Et rammeverk for cyberrobusthet er strukturen som organiserer hvordan du motstår og gjenoppretter deg etter cyberangrep, og dekker fem operative funksjoner med styring på tvers av alle: identifisere, beskytte, oppdage, reagere og gjenopprette. Det skiller seg fra et rammeverk for cybersikkerhet ved hvor vekten faller. Sikkerhetsrammeverk fokuserer på å holde angripere ute. Et rammeverk for robusthet forutsetter at noen vil komme seg inn og gir like stor status til å oppdage dem, reagere godt og gjenopprette tjenesten.
- Fem funksjoner, ikke bare de beskyttende, hver med navngitte eiere og bevis.
- Styring på tvers av hele greia, fordi ueide funksjoner forfaller først.
- Anerkjente standarder som leverer detaljene, snarere enn en struktur som er oppfunnet internt.
- De samme kontrollene som tjener sikkerhet, personvern og kontinuitet i stedet for tre parallelle sett.
- Bevis produsert ved å kjøre det, slik at rammeverket kan vises at det fungerer.
Hva er et rammeverk for cyberrobusthet?
Et rammeverk for cyberrobusthet organiserer arbeidet med å overleve cyberangrep i funksjoner, tildeler hver enkelt en eier og definerer hvilke bevis hver enkelt produserer. Poenget med et rammeverk er dekning. Uten et slikt rammeverk konsentreres innsatsen dit den siste hendelsen eller den mest bråkete leverandøren pekte, noe som i de fleste organisasjoner betyr at forebygging er godt finansiert, mens deteksjon og gjenoppretting antas snarere enn testes.
Innrammingen som skiller robusthet fra sikkerhet er antagelsen du starter med. Sikkerhet spør hvordan man kan stoppe angrepet. Robusthet spør hva som skjer når man lykkes, og behandler det som normaltilfellet snarere enn fiaskotilfellet. Begge deler er viktig, og forskjellen er en vektlegging snarere enn motstand, men det endrer hva som blir finansiert og hva som blir testet.
For definisjonen av selve cyberrobusthet, hvordan det skiller seg fra cybersikkerhet og hvor EUs lov om cyberrobusthet passer inn, se cyberrobusthet . Denne siden handler om hvordan rammeverket er strukturert.
Hva er funksjonene til et rammeverk for cyberrobusthet?
De fem operative funksjonene nedenfor er den bredt brukte strukturen, med styring som en sjette som går på tvers av dem alle i stedet for å sitte i rekkefølge.
- IdentifiserVit hva du har og hva som truer det. Beholdning av eiendeler, dataflyt, leverandøravhengigheter og en risikovurdering som er aktuell snarere enn årlig.
- Beskytt: sikkerhetstiltakene. Tilgangskontroll, oppdatering, kryptering, segmentering, sikkerhetskopiering og opplæringen som gjør at de holder.
- oppdageEvnen til å legge merke til. Logging, overvåking, varsling og noen som faktisk ser på, som er den delen som oftest mangler.
- Svareinneslutning, beslutningstaking, rettsmedisinske undersøkelser og kommunikasjon, inkludert til regulatorer og kunder ved behov.
- Gjenopprette: gjenoppretting av tjenester og læring. Det er her gjenopprettingsplanlegging og kontinuitet møter cyber, og hvor en uprøvd plan blir avslørt.
- Styreeierskap, risikoappetitt, tilsyn og rapportering på tvers av alle fem. Uten dette går funksjonene fra hverandre, og ingen legger merke til det før det skjer en hendelse.
Verdien av å navngi alle seks er at hull blir synlige. En organisasjon med sterk beskyttelse og ingen deteksjon har kjøpt låser og ingen alarm. En med deteksjon og ingen innøvd respons oppdager under hendelsen at ingen vet hvem som bestemmer.
Hvilke rammeverk og standarder kan du bygge på?
Du trenger ikke å finne opp dette, og valget handler mindre om å velge en vinner enn om å erkjenne at de tilgjengelige rammeverkene gjør to forskjellige jobber. Noen gir deg struktur og vokabular. Andre gir deg et sertifiserbart styringssystem som en revisor kan verifisere. Et fungerende rammeverk bruker begge deler.
| Rammeverk | Hva det gir deg | Der det passer |
|---|---|---|
| NIST CSF 2.0 | Funksjonsstrukturen som er brukt ovenfor, med kategorier under hver. Beskrivende snarere enn sertifiserbar. | Struktur. Et felles språk på tvers av tekniske og styremedlemmer, og en måte å vurdere dekning på. |
| NCSCs rammeverk for cybervurdering | Fire mål som dekker risikostyring, beskyttelse, deteksjon og minimering av påvirkning. | Struktur, for britiske operatører av viktige tjenester og organisasjoner vurdert mot dette regimet. |
| CIS-kontroller | En prioritert liste over tekniske sikkerhetstiltak i implementeringsrekkefølge. | Struktur, når spørsmålet er hvilken kontroll som skal implementeres neste gang, snarere enn hvordan programmet skal organiseres. |
| ISO 27001 | Et sertifiserbart styringssystem for informasjonssikkerhet, med kontroller i henhold til vedlegg A, uavhengig revidert. | Sikkerhetsdomenet til robusthetsløkken. Bevise det eksternt i stedet for å organisere det internt. |
| ISO 27701 | Et styringssystem for personverninformasjon, sertifiserbart sammen med ISO 27001. | Personverndomenet til Loop. Nødvendig fordi de fleste cyberhendelser også involverer personopplysninger. |
| ISO 42001 | Et sertifiserbart styringssystem for AI, som dekker hvordan AI-systemer styres og kontrolleres. | AI-domenet til Loopen. Nødvendig når AI er en del av eiendommen du forsvarer. |
| ISO 22301 og ISO/IEC 27031 | Kontinuitetsstyring og IKT-beredskap, som leverer gjenopprettingsfunksjonen på riktig måte. | Gjenoppretting, som vanligvis er den svakeste funksjonen. |
Les nedover høyre kolonne, så vises svaret. De strukturelle rammeverkene forteller deg hva du skal dekke. De sertifiserbare rammeverkene beviser at du dekker det, og de tre som er viktige for en moderne eiendom er nettopp de tre domenene i robusthetsløkken : informasjonssikkerhet, databeskyttelse og styring av kunstig intelligens.
Det er viktig for omfanget, ikke bare ryddigheten. Et rammeverk for cyberrobusthet bygget kun på sikkerhetsstandarden vil håndtere angrepet og gå glipp av konsekvensene. En ransomware-hendelse som eksponerer kundedata er et personvernspørsmål med egne varslingsforpliktelser og tidsfrister. En modell trent på data du ikke kan ta hensyn til er et AI-styringsproblem som et sikkerhetskontrollsett aldri ble designet for å fange opp. Begge deler ligger innenfor grensen for hva en cyberhendelse nå innebærer, så et rammeverk som kun er rettet mot sikkerhet har hull som bare dukker opp under en hendelse, som er det verste øyeblikket å oppdage dem.
Den praktiske kombinasjonen er dermed et strukturelt rammeverk for dekning og vokabular, Loopens tre sertifiserbare styringssystemer under det, og ISO 22301 utfyllende gjenoppretting. Det høres ut som et stort rammeverk, og det ville det vært hvis hvert av dem ble kjørt som et separat program med sitt eget kontrollsett. Kjørt som ett system er det betydelig mindre arbeid enn det ser ut til, noe som er temaet for neste avsnitt.
Det er et større bilde bak dette.
Denne siden dekker én del av forretningsrobusthet. Real Resilience – IOs rammeverk for å koble sammen sikkerhet, personvern og AI-styring – er der hele bildet kommer sammen.
Hvordan er dette forskjellig fra et rammeverk for robusthet i bedrifter?
Omfang. Et rammeverk for cyberrobusthet dekker én trusselklasse grundig. Det organiserer alt som har med angrep, kompromittering og teknologigjenoppretting å gjøre, og det er det rette perspektivet når risikoen du håndterer er en motstander.
Et rammeverk for robusthet i bedrifter er bredere. Det dekker forstyrrelser av enhver opprinnelse, inkludert flom, leverandørsvikt, tap av nøkkelpersoner og endringer i regelverket, og det behandler informasjonssikkerhet, databeskyttelse og AI-styring som ett sammenkoblet system i stedet for tre. Cyberrammeverket er integrert i det som sikkerhetslinsen.
Det finnes et tredje rammeverk som er verdt å skille mellom, fordi begrepene brukes løst. Et rammeverk for operasjonell robusthet er den regulatoriske modellen som er bygget rundt viktige forretningstjenester og toleranser for konsekvens. Det spør hvor lenge en tjeneste kan være nede før skaden blir uakseptabel, uansett årsak. Cyberrobusthet er en av årsakene det planlegges for.
- Rammeverk for cyberrobusthetén trusselklasse, i dybden. Drevet av motstanderen.
- Rammeverk for bedriftsrobusthetall forstyrrelse, pluss sikkerhet, personvern og AI som ett system.
- Rammeverk for operativ robusthettjenester og toleranser, drevet av regulatoriske forventninger.
Hvordan etablerer man et rammeverk for cyberrobusthet?
Vurdering først, og ærlig. Den vanligste feilen er å ta i bruk et rammeverk og erklære arbeidet som påbegynt, når rammeverkets verdi ligger i hullene det avdekker.
- Vurder mot alle seks funksjonene: score nåværende kapasitet mot et modenhetsnivå, og forvent at beskyttelse ser bedre ut enn å oppdage, reagere og gjenopprette. Se hvordan du scorer hver funksjon.
- Fiks den svakeste funksjonen før du forbedrer den sterkeste: marginale gevinster i forebygging er verdt mindre enn en første reell deteksjonskapasitet.
- Tildel hver funksjon en eieren funksjon uten navngitt eier kjøres ikke, uansett hva dokumentasjonen sier.
- Kartkontroller én gangimplementer hver kontroll mot hvert rammeverk som ber om det, i stedet for å gjenta arbeidet per standard.
- Test respons- og gjenopprettingsfunksjonene: dette er de to som ikke kan verifiseres ved inspeksjon. Bare øvelser forteller deg om de fungerer.
- Rapport om en syklusdekning etter funksjon, testet kontra antatt, og hva som har endret seg siden sist.
Å sekvensere dette mot et begrenset budsjett er et strategisk spørsmål snarere enn et strukturelt, og det dekkes under strategien for cyberrobusthet.
ISO 27001 gjort enkelt
Et forsprang på 81 % fra dag én
Vi har gjort det harde arbeidet for deg, og gir deg 81 % forsprang fra det øyeblikket du logger på. Alt du trenger å gjøre er å fylle ut de tomme feltene.
Hvordan kobles rammeverket til Resilience Loop?
Nesten alle kontroller som et rammeverk for cyberrobusthet ber om, blir også etterspurt av noe annet. Tilgangsstyring vises i sikkerhetsstandarden din, personvernforpliktelsene dine og gjenopprettingsplanene dine. Leverandørvurdering vises i alle tre. Kjør som separate programmer, og denne kontrollen dokumenteres tre ganger og dokumenteres ikke riktig i noen av dem.
Resilience Loop kjører informasjonssikkerhet i henhold til ISO 27001 , databeskyttelse i henhold til ISO 27701 og AI-styring i henhold til ISO 42001 som ett sammenkoblet system, med cyberrobusthet som et linse over det delte kontrollsettet. Løsepengevirus viser hvorfor dette er viktig. Det er en sikkerhetshendelse, ofte et brudd på personopplysninger og en gjenopprettingshendelse samtidig, og en organisasjon som kjører disse som tre programmer, svarer på det tre ganger mens klokken går.
Hvordan beviser du at rammeverket fungerer?
Hver funksjon produserer bevis, og rammeverket bedømmes ut fra det snarere enn ut fra dokumentasjonen. Identifiser produserer et aktuelt bilde av eiendeler og risiko. Beskytte produserer kontrollregistre. Detektere produserer overvåkingsdekning og varslingshåndtering. Reagere og gjenopprette produserer øvelsesregistre, tidslinjer for reelle hendelser og forbedringene som fulgte. Styre produserer rapporteringssporet.
Funksjonene som alltid hoppes over er respons og gjenoppretting, fordi det er de to som ikke kan dokumenteres ved inspeksjon. Det kan vises at en kontroll eksisterer. En responskapasitet kan bare vises ved å ha utøvd den. Tilnærmingen er beskrevet i hvordan man dokumenterer robusthet , og robusthetspoengsummen gir deg et utgangspunkt. Sertifisering under ISO 27001 gir det hele uavhengig verifisering, noe som er en sterkere påstand enn selvvurdering.
Hvorfor velge ISMS.online for et rammeverk for cyberrobusthet?
Rammeverk mislykkes på vedlikehold snarere enn design. ISMS.online er bygget for å holde alle seks funksjonene eide, oppdaterte og dokumenterte.
- Ett kontrollsett, hvert rammeverk: tilordne en kontroll én gang og tilfredsstille NIST CSF, ISO 27001, ISO 27701, ISO 42001 og ISO 22301 sammen i stedet for å opprettholde parallelle sett.
- Dekning synlig etter funksjon: se med et raskt blikk hvor deteksjon eller gjenoppretting er tynt, i stedet for å oppdage det under en hendelse.
- Eiere og gjennomgangssykluser innebygdHver funksjon har en navngitt eier og en gjennomgangsdato, med påminnelser som stopper avdrift.
- Øvelser og hendelser registrert sammenBevis for respons og gjenoppretting akkumuleres mens du jobber, i stedet for å bli rekonstruert.
- Leverandørrisiko i samme systemTredjepartene som din robusthet er avhengig av vurderes og overvåkes sammen med dine egne kontroller.
- Hjelper deg med å oppnå sertifisering: strukturen og bevisene en ISO 27001-revisjon ber om, forberedt underveis.
- Bygget for britiske og regulerte markeder: utviklet for organisasjoner som må bevise motstandskraft overfor revisorer og kunder.
Se hvordan det passer sammen på plattformen for forretningsrobusthet , eller bestill en demonstrasjon.
Spørsmål og svar
Hva er forskjellen mellom et rammeverk for cybersikkerhet og et rammeverk for cyberrobusthet?
De dekker stort sett de samme funksjonene, og forskjellen ligger i vektleggingen. Et rammeverk for cybersikkerhet er vektlagt mot å holde angripere ute. Et rammeverk for cyberrobusthet starter med antagelsen om at noen angrep vil lykkes, og gir deteksjon, respons og gjenoppretting samme status som forebygging. I praksis viser dette seg i budsjett og testing: robusthetsprogrammer utøver sin respons- og gjenopprettingskapasitet, mens sikkerhetsprogrammer ofte antar det.
Er NIST CSF eller ISO 27001 bedre for cyberrobusthet?
De utfører forskjellige jobber og brukes ofte sammen. NIST CSF gir deg en struktur og et felles vokabular for å vurdere dekning på tvers av funksjoner, men det er beskrivende og det er ingenting å sertifisere mot. ISO 27001 gir deg et styringssystem som er uavhengig revidert og sertifiserbart, og det er det kunder og anbudsprosesser ber om. Å bruke CSF til å organisere samtalen og ISO 27001 til å bevise resultatet er en velprøvd kombinasjon.
Hvor mange funksjoner har NIST CSF 2.0?
Seks. Versjon 2.0 la til Govern til de fem som kom før den, som var identifisere, beskytte, oppdage, reagere og gjenopprette. Govern er ikke en fase i en sekvens. Den sitter på tvers av de andre fem og dekker eierskap, risikoappetitt, tilsyn og rapportering, noe som gjenspeiler at de fleste rammeverksfeil er styringsfeil snarere enn tekniske.
Trenger små organisasjoner et rammeverk for cyberrobusthet?
Ja, men en mye lettere en. De seks funksjonene gjelder i alle størrelser, og verdien for en mindre organisasjon ligger i dekning snarere enn dybde: å vite at noen eier deteksjon og at gjenoppretting faktisk har blitt testet. Feilmønsteret er det samme i alle skalaer, noe som er store investeringer i forebygging og en uprøvd antagelse om at gjenoppretting vil fungere.
Hvor passer EUs lov om cyberrobusthet inn i dette?
Cyberrobusthetsloven regulerer produkter med digitale elementer i stedet for en organisasjons interne robusthet, så den ligger ved siden av et rammeverk i stedet for inni det. Hvis du bygger eller selger programvare eller tilkoblet maskinvare, pålegger den forpliktelser til sikkerheten til det du sender, inkludert håndtering av sårbarheter og levering av oppdateringer. Hvis du bare forbruker teknologi, former den hva du kan forvente av leverandører. Detaljer finner du på oversiktssiden for cyberrobusthet.
