NIST RMF, ISO 27001 и CIS Controls

Фреймворки Security — это структурированные наборы рекомендаций, лучших практик и controls, которые помогают организациям создавать и поддерживать эффективные программы Security. Вместо того чтобы начинать с нуля, фреймворки предлагают проверенную методологию, которую можно адаптировать к размеру организации, отрасли и профилю риска. Экзамен Security+ сосредоточен на трёх широко распространённых фреймворках: NIST RMF, ISO 27001 и CIS Controls — каждый рассматривает Security с отдельной точки зрения.

Фреймворк управления рисками NIST (NIST SP 800-37) представляет собой шестиступенчатый жизненный цикл управления рисками Security и конфиденциальности в федеральных информационных системах, хотя он также широко применяется в частном секторе. Шесть этапов таковы: Categorize (чувствительность системы и данных), Select (подходящие controls из SP 800-53), Implement (развёртывание controls), Assess (проверка effectiveness), Authorize (решение ATO уполномоченного должностного лица) и Monitor (непрерывный мониторинг). RMF подчёркивает постоянную авторизацию, а не сертификацию в отдельный момент времени.

NIST SP 800-53 — это каталог controls, используемый на этапе Select фреймворка RMF. Он объединяет сотни controls Security и конфиденциальности в 20 семейств, таких как Access Control (AC), Audit and Accountability (AU), Incident Response (IR) и System and Communications Protection (SC). Для controls указаны базовые уровни (Low, Moderate, High), соответствующие уровню воздействия системы по FIPS-199, поэтому организации выбирают подходящий набор controls для своей категории риска.

ISO/IEC 27001 — международный стандарт для систем управления информационной Security (ISMS). В отличие от NIST, ориентированного на US, ISO 27001 получил международное признание, и организации могут пройти официальную стороннюю сертификацию, что ценно для доверия клиентов и международных контрактов. Стандарт следует циклу Plan-Do-Check-Act (PDCA) и сосредоточен на построении системы управления информационной Security, а не на задании отдельных технических controls.

Annex A ISO 27001:2022 содержит 93 controls, объединённых в четыре темы: организационные (37 controls — политики, роли, отношения с поставщиками), люди (8 controls — найм, обучение, увольнение), физические (14 controls — помещения, оборудование) и технологические (34 controls — контроль доступа, Malware, Encryption, logging). Реализовывать каждый control необязательно: организации выбирают применимые controls на основе своего заявления о применимости (SoA) и обосновывают исключение любых controls.

CIS Critical Security Controls (ранее SANS Top 20) — это приоритизированный набор из 18 групп controls, разработанный Center for Internet Security. Они отличаются высокой практичностью и ориентированностью на конкретные действия и предназначены для немедленной реализации, а не для долгосрочного управления программой. CIS Controls разделены на три группы реализации (IG): IG1 (базовая кибергигиена, 56 мер защиты), IG2 (добавляет 74 меры защиты для более сложных сред) и IG3 (все 153 меры защиты для зрелых организаций, сталкивающихся с изощрёнными угрозами).

CIS Controls определяют на высоком уровне, что делать; CIS Benchmarks определяют, как это делать для конкретных платформ. CIS Benchmarks содержат предписывающие пошаговые рекомендации по усилению Security операционных систем (Windows, Linux), облачных платформ (AWS, Azure, GCP), сетевых устройств, браузеров и баз данных. Их можно бесплатно скачать; они широко используются как техническая спецификация для CIS Control 4 (Secure Configuration). Инструменты автоматизации, такие как Chef, Ansible и InSpec, могут применять CIS Benchmarks в масштабах всей организации.

Каждый фреймворк отвечает прежде всего на свою потребность. NIST RMF лучше всего подходит для Government US и оборонных подрядчиков, которым необходимы формальные процессы авторизации. ISO 27001 лучше всего подходит организациям, желающим получить международно признанную Certification для демонстрации уровня Security клиентам. CIS Controls лучше всего подходят организациям, которым нужны приоритизированные практические Steps для быстрого улучшения Defenses. Многие зрелые организации используют все три фреймворка: CIS Controls для повседневных операций, NIST RMF для управления рисками и ISO 27001 для Certification, ориентированной на клиентов.

На экзамене Security+ встречаются и дополнительные фреймворки. COBIT (Control Objectives for Information Technologies) сосредоточен на управлении IT и согласовании Security с бизнес-целями. SOC 2 — это стандарт аудита для поставщиков Services, оценивающий Security, доступность, конфиденциальность, Integrity обработки и конфиденциальность данных. PCI-DSS — это предписывающий стандарт Compliance для сред, в которых обрабатываются платёжные карты. Понимание этих фреймворков помогает говорить на языке разных отраслей и нормативных сред.

При выборе фреймворка учитывайте: нормативное требование (HIPAA требует реализуемых мер защиты; FedRAMP требует NIST), требования клиентов (корпоративные клиенты могут требовать Certification ISO 27001), зрелость организации (CIS IG1 подходит небольшим организациям, которые только начинают работу) и отрасль (финансовым Services может потребоваться NIST CSF или SOC 2). Лучше начать с одного фреймворка и затем расширять его применение, чем пытаться одновременно реализовать все фреймворки и перегружать небольшие команды.

Все три фреймворка объединяет стремление к непрерывному улучшению. Этап Monitor в NIST RMF обеспечивает постоянное тестирование controls. Этап Act в ISO 27001 требует корректирующих действий и планов улучшения. CIS Controls получают новые версии и обновляются по мере изменения ландшафта угроз (в настоящее время версия 8.1). Программы Security, которые рассматривают фреймворки как разовую процедуру Compliance, быстро отстают: фреймворки задуманы как постоянно развивающиеся программы, которые со временем совершенствуются вместе с возможностями организации и возникающими угрозами.

Проверьте понимание концепций CompTIA Security+ (SY0-701) из этого урока.

В этом уроке Вы узнали, что NIST RMF обеспечивает шестиступенчатый жизненный цикл управления рисками (Categorize, Select, Implement, Assess, Authorize, Monitor) с controls SP 800-53, ISO 27001 — это глобально сертифицируемый стандарт ISMS на основе PDCA с controls Annex A, а CIS Controls предлагают 18 приоритизированных групп controls в трёх группах реализации для практичного и действенного улучшения Security. Далее мы рассмотрим схемы классификации данных и требования к конфиденциальности.