é amplamente adotada em toda a infraestrutura crítica dos US e além.

Identificar abrange a gestão de ativos, a avaliação de riscos, a estratégia de gestão de riscos e a gestão de riscos da cadeia de fornecimento. Não é possível proteger aquilo que não se sabe que existe. Inventários completos de ativos e avaliações de riscos são a base de todos os controles de segurança subsequentes.

Proteger abrange controle de acesso, treinamento, segurança de dados, fortalecimento de processos e manutenção. Detectar abrange anomalias, eventos de segurança e monitoramento contínuo. Uma função Detectar madura evita longos períodos de permanência de invasores ao identificar rapidamente as intrusões.

Responder define o planejamento, as comunicações, a análise, a mitigação e as melhorias da resposta a incidentes. Recuperar abrange o planejamento da recuperação, melhorias e comunicações. Testar os planos de IR e os procedimentos de recuperação garante que funcionem quando necessário.

A ISO 27001 é uma norma internacional para Sistemas de Gestão de Segurança da Informação (ISMS). Ela especifica requisitos para estabelecer, implementar, manter e melhorar continuamente um ISMS. A certificação ISO 27001 demonstra aos clientes e reguladores uma segurança validada por terceiros.

O Anexo A da ISO 27001:2022 contém 93 controles organizados em quatro temas: Organizacional (37 controles), Pessoas (8), Físico (14) e Tecnológico (34). O Anexo A é um menu — selecione os controles apropriados ao seu perfil de risco por meio da Declaração de Aplicabilidade (DA).

O processo de tratamento de riscos do ISMS consiste em: identificar ativos, identificar ameaças e vulnerabilidades, avaliar probabilidade e impacto, escolher o tratamento (aceitar, evitar, transferir ou mitigar), selecionar controles do Anexo A e documentar tudo na DA. As revisões anuais da avaliação de riscos mantêm o ISMS atualizado.

O NIST CSF é uma estrutura para organizar e melhorar as práticas de cibersegurança, não uma norma de certificação. A ISO 27001 é uma norma certificável com um escopo de ISMS e uma auditoria realizada por terceiros. Muitas organizações usam ambas: o NIST CSF para orientação operacional e a ISO 27001 para certificação e confiança dos clientes.

O NIST CSF define quatro níveis de maturidade (Parcial → Orientado por Riscos → Repetível → Adaptável). Os níveis de maturidade em segurança do CMMI seguem um modelo semelhante. Use avaliações de maturidade para identificar lacunas e definir roteiros de melhoria com progresso mensurável e em etapas rumo a uma maturidade de segurança maior.

O NIST CSF e a ISO 27001 correspondem às principais regulamentações: PCI-DSS, HIPAA, GDPR, SOC 2 e NIST 800-53. Usar uma estrutura simplifica a conformidade com várias regulamentações: demonstrar um controle da função Proteger do NIST CSF geralmente atende a requisitos semelhantes em várias estruturas regulatórias simultaneamente.

O NIST CSF e a ISO 27001 oferecem abordagens complementares à governança de segurança. O NIST CSF organiza as atividades de segurança nas funções Governar/Identificar/Proteger/Detectar/Responder/Recuperar para fornecer orientação operacional, enquanto a ISO 27001 oferece uma estrutura certificável de ISMS, com um processo formal de tratamento de riscos e um catálogo de controles no Anexo A.