Базовото ниво на киберсигурност, което клиентите ви изискват.

NIST CSF 2.0 (Cybersecurity Framework, версия 2.0) е доброволна рамка, публикувана от Националния институт за стандарти и технологии (NIST), която дава на организациите структуриран подход за управление на риска в киберсигурността. Версия 2.0, издадена през февруари 2024 г., въвежда шеста основна функция, наречена Управление (Govern), която стои в центъра на рамката и издига управлението на киберсигурността и стратегията за управление на риска до въпрос от първостепенно значение. Другите промени включват разширена приложимост извън критичната инфраструктура към всички организации, независимо от размера или сектора им, подобрени насоки за управлението на риска във веригата на доставки, по-добра интеграция с други рамки за управление на риска и нови примери за внедряване за всяка подкатегория. Рамката е широко възприета в целия свят, а не само в САЩ, като референция за добри практики в киберсигурността.

NIST CSF 2.0 организира дейностите по киберсигурност в шест основни функции. Управление (Govern, GV) определя и наблюдава стратегията, очакванията и политиката на организацията за управление на риска в киберсигурността. Идентифициране (Identify, ID) помага да се разбере текущото състояние на риска в киберсигурността на организацията чрез каталогизиране на активите, потоците от данни и риска. Защита (Protect, PR) въвежда предпазни мерки за управление на рисковете в киберсигурността, включително контрол на достъпа, обучение за осведоменост, сигурност на данните и сигурност на платформите. Откриване (Detect, DE) определя дейностите за установяване на събития в киберсигурността чрез непрекъснато наблюдение и откриване на аномалии. Реагиране (Respond, RS) описва действията за ограничаване и управление на открити инциденти в киберсигурността. Възстановяване (Recover, RC) обхваща дейностите за възстановяване на способностите, засегнати от инцидент в киберсигурността. Заедно тези функции дават поглед върху целия жизнен цикъл на управлението на риска в киберсигурността.

NIST CSF е доброволна за повечето организации, но на практика е задължителна за федералните агенции на САЩ и техните изпълнители. Извън държавния сектор NIST CSF е широко възприета от организации от всякакъв размер като рамка за добри практики в киберсигурността. Финансовите институции я използват наред със секторните регулации, здравните организации я използват като допълнение към HIPAA, а технологичните компании я използват като основа за програмите си за сигурност. Много застрахователи на киберриска се позовават на NIST CSF при оценката на риска на застрахованите. Някои отраслови регулации и закони на отделни щати в САЩ посочват NIST CSF като еталон за разумни практики в киберсигурността. В международен план организациите използват NIST CSF като допълнение към ISO 27001 или като отправна точка, когато не се прилага секторна регулация.

Нивата на внедряване в NIST CSF описват степента, в която практиките на организацията за управление на риска в киберсигурността проявяват характеристиките, определени в рамката. Нивата са четири: Ниво 1 „Частично“ (Partial), при което управлението на риска в киберсигурността е импровизирано и реактивно, Ниво 2 „Информирано за риска“ (Risk Informed), при което практиките за управление на риска са одобрени от ръководството, но може да не обхващат цялата организация, Ниво 3 „Повторяемо“ (Repeatable), при което организацията има официално одобрени и редовно актуализирани практики за управление на риска, и Ниво 4 „Адаптивно“ (Adaptive), при което организацията адаптира практиките си въз основа на извлечените поуки и прогнозни индикатори. Тези нива не са степени на зрелост и няма изискване да се достигне Ниво 4. Вместо това организациите избират целево ниво, което управлява по подходящ начин риска им в киберсигурността предвид заплахите, на които са изложени, и бизнес изискванията им.

Профилът по NIST CSF е персонализирано съобразяване на функциите, категориите и подкатегориите на рамката с конкретните бизнес изисквания, толерантността към риска и ресурсите на вашата организация. Създавате два профила: текущ профил (Current Profile), който описва настоящото състояние на киберсигурността ви, и целеви профил (Target Profile), който описва желаното бъдещо състояние. Разликата между тези профили се превръща в приоритизирания ви план за действие. За да създадете профил, оценете всяка подкатегория спрямо текущия статус на внедряване, определете кои подкатегории са относими за организацията ви и на какво ниво и документирайте обосновка за всяка подкатегория, приета за неприложима. Venvera автоматизира този процес, като ви води през оценката на всяка подкатегория и генерира и текущия, и целевия профил с автоматично изчислен анализ на пропуските.

NIST CSF 2.0 се съпоставя в голяма степен както с ISO 27001, така и със SOC 2, като припокриването в целите на контролите е приблизително от 70 до 80 процента. Функцията Управление съответства на клаузи 4 до 7 на ISO 27001 (контекст, лидерство, планиране, осигуряване) и на CC1 в SOC 2 (контролна среда). Идентифициране съответства на A.5 в ISO 27001 (организационни контроли) и на CC3 в SOC 2 (оценка на риска). Защита съответства на A.6-A.8 в ISO 27001 (контроли, свързани с хората, физически и технологични контроли) и на CC5-CC6 в SOC 2 (контролни дейности, логически достъп). Откриване съответства на A.8.15-A.8.16 в ISO 27001 (журналиране, наблюдение) и на CC7 в SOC 2 (системни операции). Реагиране и Възстановяване съответстват на A.5.24-A.5.30 в ISO 27001 (управление на инциденти, непрекъснатост на дейността) и на CC7-CC9 в SOC 2. Venvera поддържа тези съпоставяния между рамките, така че един контрол, внедрен веднъж, покрива изискванията на всички приложими рамки.

NIST препоръчва организациите да преглеждат и актуализират редовно профилите си за киберсигурност и оценките на риска, като честотата зависи от скоростта на промените в средата на заплахите и в бизнес дейността ви. Повечето организации извършват пълна оценка по рамката веднъж годишно, с тримесечни прегледи на областите с висок приоритет и непрекъснато наблюдение на критичните контроли. Основните поводи за нова оценка включват значителни промени в ИТ инфраструктурата, нови регулаторни изисквания, сериозни инциденти със сигурността, сливания или придобивания и промени в картината на заплахите. Функцията Управление в NIST CSF 2.0 подчертава, че управлението на риска в киберсигурността трябва да бъде непрекъснат процес, интегриран в управлението на риска на ниво предприятие, а не еднократно упражнение. Venvera подкрепя това, като поддържа жива оценка, която можете да актуализирате постепенно, вместо да започвате от нулата всеки цикъл.

Да. Venvera е софтуер за съответствие с NIST CSF, изграден около шестте основни функции и нивата на внедряване (Implementation Tiers). Той ви дава обхванат набор от контроли, оценка на пропуските, която измерва зрелостта ви по функции, и работно пространство с доказателства зад всяка подкатегория. Тъй като съпоставя контроли между рамките, доказателствата, които вече имате за ISO 27001 или SOC 2, попълват предварително голяма част от вашата позиция по NIST CSF. Започнете с безплатна проверка за съответствие, преди да поемете ангажимент.