NIST Cybersecurity Framework (CSF)

Også kendt som: NIST CSF

Et gratis amerikansk rammeværk, der inddeler sikkerhedsarbejdet i seks overordnede funktioner, fra styring til genopretning efter et angreb.

Kladde - dette opslag er endnu ikke gennemgået.

Sådan kommer du i gang

De typiske trin i rækkefølge. Tilpas dem til jeres organisation.

Aftal omfanget med ledelsen - hvilke forretningsområder, systemer og tjenester arbejdet dækker - og udpeg en ejer.
Brug Govern-funktionen til at beskrive rammerne, fx jeres mission, interessenter, lov- og kontraktkrav som NIS2 eller kundekrav, risikovillighed og risici i forsyningskæden.
Lav en nuværende profil ved at vurdere, hvor langt I er med hver relevant underkategori i CSF Core i dag, med NIST's skabelon til Organizational Profiles og med dokumentation frem for mavefornemmelse.
Lav en målprofil med de resultater, I har brug for, prioriteret efter risiko og forretningsmål, og vælg, hvilket Tier I sigter mod i jeres styring af cyberrisici.
Sammenlign de to profiler, og gør hullerne til en handlingsplan med ejere, budget og frister.
Vælg konkrete kontroller til hvert resultat fra de informative referencer, fx CIS Controls, ISO/IEC 27001 eller SP 800-53, for CSF siger ikke selv hvordan.
Gennemfør planen, og rapportér fremdriften til direktion og bestyrelse i de seks funktioner.
Opdatér den nuværende profil mindst en gang om året og efter større hændelser eller ændringer, og justér målprofilen, når trusler og krav ændrer sig.

Typiske faldgruber

At læse Tiers som modenhedsniveauer og sigte mod Tier 4 overalt i stedet for den stringens, risikoen berettiger.
At påstå at være CSF-certificeret, hvilket ikke findes; har I brug for et certifikat, så brug ISO/IEC 27001.
At vurdere underkategorier uden dokumentation, så den nuværende profil viser ønsker frem for praksis.
At springe Govern over og starte med værktøjer under Protect og Detect, så arbejdet mangler ejere, prioriteter og budget.

Gode vejledninger

The NIST Cybersecurity Framework (CSF) 2.0 (NIST CSWP 29)(åbner i en ny fane) · NIST (på engelsk)
NIST SP 1301 - NIST Cybersecurity Framework 2.0: Quick-Start Guide for Creating and Using Organizational Profiles(åbner i en ny fane) · NIST (på engelsk)
NIST SP 1300 - NIST Cybersecurity Framework 2.0: Small Business Quick-Start Guide(åbner i en ny fane) · NIST (på engelsk)
CSF 2.0 Profiles(åbner i en ny fane) · NIST (på engelsk)

Teknisk uddybning

Rammeværket udsprang af Executive Order 13636 (februar 2013), der pålagde NIST at udvikle et frivilligt rammeværk for kritisk infrastruktur; version 1.0 kom den 12. februar 2014, Cybersecurity Enhancement Act of 2014 gav NIST et varigt mandat til at vedligeholde det, version 1.1 udkom i april 2018, og Executive Order 13800 (2017) pålagde amerikanske føderale myndigheder at bruge det. Version 2.0, udgivet som NIST CSWP 29 den 26. februar 2024, fjernede kritisk infrastruktur fra titlen og henvender sig til organisationer af enhver størrelse og i enhver sektor.

Det har tre komponenter. Core er et hierarki af funktioner, kategorier og underkategorier med faste identifikatorer: i 2.0 er der seks funktioner, 22 kategorier og 106 underkategorier mod fem funktioner, 23 kategorier og 108 underkategorier i 1.1. Govern (GV) er ny og rummer organisatorisk kontekst (GV.OC), risikostyringsstrategi (GV.RM), roller, ansvar og beføjelser (GV.RR), politik (GV.PO), tilsyn (GV.OV) og styring af risici i forsyningskæden (GV.SC); de øvrige funktioner er Identify (ID), Protect (PR, herunder PR.AA for identitetsstyring, autentificering og adgangskontrol), Detect (DE), Respond (RS) og Recover (RC). Profiler beskriver nuværende eller ønskede resultater udvalgt fra Core, herunder Community Profiles, som deles af en sektor. Tiers 1-4 (Partial, Risk Informed, Repeatable, Adaptive) karakteriserer, hvor stringent organisationens styring og ledelse af cyberrisici er.

Version 2.0 flyttede informative referencer og implementeringseksempler ud af PDF'en og over i onlineressourcer, især Cybersecurity and Privacy Reference Tool, hvor underkategorierne via OLIR-programmet er koblet til SP 800-53 Rev. 5, CIS Controls, ISO/IEC 27001 og andre kilder, og tilføjede Quick-Start Guides til små virksomheder og andre målgrupper. Selve rammeværket indeholder ingen kontroller, der skal implementeres; det peger på kataloger, der gør.

To misforståelser er udbredte. Tiers læses ofte som modenhedsniveauer, men NIST beskriver dem som et udtryk for, hvor stringent risikostyringen er, og kræver ikke, at en organisation sigter mod Tier 4 overalt. Og der findes ingen officiel certificering: konsulenters "CSF-vurderinger" er selvdefinerede evalueringer. Det er den væsentligste forskel fra ISO/IEC 27001, der kræver et ledelsessystem, som auditeres af akkrediterede organer; i praksis bruger mange organisationer CSF-funktionerne som rapporteringssprog over for bestyrelsen og ISO 27001-ISMS'et som det maskineri, der driver arbejdet, og ISO/IEC 27002 har lånt de fem oprindelige funktionsnavne som attributværdier for sine kontroller.

Hvad du bør lære først

Alt det, dette bygger på - grundlaget først.

CIA-triaden
→Trussel
→Aktiv
→Sårbarhed
→Konsekvens
→Sandsynlighed
→Risiko
→Risikostyring
→NIST Cybersecurity Framework (CSF)

Relationer

En slags: Rammeværk
Forudsætter: Risikostyring
Forveksl ikke med: ISO 27000-serien ISO 27001
Bruges sammen med: Leverandørstyring Gap-analyse

Kilder og videre læsning

Standarder og officielle tekster

The NIST Cybersecurity Framework (CSF) 2.0 (NIST CSWP 29) · NIST

Officiel dokumentation

NIST Releases Version 2.0 of Landmark Cybersecurity Framework · NIST

Hvor dataene kommer fra

Dette opslag er skrevet af en AI ud fra kilderne ovenfor og er endnu ikke gennemgået af et menneske. Brug det som udgangspunkt, og tjek alt vigtigt mod kilderne.

Se gennemgangskøen Foreslå en rettelse på GitHub Dette begreb som JSON

Test dig selv

Indlæser…