Czym jest NIST SP 800-53?
Special Publication 800-53 „Security and Privacy Controls for Information Systems and Organizations" to katalog kontroli opracowany przez amerykański National Institute of Standards and Technology. Aktualna rewizja 5 została opublikowana we wrześniu 2020 roku (z późniejszą aktualizacją 5.1.1). W odróżnieniu od ramowych dokumentów typu NIST CSF, 800-53 schodzi na poziom pojedynczych, precyzyjnie zdefiniowanych zabezpieczeń, od polityki kontroli dostępu po wymagania kryptograficzne, wraz z wzmocnieniami (control enhancements) podnoszącymi rygor danej kontroli.
Rewizja 5 wprowadziła istotne zmiany: usunęła słowo „federal" z tytułu, świadomie otwierając katalog dla wszystkich organizacji; zintegrowała kontrole prywatności z kontrolami bezpieczeństwa (w tym nową rodzinę PT dotyczącą przetwarzania danych osobowych); dodała rodzinę SR poświęconą ryzyku łańcucha dostaw; oraz przeformułowała kontrole na styl wynikowy. Publikacji towarzyszą dwa dokumenty siostrzane: SP 800-53A (procedury oceny kontroli) i SP 800-53B (bazowe zestawy kontroli). Cały katalog jest bezpłatny i dostępny publicznie.
Kogo dotyczy?
Dla amerykańskich agencji federalnych stosowanie 800-53 jest obowiązkowe: wymaga tego ustawa FISMA wraz z polityką OMB, a kontrole wdraża się w ramach Risk Management Framework (NIST SP 800-37). Obowiązek rozciąga się na dostawców obsługujących systemy federalne, w szczególności dostawców chmury, którzy muszą uzyskać autoryzację FedRAMP opartą właśnie na kontrolach 800-53. Pokrewna publikacja SP 800-171, wymagana od wykonawców przetwarzających kontrolowane informacje niejawne (CUI), również wywodzi się z tego katalogu.
Poza sektorem federalnym 800-53 wybierają organizacje o wysokich wymaganiach: infrastruktura krytyczna, obronność, finanse oraz firmy technologiczne planujące sprzedaż do administracji USA. Katalog bywa też używany jako „skarbnica" kontroli: organizacja prowadząca program według ISO 27001 lub NIST CSF sięga do 800-53 po szczegółowe wymagania tam, gdzie potrzebuje większej precyzji. Dla europejskiej firmy SaaS znajomość 800-53 staje się praktyczną koniecznością w momencie wejścia na rynek amerykańskiego sektora publicznego.
Rodziny kontroli i struktura katalogu
Katalog dzieli się na 20 rodzin kontroli oznaczonych dwuliterowymi kodami. Każda kontrola ma identyfikator (na przykład AC-2), treść bazową, opcjonalne wzmocnienia (na przykład AC-2(1)) oraz parametry, które organizacja doprecyzowuje u siebie (na przykład częstotliwość przeglądów). Najważniejsze rodziny to:
- AC: kontrola dostępu; IA: identyfikacja i uwierzytelnianie (w tym MFA); AU: audyt i rozliczalność (logowanie zdarzeń).
- CM: zarządzanie konfiguracją (konfiguracje bazowe, zmiany, inwentarz); SI: integralność systemów (łatanie, ochrona przed złośliwym kodem, monitoring); RA: ocena ryzyka i skanowanie podatności.
- IR: reagowanie na incydenty; CP: ciągłość działania (plany awaryjne, kopie zapasowe); PE: ochrona fizyczna; MP: ochrona nośników; PS: bezpieczeństwo personelu.
- SC: ochrona systemów i komunikacji (granice sieci, kryptografia); SA: pozyskiwanie systemów i bezpieczny rozwój; SR: ryzyko łańcucha dostaw (nowość Rev. 5).
- AT: świadomość i szkolenia; CA: ocena, autoryzacja i monitorowanie; PL: planowanie; PM: zarządzanie programem; PT: przetwarzanie danych osobowych i przejrzystość (nowość Rev. 5).
Baseline’y Low / Moderate / High
Nikt nie wdraża całego katalogu naraz. Publikacja NIST SP 800-53B definiuje trzy bazowe zestawy kontroli (Low, Moderate i High), czyli wyselekcjonowane zestawy kontroli odpowiadające skutkom, jakie miałaby utrata poufności, integralności lub dostępności systemu. Kategoryzację systemu przeprowadza się według standardu FIPS 199: system, którego kompromitacja miałaby ograniczone skutki, trafia do zestawu Low, przy poważnych skutkach do Moderate, a przy katastrofalnych do High. Osobny zestaw bazowy prywatności obejmuje kontrole związane z przetwarzaniem danych osobowych.
Zestaw bazowy jest punktem startu, nie gotową odpowiedzią: organizacja przeprowadza tak zwany tailoring, czyli dostosowuje zestaw kontroli do własnego ryzyka, dodając, usuwając (z uzasadnieniem) i parametryzując kontrole. Rząd wielkości: zestaw Low to około 150 kontroli, Moderate około 300, a High ponad 400 (dokładne liczby zależą od wersji zestawu i liczonych wzmocnień). W praktyce komercyjnej najczęściej wybierany jest zestaw Moderate, bo odpowiada typowemu systemowi przetwarzającemu dane wrażliwe, ale nie krytyczne dla życia lub bezpieczeństwa narodowego.
Powiązanie z FedRAMP i RMF
FedRAMP (Federal Risk and Authorization Management Program) to rządowy program autoryzacji usług chmurowych dla administracji USA, a w praktyce najważniejsza komercyjna ścieżka stosowania 800-53. Zestawy bazowe FedRAMP (Low, Moderate, High) są zbudowane z kontroli 800-53 Rev. 5 z dodatkowymi parametrami i wymaganiami programu. Droga do autoryzacji obejmuje przygotowanie pełnej dokumentacji (przede wszystkim System Security Plan), niezależną ocenę przez akredytowaną organizację 3PAO, usunięcie ustaleń oraz autoryzację; po niej obowiązuje ciągłe monitorowanie, między innymi comiesięczne skany podatności i coroczne ponowne oceny. To proces wielomiesięczny i kosztowny, ale otwierający rynek zamówień federalnych USA.
Ramą operacyjną dla 800-53 jest Risk Management Framework (NIST SP 800-37), który ma siedem kroków: przygotowanie, kategoryzacja systemu, dobór kontroli (zestaw bazowy i jego dostosowanie), wdrożenie, ocena (według procedur SP 800-53A), autoryzacja do działania (ATO) i ciągłe monitorowanie. Charakterystyczne dla tego świata artefakty to SSP (plan bezpieczeństwa systemu), SAR (raport z oceny) i POA&M (plan działań i kamieni milowych dla otwartych słabości). To te same dokumenty, o które prosi każdy asesor 800-53, także poza sektorem publicznym.
Jak pomaga Guardiso?
Guardiso przekłada ogromny katalog 800-53 na zarządzalny program: kontrole z właścicielami i statusami, dowody zbierane na bieżąco i mapowania, dzięki którym praca wykonana dla innych standardów zalicza wymagania 800-53.
- Kontrole NIST 800-53 Rev. 5 tworzone automatycznie po włączeniu standardu: pełny zestaw bazowy MODERATE według SP 800-53B (177 kontroli bazowych) plus kontrole PM i PT, ze statusami wdrożenia i przypisanymi właścicielami.
- Samoocena dla każdego obszaru pokazująca dojrzałość względem katalogu: szybka odpowiedź na pytanie „jak daleko nam do zestawu bazowego Moderate".
- Rejestr ryzyk wspierający kategoryzację i tailoring: decyzje o doborze kontroli udokumentowane i powiązane z ryzykiem.
- Rejestr kontroli ze statusami i dowodami pełniący rolę roboczego odpowiednika SSP, a otwarte luki śledzone jak pozycje POA&M, z właścicielami i terminami.
- Zbieranie dowodów w jednym miejscu: przeglądy dostępów, szkolenia, skany podatności, testy odtworzeniowe, rejestr incydentów.
- Mapowanie krzyżowe na ISO 27001, SOC 2 i NIST CSF: wdrożona kontrola zalicza pokrywające się wymagania pozostałych ram, bez podwójnej pracy.
- Rejestr dostawców z oceną ryzyka wspierający rodziny SA i SR: wymagania w umowach i okresowe przeglądy dostawców.