Czym jest NIST CSF?
Cybersecurity Framework opracował National Institute of Standards and Technology (NIST), agencja Departamentu Handlu USA. Pierwsza wersja powstała w 2014 roku na mocy rozporządzenia wykonawczego prezydenta w sprawie ochrony infrastruktury krytycznej; wersję 1.1 opublikowano w 2018 roku, a obecną wersję 2.0 w lutym 2024 roku. CSF nie jest przepisem prawa ani normą certyfikacyjną: to bezpłatne, dobrowolne ramy, które porządkują pożądane wyniki (outcomes) w dziedzinie cyberbezpieczeństwa, pozostawiając organizacji wybór, jak je osiągnąć.
Rdzeń CSF (CSF Core) składa się z sześciu funkcji podzielonych na kategorie i podkategorie, łącznie ponad sto podkategorii opisujących konkretne wyniki, na przykład „zasoby sprzętowe są zinwentaryzowane". Wersja 2.0 wprowadziła dwie duże zmiany: nową funkcję Govern (ład, strategia ryzyka, role, nadzór i łańcuch dostaw) oraz rozszerzenie adresatów z infrastruktury krytycznej na wszystkie organizacje, niezależnie od wielkości i sektora. NIST publikuje do CSF bogaty ekosystem: przykłady wdrożeń, przewodniki szybkiego startu i mapowania na inne standardy (informative references).
Kogo dotyczy?
CSF jest dobrowolny i uniwersalny: może go przyjąć każda organizacja, od startupu po operatora infrastruktury krytycznej. W Stanach Zjednoczonych jest de facto wspólnym językiem rynku: posługują się nim regulatorzy sektorowi, ubezpieczyciele cyber, klienci korporacyjni przy badaniu dostawców oraz zarządy oczekujące zrozumiałej miary dojrzałości. Dla agencji federalnych USA punktem odniesienia pozostaje katalog NIST SP 800-53, ale CSF służy im jako warstwa zarządcza i komunikacyjna.
Poza USA CSF jest szeroko wykorzystywany jako szkielet programu bezpieczeństwa i warstwa mapująca między standardami: organizacja może prowadzić program według CSF, a wymagania ISO 27001, SOC 2, NIS 2 czy DORA zaliczać przez mapowania. Dla firm, które nie potrzebują (jeszcze) certyfikacji, CSF to najszybszy sposób na uporządkowanie bezpieczeństwa według uznanego wzorca, bez kosztów audytu zewnętrznego.
Sześć funkcji CSF 2.0
Sześć funkcji opisuje pełny cykl zarządzania ryzykiem cyberbezpieczeństwa. Funkcja Govern jest przekrojowa: dostarcza ładu i priorytetów pozostałym pięciu, które obejmują kolejno rozpoznanie, ochronę, wykrywanie, reagowanie i odtwarzanie.
- Govern (GV), nowość w 2.0: kontekst organizacyjny, strategia zarządzania ryzykiem i apetyt na ryzyko, role i rozliczalność kierownictwa, polityki, nadzór nad wynikami oraz zarządzanie ryzykiem łańcucha dostaw.
- Identify (ID): inwentaryzacja zasobów (sprzęt, oprogramowanie, dane, przepływy), ocena ryzyka i podatności oraz doskonalenie programu na podstawie wniosków z ocen i incydentów.
- Protect (PR): zarządzanie tożsamością i dostępem (w tym MFA), szkolenia i świadomość, bezpieczeństwo danych (szyfrowanie, kopie zapasowe), bezpieczeństwo platform (hardening, łatanie, bezpieczny rozwój oprogramowania) i odporność infrastruktury.
- Detect (DE): ciągłe monitorowanie sieci, urządzeń, personelu i dostawców oraz analiza niepożądanych zdarzeń aż do ogłoszenia incydentu.
- Respond (RS): zarządzanie incydentem, czyli triage, analiza przyczyn i zasięgu, powstrzymywanie i eradykacja oraz komunikacja z interesariuszami, w tym raportowanie wymagane prawem.
- Recover (RC): wykonanie planu odtwarzania, weryfikacja integralności kopii przed użyciem, komunikacja postępów i formalne zakończenie odtwarzania z wnioskami na przyszłość.
Profile i tiery — jak CSF mierzy dojrzałość
CSF nie narzuca jednego poziomu wymagań. Zamiast tego posługuje się profilami organizacyjnymi. Profil bieżący (Current Profile) opisuje, które wyniki CSF i w jakim stopniu organizacja osiąga dziś; profil docelowy (Target Profile) to stan pożądany, wynikający z celów biznesowych, apetytu na ryzyko i wymagań interesariuszy. Różnica między profilami wyznacza plan działań i priorytety inwestycji. NIST publikuje też profile środowiskowe (Community Profiles) dla branż i scenariuszy, na przykład dla ransomware.
Uzupełnieniem profili są cztery poziomy wdrożenia (Tiers), które charakteryzują rygor praktyk zarządzania ryzykiem: Tier 1 Partial (działania doraźne), Tier 2 Risk Informed (świadomość ryzyka bez pełnej systematyki), Tier 3 Repeatable (formalne, powtarzalne praktyki) i Tier 4 Adaptive (ciągła adaptacja na podstawie danych i doświadczeń). Tiery opisują sposób działania organizacji jako całości, a nie ocenę pojedynczych kontroli. Nie każdy musi celować w Tier 4: poziom docelowy powinien wynikać z profilu ryzyka.
Jak wygląda wdrożenie?
CSF nie podlega certyfikacji: nie ma audytu certyfikacyjnego ani „certyfikatu NIST CSF". Wdrożenie zaczyna się od samooceny: zbudowania profilu bieżącego (stan dla każdej podkategorii), zdefiniowania profilu docelowego i planu zamknięcia luki. Dojrzałość weryfikuje się wewnętrznie lub przez niezależną ocenę zewnętrzną, którą coraz częściej zamawiają zarządy, ubezpieczyciele i kluczowi klienci. Ponieważ CSF jest oparty na wynikach, dowodami są te same artefakty co przy ISO 27001 czy SOC 2: rejestry, polityki, konfiguracje, logi, raporty z testów.
Typowa pierwsza iteracja (od samooceny do zatwierdzonego planu działań) zajmuje od kilku tygodni do trzech miesięcy, w zależności od wielkości organizacji. Siła CSF polega na iteracyjności: profil aktualizuje się cyklicznie (na przykład co rok), a postęp między profilami jest czytelną miarą dla zarządu. Dzięki oficjalnym mapowaniom praca wykonana w CSF przenosi się niemal wprost na ISO 27001, SOC 2 i katalog NIST SP 800-53.
Jak pomaga Guardiso?
Guardiso zamienia CSF 2.0 z dokumentu PDF w działający program: mierzalny profil bieżący, plan dojścia do profilu docelowego i dowody zbierane na bieżąco.
- Podkategorie CSF 2.0 tworzone automatycznie po włączeniu standardu: wszystkie sześć funkcji, ze statusami wdrożenia i przypisanymi właścicielami; statusy kontrolne pełnią rolę profilu bieżącego.
- Samoocena per funkcja pokazująca dojrzałość w Govern, Identify, Protect, Detect, Respond i Recover. To gotowy punkt startowy do wyznaczenia profilu docelowego.
- Rejestr ryzyk z apetytem na ryzyko i planami postępowania, który pokrywa funkcje Govern i Identify i daje dowody dla assessora.
- Rejestr dostawców z oceną ryzyka i przeglądami, który pokrywa rozbudowaną w 2.0 kategorię łańcucha dostaw (GV.SC).
- Zbieranie dowodów w jednym miejscu: szkolenia, przeglądy dostępów, testy odtworzeniowe, rejestr incydentów z osią czasu reagowania i odtwarzania.
- Mapowanie krzyżowe na ISO 27001, SOC 2, NIS 2 i NIST SP 800-53: wynik osiągnięty w CSF zalicza pokrywające się wymagania innych ram.
- Raporty dla kierownictwa pokazujące postęp między kolejnymi ocenami. To czytelna miara dojrzałości dla zarządu i klientów.