Przewodnik po NIST Cybersecurity Framework

Aby spojrzeć na wpływ cyberprzestępczości z odpowiedniej perspektywy, przyjrzyjmy się kilku ważnym i zaskakującym liczbom:

Koszty naruszenia bezpieczeństwa danych wzrosły z 3,86 miliona dolarów do 4,24 miliona dolarów w 2021 roku.

Co 39 sekund dochodzi do ataku.

Około 90% organizacji opieki zdrowotnej padło ofiarą co najmniej jednego naruszenia w ciągu ostatnich trzech lat.

Wniosek? Cyberataki są częste i kosztowne, a pandemia COVID-19 tylko podsyciła ten trend, ponieważ coraz więcej pracodawców decyduje się na pracę zdalną. W czasie pandemii wzrosła liczba zgłoszeń dotyczących kradzieży tożsamości, a zdecydowana większość, bo aż 90% firm, musiała stawić czoła wzrostowi liczby cyberataków.

Oprócz zatrudniania wykwalifikowanych specjalistów, którzy posiadają formalne wykształcenie w zakresie bezpieczeństwa cybernetycznego, firmy zwracają się w stronę sprawdzonych narzędzi i zasobów, aby chronić swoje cenne dane i informacje.

Jednym z takich narzędzi jest NIST Cybersecurity Framework, bezpłatne oprogramowanie opracowane i udostępnione przez rząd Stanów Zjednoczonych. Zapoznajmy się z nimi.

Czym jest NIST Cybersecurity Framework?
Narodowy Instytut Standardów i Technologii (NIST) opisuje framework w następujący sposób:

"Framework jest dobrowolnym przewodnikiem, opartym na istniejących standardach, wytycznych i praktykach dla organizacji w celu lepszego zarządzania i redukcji ryzyka. Oprócz pomocy organizacjom w zarządzaniu i ograniczaniu ryzyka, program został zaprojektowany w celu wspierania komunikacji w zakresie zarządzania ryzykiem i bezpieczeństwem cybernetycznym wśród wewnętrznych i zewnętrznych interesariuszy organizacji."

Ważne jest, aby powtórzyć, że ten system nie jest obowiązkowy, ale z pewnością jest zalecany, ponieważ opiera się na dobrze zbadanych informacjach i najlepszych praktykach. Co najważniejsze, można je "dostosować do różnych sektorów i poszczególnych organizacji, aby jak najlepiej odpowiadały ich ryzyku, sytuacji i potrzebom".

Założenia i rozwój NIST Framework
Wersja 1.0 frameworka została wydana w lutym 2014 r. i, jak podaje NIST, "została opracowana w odpowiedzi na prezydenckie rozporządzenie wykonawcze (EO) 13636, Improving Critical Infrastructure Cybersecurity".

Rozwój był wynikiem współpracy pomiędzy liderami branży, odpowiednimi interesariuszami i ekspertami z sektora prywatnego, a także obejmował warsztaty, działania skierowane do społeczności oraz zbieranie opinii. NIST oferuje szczegółowy wykres ilustrujący ewolucję systemu.

Przykłady firm i organizacji korzystających z rozwiązania NIST

Globalny wpływ NIST Cybersecurity Framework jest dalekosiężny.

Chociaż NIST wyjaśnia, że "głównymi zainteresowanymi są właściciele i operatorzy infrastruktury krytycznej z sektora prywatnego w USA, to jednak grono ich użytkowników powiększyło się o społeczności i organizacje z całego świata". Framework jest również odpowiedni dla wszystkich typów i rozmiarów firm, w tym małych przedsiębiorstw. Baza użytkowników obejmuje niektóre z największych organizacji we wszystkich branżach.

Jak zacząć
Może się wydawać, że to dużo informacji, ale NIST przedstawia zestawienie wszystkiego, co trzeba wiedzieć, aby zacząć. Oto kilka ważnych uwag:

• Struktura Frameworka jest podzielona na pięć ważnych funkcji:
• Identyfikacja
• Ochrona
• Wykrywanie
• Reagowanie
• Odzyskiwanie

"Te pięć szeroko rozumianych terminów, rozpatrywanych łącznie, zapewnia kompleksowe spojrzenie na cykl zarządzania bezpieczeństwem cybernetycznym w czasie".

Aby uzyskać więcej informacji i zapoznać się z działaniami wymienionymi w każdej sekcji, należy zapoznać się z przewodnikiem szybkiego startu NIST.

• Federalna Komisja Handlu opublikowała bezpłatny, łatwy do pobrania przewodnik: Understanding the NIST Cybersecurity Framework.
• Pytania? NIST przygotował listę najczęściej zadawanych pytań, w tym:

1. Jakiej infrastruktury krytycznej dotyczy framework? 
2. Czy zapobiegłyby ostatnim, bardzo nagłośnionym atakom?
3. Jaka jest różnica pomiędzy "stosowaniem", "przyjmowaniem" i "wdrażaniem" tego rozwiązania?

Czy NIST Cybersecurity Framework rzeczywiście działa?
Krótka odpowiedź brzmi: tak! W rzeczywistości istnieje szereg historii sukcesu, które jeszcze bardziej potwierdzają słuszność wprowadzenia tych rozwiązań. Przedsiębiorstwa, instytucje szkolnictwa wyższego i inne organizacje z powodzeniem wdrożyły NIST Cybersecurity Framework na swój własny sposób.

Jak często będą aktualizacje oprogramowania?
Cyberprzestępczość stale ewoluuje, co oznacza, że Framework również będzie ewoluował. NIST wyjaśnia, że ramy będą "udoskonalane, poprawiane i rozwijane w miarę upływu czasu, aby dotrzymać kroku trendom w technologii i zagrożeniach, zintegrować zdobyte doświadczenia i ustanowić najlepsze praktyki jako powszechną praktykę".

W ostatecznym rozrachunku ważne jest, aby w walce z cyberprzestępczością korzystać z odpowiednich zasobów i zatrudniać właściwych, wykwalifikowanych specjalistów. Jeśli chcesz wzmocnić pierwszą linię swojego zespołu ds. cyberbezpieczeństwa, NIST Cybersecurity Framework jest ważnym narzędziem, które warto sprawdzić. Jak niestety wiemy, cyberprzestępcy nie stosują żadnych ograniczeń, jeśli chodzi o ataki, co oznacza, że każda firma i organizacja w każdej branży jest zagrożona.