Рамки управления рисками: NIST CSF и ISO 27001

Команды безопасности сталкиваются с бесконечным числом потенциальных мер безопасности и ограниченными ресурсами. Рамки управления рисками предоставляют структурированные словари, каталоги мер безопасности и методы оценки, которые помогают организациям расставлять приоритеты при инвестициях в безопасность, сообщать о рисках руководству и подтверждать соответствие требованиям.

NIST CSF (версия 2.0) объединяет деятельность по кибербезопасности в шесть функций: управление, выявление, защита, обнаружение, реагирование и восстановление. Каждая функция содержит категории и подкатегории, связанные с конкретными результатами обеспечения безопасности. Эта система широко применяется в критической инфраструктуре US и за её пределами.

Функция выявления охватывает управление активами, оценку рисков, стратегию управления рисками и управление рисками цепочки поставок. Нельзя защищать то, о наличии чего Вы не знаете. Полные перечни активов и оценки рисков служат основой для всех последующих мер безопасности.

Функция защиты включает управление доступом, обучение, безопасность данных, укрепление процессов и техническое обслуживание. Функция обнаружения охватывает аномалии, события безопасности и непрерывный мониторинг. Зрелая функция обнаружения не позволяет злоумышленникам долго оставаться незамеченными, быстро выявляя вторжения.

Функция реагирования определяет планирование реагирования на инциденты, коммуникации, анализ, устранение последствий и улучшения. Функция восстановления охватывает планирование восстановления, улучшения и коммуникации. Проверка планов IR и процедур восстановления гарантирует их работоспособность в нужный момент.

ISO 27001 — международный стандарт для систем управления информационной безопасностью (ISMS). Он устанавливает требования к созданию, внедрению, поддержанию и постоянному совершенствованию ISMS. Сертификация ISO 27001 демонстрирует клиентам и регулирующим органам безопасность, подтверждённую независимой третьей стороной.

Приложение A стандарта ISO 27001:2022 содержит 93 меры безопасности, организованные по четырём направлениям: организационные (37 мер), кадровые (8), физические (14) и технологические (34). Приложение A — это набор вариантов: выбирайте меры, соответствующие Вашему профилю риска, через заявление о применимости (SoA).

Процесс обработки рисков в ISMS включает следующие этапы: выявить активы, выявить угрозы и уязвимости, оценить вероятность и воздействие, выбрать способ обработки (принять, избежать, передать или снизить риск), выбрать меры из приложения A и задокументировать их в SoA. Ежегодный пересмотр оценки рисков поддерживает актуальность ISMS.

NIST CSF — это рамка для организации и совершенствования практик кибербезопасности, а не сертификационный стандарт. ISO 27001 — подлежащий сертификации стандарт с определённой областью охвата ISMS и аудитом независимой третьей стороны. Многие организации используют оба подхода: NIST CSF — для оперативных рекомендаций, ISO 27001 — для сертификации и укрепления доверия клиентов.

NIST CSF определяет четыре уровня зрелости (частичный → ориентированный на риск → повторяемый → адаптивный). Уровни зрелости безопасности CMMI устроены аналогичным образом. Используйте оценку зрелости, чтобы выявлять пробелы и создавать дорожные карты улучшений с измеримым поэтапным продвижением к более высокому уровню зрелости безопасности.

NIST CSF и ISO 27001 сопоставляются с основными нормативными требованиями: PCI-DSS, HIPAA, GDPR, SOC 2 и NIST 800-53. Использование рамки упрощает соответствие нескольким наборам требований: демонстрация выполнения меры Protect из NIST CSF обычно одновременно удовлетворяет аналогичным требованиям нескольких нормативных рамок.

Каково назначение заявления о применимости (SoA) в ISO 27001?

NIST CSF и ISO 27001 предлагают взаимодополняющие подходы к управлению безопасностью. NIST CSF объединяет деятельность по безопасности в функциях управления, выявления, защиты, обнаружения, реагирования и восстановления для оперативного руководства, тогда как ISO 27001 предоставляет сертифицируемую рамку ISMS с формальным процессом обработки рисков и каталогом мер безопасности приложения A.