Quais são os principais componentes do NIST Cybersecurity Framework?

O artigo 'Quais são os principais componentes do NIST Cybersecurity Framework?' é perfilado pela BTW Media porque as evidências publicadas o vinculam à infraestrutura da internet, governança, dependências operacionais ou visibilidade de mercado.

• Conformidade em segurança cibernética refere-se à adesão a padrões e requisitos legais estabelecidos por entidades, leis ou órgãos governamentais. Empresas que lidam com ativos digitais precisam implementar controles e práticas de segurança para minimizar o risco a dados sensíveis.
• Existem diversas estruturas e padrões de conformidade para orientar organizações no estabelecimento de práticas robustas de segurança cibernética, incluindo o NIST Cybersecurity Framework, GDPR, HIPAA e PCI DSS.
• O NIST Cybersecurity Framework é um conjunto de diretrizes para mitigar os riscos de segurança cibernética de uma organização, publicado pelo National Institute of Standards and Technology (NIST), cujos principais componentes são “Core”, “Profile” e “Tiers”.

O aumento exponencial dos crimes cibernéticos faz com que governos, empresas e organizações foquem na conformidade e nas regulamentações de conformidade. O NIST Cybersecurity Framework é uma das estruturas amplamente reconhecidas, cujos principais componentes são “Core”, “Profile” e “Tiers”.

Conformidade em segurança cibernética

Conformidade em segurança cibernética refere-se à adesão a padrões e requisitos legais estabelecidos por entidades, leis ou órgãos governamentais. Empresas que lidam com ativos digitais precisam implementar controles e práticas de segurança para minimizar o risco a dados sensíveis.

O aumento exponencial dos crimes cibernéticos muitas vezes leva a violações massivas de dados ou interrupções nos negócios. Isso se tornou um dos principais impulsionadores do foco renovado na conformidade e nas regulamentações de conformidade.

Existem várias estruturas e padrões de conformidade para orientar organizações no estabelecimento de práticas robustas de segurança cibernética. Essas estruturas fornecem uma abordagem estruturada para implementar controles de segurança e atender a requisitos específicos de conformidade.

Algumas estruturas amplamente reconhecidas incluem o NIST Cybersecurity Framework, o General Data Protection Regulation (GDPR), o Health Insurance Portability and Accountability Act (HIPAA) e o Payment Card Industry Data Security Standard (PCI DSS).

Leia também:Como a IA generativa pode ser usada na segurança cibernética?

O NIST Cybersecurity Framework

O NIST Cybersecurity Framework é um conjunto de diretrizes para mitigar os riscos de segurança cibernética de uma organização, publicado pelo National Institute of Standards and Technology (NIST) com base em padrões, diretrizes e práticas existentes.

Leia também:Como aprimorar a segurança cibernética após a violação do banco de dados do Tribunal Estadual da Austrália?

A estrutura, que “fornece uma taxonomia de alto nível de resultados de segurança cibernética e métodos para avaliar e gerenciar esses resultados”, foi traduzida para vários idiomas e é amplamente utilizada por governos, empresas e organizações, além de fornecer orientação sobre a proteção da privacidade e das liberdades civis no contexto da segurança cibernética.

A versão 1.0 da estrutura foi lançada em 2014 e inicialmente direcionada a operadores de infraestrutura crítica. Em 2017, a versão preliminar 1.1 foi disponibilizada para consulta pública e oficialmente lançada ao público em 16 de abril de 2018. A estrutura é dividida em três partes: “Core”, “Profile” e “Tiers”.

1. Core da estrutura

O “Framework Core” contém uma série de atividades, resultados e referências sobre aspectos e abordagens da segurança cibernética. O NIST Cybersecurity Framework organiza seu material “core” em 5 “funções”: identificar, proteger, detectar, responder e recuperar.

Essas funções são subdivididas em um total de 23 “categorias”. Para cada categoria, são definidas várias subcategorias de resultados de segurança cibernética e controles de segurança, totalizando 108 subcategorias.

2. Perfil da estrutura

Um “Framework Profile” é uma lista de resultados que uma organização escolheu entre as categorias e subcategorias, com base em suas necessidades e avaliações de risco.

Uma organização normalmente começa usando a estrutura para desenvolver um “Current Profile” que descreve suas atividades de segurança cibernética e quais resultados está alcançando. Em seguida, pode desenvolver um “Target Profile” ou adotar um perfil de base adaptado ao seu setor (por exemplo, indústria de infraestrutura) ou tipo de organização, que define as etapas para mudar de seu perfil atual para o perfil desejado.

3. Níveis de implementação da estrutura

As organizações usam a “camada de implementação da estrutura” para esclarecer para si mesmas e para seus parceiros como veem os riscos de segurança cibernética e a complexidade de sua abordagem para gerenciá-los. Os níveis refletem um grau crescente de especialização nas práticas de gerenciamento de riscos cibernéticos.

O Nível 1 (Parcial) inclui empresas com procedimentos de segurança sob demanda ou nenhum procedimento.

O Nível 2 (Informado sobre riscos) agora está ciente das principais ameaças que enfrentam, incluindo malware, ataques patrocinados por estados e outros atores maliciosos.

O Nível 3 (Repetível) é para empresas com práticas recomendadas de gerenciamento de riscos e segurança cibernética que receberam aprovação executiva.

O Nível 4 (Adaptativo) é o nível mais alto e requer o maior tempo e dinheiro para ser implantado, mas é essencial em indústrias altamente regulamentadas, como bancos, saúde e infraestrutura crítica.