ما هي المكونات الرئيسية لإطار الأمن السيبراني NIST؟

يتم تسليط الضوء على مقال 'ما هي المكونات الرئيسية لإطار الأمن السيبراني NIST؟' من قبل BTW Media لأن الأدلة المنشورة تربطه بالبنية التحتية للإنترنت أو الحوكمة أو التبعيات التشغيلية أو وضوح السوق.

• الامتثال للأمن السيبراني هو الامتثال للمعايير والمتطلبات القانونية التي تحددها الكيانات أو القوانين أو الهيئات التنظيمية. يجب على الشركات التي تتعامل مع الأصول الرقمية تنفيذ ضوابط وممارسات أمنية لتقليل المخاطر المتعلقة بالبيانات الحساسة.
• هناك العديد من الأطر ومعايير الامتثال لمساعدة المؤسسات على إنشاء ممارسات قوية للأمن السيبراني، بما في ذلك إطار الأمن السيبراني NIST واللائحة العامة لحماية البيانات (RGPD) وقانون HIPAA ومعيار PCI DSS.
• إطار الأمن السيبراني NIST هو مجموعة من الإرشادات للتخفيف من مخاطر الأمن السيبراني لمؤسسة ما، والتي نشرها المعهد الوطني للمعايير والتقنية (NIST)، ومكوناته الرئيسية هي "النواة" و"الملف الشخصي" و"المستويات".

الزيادة الهائلة في الجرائم الإلكترونية تدفع الحكومات والشركات والمؤسسات إلى التركيز على الامتثال واللوائح في هذا المجال. إطار الأمن السيبراني NIST هو أحد الأطر المعترف بها على نطاق واسع، ومكوناته الرئيسية هي "النواة" و"الملف الشخصي" و"المستويات".

الامتثال للأمن السيبراني

الامتثال للأمن السيبراني هو الامتثال للمعايير والمتطلبات القانونية التي تحددها الكيانات أو القوانين أو الهيئات التنظيمية. يجب على الشركات التي تتعامل مع الأصول الرقمية تنفيذ ضوابط وممارسات أمنية لتقليل المخاطر المتعلقة بالبيانات الحساسة.

الزيادة الهائلة في الجرائم الإلكترونية تؤدي غالبًا إلى انتهاكات ضخمة للبيانات أو تعطيل الأعمال. أصبح هذا أحد المحركات الرئيسية لهذا الاهتمام المتجدد بالامتثال واللوائح في هذا المجال.

هناك العديد من الأطر ومعايير الامتثال لمساعدة المؤسسات على إنشاء ممارسات قوية للأمن السيبراني. توفر هذه الأطر نهجًا منظمًا لتنفيذ ضوابط الأمن وتلبية متطلبات الامتثال المحددة.

من بين الأطر المعترف بها على نطاق واسع إطار الأمن السيبراني NIST، واللائحة العامة لحماية البيانات (RGPD)، وقانونHIPAA (قانون قابلية نقل التأمين الصحي والمساءلة)، ومعيارPCI DSS (معيار أمان بيانات صناعة بطاقات الدفع).

اقرأ أيضًا:كيف يمكن استخدام الذكاء الاصطناعي التوليدي في الأمن السيبراني؟

إطار الأمن السيبراني NIST

إطار الأمن السيبراني NIST هو مجموعة من الإرشادات للتخفيف من مخاطر الأمن السيبراني لمؤسسة ما، نشرها المعهد الوطني للمعايير والتقنية (NIST) استنادًا إلى المعايير والتوصيات والممارسات الحالية.

اقرأ أيضًا:كيفية تعزيز الأمن السيبراني بعد اختراق قاعدة بيانات محكمة الولاية الأسترالية؟

الإطار، الذي "يوفر تصنيفًا عالي المستوى لنتائج الأمن السيبراني وطرق تقييم وإدارة هذه النتائج"، تُرجم إلى عدة لغات ويستخدم على نطاق واسع من قبل الحكومات والشركات والمؤسسات، بالإضافة إلى تقديم إرشادات حول حماية الخصوصية والحريات المدنية في سياق الأمن السيبراني.

نُشرت النسخة 1.0 من الإطار في عام 2014 وكانت مخصصة في البداية لمشغلي البنية التحتية الحيوية. في عام 2017، نُشرت نسخة أولية 1.1 من الإطار للتعليق العام، ثم أُعلن عنها رسميًا في 16 أبريل 2018. ينقسم الإطار إلى ثلاثة أجزاء: "النواة" و"الملف الشخصي" و"المستويات".

1. نواة الإطار

"نواة الإطار" تحتوي على مجموعة من الأنشطة والنتائج والمراجع حول جوانب ونهج الأمن السيبراني. ينظم إطار الأمن السيبراني NIST مادته "النواة" في 5 "وظائف": التحديد والحماية والكشف والاستجابة والتعافي.

تنقسم هذه الوظائف إلى ما مجموعه 23 "فئة". لكل فئة، يحدد عدة فئات فرعية لنتائج الأمن السيبراني وضوابط الأمن، بإجمالي 108 فئة فرعية.

2. الملف الشخصي للإطار

"الملف الشخصي للإطار" هو قائمة بالنتائج التي اختارتها المؤسسة من الفئات والفئات الفرعية، بناءً على احتياجاتها وتقييمات المخاطر.

تبدأ المؤسسة عادةً باستخدام الإطار لوضع "ملف حالي" يصف أنشطتها في الأمن السيبراني والنتائج التي تحققها. ثم يمكنها تطوير "ملف مستهدف"، أو اعتماد ملف مرجعي مناسب لقطاعها (مثل قطاع البنية التحتية) أو لنوع مؤسستها، والذي يحدد الخطوات للانتقال من ملفها الحالي إلى ملفها المستهدف.

3. مستويات تنفيذ الإطار

تستخدم المؤسسات "مستوى تنفيذ الإطار" لتوضيح لأنفسها وشركائها كيفية إدراكها لمخاطر الأمن السيبراني ومدى تعقيد نهجها في إدارتها. تعكس المستويات درجة متزايدة من الخبرة في ممارسات إدارة مخاطر الأمن السيبراني.

المستوى 1 (جزئي) يشمل الشركات التي لديها إجراءات أمنية حسب الطلب أو غير موجودة.

معظم كبار المسؤولين في المستوى 2 (مدرك للمخاطر) أصبحوا الآن على دراية بالتهديدات الرئيسية التي يواجهونها، بما في ذلك البرامج الضارة والهجمات التي ترعاها الدول وغيرها من الجهات الخبيثة.

المستوى 3 (قابل للتكرار) موجه للشركات التي لديها ممارسات مثالية لإدارة المخاطر والأمن السيبراني حصلت على موافقة الإدارة.

المستوى 4 (متكيف) هو أعلى مستوى ويتطلب أكبر قدر من الوقت والمال لنشره، ولكنه ضروري في القطاعات شديدة التنظيم مثل البنوك والرعاية الصحية والبنية التحتية الحيوية.