Il NIST Cybersecurity Framework è un insieme di linee guida e best practice sviluppate dal National Institute of Standards and Technology (NIST) per aiutare le organizzazioni a gestire e migliorare la propria posizione in materia di sicurezza informatica. Fornisce un quadro di riferimento per le organizzazioni per valutare e mitigare i rischi di cybersecurity, nonché per stabilire un solido programma di cybersecurity. Il Framework è costituito da tre componenti principali: il Core, gli Implementation Tiers e i Profiles. Il Core è il cuore del framework e fornisce un insieme di attività di cybersecurity, risultati e riferimenti informativi. È suddiviso in cinque funzioni: Identificare, Proteggere, Rilevare, Rispondere e Recuperare. Ogni funzione è ulteriormente suddivisa in categorie e sottocategorie. È suddiviso in cinque funzioni: Identificare, Proteggere, Rilevare, Rispondere e Recuperare. Ogni funzione è ulteriormente suddivisa in categorie e sottocategorie che affrontano obiettivi e attività specifiche di cybersecurity.

I livelli di implementazione rappresentano il livello di maturità del programma di cybersecurity di un’organizzazione. I livelli sono quattro: Parziale, Informato sul rischio, Ripetibile e Adattivo. Questi livelli aiutano le organizzazioni a valutare le loro attuali capacità di cybersecurity e a stabilire obiettivi di miglioramento. I profili vengono utilizzati per allineare le attività e i risultati di cybersecurity di un’organizzazione ai requisiti aziendali, alla tolleranza al rischio e alle risorse disponibili. Un profilo è un’istantanea della postura di cybersecurity attuale e desiderata di un’organizzazione e aiuta le organizzazioni a stabilire le priorità dei loro sforzi di cybersecurity.

Il Framework offre diversi vantaggi alle organizzazioni che lo adottano e lo implementano:

• Approccio basato sul rischio: Il framework aiuta le organizzazioni a identificare e dare priorità ai rischi di cybersecurity in base agli obiettivi aziendali e alle risorse disponibili. Consente alle organizzazioni di allocare gli investimenti in cybersecurity in modo efficace ed efficiente.

• Linguaggio comune: Il framework fornisce un linguaggio comune e un insieme di standard per le organizzazioni per comunicare i rischi di cybersecurity e le strategie di mitigazione. Questo facilita la collaborazione e la condivisione delle informazioni tra i diversi stakeholder, sia all’interno che tra le organizzazioni.

• Flessibilità e scalabilità: Il framework è stato progettato per essere flessibile e scalabile, consentendo alle organizzazioni di ogni dimensione e settore di adattarlo alle proprie esigenze specifiche. Può essere adattato a diverse strutture organizzative, profili di rischio e requisiti normativi.

• Miglioramento continuo: Il framework promuove una mentalità di miglioramento continuo, fornendo un approccio strutturato per valutare, monitorare e migliorare il programma di cybersecurity di un’organizzazione. Aiuta le organizzazioni a identificare le lacune e i punti deboli delle loro attuali pratiche di cybersecurity e a sviluppare strategie di miglioramento.

L’implementazione del NIST Cybersecurity Framework prevede diverse fasi:

• Valutare la postura attuale della cybersecurity: Le organizzazioni devono iniziare a valutare le loro attuali capacità di cybersecurity e identificare eventuali lacune o punti deboli. Questo può essere fatto attraverso una valutazione completa del rischio di cybersecurity che copra tutti gli aspetti dell’infrastruttura IT, dei sistemi e dei processi dell’organizzazione.

• Definire il profilo target: Sulla base della valutazione, le organizzazioni devono definire il loro profilo di cybersecurity target. Questo profilo deve essere in linea con gli obiettivi aziendali, la tolleranza al rischio e le risorse disponibili dell’organizzazione. Dovrebbe anche tenere conto di eventuali requisiti normativi o standard specifici del settore.

• Sviluppare un piano d’azione: Una volta definito il profilo target, le organizzazioni devono sviluppare un piano d’azione per colmare le lacune tra la postura di cybersecurity attuale e quella target. Questo piano deve includere attività specifiche, tappe e parti responsabili. Dovrebbe anche considerare i vincoli di budget e di risorse dell’organizzazione.

• Attuare e monitorare: Le organizzazioni devono attuare il piano d’azione e monitorare costantemente i loro progressi. Ciò può comportare l’implementazione di nuovi controlli di cybersecurity, il miglioramento dei controlli esistenti, la formazione dei dipendenti e la definizione di procedure di risposta agli incidenti. Il monitoraggio e la valutazione regolari sono essenziali per garantire che il programma di cybersecurity dell’organizzazione rimanga efficace e aggiornato.

• Revisione e miglioramento: Le organizzazioni devono rivedere e aggiornare periodicamente il loro programma di cybersecurity per affrontare le minacce emergenti, i cambiamenti nell’ambiente aziendale e le lezioni apprese dagli incidenti di cybersecurity. Ciò include la conduzione di audit regolari, test di penetrazione e valutazioni delle vulnerabilità per identificare e correggere eventuali vulnerabilità o punti deboli.

Seguendo questi passaggi, le organizzazioni possonoegorie che affrontano obiettivi e attività specifiche di cybersecurity.

I livelli di implementazione rappresentano il livello di maturità del programma di cybersecurity di un’organizzazione. I livelli sono quattro: Parziale, Informato sul rischio, Ripetibile e Adattivo. Questi livelli aiutano le organizzazioni a valutare le loro attuali capacità di cybersecurity e a stabilire obiettivi di miglioramento.

I profili vengono utilizzati per allineare le attività e i risultati di cybersecurity di un’organizzazione ai requisiti aziendali, alla tolleranza al rischio e alle risorse disponibili. Un profilo è un’istantanea della postura di cybersecurity attuale e desiderata di un’organizzazione e aiuta le organizzazioni a stabilire le priorità dei loro sforzi di cybersecurity.

Cosa c’è di nuovo in CSF 2.0?

Mentre il CSF 1.1 si concentrava sulle cinque funzioni fondamentali il CSF 2.0 ne introduce una sesta: Governare.

Il NIST Cybersecurity Framework 2.0 prevede sei fasi: identificare, proteggere, rilevare, rispondere, recuperare, governare.
Questa aggiunta riconosce il crescente riconoscimento della cybersecurity come un rischio aziendale critico, al pari di quello legale, finanziario e di altre considerazioni per la dirigenza. Incorporando la funzione Govern, il CSF 2.0 sottolinea la necessità che la leadership organizzativa si impegni attivamente nella governance e nella gestione del rischio della cybersecurity.

Gli elementi inclusi nella nuova funzione Govern comprendono la definizione degli obiettivi di gestione del rischio, la proprietà organizzativa, i requisiti legali e normativi. La funzione include anche gli stakeholder esterni per riflettere la crescente importanza di mantenere la governance informatica lungo tutta la catena di fornitura. Riconoscendo l’importanza di consigli pratici per l’implementazione, la bozza del CSF 2.0 prodotta nell?agosto del 2023 e prodromica alla versione finale in uscita nei primi mesi del 2024, offre una guida migliorata e ampliata per assistere le organizzazioni nell’implementazione efficace del framework. Questa guida migliorata mira a colmare il divario tra teoria e pratica, consentendo alle organizzazioni di tradurre i principi del framework in misure di cybersecurity attuabili.

Il CSF 2.0 fornisce istruzioni complete sulla creazione di profili personalizzati in base al panorama dei rischi specifici di un’organizzazione, facilitando l’applicazione pratica del framework. Il CSF è stato originariamente concepito per le agenzie governative e le infrastrutture critiche nazionali; queste modifiche intendono renderlo più fruibile per una più ampia gamma di settori industriali e per le aziende meno complesse e più piccole, che sono sempre più un obiettivo per le bande di ransomware.

Ampliando l’ambito di applicazione, introducendo la funzione di governo e migliorando la guida all’implementazione, la CSF 2.0 consente alle organizzazioni di migliorare la propria posizione in materia di cybersecurity e di gestire efficacemente i rischi legati alla sicurezza informatica. Le organizzazioni che abbracciano il CSF 2.0 possono stabilire una solida base per una strategia di cybersecurity proattiva e resiliente, salvaguardando i propri asset e rendendo le proprie operazioni a prova di futuro in un panorama digitale sempre più interconnesso.

@neurobytes

Approfondimenti: https://www.nist.gov/cyberframework/updating-nist-cybersecurity-framework-journey-csf-20