Фреймворк кибербезопасности NIST

Рамочная структура кибербезопасности NIST (CSF) — это добровольная рамочная структура, основанная на рисках и опубликованная Национальным институтом стандартов и технологий в US. Она намеренно не привязана к конкретным технологиям и подходит организациям любого размера и отрасли.

Её преимущество — простая и запоминающаяся структура для организации программы безопасности. Первоначально созданная для критической инфраструктуры, сегодня она широко используется во всём мире как общий язык для обсуждения рисков кибербезопасности.

В основе CSF лежит ядро, организованное по функциям высокого уровня. Классические пять функций таковы:

• Идентификация — понять свои активы и риски.
• Защита — внедрить защитные меры.
• Обнаружение — находить события по мере их возникновения.
• Реагирование — действовать при обнаружении инцидентов.
• Восстановление — восстановить работу и извлечь уроки.

CSF 2.0 (2024) добавила шестую функцию — Управление, дополняющую остальные надзором и стратегией.

Идентификация формирует необходимые организации знания для управления рисками. Невозможно защищать то, о наличии чего вы не знаете.

• Управление активами: оборудование, программное обеспечение, данные, службы.
• Деловая среда и критические зависимости.
• Оценка рисков и стратегия управления рисками.
• Риски цепочки поставок.

Эта функция отвечает на вопрос: что у нас есть и что ему угрожает? От правильного выполнения этой функции зависит всё последующее.

Защита внедряет меры безопасности, чтобы ограничить или сдержать последствия события. Это основная часть превентивных мер контроля:

• Управление идентификацией и доступом (минимально необходимые привилегии, MFA).
• Информирование и обучение.
• Безопасность данных, шифрование при хранении и передаче.
• Обслуживание и защитные технологии (усиление защиты, установка исправлений).

Защита снижает вероятность инцидентов и масштаб их последствий до того, как они произойдут.

Обнаружение определяет действия для своевременного выявления события кибербезопасности. Профилактика рано или поздно неизбежно даёт сбой, поэтому обнаружение необходимо.

• Непрерывный мониторинг безопасности (SIEM, EDR, сетевые датчики).
• Обнаружение аномалий и событий, знание базового уровня.
• Процессы обнаружения, которые проверяются и поддерживаются.

Главный показатель здесь — время обнаружения: чем дольше угроза остаётся незамеченной, тем больший ущерб она наносит.

Реагирование охватывает действия после обнаружения инцидента, направленные на сдерживание его последствий.

• Планирование реагирования, документированный план реагирования на инциденты.
• Внутренний и внешний обмен информацией, включая юридические вопросы и PR.
• Анализ, понимание масштаба и первопричины.
• Смягчение последствий, сдерживание и устранение угрозы.

Здесь применяются сценарии SOAR и инструкции IR. Хорошо отработанное реагирование уменьшает последствия любого конкретного взлома.

Восстановление возвращает возможности, нарушенные инцидентом, и использует полученные выводы для улучшения программы.

• Планирование восстановления и проверенные резервные копии.
• Улучшения — разбор после инцидента, обновляющий меры контроля.
• Обмен информацией во время восстановления.

Восстановление замыкает цикл. Этап анализа извлечённых уроков после инцидента превращает болезненный взлом в возможность укрепить программу, а не в повторяющуюся ошибку.

CSF 2.0 ввела функцию Управление, охватывающую все остальные функции. Она устанавливает и отслеживает стратегию управления рисками кибербезопасности организации, её ожидания и политику.

• Роли, обязанности и подотчётность.
• Стратегия управления рисками, согласованная с целями бизнеса.
• Политика и надзор, включая участие на уровне совета директоров.

Управление отражает тот факт, что кибербезопасность — это вопрос руководства и риска всей организации, а не только техническая задача.

Каждая функция делится на категории и подкатегории (конкретные результаты), обозначаемые кодами.

CSF определяет уровни реализации, описывающие зрелость и степень интеграции управления рисками — от уровня 1 до уровня 4:

• Уровень 1, частичный — непоследовательный, реактивный подход.
• Уровень 2, учитывающий риски — практики утверждены, но не применяются во всей организации.
• Уровень 3, воспроизводимый — формальные политики применяются последовательно.
• Уровень 4, адаптивный — постоянное совершенствование с учётом угроз.

Уровни — это не оценка зрелости, которую следует бездумно повышать; выбирайте уровень, соответствующий Вашим рискам и ресурсам.

CSF становится применимым на практике благодаря профилям. Создайте два профиля и сравните их:

• Текущий профиль — результаты, которых Вы достигаете сегодня.
• Целевой профиль — результаты, необходимые с учётом Ваших рисков и бизнес-целей.

Разрыв между ними — это Ваша дорожная карта с приоритетами. Анализ разрывов превращает абстрактную структуру в конкретный план с определённым бюджетом: сначала устраняйте разрывы, связанные с наибольшими рисками. Так CSF помогает принимать решения об инвестициях, а не остаётся справочным документом.

Национальная структура кибербезопасности NIST:

• Добровольная, основанная на рисках и не зависящая от конкретных технологий структура для организации программы безопасности.
• Основные функции: Определение, Защита, Обнаружение, Реагирование, Восстановление, а также Руководство, добавленное в CSF 2.0 и объединяющее все остальные функции.
• Определение помогает знать активы и риски; Защита предотвращает инциденты; Обнаружение выявляет события; Реагирование локализует их; Восстановление возвращает системы в рабочее состояние и помогает извлекать уроки.
• Функции разбиваются на категории и подкатегории (кодированные результаты); профиль — это набор результатов, к которому Вы стремитесь.
• Уровни реализации (от 1, частичного, до 4, адаптивного) описывают зрелость; выбирайте уровень, соответствующий Вашим рискам, не стремитесь бездумно достичь максимального.