Risk Çerçeveleri: NIST CSF ve ISO 27001

Güvenlik ekipleri sonsuz sayıda olası denetim ve sınırlı kaynakla karşı karşıyadır. Risk çerçeveleri; kuruluşların güvenlik yatırımlarına öncelik vermesine, riski yöneticilere iletmesine ve uyumluluğu göstermesine yardımcı olan yapılandırılmış söz varlıkları, denetim katalogları ve değerlendirme yöntemleri sağlar.

NIST CSF (sürüm 2.0), siber güvenlik faaliyetlerini altı işleve ayırır: Yönetişim, Tanımlama, Koruma, Tespit, Yanıt ve Kurtarma. Her işlev, belirli güvenlik sonuçlarıyla eşleşen kategoriler ve alt kategoriler içerir. US genelindeki kritik altyapıda ve ötesinde yaygın olarak benimsenmiştir.

Tanımlama işlevi; varlık yönetimini, risk değerlendirmesini, risk yönetimi stratejisini ve tedarik zinciri risk yönetimini kapsar. Neye sahip olduğunuzu bilmiyorsanız onu koruyamazsınız. Eksiksiz varlık envanterleri ve risk değerlendirmeleri, sonraki tüm güvenlik denetimlerinin temelidir.

Koruma; erişim denetimini, eğitimi, veri güvenliğini, süreçleri sağlamlaştırmayı ve bakımı kapsar. Tespit; anormallikleri, güvenlik olaylarını ve sürekli izlemeyi kapsar. Olgun bir Tespit işlevi, izinsiz girişleri hızla yakalayarak saldırganların sistemde fark edilmeden kalma süresini kısaltır.

Yanıt işlevi; olaylara yanıt planlamasını, iletişimi, analizi, azaltmayı ve iyileştirmeleri tanımlar. Kurtarma işlevi; kurtarma planlamasını, iyileştirmeleri ve iletişimi kapsar. IR planlarını ve kurtarma yordamlarını sınamak, ihtiyaç duyulduğunda işe yaradıklarından emin olmanızı sağlar.

ISO 27001, Bilgi Güvenliği Yönetim Sistemleri (ISMS) için uluslararası bir standarttır. Bir ISMS'nin oluşturulması, uygulanması, sürdürülmesi ve sürekli iyileştirilmesine yönelik gereksinimleri belirtir. ISO 27001 sertifikası, müşterilere ve düzenleyicilere üçüncü taraf doğrulamasından geçmiş güvenliği gösterir.

ISO 27001:2022 Ek A, dört temada düzenlenmiş 93 denetim içerir: Kurumsal (37 denetim), İnsan (8), Fiziksel (14) ve Teknolojik (34). Ek A bir menüdür; Uygulanabilirlik Bildirimi (SoA) aracılığıyla risk profilinize uygun denetimleri seçin.

ISMS risk ele alma süreci şu adımlardan oluşur: varlıkları belirleme, tehditleri ve güvenlik açıklarını belirleme, olasılığı ve etkiyi değerlendirme, ele alma yöntemini seçme (kabul etme, kaçınma, aktarma, azaltma), Ek A denetimlerini seçme ve SoA'da belgeleme. Yıllık risk değerlendirmesi incelemeleri, ISMS'nin güncel kalmasını sağlar.

NIST CSF, siber güvenlik uygulamalarını düzenleme ve iyileştirme çerçevesidir; bir sertifikasyon standardı değildir. ISO 27001, bir ISMS kapsamı ve üçüncü taraf denetimi olan sertifikalandırılabilir bir standarttır. Birçok kuruluş her ikisini de kullanır: operasyonel rehberlik için NIST CSF'yi, sertifikasyon ve müşteri güveni için ISO 27001'i.

NIST CSF, dört olgunluk katmanı tanımlar (Kısmi → Risk Bilincine Dayalı → Tekrarlanabilir → Uyarlanabilir). CMMI güvenlik olgunluğu düzeyleri de benzer şekilde eşlenir. Güvenlik olgunluğunu artırmaya yönelik ölçülebilir ve aşamalı ilerlemeyle boşlukları belirlemek ve iyileştirme yol haritaları oluşturmak için olgunluk değerlendirmelerini kullanın.

NIST CSF ve ISO 27001 başlıca düzenlemelerle eşlenir: PCI-DSS, HIPAA, GDPR, SOC 2 ve NIST 800-53. Bir çerçeve kullanmak, birden çok düzenlemeye uyumu basitleştirir: NIST CSF'deki bir Koruma denetiminin karşılandığını göstermek, genellikle birden çok düzenleyici çerçevedeki benzer gereksinimleri aynı anda karşılar.

NIST CSF ve ISO 27001, güvenlik yönetişimine birbirini tamamlayan yaklaşımlar sunar. NIST CSF, operasyonel rehberlik için güvenlik faaliyetlerini Yönetişim/Tanımlama/Koruma/Tespit/Yanıt/Kurtarma işlevleri arasında düzenlerken ISO 27001, resmi bir risk ele alma süreci ve Ek A denetim kataloğu içeren sertifikalandırılabilir bir ISMS çerçevesi sağlar.