NIST CSF 2.0 Govern за МСП и ISO 27001

Сара, новоназначеният CISO на бързо растящо FinTech МСП, имаше бяла дъска, изпълнена с рамки, и срок, който не можеше да бъде отложен. NIST CSF 2.0. ISO 27001:2022. NIS2. DORA. GDPR. Риск при доставчици. Отчетност пред управителния съвет. Надлежна проверка от корпоративни клиенти.

Поводът беше познат: електронна таблица от голям клиент в сектора на финансовите услуги. Отделът „Закупуване“ изискваше доказателства за модел на управление на киберсигурността, апетит за риск, програма за сигурност на доставчиците, съпоставяне на правни и регулаторни задължения, процес за ескалация на инциденти и съответствие с ISO 27001:2022.

Главният изпълнителен директор не искаше лекция по съответствие. Тя искаше ясен отговор на труден въпрос: „Как да докажем на нашия управителен съвет, клиентите и регулаторите, че управляваме киберриска?“

Това е управленският проблем, пред който са изправени много МСП. Клиентският въпросник рядко е само клиентски въпросник. Често той представлява пет разговора за съответствие, компресирани в едно искане. NIST CSF 2.0, ISO/IEC 27001:2022, GDPR, NIS2, очаквания към доставчиците, произтичащи от DORA, устойчивост на облачни услуги, надзор от управителния съвет и договорни ангажименти — всички те са скрити в едно и също искане за доказателства.

Много МСП реагират, като създават отделни артефакти: таблица за NIST, папка за сертификация по ISO, тракер за GDPR, Регистър на риска при доставчици и План за реагиране при инциденти, които не са свързани помежду си. Шест месеца по-късно никой не знае кой документ е официалният източник.

Подходът на Clarysec е различен. Използвайте функцията Govern на NIST CSF 2.0 като управленски слой за висшето ръководство, след което я съпоставете с политики по ISO 27001:2022, третиране на риска, Декларация за приложимост, надзор върху доставчици, преглед от ръководството и одитни доказателства. Резултатът не е повече работа по съответствието. Това е един оперативен модел, който позволява да отговаряте на одитори, клиенти, регулатори и ръководство с един и същ набор от доказателства.

Защо функцията Govern на NIST CSF 2.0 е важна за МСП

NIST CSF 2.0 издига управлението в самостоятелна функция наред с Identify, Protect, Detect, Respond и Recover. Тази промяна е важна, защото повечето провали в сигурността при МСП не са причинени от липсата на още един инструмент. Те са причинени от неясна отчетност, слаби решения за риска, недокументирани изключения, непоследователен надзор върху доставчици и политики, които са били одобрени веднъж, но никога не са въведени в оперативна употреба.

Функцията Govern на NIST CSF 2.0 променя въпроса от „какви контроли имаме?“ към „кой носи отчетност, кои задължения се прилагат, как се приоритизират рисковете и как се преглежда изпълнението?“

За МСП резултатите от Govern дават практичен мандат:

• Разбиране и управление на правни, регулаторни, договорни, свързани с поверителността и гражданските свободи задължения.
• Установяване на апетит за риск, толеранс към риск, оценяване на риска, приоритизация и възможности за реакция на риска.
• Дефиниране на роли, отговорности, правомощия, пътища за ескалация и ресурсно осигуряване в киберсигурността.
• Установяване, комуникиране, прилагане, преглед и актуализация на политики за киберсигурност.
• Преглед на стратегията, изпълнението и управленската отчетност в киберсигурността.
• Управление на киберриска при доставчици и трети страни — от надлежната проверка до прекратяване на взаимоотношението.

Ето защо NIST CSF 2.0 Govern е толкова силна входна точка към ISO 27001:2022. NIST дава на ръководителите езика на управлението. ISO 27001:2022 предоставя одитируемата система за управление.

Клаузи 4 до 10 на ISO 27001:2022 изискват организациите да разбират контекста, да дефинират заинтересованите страни, да установят обхвата на ISMS, да демонстрират лидерство, да планират оценка на риска и третиране на риска, да поддържат документирана информация, да прилагат контроли, да оценяват изпълнението, да провеждат вътрешни одити и прегледи от ръководството и да постигат непрекъснато подобрение. След това Приложение A предоставя референтния набор от контроли, включително политики, управленски отговорности, правни задължения, поверителност, взаимоотношения с доставчици, облачни услуги, управление на инциденти и готовност на ИКТ за непрекъсваемост на дейността.

Корпоративната Политика за информационна сигурност на Clarysec Политика за информационна сигурност посочва:

Организацията трябва да поддържа формален модел на управление за надзор върху ISMS, съгласуван с клаузи 5.1 и 9.3 на ISO/IEC 27001.

Това изискване от клауза 5.1 на Политика за информационна сигурност е практическата връзка между отчетността по NIST GV и очакванията на ISO 27001:2022 към лидерството. Управлението не е годишна презентация. То е формален модел, който свързва решения, политики, роли, рискове, контроли, доказателства и преглед.

Основното съпоставяне: NIST CSF 2.0 Govern към доказателства по ISO 27001:2022

Най-бързият начин NIST CSF 2.0 да стане полезен е резултатите от Govern да се преобразуват в собственост върху политики и одитни доказателства. Таблицата по-долу е структурата, която Clarysec използва с МСП, подготвящи се за сертификация по ISO 27001:2022, надлежна проверка от корпоративни клиенти, готовност за NIS2, клиентско потвърждение по DORA и отчетност по GDPR.

Това съпоставяне умишлено започва от доказателствата. То не изисква от МСП да създаде 40 документа. То задава пет оперативни въпроса:

1. Какво решение се взема?
2. Кой отговаря за него?
3. Коя политика го регулира?
4. Коя клауза на ISO 27001:2022 или контрол от Приложение A го подкрепя?
5. Какво доказателство потвърждава, че се е случило?

Политика за роли и отговорности в управлението за МСП Политика за роли и отговорности в управлението за МСП прави тази проследимост изрична:

Всички съществени решения, изключения и ескалации, свързани със сигурността, трябва да бъдат записани и проследими.

Този цитат е от клауза 5.5 на Политика за роли и отговорности в управлението за МСП. Той превръща NIST GV.RR от управленски принцип в одитируемо оперативно правило.

Започнете с профил CSF Govern, а не с таблица с контроли

Организационните профили в NIST CSF 2.0 помагат на организациите да опишат текущите и целевите резултати в киберсигурността. За МСП профилът е мястото, където управлението става управляемо.

Практическият семинар за профил Govern трябва да отговори на пет въпроса:

1. Какво е в обхвата: цялата компания, SaaS платформа, регулиран продукт или клиентска среда?
2. Кои задължения движат профила: клиентски договори, GDPR, експозиция към NIS2, клиентски очаквания, произтичащи от DORA, сертификация по ISO 27001:2022 или надлежна проверка от инвеститор?
3. Какво доказват текущите доказателства, а не какво хората вярват, че съществува?
4. Какво целево състояние е реалистично за следващите 90 дни и следващите 12 месеца?
5. Кои рискове, политики, доставчици и записи в SoA трябва да се променят?

Zenith Blueprint: 30-стъпкова пътна карта за одитора Zenith Blueprint подпомага това във фазата „основа и лидерство на ISMS“, стъпка 6, „Документирана информация и изграждане на библиотеката на ISMS“. Той препоръчва SoA да се подготви рано и да се използва като библиотека с контроли:

✓ Допълнителни контроли: Има ли контроли извън Приложение A, които може да включите? ISO 27001 позволява добавяне на други контроли в SoA. Например може да искате да включите съответствие с NIST CSF или специфични контроли за поверителност от ISO 27701. Като цяло Приложение A е изчерпателно, но можете да добавите всички уникални контроли, които планирате

✓ Използвайте електронна таблица (SoA Builder): Практичен подход е да подготвите SoA таблицата още сега. Подготвили сме шаблон SoA_Builder.xlsx, който изброява всички контроли от Приложение A с колони за приложимост, статус на внедряване и бележки.

За МСП това е важно. Не е необходимо да насилвате NIST CSF 2.0 да се побере в ISO Приложение A, сякаш двете са идентични. Можете да включите резултатите от CSF Govern като допълнителни управленски изисквания във вашата библиотека SoA, да ги съпоставите с клаузи на ISO 27001:2022 и контроли от Приложение A и да ги използвате за подобряване на прегледа от ръководството, управлението на доставчици, докладването на риска и мониторинга на съответствието.

Изградете регистър на доказателствата за Govern

Регистърът на доказателствата за Govern е практичният инструмент, който превръща рамките в доказуеми факти. Той трябва да свързва всеки резултат по NIST с ISO референция, собственик на политика, елемент на доказателство, честота на преглед, пропуск и действие.

Корпоративната Политика за правно и регулаторно съответствие на Clarysec Политика за правно и регулаторно съответствие задава управленското изискване:

Всички правни и регулаторни задължения трябва да бъдат съпоставени с конкретни политики, контроли и собственици в рамките на Система за управление на информационната сигурност (ISMS).

Това е клауза 6.2.1 от Политика за правно и регулаторно съответствие. За МСП Политика за правно и регулаторно съответствие за МСП Политика за правно и регулаторно съответствие за МСП добавя практическо изискване за кръстосано съпоставяне:

Когато дадена регулация се прилага в няколко области (например GDPR се прилага към съхранение, сигурност и поверителност), това трябва да бъде ясно съпоставено в Регистъра на съответствието и материалите за обучение.

Този цитат е от клауза 5.2.2 на Политика за правно и регулаторно съответствие за МСП. Заедно тези клаузи превръщат GV.OC-03 в управляван, прегледен и готов за одит процес.

Свържете оценяването на риска с третирането на риска и SoA

NIST GV.RM изисква цели за риска, апетит за риск, толеранс към риск, стандартизирано изчисляване на риска, възможности за реакция и комуникационни линии. ISO 27001:2022 превръща това в оперативна практика чрез оценка на риска, третиране на риска, одобрение от собственик на риска, приемане на остатъчния риск и Декларация за приложимост.

Политика за управление на риска за МСП Политика за управление на риска за МСП е умишлено конкретна:

Всеки запис за риск трябва да включва: описание, вероятност, въздействие, оценка, собственик и план за третиране.

Това идва от клауза 5.1.2 на Политика за управление на риска за МСП. Корпоративната Политика за управление на риска Политика за управление на риска затвърждава връзката със SoA:

Декларация за приложимост (SoA) трябва да отразява всички решения за третиране и да се актуализира при всяка промяна в покритието на контролите.

Това е клауза 5.4 на Политика за управление на риска.

Да разгледаме реален риск за МСП: неоторизиран достъп до продукционни клиентски данни поради непоследователно прилагане на MFA за облачни административни акаунти.

Силното съпоставяне по Govern би включвало:

• NIST GV.RM за стандартизирана документация и приоритизация на риска.
• NIST GV.RR за собственост върху ролите и правомощия за прилагане на контрол на достъпа.
• NIST GV.PO за прилагане и преглед на политиката.
• Клаузи 6.1.2, 6.1.3, 8.2 и 8.3 на ISO 27001:2022.
• Контроли от Приложение A за контрол на достъпа, управление на идентичности, информация за удостоверяване, регистриране, мониторинг, конфигурация и облачни услуги.
• Доказателства като запис в Регистъра на риска, експорт на MFA конфигурация, одобрение на изключение, преглед на облачна IAM, решение от преглед от ръководството и актуализирана бележка в SoA.

Zenith Blueprint, фаза „Управление на риска“, стъпка 13, „Планиране на третиране на риска и Декларация за приложимост“, обяснява връзката:

✓ Осигурете съответствие с вашия Регистър на риска: всеки компенсиращ контрол, който сте записали в Плана за третиране на риска, трябва да съответства на контрол от Приложение A, отбелязан като „Приложим“. Обратно, ако даден контрол е отбелязан като приложим, трябва да имате или риск, или изискване, което го обосновава.

Това е разликата между твърдението „използваме MFA“ и доказването на „имаме управлявана, риск-базирана и съгласувана с ISO 27001:2022 причина за MFA, с доказателства, собственик и честота на преглед“.

Управлявайте риска при доставчици, без да изграждате прекомерна програма

NIST GV.SC е една от най-полезните части на функцията Govern за МСП, защото съвременните МСП зависят силно от доставчици: доставчици на облачни услуги, платежни оператори, HR платформи, системи за обслужване на заявки, хранилища за код, CI/CD инструменти, инструменти за мониторинг и управлявани услуги за сигурност.

ISO 27001:2022 Приложение A подкрепя това чрез контроли за доставчици и облачни услуги, включително 5.19 Информационна сигурност във взаимоотношенията с доставчици, 5.20 Адресиране на информационната сигурност в споразумения с доставчици, 5.21 Управление на информационната сигурност във веригата на доставки на ИКТ, 5.22 Мониторинг, преглед и управление на промените в услугите на доставчици, 5.23 Информационна сигурност при използване на облачни услуги и 5.30 Готовност на ИКТ за непрекъсваемост на дейността.

Политика за сигурност на трети страни и доставчици за МСП Политика за сигурност на трети страни и доставчици за МСП прави изискването за доказателства ясно:

Тези прегледи трябва да бъдат документирани и съхранявани със записа на доставчика. Последващите действия трябва да бъдат ясно проследявани.

Това е клауза 6.3.2 на Политика за сигурност на трети страни и доставчици за МСП.

Лек модел за доставчици при МСП може да използва три нива:

Този прост модел подкрепя NIST GV.SC, контролите за доставчици по ISO 27001:2022, клиентската надлежна проверка и договорните очаквания, произтичащи от DORA, от страна на финансови клиенти.

Прекратяването на взаимоотношения с доставчици заслужава специално внимание. NIST GV.SC очаква управление през целия жизнен цикъл на доставчика, включително края на взаимоотношението. Доказателствата трябва да включват връщане или изтриване на данни, премахване на достъп, планиране на преход на услугата, съхранени договорни записи и преглед на остатъчния риск.

Използвайте Zenith Controls за кръстосано съответствие, не като отделен набор от контроли

Zenith Controls: ръководство за кръстосано съответствие на Clarysec Zenith Controls е ръководство за кръстосано съответствие за съпоставяне на теми от контроли по ISO/IEC 27002:2022 към множество рамки и одитни перспективи. Това не са отделни „контроли Zenith“. Те са контроли по ISO/IEC 27002:2022, анализирани в Zenith Controls за целите на кръстосаното съответствие.

За NIST CSF 2.0 Govern три области на контроли по ISO/IEC 27002:2022 са особено важни:

Zenith Blueprint, фаза „Контроли в действие“, стъпка 22, „Организационни контроли“, дава оперативния модел:

Формализирайте управлението на информационната сигурност

Уверете се, че вашите политики за информационна сигурност (5.1) са финализирани, одобрени и под управление на версиите. Назначете поименно определени собственици за всяка област на политики (например достъп, шифроване, резервни копия) и документирайте ролите и отговорностите в рамките на ISMS (5.2). Прегледайте разделението на задълженията (5.3) в области с висок риск като финанси, системна администрация и контрол на промените. Създайте проста карта на управлението, която показва кой одобрява, кой внедрява и кой наблюдава политиката за сигурност.

Тази карта на управлението е един от артефактите с най-висока стойност, които едно МСП може да създаде. Тя отговаря на NIST GV.RR, изискванията на ISO 27001:2022 за лидерство, очакванията на NIS2 за управленска отчетност и клиентските въпроси за това кой отговаря за киберриска.

Един модел на управление за NIS2, DORA, GDPR, NIST и ISO

Функцията Govern става най-ценна, когато МСП се сблъсква с припокриващи се изисквания.

NIS2 изисква попадащите в обхвата съществени и важни субекти да приемат подходящи и пропорционални мерки за управление на риска в киберсигурността. Тя също така възлага на управителните органи отговорност да одобряват мерките за управление на риска в киберсигурността, да надзирават внедряването им и да преминават обучение. NIST GV.RR подкрепя управленската отчетност. GV.RM подкрепя риск-базирани мерки. GV.SC подкрепя сигурността на веригата на доставки. GV.PO подкрепя политиките. GV.OV подкрепя прегледа на изпълнението.

Управлението на инциденти по NIS2 въвежда и поетапни очаквания за докладване, включително ранно предупреждение в рамките на 24 часа, уведомление за инцидент в рамките на 72 часа и окончателен доклад в рамките на един месец за значими инциденти. Тези срокове трябва да бъдат отразени в процедури за реагиране при инциденти, пътища за ескалация, комуникационни планове и докладване към ръководството.

DORA се прилага от 17 януари 2025 г. за финансови субекти в ЕС, но много МСП усещат нейното въздействие чрез клиентски договори. Финансовите клиенти могат да прехвърлят изисквания на DORA надолу към доставчици на ИКТ, софтуерни доставчици, доставчици на управлявани услуги и доставчици, зависими от облачни услуги. DORA се фокусира върху управление на ИКТ риска, отговорност на управителния орган, докладване на инциденти, тестване на устойчивостта, ИКТ риск при трети страни, договорни изисквания и надзор.

GDPR добавя отчетност за обработването на лични данни. МСП трябва да разберат дали са администратори, обработващи лични данни, или и двете, какви лични данни обработват, кои системи и доставчици участват, какви правни основания се прилагат и кои сценарии за инциденти могат да се превърнат в нарушения на сигурността на личните данни.

Zenith Blueprint, фаза „Управление на риска“, стъпка 14, препоръчва кръстосано съпоставяне на изискванията на DORA, NIS2 и GDPR към набора от контроли по ISO 27001:2022:

За всяка регулация, ако е приложима, можете да създадете проста таблица за съпоставяне (може да бъде приложение към доклад), която изброява ключовите изисквания за сигурност на регулацията и съответните контроли/политики във вашия ISMS. Това не е задължително по ISO 27001, но е полезно вътрешно упражнение, за да се гарантира, че нищо не е пропуснато.

Практическа карта за кръстосано съответствие може да изглежда така:

Стойността е в ефективността. Един добре управляван ISO 27001:2022 ISMS, насочван от NIST CSF 2.0 Govern, може да генерира доказателства за многократна употреба за няколко рамки едновременно.

Гледната точка на одитора: доказване, че управлението е реално

Политика на рафт не е управление. Одиторите и оценителите търсят „златна нишка“: политика на високо ниво, дефиниран процес, оперативен запис, преглед от ръководството и действие за подобрение.

Различните проверяващи ще тестват тази нишка по различен начин.

Корпоративната Политика за роли и отговорности в управлението на Clarysec Политика за роли и отговорности в управлението посочва:

Управлението трябва да подкрепя интеграцията с други дисциплини (например риск, правни въпроси, ИТ, ЧР), а решенията в ISMS трябва да бъдат проследими до своя източник (например одитни записи, журнали от прегледи, протоколи от срещи).

Това е клауза 5.5 на Политика за роли и отговорности в управлението. Тя улавя същността на кръстосаното съответствие: управленските решения трябва да бъдат проследими.

Политика за одит и мониторинг на съответствието за МСП Политика за одит и мониторинг на съответствието за МСП добавя критична дисциплина за доказателствата:

Метаданните (например кой ги е събрал, кога и от коя система) трябва да бъдат документирани.

Този цитат е от клауза 6.2.3 на Политика за одит и мониторинг на съответствието за МСП. Метаданните на доказателствата често са това, което отличава папка със скрийншотове от доказателства с одитно качество.

Корпоративната Политика за одит и мониторинг на съответствието Политика за одит и мониторинг на съответствието добавя изискването на програмно ниво:

Организацията трябва да поддържа структурирана програма за одит и мониторинг на съответствието, интегрирана в ISMS, която обхваща:

Това е клауза 5.1 на Политика за одит и мониторинг на съответствието. Управленският извод е пряк: одитът не е ежегодно спешно събиране на документи. Той е част от операциите на ISMS.

Чести грешки на МСП при съпоставяне на NIST Govern към ISO 27001:2022

Първата грешка е свръхдокументиране без собственост. МСП пише политики, но не определя собственици за третиране на риска, прегледи на доставчици, одобрения на изключения или управленско докладване.

Втората грешка е третирането на правните задължения като отделни от ISMS. NIST GV.OC-03 изисква задълженията да бъдат разбрани и управлявани. ISO 27001:2022 изисква съответните изисквания на заинтересованите страни и правните, регулаторните и договорните задължения да бъдат взети предвид в ISMS.

Третата грешка е слаба аргументация в SoA. SoA не е само списък с приложими контроли. Тя е логическият файл за това защо контролите са включени, изключени или внедрени.

Четвъртата грешка е липсата на доказателства за жизнения цикъл на доставчиците. Управлението на доставчици включва въвеждане, договори, мониторинг, инциденти, промени и прекратяване на взаимоотношението.

Петата грешка е неактуализиране на целевия профил. CSF профилът трябва да се променя, когато бизнесът навлиза в нова география, подписва голям клиент, приема критичен доставчик, стартира регулиран продукт, променя облачната архитектура или претърпява инцидент.

30-дневна пътна карта за NIST CSF 2.0 Govern за МСП

Ако МСП трябва да напредне бързо, започнете с фокусиран 30-дневен план за внедряване.

Този план създава достатъчно управленски доказателства, за да отговори на сериозни клиентски и одиторски въпроси, като същевременно изгражда основата за сертификация по ISO 27001:2022, готовност за NIS2, клиентско потвърждение по DORA и отчетност по GDPR.

Практическият резултат: една управленска история, много приложения за съответствие

Когато Сара се върне при управителния съвет, тя вече няма пет несвързани потока за съответствие. Тя има една управленска история.

Резултатите от NIST CSF 2.0 Govern са съпоставени с политики, собственици, рискове, контроли и доказателства по ISO 27001:2022. Обхватът на ISMS включва клиентски зависимости, зависимости от доставчици, облачни, правни, регулаторни, свързани с поверителността и договорни зависимости. Регистърът на риска насочва решенията за третиране и приложимостта в SoA. Политиките са одобрени, под управление на версиите, със собственици, комуникирани и преглеждани. Рисковете при доставчици са категоризирани по нива, договорно уредени, наблюдавани и проследявани. Задълженията за обработване по GDPR, очакванията за отчетност по NIS2 и клиентските изисквания, произтичащи от DORA и прехвърляни надолу по веригата, са кръстосано съпоставени, когато е приложимо. Одитните доказателства включват метаданни, записи на решения и резултати от преглед от ръководството.

Така изглежда управлението, когато е оперативно.

Следваща стъпка: изградете своя пакет от доказателства Govern за МСП с Clarysec

Ако се подготвяте за ISO 27001:2022, отговаряте на надлежна проверка от корпоративен клиент, съпоставяте резултати от NIST CSF 2.0 Govern или се опитвате да съгласувате NIS2, DORA и GDPR без изграждане на отделни програми, започнете от управленския слой.

Clarysec може да ви помогне да изградите:

• Текущ и целеви профил по NIST CSF 2.0 Govern.
• Съпоставяне на политики по ISO 27001:2022 и SoA.
• Регистър на задълженията за кръстосано съответствие чрез Zenith Controls Zenith Controls.
• 30-стъпкова пътна карта за внедряване на ISMS чрез Zenith Blueprint Zenith Blueprint.
• Доказателства по политики, готови за МСП, чрез инструментариума за политики на Clarysec, включително Политика за роли и отговорности в управлението за МСП Политика за роли и отговорности в управлението за МСП, Политика за управление на риска за МСП Политика за управление на риска за МСП, Политика за правно и регулаторно съответствие за МСП Политика за правно и регулаторно съответствие за МСП, Политика за сигурност на трети страни и доставчици за МСП Политика за сигурност на трети страни и доставчици за МСП и Политика за одит и мониторинг на съответствието за МСП Политика за одит и мониторинг на съответствието за МСП.

Най-бързият път не е още една електронна таблица. Това е управлявана, риск-базирана и доказуема ISMS, която позволява на вашето МСП уверено да отговори на един въпрос:

Можете ли да докажете, че киберсигурността се управлява, има собственици, преглежда се и непрекъснато се подобрява?

С Clarysec отговорът става „да“.