NIST Siber Güvenlik Çerçevesi (CSF) 2.0

Özet

26 Şubat 2024 tarihli CSWP 29, siber güvenlik sonuçlarının üst düzey bir sınıflandırmasını sunar; sonuçların nasıl elde edileceğini ise belirtmez. Bu amaçla çevrimiçi kaynaklara (Bilgilendirici Referanslar, Uygulama Örnekleri, Hızlı Başlangıç Kılavuzları, Topluluk Profilleri) bağlanır. Önceki sürüm 'Kritik Altyapı Siber Güvenliğinin İyileştirilmesi Çerçevesi' olarak anılıyordu; 2.0 sürümü yönetişimi ve tedarik zincirini öne çıkarır. Çerçeve BT, nesnelerin interneti (IoT) ve operasyonel teknolojinin (OT) yanı sıra bulut, mobil ve yapay zeka sistemlerine de uygulanır.

Çekirdek altı İşlev altında düzenlenir: GOVERN (Yönet), IDENTIFY (Belirle), PROTECT (Koru), DETECT (Tespit Et), RESPOND (Müdahale Et) ve RECOVER (Kurtar). Bu işlevler 22 kategoriye ve alt kategorilere ayrılır; örneğin GOVERN altında Organizasyonel Bağlam, Risk Yönetimi Stratejisi, Roller, Politika, Gözetim ve Siber Tedarik Zinciri Risk Yönetimi bulunur, PROTECT altında kimlik ve erişim kontrolü, veri güvenliği, platform güvenliği ve teknoloji altyapısı dayanıklılığı yer alır. Çekirdekteki sıra veya boyut, sonuçların uygulanma sırasını ya da önemini göstermez.

Organizasyonel Profiller, kurumun mevcut ve/veya hedef duruşunu çekirdek sonuçlarla tanımlar. Beş adım önerilir: profilin kapsamını belirlemek, gerekli bilgiyi toplamak, profili oluşturmak, mevcut ve hedef profil arasındaki boşlukları analiz edip eylem planı çıkarmak, planı uygulayıp profili güncellemek. Topluluk Profili, belirli bir sektör, teknoloji veya tehdit türü için paylaşılan bir temel olarak hedef profile girdi olabilir. Katmanlar ise risk yönetişim ve yönetim uygulamalarının sıkılığını Kısmi (1), Riske Dayalı (2), Tekrarlanabilir (3) ve Uyarlanabilir (4) olarak betimler.

Bölüm 5, çerçevenin yöneticiler, orta kademe yöneticiler ve uygulayıcılar arasındaki iki yönlü iletişimi nasıl desteklediğini ve kurumsal risk yönetimi (ERM) ile NIST RMF, gizlilik ve tedarik zinciri gibi diğer risk programlarıyla nasıl bütünleştirilebileceğini anlatır. Ekler çekirdeğin tamamını, Katmanların örnek bir açıklamasını ve terimler sözlüğünü içerir.

Öne çıkan noktalar

1. Çerçeve boyut, sektör ve olgunluktan bağımsız tüm kurumlar için tasarlanmıştır; sonuçlar sektör, ülke ve teknolojiden bağımsızdır.
2. Çekirdek altı işlevden oluşur: GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND, RECOVER.
3. GOVERN işlevi 2.0 sürümünde eklenmiştir ve diğer beş işlevin önceliklendirilmesine yön verir; siber tedarik zinciri risk yönetimi bu işlevin kategorisidir.
4. Çekirdek 22 kategori ve alt kategoriden oluşur; sonuçlar bir kontrol listesi değildir.
5. Çerçeve BT, IoT ve OT ile bulut, mobil ve yapay zeka sistemlerinin tümüne uygulanır.
6. Organizasyonel Profil: mevcut ve/veya hedef duruş; boşluk analizi ve eylem planı ile iyileştirme döngüsü oluşturulur.
7. Dört Katman: Kısmi (1), Riske Dayalı (2), Tekrarlanabilir (3), Uyarlanabilir (4); riskler veya zorunluluklar büyükse veya maliyet-fayda uygunsa üst katmana geçiş önerilir.
8. Bilgilendirici Referanslar çekirdek sonuçları SP 800-53 gibi standartlara eşler; Uygulama Örnekleri eylem odaklı adımlar önerir.
9. Çerçeve, mevcut sonuçları dış taraflara (iş ortakları, tedarikçiler) hedef olarak iletmek için de kullanılabilir.

Tasarımda kullanımı

• Tesisin BT, OT ve bina yönetim sistemleri için ayrı Organizasyonel Profiller oluşturun (örneğin elektrik ve soğutma SCADA/BMS kapsamı); her profilin kapsamını açıkça yazın.
• Mevcut ve hedef profil arasındaki boşlukları, tasarım gereksinimlerine (erişim kontrolü, ağ ayrımı, yedekli güç ve iletişim) dönüştürün.
• Tedarikçi ve entegratörlere hedef profili sözleşme gereksinimi olarak iletin (GV.SC kategorisi).
• Çerçevenin ayrıntılı kontrollerini SP 800-53 gibi başka bir yayına eşlemek için Bilgilendirici Referansları kullanın.
• Uygulama kararlarını yürütme düzeyinde raporlamak için Katmanları, güvenlik olgunluğu hedefi olarak belirleyin.

Kimler okumalı

Siber güvenlik programlarını geliştiren ve yöneten kişiler; ayrıca yöneticiler, risk yöneticileri, satın alma uzmanları, denetçiler ve politika belirleyiciler.

Belgenin bölümleri

1. Preface (Önsöz)
2. 1. Cybersecurity Framework (CSF) Overview (Genel Bakış)
3. 2. Introduction to the CSF Core (CSF Çekirdeğine Giriş)
4. 3. Introduction to CSF Profiles and Tiers (CSF Profilleri ve Katmanlarına Giriş)
5. 3.1 CSF Profiles (CSF Profilleri)
6. 3.2 CSF Tiers (CSF Katmanları)
7. 4. Introduction to Online Resources That Supplement the CSF (CSF'yi Tamamlayan Çevrimiçi Kaynaklar)
8. 5. Improving Cybersecurity Risk Communication and Integration (Risk İletişimi ve Bütünleşmenin İyileştirilmesi)
9. 5.1 Improving Risk Management Communication
10. 5.2 Improving Integration with Other Risk Management Programs
11. Appendix A. CSF Core (Ek A. CSF Çekirdeği)
12. Appendix B. CSF Tiers (Ek B. CSF Katmanları)
13. Appendix C. Glossary (Ek C. Sözlük)

İlgili standartlar

• NIST SP 800-53 Rev. 5
• ISO/IEC 27001

Belgeyi okuyun

Yayın bilgileri

Yazarlar

National Institute of Standards and Technology

Yayıncı

National Institute of Standards and Technology

Yıl

2024

Belge numarası

NIST CSWP 29

Belge dili

İngilizce

Kaynak türü

Uzman / topluluk

Erişim

Açık lisans — indirilebilir

DOI

10.6028/NIST.CSWP.29

Lisans

ABD kamu malı — ABD kamu kurumu yayını; serbestçe kullanılabilir

Lisans kanıtı

www.copyright.gov

Künye