NIST CSF 1.1 zu 2.0: Verbleib der zurückgezogenen Subkategorien

NIST veröffentlichte CSF 2.0 im Februar 2024 mit einer neuen Steuern-Funktion und einem überarbeiteten Kernbereich. Viele Subkategorien aus CSF 1.1 haben die Umstellung in ihrer alten Form nicht überstanden: Sie wurden einer neuen Kennung zugeordnet oder in eine umfassendere integriert. NIST hat in den Rückzugshinweisen seiner CSF-2.0-Daten für jede Subkategorie festgehalten, wohin sie gegangen ist.

Das ist wichtiger, als es klingt. Richtlinien, Risikoregister, GRC-Tools, Fragebögen an Dienstleister und unzählige Tabellen verweisen noch immer auf Kennungen aus CSF 1.1. Eine Zuordnung zu einer zurückgezogenen Subkategorie fällt niemandem als Fehler auf; sie ist ein Verweis ins Leere. Aus genau diesem Grund schlägt der Build von ControlMapping bei jeder zurückgezogenen ID fehl.

Die vollständige Tabelle

Jede Subkategorie aus CSF 1.1, die NIST in 2.0 zurückgezogen hat, und was NIST laut eigenen Angaben damit geschehen ist:

CSF 1.1	Was sich in CSF 2.0 (NIST) geändert hat
DE.AE-01	Integriert in ID.AM-03
DE.AE-05	Verschoben nach DE.AE-08
DE.CM-04	Integriert in DE.CM-01, DE.CM-09
DE.CM-05	Integriert in DE.CM-01, DE.CM-09
DE.CM-07	Integriert in DE.CM-01, DE.CM-03, DE.CM-06, DE.CM-09
DE.CM-08	Integriert in ID.RA-01
DE.DP-01	Integriert in GV.RR-02
DE.DP-02	Integriert in DE.AE
DE.DP-03	Integriert in ID.IM-02
DE.DP-04	Integriert in DE.AE-06
DE.DP-05	Integriert in ID.IM, ID.IM-03
ID.AM-06	Integriert in GV.RR-02, GV.SC-02
ID.BE-01	Integriert in GV.OC-05
ID.BE-02	Integriert in GV.OC-01
ID.BE-03	Integriert in GV.OC-01
ID.BE-04	Integriert in GV.OC-04, GV.OC-05
ID.BE-05	Integriert in GV.OC-04
ID.GV-01	Integriert in GV.PO, GV.PO-01, GV.PO-02
ID.GV-02	Integriert in GV.OC-02, GV.RR, GV.RR-02
ID.GV-03	Verschoben nach GV.OC-03
ID.GV-04	Verschoben nach GV.RM-04
ID.RM-01	Integriert in GV.RM-01, GV.RM-06, GV.RR-03
ID.RM-02	Integriert in GV.RM-02, GV.RM-04
ID.RM-03	Verschoben nach GV.RM-02
ID.SC-01	Integriert in GV.RM-05, GV.SC-01, GV.SC-06, GV.SC-09, GV.SC-10
ID.SC-02	Integriert in GV.OC-02, GV.SC-03, GV.SC-04, GV.SC-07, ID.RA-10
ID.SC-03	Verschoben nach GV.SC-05
ID.SC-04	Integriert in GV.SC-07, ID.RA-10
ID.SC-05	Integriert in GV.SC-08, ID.IM-02
PR.AC-01	Integriert in PR.AA-01, PR.AA-05
PR.AC-02	Verschoben nach PR.AA-06
PR.AC-03	Integriert in PR.AA-03, PR.AA-05, PR.IR-01
PR.AC-04	Verschoben nach PR.AA-05
PR.AC-05	Integriert in PR.IR-01
PR.AC-06	Verschoben nach PR.AA-02
PR.AC-07	Verschoben nach PR.AA-03
PR.AT-03	Integriert in PR.AT-01, PR.AT-02
PR.AT-04	Integriert in PR.AT-02
PR.AT-05	Integriert in PR.AT-02
PR.DS-03	Integriert in ID.AM-08, PR.PS-03
PR.DS-04	Verschoben nach PR.IR-04
PR.DS-05	Integriert in PR.DS-01, PR.DS-02, PR.DS-10
PR.DS-06	Integriert in PR.DS-01, DE.CM-09
PR.DS-07	Integriert in PR.IR-01
PR.DS-08	Integriert in ID.RA-09, DE.CM-09
PR.IP-01	Integriert in PR.PS-01
PR.IP-02	Integriert in ID.AM-08, PR.PS-06
PR.IP-03	Integriert in PR.PS-01, ID.RA-07
PR.IP-04	Verschoben nach PR.DS-11
PR.IP-05	Verschoben nach PR.IR-02
PR.IP-06	Integriert in ID.AM-08
PR.IP-07	Integriert in ID.IM, ID.IM-03
PR.IP-08	Verschoben nach ID.IM-03
PR.IP-09	Verschoben nach ID.IM-04
PR.IP-10	Integriert in ID.IM-02, ID.IM-04
PR.IP-11	Verschoben nach GV.RR-04
PR.IP-12	Integriert in ID.RA-01, PR.PS-02
PR.MA-01	Integriert in ID.AM-08, PR.PS-03
PR.MA-02	Integriert in ID.AM-08, PR.PS-02
PR.PT-01	Integriert in PR.PS-04
PR.PT-02	Integriert in PR.DS-01, PR.PS-01
PR.PT-03	Integriert in PR.PS-01
PR.PT-04	Integriert in PR.AA-06, PR.IR-01
PR.PT-05	Verschoben nach PR.IR-03
RC.CO-01	Integriert in RC.CO-04
RC.CO-02	Integriert in RC.CO-04
RC.IM-01	Integriert in ID.IM-03, ID.IM-04
RC.IM-02	Integriert in ID.IM-03
RS.AN-01	Integriert in RS.MA-02
RS.AN-02	Integriert in RS.MA-02, RS.MA-03, RS.MA-04
RS.AN-04	Verschoben nach RS.MA-03
RS.AN-05	Verschoben nach ID.RA-08
RS.CO-01	Integriert in PR.AT-01
RS.CO-04	Integriert in RS.MA-01, RS.MA-04
RS.CO-05	Integriert in RS.CO-03
RS.IM-01	Integriert in ID.IM-03, ID.IM-04
RS.IM-02	Integriert in ID.IM-03
RS.MI-03	Integriert in ID.RA-06
RS.RP-01	Integriert in RS.MA-01

Die wichtigsten Muster

• ID.BE (Geschäftsumfeld) und ID.GV (Governance) wanderten als GV.OC (Organisationskontext), GV.RR, GV.PO und GV.OV in die neue Steuern-Funktion.
• ID.SC (Management von Lieferkettenrisiken) wurde zu GV.SC, erweitert auf zehn Subkategorien.
• PR.AC (Zugriffskontrolle) wurde zu PR.AA (Identitätsmanagement, Authentifizierung und Zugriffskontrolle), die Netzwerksegmentierung wanderte nach PR.IR.
• PR.IP (Prozesse zum Informationsschutz) wurde aufgeteilt: Ergebnisse zu Konfiguration und Wartung wanderten zu PR.PS (Plattformsicherheit), Verbesserungsergebnisse zu ID.IM.
• DE.DP (Erkennungsprozesse) wurde zurückgezogen; seine Ergebnisse gingen in DE.CM, DE.AE und ID.IM auf.
• Viele RS- und RC-Subkategorien wurden zu weniger, umfassenderen Ergebnissen unter RS.MA, RS.AN, RS.CO und RC.RP zusammengeführt.

So aktualisieren Sie alte Zuordnungen

1. Durchsuchen Sie Ihre Dokumente und Tools nach CSF-Kennungen und gleichen Sie jede mit der Tabelle oben ab. CSF-1.1-Kennungen verwenden eine Ziffer (PR.AC-1), CSF 2.0 zwei (PR.AA-01).
2. Ersetzen Sie Verweise vom Typ "moved to" direkt. Wo NIST angibt, dass eine Subkategorie verschoben wurde, ist die neue Kennung ein direkter Austausch.
3. Prüfen Sie Verweise vom Typ "incorporated into". Das umfassendere Ergebnis aus 2.0 deckt womöglich mehr ab als Ihre Kontrolle; prüfen Sie, ob die Zuordnung noch passt.
4. Ergänzen Sie die neuen Steuern-Ergebnisse. CSF 2.0 führte Ergebnisse ein, denen in 1.1 nichts entspricht, vor allem bei Lieferkettenrisiken und Aufsicht.

Jede CSF-2.0-Subkategorie hat hier eine eigene Seite mit ihren Zuordnungen zu zehn anderen Frameworks; starten Sie mit der CSF-2.0-Framework-Seite. Was die Steuern-Funktion in der Praxis bedeutet, zeigt welche Frameworks sie abdecken. Die Rückzugshinweise oben stammen aus den eigenen CSF-2.0-Daten von NIST, abrufbar über das Cybersecurity and Privacy Reference Tool; siehe die Methodik.

Fragen

Was hat PR.AC in NIST CSF 2.0 ersetzt?

Die meisten Subkategorien der CSF-1.1-Kategorie PR.AC (Zugriffskontrolle) wurden in die neue Kategorie PR.AA (Identitätsmanagement, Authentifizierung und Zugriffskontrolle) verschoben; die Rückzugshinweise von NIST nennen das genaue Ziel jeder Subkategorie.

Kann ich CSF 1.1 weiterhin verwenden?

Ja, aber die aktuelle Version von NIST ist 2.0, und neue Crosswalks und Informative References werden auf Basis von 2.0 veröffentlicht. Alte Verweise zu aktualisieren verhindert Zuordnungen, die stillschweigend auf zurückgezogene Subkategorien zeigen.