NIST Cybersecurity Framework

NIST Cybersecurity Framework (NIST CSF) to dobrowolny zestaw wskazówek do zarządzania cyberbezpieczeństwem, opracowany przez amerykański instytut standaryzacji NIST (National Institute of Standards and Technology). Zamiast narzucać konkretne narzędzia czy produkty, opisuje rezultaty, które organizacja powinna osiągnąć. Mówi więc, co trzeba zrobić, a nie czym. To nie jest lista kontrolna ani norma, którą się certyfikuje. W obecnej wersji CSF 2.0 (luty 2024) rdzeń frameworka tworzy sześć funkcji: Govern, Identify, Protect, Detect, Respond i Recover.

Czym jest NIST Cybersecurity Framework?

NIST CSF powstał w 2014 roku na podstawie zarządzenia wykonawczego prezydenta USA (Executive Order 13636). Pierwotnie miał pomóc operatorom infrastruktury krytycznej w Stanach Zjednoczonych — czyli np. sieciom energetycznym, wodociągom czy bankom. Z czasem stał się wspólnym językiem do opisywania dojrzałości cyberbezpieczeństwa. Zaczęto go używać także poza USA i poza infrastrukturą krytyczną.

Wersja 2.0 z 2024 roku oficjalnie objęła wszystkie organizacje — niezależnie od branży, wielkości i poziomu zaawansowania. Zmieniono też nazwę: z „Framework for Improving Critical Infrastructure Cybersecurity” na po prostu „Cybersecurity Framework”.

Framework jest neutralny technologicznie. Nie wskazuje konkretnych produktów ani ustawień, tylko opisuje oczekiwane efekty (np. „zasoby są spisane”, „anomalie i zdarzenia są wykrywane i analizowane”). Dzięki temu łatwo go zestawić z innymi standardami i wymogami — m.in. ISO/IEC 27001, NIST SP 800-53, CIS Controls czy regulacjami branżowymi.

Z czego składa się NIST CSF?

Framework ma trzy główne części:

• Core (rdzeń) — uporządkowany zbiór rezultatów cyberbezpieczeństwa: funkcje, kategorie i podkategorie. W CSF 2.0 jest 6 funkcji, 22 kategorie i 106 podkategorii. Podkategorie to konkretne, mierzalne efekty.
• Tiers (poziomy wdrożenia) — cztery poziomy opisujące, jak rygorystycznie i jak systemowo organizacja zarządza ryzykiem: Tier 1 — Partial, Tier 2 — Risk Informed, Tier 3 — Repeatable, Tier 4 — Adaptive. To nie są stopnie „dojrzałości do zdobycia”. Służą do oceny, czy stosowane praktyki pasują do faktycznego ryzyka.
• Profiles (profile) — dopasowanie rdzenia do konkretnej organizacji. Profil bieżący (Current Profile) opisuje stan obecny, a profil docelowy (Target Profile) — stan, do którego się dąży. Różnica między nimi (luka) wyznacza plan działań i priorytety.

Jakie są funkcje NIST CSF 2.0?

Rdzeń CSF 2.0 opiera się na sześciu funkcjach najwyższego poziomu:

1. Govern (GV) — nowa funkcja dodana w wersji 2.0. Obejmuje strategię, polityki, role i odpowiedzialności, zarządzanie ryzykiem łańcucha dostaw oraz nadzór. W graficznym modelu frameworka GOVERN umieszczono w środku, bo to ona nadaje ton pozostałym pięciu funkcjom i wpisuje cyberbezpieczeństwo w ogólne zarządzanie ryzykiem firmy.
2. Identify (ID) — zrozumienie sytuacji organizacji: spisanie zasobów, danych, systemów i dostawców oraz rozpoznanie ryzyk. Bez tego nie wiadomo, co i przed czym chronić.
3. Protect (PR) — zabezpieczenia, które zmniejszają szansę i skutki incydentów: zarządzanie tożsamością i dostępem, szkolenia, ochrona danych oraz utrzymanie i konfiguracja systemów.
4. Detect (DE) — wykrywanie i analiza możliwych ataków i włamań: ciągłe monitorowanie, łączenie zdarzeń w całość oraz wychwytywanie anomalii w sieci i na komputerach.
5. Respond (RS) — działania po wykryciu incydentu: obsługa zgłoszenia, analiza, ograniczanie skutków, komunikacja i raportowanie.
6. Recover (RC) — przywracanie zasobów i działania firmy po incydencie oraz wyciąganie wniosków na przyszłość.

Wcześniejsze wersje frameworka miały pięć funkcji, bez GOVERN. Dodanie funkcji Govern w wersji 2.0 to najważniejsza zmiana merytoryczna. Pokazuje ona, że za cyberbezpieczeństwo odpowiada również zarząd, a nie tylko dział IT.

Czym NIST CSF różni się od ISO/IEC 27001?

Oba podejścia opierają się na zarządzaniu ryzykiem, ale mają inny charakter i cel:

• Status: NIST CSF to dobrowolny framework — nie ma czegoś takiego jak certyfikat „zgodności z CSF”. ISO/IEC 27001 to norma certyfikowalna: organizacja może uzyskać formalny certyfikat po audycie przeprowadzonym przez niezależną stronę.
• Co opisują: ISO 27001 określa wymagania dla systemu zarządzania bezpieczeństwem informacji (ISMS), kładąc nacisk na poufność, integralność i dostępność danych. CSF opisuje rezultaty cyberbezpieczeństwa uporządkowane w sześć funkcji.
• Poziom szczegółowości: ISO 27001 jest bardziej konkretne — Annex A zawiera gotowy zestaw zabezpieczeń. CSF jest bardziej elastyczny i nastawiony na efekt. Wskazuje cele, a nie sposób ich osiągnięcia.
• Współpraca: oba można stosować razem. CSF często służy do rozmowy o ryzyku z kierownictwem i do wskazywania luk, a ISO 27001 — jako certyfikowalny ISMS. Ich zakresy w dużej mierze się pokrywają i można je wzajemnie zestawiać.

Dlaczego NIST CSF jest ważny dla monitoringu i wykrywania zagrożeń?

Z punktu widzenia codziennej pracy zespołów bezpieczeństwa (SOC, NDR, monitoring sieci) najważniejsza jest funkcja Detect i powiązane z nią podkategorie dotyczące ciągłego monitorowania i analizy zdarzeń. CSF wskazuje rezultaty takie jak ciągłe monitorowanie sieci i systemów, wykrywanie anomalii oraz łączenie zdarzeń z wielu źródeł. W praktyce przekłada się to na konkretne wymagania wobec telemetrii (czyli danych zbieranych z sieci i systemów):

• Widoczność sieci: przepływy ruchu (NetFlow/IPFIX), metadane ruchu, logi DNS i zdarzenia z urządzeń brzegowych. To podstawa, by wykryć anomalie i ruch atakującego, który przemieszcza się po sieci (ruch lateralny).
• Wykrywanie i analiza: łączenie zdarzeń w całość, ustalanie normy ruchu (baselining) i wychwytywanie odstępstw od niej. Te dane zasilają potem funkcję Respond.
• Mierzalność: ponieważ podkategorie są zapisane jako rezultaty, można je traktować jako punkty odniesienia w analizie luk — i sprawdzić, czego nasza detekcja jeszcze nie obejmuje.

CSF nie definiuje konkretnych reguł wykrywania ani narzędzi — to zadanie warstwy technicznej. Daje za to spójną strukturę, w której można opisać, mierzyć i ustawiać priorytety dla zdolności wykrywania i reagowania.

Dowiedz się więcej

• Visibility — Widoczność zasobów i ruchu wspiera funkcję Identify oraz ciągłe monitorowanie w NIST CSF.
• Incident Response Lifecycle — Cykl reagowania na incydenty odpowiada funkcji Respond w NIST Cybersecurity Framework.
• SIEM — SIEM wspiera Detect w NIST CSF, zbierając i korelując zdarzenia bezpieczeństwa.
• Supply Chain Attack — Ataki na łańcuch dostaw uwzględnia się w zarządzaniu ryzykiem i ochronie łańcucha dostaw w NIST CSF.
• Zaawansowane metody ochrony przed atakami DDoS w firmach — Ochrona przed DDoS wspiera Detect i Respond w NIST CSF, ograniczając skutki zakłóceń.
• Zero Trust Architecture — Zero Trust wzmacnia Protect w NIST CSF przez zasadę najmniejszych uprawnień i weryfikację dostępu.
• Digital Experience Monitoring — Monitorowanie doświadczenia cyfrowego pomaga wykrywać zakłócenia i wspiera funkcję Detect w NIST CSF.
• Shadow IT — Shadow IT utrudnia zarządzanie ryzykiem, więc jest ważne w Identify i Protect NIST CSF.