तुलना
NIST CSF 2.0 बनाम ISO 27001: परिणाम बनाम प्रमाणन योग्य प्रबंधन प्रणाली
NIST Cybersecurity Framework 2.0 · ISO/IEC 27001:2022 · डेटा 2026-10-27
Paul Gillet के अनुसार · अपडेट किया गया 2026-10-17
NIST का Cybersecurity Framework 2.0 परिणामों का वर्णन करता है: छह फ़ंक्शन (शासन करना, पहचानना, सुरक्षित रखना, पता लगाना, प्रतिक्रिया देना, पुनर्प्राप्त करना) के अंतर्गत 106 उप-श्रेणियाँ। यह स्वैच्छिक है और इसका प्रमाणन नहीं होता, और यह जानबूझकर नहीं बताता कि प्रत्येक परिणाम कैसे हासिल करें। ISO/IEC 27001 एक प्रमाणन योग्य मानक है: यह एक सूचना सुरक्षा प्रबंधन प्रणाली की माँग करता है और Annex A के नियंत्रणों का सोच-समझकर चयन करने की अपेक्षा करता है।
चूँकि NIST CSF 2.0 से ISO 27001 तक का सूचनात्मक संदर्भ क्रॉसवॉक प्रकाशित करता है, इसलिए ये दोनों फ़्रेमवर्क बहुत निकटता से मैप होते हैं, और लगभग हर CSF परिणाम से ISO नियंत्रण जुड़े हुए हैं। संगठन अक्सर CSF को बोर्ड के लिए भाषा के रूप में और ISO 27001 को उसके नीचे की संचालन और प्रमाणन फ़्रेमवर्क के रूप में उपयोग करते हैं।
CSF से ISO की ओर जाने पर अंतर सुरक्षा परिणामों में नहीं, बल्कि प्रबंधन प्रणाली में है। CSF का Govern फ़ंक्शन रणनीति, नीति, भूमिकाओं और निगरानी को कवर करता है, लेकिन ISO कुछ विशिष्ट तंत्र निर्धारित करता है जिन्हें CSF खुला छोड़ देता है: एक परिभाषित ISMS दायरा, सूचना सुरक्षा उद्देश्य, दस्तावेज़ी सूचना का नियंत्रण, आंतरिक ऑडिट कार्यक्रम और प्रबंधन समीक्षा। ये खंड नीचे बिना मिलान वाले के रूप में दिखाए गए हैं।
ISO से CSF की ओर जाने पर कवरेज लगभग पूरी होती है। काम मुख्यतः अनुवाद का है: अपने ISMS से CSF Current और Target Profile बनाना, और अपने जोखिम उपचार निर्णयों को CSF परिणामों के रूप में व्यक्त करना।
एक नज़र में
| NIST CSF 2.0 | ISO 27001 | |
|---|---|---|
| यह क्या है | परिणामों का एक स्वैच्छिक फ़्रेमवर्क | एक प्रमाणन योग्य प्रबंधन-प्रणाली मानक |
| संरचना | 6 फ़ंक्शन, 22 श्रेणियाँ, 106 उप-श्रेणियाँ | खंड 4–10 के साथ 93 Annex A नियंत्रण |
| प्रमाणन | कोई नहीं | हाँ, मान्यता प्राप्त प्रमाणन निकायों द्वारा |
| उपयोग की लागत | निःशुल्क | मानक ISO द्वारा बेचा जाता है; प्रमाणन में ऑडिट शुल्क जुड़ता है |
| सर्वोत्तम उपयोग | कार्यक्रम की संरचना, बोर्ड रिपोर्टिंग, स्व-मूल्यांकन | ग्राहकों और नियामकों के समक्ष अंतरराष्ट्रीय स्तर पर सुरक्षा का प्रमाण देना |
| आधिकारिक मैपिंग | NIST CSF 2.0 ↔ ISO 27001 संदर्भ NIST द्वारा प्रकाशित हैं, जिनका यहाँ उपयोग किया गया है | — |
दोनों को एक साथ उपयोग करना
ये दोनों अच्छी तरह मेल खाते हैं: CSF 2.0 परिणामों की वह शब्दावली देता है जिसे बोर्ड और नियामक समझते हैं, जबकि ISO 27001 वह प्रमाणन योग्य प्रबंधन प्रणाली देता है जो साबित करती है कि आप कार्यक्रम चलाते हैं। एक सामान्य तरीका यह है कि CSF फ़ंक्शनों के आधार पर स्थिति की रिपोर्ट दी जाए, जबकि ISMS को ISO 27001 के अनुसार प्रमाणित कराया जाए।
चूँकि NIST हर CSF उप-श्रेणी को ISO खंडों और Annex A नियंत्रणों से जोड़ता है, आप एक ही नियंत्रण सेट रख सकते हैं और उसकी रिपोर्ट दोनों तरीकों से दे सकते हैं। नीचे दी गई आवश्यकता तालिकाएँ दिखाती हैं कि प्रकाशित संदर्भ इन्हें कहाँ जोड़ते हैं, और जहाँ हमारे डेटा में किसी CSF परिणाम का कोई ISO समकक्ष नहीं है।
CSF 2.0 में क्या बदला
CSF 2.0 (फ़रवरी 2024) में छठा फ़ंक्शन, Govern, जोड़ा गया, जो संगठनात्मक संदर्भ, जोखिम रणनीति, भूमिकाओं, नीति, निगरानी और आपूर्ति-शृंखला जोखिम को कवर करता है। ये परिणाम ISO 27001 के खंड 4–6 और 9 से निकटता से मेल खाते हैं, यही कारण है कि ये दोनों अब CSF 1.1 और ISO की तुलना में अधिक overlap करते हैं।
कौन क्या उपयोग करता है
- NIST CSF 2.0 हर आकार और क्षेत्र के संगठन कार्यक्रम की संरचना तय करने, लक्ष्य निर्धारित करने और नेतृत्व को रिपोर्ट करने के लिए उपयोग करते हैं। यह US critical infrastructure, कई नियामकों और साइबर बीमा कंपनियों की साझा भाषा है, और यह निःशुल्क है।
- ISO 27001 तब उपयोग होता है जब किसी संगठन को प्रमाणपत्र के साथ दूसरों के सामने अपनी सुरक्षा साबित करनी हो: उद्यमों को बेचने वाले सॉफ़्टवेयर और सेवा प्रदाता, विनियमित आपूर्ति-शृंखलाओं के आपूर्तिकर्ता, और सार्वजनिक क्षेत्र के अनुबंधों के लिए बोली लगाने वाली कंपनियाँ, विशेषकर US के बाहर।
- कई संगठन दोनों का उपयोग करते हैं: CSF से संचालन और रिपोर्टिंग, ISO 27001 से प्रमाणन।
लागत और प्रयास
CSF को अपनाने में कोई लागत नहीं है और कोई ऑडिट नहीं होता, इसलिए लागत आपके Current Profile का आकलन करने, Target Profile तय करने और अंतर को भरने के आंतरिक प्रयास की है। ISO 27001 में मानक की अपनी लागत, प्रमाणन निकाय के ऑडिट शुल्क और सबसे बढ़कर प्रबंधन प्रणाली बनाने और चलाने का आंतरिक प्रयास जुड़ता है: जोखिम मूल्यांकन, Statement of Applicability, आंतरिक ऑडिट और प्रबंधन समीक्षा। जो संगठन CSF का अच्छा उपयोग पहले से कर रहा है, उसके लिए ISO का अधिकांश तकनीकी काम पहले ही हो चुका है; शेष प्रयास मुख्यतः प्रबंधन प्रणाली और उसके दस्तावेज़ीकरण का है।
CSF से ISO 27001 प्रमाणन की ओर जाना
- अपनी CSF प्रोफ़ाइल को ISO से मैप करें। NIST के अपने संदर्भ CSF 2.0 उप-श्रेणियों को ISO खंडों और Annex A नियंत्रणों से जोड़ते हैं; गैप विश्लेषण हर ISO आवश्यकता को उसके CSF मिलान के साथ सूचीबद्ध करता है।
- ISMS दायरा परिभाषित करें और अपने CSF Target Profile को सूचना सुरक्षा उद्देश्यों में बदलें।
- जोखिम मूल्यांकन को औपचारिक बनाएँ ISO की आवश्यकताओं के अनुसार (एक दस्तावेज़ी पद्धति, स्वामी, स्वीकृति मानदंड) और Statement of Applicability लिखें।
- प्रबंधन-प्रणाली प्रक्रियाएँ जोड़ें: दस्तावेज़ नियंत्रण, आंतरिक ऑडिट, प्रबंधन समीक्षा और सुधारात्मक कार्रवाई।
- ISMS को कुछ महीनों तक चलाएँ, फिर चरण 1 और चरण 2 ऑडिट बुक करें।
परिपक्व CSF कार्यक्रम वाले कई संगठन छह से नौ महीनों में प्रमाणन तक पहुँच जाते हैं।
कार्य उदाहरण: एक क्षेत्रीय स्वास्थ्य सेवा प्रदाता
एक क्षेत्रीय स्वास्थ्य सेवा समूह तीन वर्षों से अपने कार्यक्रम की संरचना तय करने और बोर्ड को रिपोर्ट देने के लिए NIST CSF का उपयोग कर रहा है। एक नए साझेदार अनुबंध के लिए साझा पेशेंट-पोर्टल सेवा हेतु ISO 27001 प्रमाणन आवश्यक है।
इसकी CSF Current Profile में Protect और Detect के परिणाम मज़बूत दिखते हैं, इसलिए Annex A के अधिकांश तकनीकी नियंत्रण पहले से मौजूद हैं। गैप विश्लेषण में प्रबंधन-प्रणाली के खंड, एक Statement of Applicability, औपचारिक आपूर्तिकर्ता समझौते और डेटा रूम के लिए भौतिक सुरक्षा उजागर हुए। समूह ने ISMS का दायरा पेशेंट-पोर्टल सेवा और उसके सहायक बुनियादी ढाँचे तक सीमित किया, अपने CSF जोखिम रजिस्टर को ISO-अनुरूप पद्धति के साथ दोबारा उपयोग किया, और लगभग आठ महीनों में प्रमाणन प्राप्त किया। यह बोर्ड को CSF शब्दों में और प्रमाणन निकाय को ISO शब्दों में रिपोर्ट करना जारी रखता है, और दोनों एक ही नियंत्रणों से आते हैं।
आम गलतियाँ
- CSF 1.1 से मैपिंग। कई पुरानी स्प्रेडशीट ISO 27001:2013 को CSF 1.1 से मैप करती हैं; दोनों के बाद से बदलाव हो चुके हैं, और वापस ली गई उप-श्रेणियों के लिंक कहीं नहीं ले जाते।
- CSF प्रोफ़ाइल को ISMS मान लेना। CSF में आंतरिक ऑडिट, प्रबंधन समीक्षा या दस्तावेज़ नियंत्रण की आवश्यकता नहीं है; ISO ऑडिटर इन्हें अवश्य माँगेंगे।
- प्रयास बचाने के लिए बहुत संकीर्ण दायरे का प्रमाणन कराना, फिर यह पाना कि प्रमाणपत्र उस चीज़ को कवर नहीं करता जो ग्राहक खरीदते हैं।
- दो अलग-अलग तस्वीरें रिपोर्ट करना। CSF शब्दों में बोर्ड रिपोर्ट और ISO शब्दों में ऑडिट साक्ष्य एक ही नियंत्रणों से आने चाहिए, नहीं तो वे अलग हो जाते हैं।
मुख्य बिंदु
- यदि आपको प्रमाणपत्र चाहिए, तो ISO 27001 देता है; CSF कभी नहीं देगा।
- CSF → ISO: ISMS तंत्र की योजना बनाएँ (दायरा, उद्देश्य, दस्तावेज़ी सूचना, आंतरिक ऑडिट, प्रबंधन समीक्षा)।
- ISO → CSF: अपने मौजूदा SoA से CSF प्रोफ़ाइल बनाएँ; नए नियंत्रण कार्य की बहुत कम आवश्यकता होती है।
NIST CSF 2.0 है → ISO 27001 चाहिए
123 आवश्यकताएँ 79 मैप किए गए · · 10 कोई मैपिंग नहीं गैप व्यू में खोलें →123 ISO/IEC 27001:2022 आवश्यकताओं में से 79 NIST CSF 2.0 में किसी चीज़ से मैप होती हैं, 34 केवल ढीले तौर पर संबंधित हैं, और 10 का हमारे डेटा में कोई मैपिंग नहीं है।
संभवतः नया कार्य: NIST CSF 2.0 से कोई मैपिंग न रखने वाली ISO 27001 आवश्यकताएँ (10)
| ISO 27001 | आवश्यकता | मिलान | NIST CSF 2.0 | साक्ष्य |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में NIST CSF 2.0 से कोई मैपिंग नहीं। |
| Clause 5.1 | Leadership and commitment | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में NIST CSF 2.0 से कोई मैपिंग नहीं। |
| Clause 6.2 | Information security objectives and planning to achieve them | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में NIST CSF 2.0 से कोई मैपिंग नहीं। |
| Clause 6.3 | Planning of changes | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में NIST CSF 2.0 से कोई मैपिंग नहीं। |
| Clause 7.5.1 | General | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में NIST CSF 2.0 से कोई मैपिंग नहीं। |
| Clause 7.5.2 | Creating and updating | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में NIST CSF 2.0 से कोई मैपिंग नहीं। |
| Clause 7.5.3 | Control of documented information | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में NIST CSF 2.0 से कोई मैपिंग नहीं। |
| Clause 9.2.1 | General | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में NIST CSF 2.0 से कोई मैपिंग नहीं। |
| Clause 9.2.2 | Internal audit programme | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में NIST CSF 2.0 से कोई मैपिंग नहीं। |
| Clause 10.2 | Nonconformity and corrective action | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में NIST CSF 2.0 से कोई मैपिंग नहीं। |
इन्हें जाँचें: केवल ढीले तौर पर संबंधित (एक साझा CSF परिणाम, मैपिंग नहीं) (34)
| ISO 27001 | आवश्यकता | मिलान | NIST CSF 2.0 | साक्ष्य |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.3 | Segregation of duties | GV.OC-05GV.RR-02PR.AA-05+3 | केवल CSF GV.OC-05, GV.RR-02, PR.AA-05 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.5.8 | Information security in project management | GV.OC-05ID.AM-08 | केवल CSF GV.OC-05, ID.AM-08 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.5.10 | Acceptable use of information and other associated assets | PR.DS-01PR.DS-02PR.DS-10 | केवल CSF PR.DS-01, PR.DS-02, PR.DS-10 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.5.17 | Authentication information | PR.AA-03PR.AA-05 | केवल CSF PR.AA-03, PR.AA-05 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.5.32 | Intellectual property rights | GV.PO-02 | केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.5.33 | Protection of records | PR.DS-01 | केवल CSF PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.5.34 | Privacy and protection of PII | GV.PO-02 | केवल CSF GV.PO-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.5.35 | Independent review of information security | GV.OV-02 | केवल CSF GV.OV-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | GV.PO-01GV.RR-04PR.DS-01+2 | केवल CSF GV.PO-01, GV.RR-04, PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.6.5 | Responsibilities after termination or change of employment | GV.PO-01GV.RR-04PR.DS-01+2 | केवल CSF GV.PO-01, GV.RR-04, PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.6.6 | Confidentiality or non-disclosure agreements | GV.RR-03GV.RR-04 | केवल CSF GV.RR-03, GV.RR-04 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | PR.DS-01PR.IR-02 | केवल CSF PR.DS-01, PR.IR-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.7.9 | Security of assets off-premises | PR.DS-01 | केवल CSF PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.7.10 | Storage media | ID.AM-08PR.DS-01 | केवल CSF ID.AM-08, PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.7.13 | Equipment maintenance | ID.AM-08PR.IR-02 | केवल CSF ID.AM-08, PR.IR-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | PR.AA-05PR.DS-01PR.DS-02+1 | केवल CSF PR.AA-05, PR.DS-01, PR.DS-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.6 | Capacity management | DE.CM-09PR.IR-04 | केवल CSF DE.CM-09, PR.IR-04 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.23 | Web filtering | PR.IR-01 | केवल CSF PR.IR-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.27 | Secure system architecture and engineering principles | PR.IR-03 | केवल CSF PR.IR-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.30 | Outsourced development | GV.OV-03 | केवल CSF GV.OV-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.31 | Separation of development, test and production environments | PR.PS-06 | केवल CSF PR.PS-06 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.32 | Change management | GV.OV-03ID.RA-07 | केवल CSF GV.OV-03, ID.RA-07 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.33 | Test information | PR.DS-01 | केवल CSF PR.DS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| A.8.34 | Protection of information systems during audit testing | GV.OV-03 | केवल CSF GV.OV-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.4 | Information security management system | GV.OC-02 | केवल CSF GV.OC-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | GV.SC-02 | केवल CSF GV.SC-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| Clause 7.1 | Resources | GV.RR-03 | केवल CSF GV.RR-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| Clause 7.2 | Competence | GV.RR-01GV.RR-02GV.RR-03 | केवल CSF GV.RR-01, GV.RR-02, GV.RR-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| Clause 8.1 | Operational planning and control | GV.OC-01GV.OC-02GV.SC-01+2 | केवल CSF GV.OC-01, GV.OC-02, GV.SC-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| Clause 8.2 | Information security risk assessment | GV.OC-01GV.OC-02 | केवल CSF GV.OC-01, GV.OC-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| Clause 8.3 | Information security risk treatment | GV.OC-01GV.OC-02 | केवल CSF GV.OC-01, GV.OC-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| Clause 9.3.1 | General | PR.PS-01 | केवल CSF PR.PS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| Clause 9.3.2 | Management review inputs | PR.PS-01 | केवल CSF PR.PS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| Clause 9.3.3 | Management review results | PR.PS-01 | केवल CSF PR.PS-01 साझा करता है: संबंधित, मैपिंग नहीं | |
मैप किया गया (79)
| ISO 27001 | आवश्यकता | मिलान | NIST CSF 2.0 | साक्ष्य |
|---|---|---|---|---|
| A.5 Organizational controls · 29 | ||||
| A.5.1 | Policies for information security | क्रॉसवॉक | GV.PO-01GV.PO-02 | वही विषय: शासन नीति |
| A.5.2 | Information security roles and responsibilities | क्रॉसवॉक | GV.RR-01GV.RR-02GV.RR-03 | वही विषय: भूमिकाएँ और उत्तरदायित्व |
| A.5.4 | Management responsibilities | क्रॉसवॉक | GV.RR-01GV.RR-02GV.RR-03 | वही विषय: भूमिकाएँ और उत्तरदायित्व |
| A.5.5 | Contact with authorities | क्रॉसवॉक | RS.CO-02 | वही विषय: रिपोर्टिंग |
| A.5.6 | Contact with special interest groups | संपादकीय | RS.CO-03 | वही विषय: संचार (संपादकीय पसंद) |
| A.5.7 | Threat intelligence | क्रॉसवॉक | DE.AE-07ID.RA-02ID.RA-03 | वही विषय: थ्रेट इंटेलिजेंस |
| A.5.9 | Inventory of information and other associated assets | क्रॉसवॉक | ID.AM-01ID.AM-02ID.AM-04+1 | वही विषय: एसेट प्रबंधन |
| A.5.11 | Return of assets | क्रॉसवॉक | ID.AM-01ID.AM-02ID.AM-04+1 | वही विषय: एसेट प्रबंधन |
| A.5.12 | Classification of information | क्रॉसवॉक | ID.AM-05ID.AM-07 | वही विषय: डेटा वर्गीकरण |
| A.5.13 | Labelling of information | क्रॉसवॉक | ID.AM-05ID.AM-07 | वही विषय: डेटा वर्गीकरण |
| A.5.14 | Information transfer | क्रॉसवॉक | DE.CM-09PR.DS-01PR.DS-02+1 | वही विषय: ईमेल सुरक्षा, डेटा संरक्षण |
| A.5.15 | Access control | क्रॉसवॉक | PR.AA-01PR.AA-03PR.AA-04+2 | वही विषय: एक्सेस कंट्रोल, ज़ीरो ट्रस्ट |
| A.5.16 | Identity management | क्रॉसवॉक | PR.AA-01PR.AA-05 | वही विषय: एक्सेस कंट्रोल |
| A.5.18 | Access rights | क्रॉसवॉक | PR.AA-01PR.AA-05 | वही विषय: एक्सेस कंट्रोल |
| A.5.19 | Information security in supplier relationships | क्रॉसवॉक | DE.CM-06GV.SC-01GV.SC-03+7 | वही विषय: वेंडर जोखिम प्रबंधन, आपूर्ति श्रृंखला जोखिम |
| A.5.20 | Addressing information security within supplier agreements | क्रॉसवॉक | DE.CM-06GV.SC-04GV.SC-06+2 | वही विषय: वेंडर जोखिम प्रबंधन |
| A.5.21 | Managing information security in the ICT supply chain | क्रॉसवॉक | GV.SC-01GV.SC-03GV.SC-05+2 | वही विषय: आपूर्ति श्रृंखला जोखिम |
| A.5.22 | Monitoring, review and change management of supplier services | क्रॉसवॉक | DE.CM-06GV.SC-04GV.SC-06+2 | वही विषय: वेंडर जोखिम प्रबंधन |
| A.5.23 | Information security for use of cloud services | क्रॉसवॉक | ID.AM-04PR.IR-01PR.PS-01 | वही विषय: क्लाउड सुरक्षा |
| A.5.24 | Information security incident management planning and preparation | क्रॉसवॉक | ID.IM-04RS.MA-01RS.MA-02+2 | वही विषय: घटना प्रतिक्रिया |
| A.5.25 | Assessment and decision on information security events | क्रॉसवॉक | DE.AE-03DE.AE-06DE.AE-08+5 | वही विषय: SIEM / SOC |
| A.5.26 | Response to information security incidents | क्रॉसवॉक | ID.IM-04RC.CO-03RC.CO-04+7 | वही विषय: घटना प्रतिक्रिया, संचार और बहाली |
| A.5.27 | Learning from information security incidents | क्रॉसवॉक | ID.IM-03RC.RP-06 | वही विषय: सीखे गए सबक |
| A.5.28 | Collection of evidence | क्रॉसवॉक | RS.AN-03RS.AN-06RS.AN-07 | वही विषय: फ़ॉरेंसिक |
| A.5.29 | Information security during disruption | क्रॉसवॉक | GV.OC-04ID.IM-04PR.IR-03+3 | वही विषय: व्यवसाय निरंतरता, रिकवरी योजना |
| A.5.30 | ICT readiness for business continuity | क्रॉसवॉक | GV.OC-04ID.IM-04PR.IR-03+4 | वही विषय: व्यवसाय निरंतरता, रिकवरी योजना, आपदा पुनर्प्राप्ति |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | क्रॉसवॉक | GV.OC-03GV.OV-03 | वही विषय: अनुपालन |
| A.5.36 | Compliance with policies, rules and standards for information security | संपादकीय | GV.OC-03GV.OV-03 | वही विषय: अनुपालन (संपादकीय पसंद) |
| A.5.37 | Documented operating procedures | क्रॉसवॉक | GV.PO-01GV.PO-02 | वही विषय: शासन नीति |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | क्रॉसवॉक | DE.CM-03GV.RR-04 | वही विषय: इनसाइडर थ्रेट |
| A.6.3 | Information security awareness, education and training | क्रॉसवॉक | PR.AT-01PR.AT-02 | वही विषय: जागरूकता और प्रशिक्षण |
| A.6.4 | Disciplinary process | क्रॉसवॉक | DE.CM-03GV.RR-04 | वही विषय: इनसाइडर थ्रेट |
| A.6.7 | Remote working | संपादकीय | PR.AA-05PR.PS-01 | वही विषय: मोबाइल सुरक्षा (संपादकीय पसंद) |
| A.6.8 | Information security event reporting | क्रॉसवॉक | RS.CO-02 | वही विषय: रिपोर्टिंग |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | क्रॉसवॉक | DE.CM-02PR.AA-06PR.IR-02 | वही विषय: भौतिक सुरक्षा |
| A.7.2 | Physical entry | क्रॉसवॉक | DE.CM-02PR.AA-06PR.IR-02 | वही विषय: भौतिक सुरक्षा |
| A.7.3 | Securing offices, rooms and facilities | क्रॉसवॉक | DE.CM-02PR.AA-06PR.IR-02 | वही विषय: भौतिक सुरक्षा |
| A.7.4 | Physical security monitoring | क्रॉसवॉक | DE.CM-02PR.AA-06PR.IR-02 | वही विषय: भौतिक सुरक्षा |
| A.7.5 | Protecting against physical and environmental threats | क्रॉसवॉक | DE.CM-02PR.AA-06PR.IR-02 | वही विषय: भौतिक सुरक्षा |
| A.7.6 | Working in secure areas | क्रॉसवॉक | DE.CM-02PR.AA-06PR.IR-02 | वही विषय: भौतिक सुरक्षा |
| A.7.8 | Equipment siting and protection | क्रॉसवॉक | DE.CM-02PR.AA-06PR.IR-02 | वही विषय: भौतिक सुरक्षा |
| A.7.11 | Supporting utilities | क्रॉसवॉक | DE.CM-02PR.AA-06PR.IR-02 | वही विषय: भौतिक सुरक्षा |
| A.7.12 | Cabling security | क्रॉसवॉक | DE.CM-02PR.AA-06PR.IR-02 | वही विषय: भौतिक सुरक्षा |
| A.7.14 | Secure disposal or re-use of equipment | क्रॉसवॉक | ID.AM-01ID.AM-02ID.AM-04+1 | वही विषय: एसेट प्रबंधन |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | क्रॉसवॉक | PR.AA-05PR.PS-01DE.CM-09+1 | वही विषय: मोबाइल सुरक्षा, एंडपॉइंट सुरक्षा |
| A.8.2 | Privileged access rights | क्रॉसवॉक | PR.AA-05 | वही विषय: विशेषाधिकार प्राप्त पहुँच |
| A.8.3 | Information access restriction | क्रॉसवॉक | PR.AA-01PR.AA-05 | वही विषय: एक्सेस कंट्रोल |
| A.8.5 | Secure authentication | क्रॉसवॉक | PR.AA-03PR.AA-04PR.AA-05+2 | वही विषय: मल्टी-फ़ैक्टर ऑथेंटिकेशन, ज़ीरो ट्रस्ट, API सुरक्षा |
| A.8.7 | Protection against malware | संपादकीय | DE.CM-09PR.PS-05 | वही विषय: एंडपॉइंट सुरक्षा (संपादकीय पसंद) |
| A.8.8 | Management of technical vulnerabilities | क्रॉसवॉक | ID.RA-01ID.RA-08PR.PS-02 | वही विषय: भेद्यता प्रबंधन, पैच प्रबंधन |
| A.8.9 | Configuration management | क्रॉसवॉक | PR.PS-01 | वही विषय: सुरक्षित कॉन्फ़िगरेशन |
| A.8.10 | Information deletion | क्रॉसवॉक | PR.DS-01PR.DS-02PR.DS-10 | वही विषय: डेटा संरक्षण |
| A.8.11 | Data masking | क्रॉसवॉक | PR.DS-01PR.DS-02PR.DS-10 | वही विषय: डेटा संरक्षण |
| A.8.12 | Data leakage prevention | क्रॉसवॉक | PR.DS-01PR.DS-02PR.DS-10 | वही विषय: DLP |
| A.8.13 | Information backup | क्रॉसवॉक | PR.DS-11RC.RP-03 | वही विषय: बैकअप और रिकवरी |
| A.8.14 | Redundancy of information processing facilities | क्रॉसवॉक | GV.OC-04PR.IR-03RC.RP-02+2 | वही विषय: व्यवसाय निरंतरता, आपदा पुनर्प्राप्ति |
| A.8.15 | Logging | क्रॉसवॉक | DE.AE-03PR.PS-04 | वही विषय: लॉगिंग और ऑडिट |
| A.8.16 | Monitoring activities | क्रॉसवॉक | DE.AE-02DE.AE-03DE.AE-04+6 | वही विषय: घुसपैठ का पता लगाना, विसंगति पहचान (Anomaly Detection), SIEM / SOC |
| A.8.17 | Clock synchronization | क्रॉसवॉक | DE.AE-03PR.PS-04 | वही विषय: लॉगिंग और ऑडिट |
| A.8.18 | Use of privileged utility programs | क्रॉसवॉक | PR.AA-05 | वही विषय: विशेषाधिकार प्राप्त पहुँच |
| A.8.19 | Installation of software on operational systems | क्रॉसवॉक | DE.CM-09PR.PS-05 | वही विषय: एंडपॉइंट सुरक्षा |
| A.8.20 | Networks security | क्रॉसवॉक | DE.CM-01ID.AM-03PR.IR-01 | वही विषय: DNS सुरक्षा, WAF, फ़ायरवॉल / नेट सेग |
| A.8.21 | Security of network services | क्रॉसवॉक | DE.CM-01ID.AM-03PR.IR-01 | वही विषय: DNS सुरक्षा, फ़ायरवॉल / नेट सेग |
| A.8.22 | Segregation of networks | क्रॉसवॉक | ID.AM-03PR.AA-03PR.AA-04+2 | वही विषय: फ़ायरवॉल / नेट सेग, ज़ीरो ट्रस्ट |
| A.8.24 | Use of cryptography | क्रॉसवॉक | PR.DS-01PR.DS-02 | वही विषय: एन्क्रिप्शन |
| A.8.25 | Secure development life cycle | क्रॉसवॉक | PR.PS-06 | वही विषय: सुरक्षित विकास |
| A.8.26 | Application security requirements | क्रॉसवॉक | PR.AA-03PR.IR-01PR.PS-06 | वही विषय: API सुरक्षा, वेब सुरक्षा, सुरक्षित विकास |
| A.8.28 | Secure coding | क्रॉसवॉक | PR.PS-06 | वही विषय: सुरक्षित विकास |
| A.8.29 | Security testing in development and acceptance | क्रॉसवॉक | PR.PS-06 | वही विषय: सुरक्षित विकास |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.1 | Understanding the organization and its context | क्रॉसवॉक | GV.OC-01GV.OC-04GV.OC-05 | वही विषय: व्यावसायिक परिवेश |
| Clause 4.2 | Understanding the needs and expectations of interested parties | क्रॉसवॉक | GV.OC-01GV.OC-04GV.OC-05 | वही विषय: व्यावसायिक परिवेश |
| Clause 5.2 | Policy | क्रॉसवॉक | GV.PO-01GV.PO-02 | वही विषय: शासन नीति |
| Clause 6.1.1 | General | क्रॉसवॉक | GV.RM-01GV.RM-02GV.RM-03+1 | वही विषय: जोखिम प्रबंधन |
| Clause 6.1.2 | Information security risk assessment | क्रॉसवॉक | ID.RA-03ID.RA-04ID.RA-05+1 | वही विषय: जोखिम मूल्यांकन |
| Clause 6.1.3 | Information security risk treatment | क्रॉसवॉक | GV.RM-01GV.RM-02GV.RM-03+5 | वही विषय: जोखिम प्रबंधन |
| Clause 7.3 | Awareness | क्रॉसवॉक | PR.AT-01PR.AT-02 | वही विषय: जागरूकता और प्रशिक्षण |
| Clause 7.4 | Communication | क्रॉसवॉक | RC.CO-03RC.CO-04RC.RP-05+1 | वही विषय: संचार और बहाली |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | क्रॉसवॉक | GV.OC-03GV.OV-03 | वही विषय: अनुपालन |
| Clause 10.1 | Continual improvement | संपादकीय | ID.IM-03RC.RP-06 | वही विषय: सीखे गए सबक (संपादकीय पसंद) |
ISO 27001 है → NIST CSF 2.0 चाहिए
106 आवश्यकताएँ 89 मैप किए गए · · 2 कोई मैपिंग नहीं गैप व्यू में खोलें →106 NIST Cybersecurity Framework 2.0 आवश्यकताओं में से 89 ISO 27001 में किसी चीज़ से मैप होती हैं, 15 केवल ढीले तौर पर संबंधित हैं, और 2 का हमारे डेटा में कोई मैपिंग नहीं है।
संभवतः नया कार्य: ISO 27001 से कोई मैपिंग न रखने वाली NIST CSF 2.0 आवश्यकताएँ (2)
| NIST CSF 2.0 | आवश्यकता | मिलान | ISO 27001 | साक्ष्य |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | हमारे डेटा में कोई मैपिंग नहीं | — | हमारे डेटा में ISO 27001 से कोई मैपिंग नहीं। |
इन्हें जाँचें: केवल ढीले तौर पर संबंधित (एक साझा CSF परिणाम, मैपिंग नहीं) (15)
| NIST CSF 2.0 | आवश्यकता | मिलान | ISO 27001 | साक्ष्य |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Clause 4.1Clause 4.2Clause 4.4+4 | केवल CSF GV.OC-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | A.5.1A.5.5A.5.6+3 | केवल CSF GV.OV-01 साझा करता है: संबंधित, मैपिंग नहीं | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | A.5.1A.5.19A.5.27+3 | केवल CSF GV.OV-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | A.5.1Clause 6.1.3 | केवल CSF GV.RM-04 साझा करता है: संबंधित, मैपिंग नहीं | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | A.5.1A.5.19Clause 6.1.1+1 | केवल CSF GV.RM-05 साझा करता है: संबंधित, मैपिंग नहीं | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Clause 6.1.1 | केवल CSF GV.RM-07 साझा करता है: संबंधित, मैपिंग नहीं | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | A.5.2A.5.4Clause 5.3 | केवल CSF GV.SC-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | A.5.26 | केवल CSF GV.SC-08 साझा करता है: संबंधित, मैपिंग नहीं | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | A.5.19A.5.20A.5.21+4 | केवल CSF GV.SC-10 साझा करता है: संबंधित, मैपिंग नहीं | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | A.8.32Clause 6.1.3 | केवल CSF ID.RA-07 साझा करता है: संबंधित, मैपिंग नहीं | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | A.8.2A.8.3A.8.5 | केवल CSF PR.AA-02 साझा करता है: संबंधित, मैपिंग नहीं | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | A.8.6 | केवल CSF PR.IR-04 साझा करता है: संबंधित, मैपिंग नहीं | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | A.5.9A.8.1 | केवल CSF PR.PS-03 साझा करता है: संबंधित, मैपिंग नहीं | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | A.5.25 | केवल CSF RS.AN-08 साझा करता है: संबंधित, मैपिंग नहीं | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | A.5.25 | केवल CSF RS.MA-05 साझा करता है: संबंधित, मैपिंग नहीं | |
मैप किया गया (89)
| NIST CSF 2.0 | आवश्यकता | मिलान | ISO 27001 | साक्ष्य |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | क्रॉसवॉक | A.8.16 | वही विषय: घुसपैठ का पता लगाना, विसंगति पहचान (Anomaly Detection) |
| DE.AE-03 | Information is correlated from multiple sources | क्रॉसवॉक | A.5.25A.8.15A.8.16+1 | वही विषय: SIEM / SOC, लॉगिंग और ऑडिट |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | क्रॉसवॉक | A.8.16 | वही विषय: विसंगति पहचान (Anomaly Detection) |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | क्रॉसवॉक | A.5.25A.8.16 | वही विषय: SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | क्रॉसवॉक | A.5.7 | वही विषय: थ्रेट इंटेलिजेंस |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | क्रॉसवॉक | A.5.25A.8.16 | वही विषय: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | क्रॉसवॉक | A.8.16A.8.20A.8.21 | वही विषय: सतत निगरानी, घुसपैठ का पता लगाना, DNS सुरक्षा, WAF |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | क्रॉसवॉक | A.7.1A.7.2A.7.3+6 | वही विषय: भौतिक सुरक्षा |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | क्रॉसवॉक | A.6.1A.6.4A.8.16 | वही विषय: इनसाइडर थ्रेट, सतत निगरानी |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | क्रॉसवॉक | A.5.19A.5.20A.5.22 | वही विषय: वेंडर जोखिम प्रबंधन |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | क्रॉसवॉक | A.5.14A.8.16A.8.19+2 | वही विषय: ईमेल सुरक्षा, सतत निगरानी, विसंगति पहचान (Anomaly Detection), एंडपॉइंट सुरक्षा |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | क्रॉसवॉक | Clause 4.1Clause 4.2 | वही विषय: व्यावसायिक परिवेश |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | क्रॉसवॉक | A.5.31Clause 9.1A.5.36 | वही विषय: अनुपालन |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | क्रॉसवॉक | A.5.29A.5.30A.8.14+2 | वही विषय: व्यवसाय निरंतरता |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | क्रॉसवॉक | Clause 4.1Clause 4.2 | वही विषय: व्यावसायिक परिवेश |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | क्रॉसवॉक | A.5.31Clause 9.1A.5.36 | वही विषय: अनुपालन |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | क्रॉसवॉक | A.5.1A.5.37Clause 5.2 | वही विषय: शासन नीति |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | क्रॉसवॉक | A.5.1A.5.37Clause 5.2 | वही विषय: शासन नीति |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | क्रॉसवॉक | Clause 6.1.1Clause 6.1.3 | वही विषय: जोखिम प्रबंधन |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | क्रॉसवॉक | Clause 6.1.1Clause 6.1.3 | वही विषय: जोखिम प्रबंधन |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | क्रॉसवॉक | Clause 6.1.1Clause 6.1.3 | वही विषय: जोखिम प्रबंधन |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | क्रॉसवॉक | Clause 6.1.1Clause 6.1.3 | वही विषय: जोखिम प्रबंधन |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | क्रॉसवॉक | A.5.2A.5.4 | वही विषय: भूमिकाएँ और उत्तरदायित्व |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | क्रॉसवॉक | A.5.2A.5.4 | वही विषय: भूमिकाएँ और उत्तरदायित्व |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | क्रॉसवॉक | A.5.2A.5.4 | वही विषय: भूमिकाएँ और उत्तरदायित्व |
| GV.RR-04 | Cybersecurity is included in human resources practices | क्रॉसवॉक | A.6.1A.6.4A.8.16 | वही विषय: इनसाइडर थ्रेट |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | क्रॉसवॉक | A.5.19A.5.21 | वही विषय: आपूर्ति श्रृंखला जोखिम |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | क्रॉसवॉक | A.5.19A.5.21 | वही विषय: आपूर्ति श्रृंखला जोखिम |
| GV.SC-04 | Suppliers are known and prioritized by criticality | क्रॉसवॉक | A.5.19A.5.20A.5.22 | वही विषय: वेंडर जोखिम प्रबंधन |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | क्रॉसवॉक | A.5.19A.5.21 | वही विषय: आपूर्ति श्रृंखला जोखिम |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | क्रॉसवॉक | A.5.19A.5.20A.5.22 | वही विषय: वेंडर जोखिम प्रबंधन |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | क्रॉसवॉक | A.5.19A.5.20A.5.22 | वही विषय: वेंडर जोखिम प्रबंधन |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | क्रॉसवॉक | A.5.19A.5.21 | वही विषय: आपूर्ति श्रृंखला जोखिम |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | क्रॉसवॉक | A.5.9A.5.11A.7.14 | वही विषय: एसेट प्रबंधन |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | क्रॉसवॉक | A.5.9A.5.11A.7.14 | वही विषय: एसेट प्रबंधन |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | क्रॉसवॉक | A.8.20A.8.21A.8.22 | वही विषय: फ़ायरवॉल / नेट सेग |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | क्रॉसवॉक | A.5.9A.5.11A.5.23+1 | वही विषय: एसेट प्रबंधन, क्लाउड सुरक्षा |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | क्रॉसवॉक | A.5.12A.5.13 | वही विषय: डेटा वर्गीकरण |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | क्रॉसवॉक | A.5.12A.5.13 | वही विषय: डेटा वर्गीकरण |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | क्रॉसवॉक | A.5.9A.5.11A.7.14 | वही विषय: एसेट प्रबंधन |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | क्रॉसवॉक | A.5.27Clause 10.1 | वही विषय: सीखे गए सबक |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | क्रॉसवॉक | A.5.24A.5.25A.5.26+2 | वही विषय: घटना प्रतिक्रिया |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | क्रॉसवॉक | A.8.8 | वही विषय: भेद्यता प्रबंधन |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | क्रॉसवॉक | A.5.7 | वही विषय: थ्रेट इंटेलिजेंस |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | क्रॉसवॉक | A.5.7Clause 6.1.2Clause 6.1.3 | वही विषय: थ्रेट इंटेलिजेंस, जोखिम मूल्यांकन |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | क्रॉसवॉक | Clause 6.1.2Clause 6.1.3 | वही विषय: जोखिम मूल्यांकन |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | क्रॉसवॉक | Clause 6.1.2Clause 6.1.3 | वही विषय: जोखिम मूल्यांकन |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | क्रॉसवॉक | Clause 6.1.2Clause 6.1.3 | वही विषय: जोखिम मूल्यांकन |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | क्रॉसवॉक | A.8.8 | वही विषय: भेद्यता प्रबंधन |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | क्रॉसवॉक | A.5.19A.5.21 | वही विषय: आपूर्ति श्रृंखला जोखिम |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | क्रॉसवॉक | A.5.19A.5.20A.5.22 | वही विषय: वेंडर जोखिम प्रबंधन |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | क्रॉसवॉक | A.5.15A.5.16A.5.18+1 | वही विषय: एक्सेस कंट्रोल |
| PR.AA-03 | Users, services, and hardware are authenticated | क्रॉसवॉक | A.5.15A.8.5A.8.22+1 | वही विषय: ज़ीरो ट्रस्ट, मल्टी-फ़ैक्टर ऑथेंटिकेशन, API सुरक्षा |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | क्रॉसवॉक | A.5.15A.8.5A.8.22 | वही विषय: ज़ीरो ट्रस्ट |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | क्रॉसवॉक | A.5.15A.5.16A.5.18+7 | वही विषय: एक्सेस कंट्रोल, ज़ीरो ट्रस्ट |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | क्रॉसवॉक | A.7.1A.7.2A.7.3+6 | वही विषय: भौतिक सुरक्षा |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | क्रॉसवॉक | A.6.3Clause 7.3 | वही विषय: जागरूकता और प्रशिक्षण |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | क्रॉसवॉक | A.6.3Clause 7.3 | वही विषय: जागरूकता और प्रशिक्षण |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | क्रॉसवॉक | A.5.14A.8.10A.8.11+2 | वही विषय: डेटा संरक्षण |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | क्रॉसवॉक | A.5.14A.8.10A.8.11+2 | वही विषय: डेटा संरक्षण, ईमेल सुरक्षा |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | क्रॉसवॉक | A.5.14A.8.10A.8.11+1 | वही विषय: डेटा संरक्षण |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | क्रॉसवॉक | A.8.13 | वही विषय: बैकअप और रिकवरी |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | क्रॉसवॉक | A.5.15A.5.23A.8.5+4 | वही विषय: ज़ीरो ट्रस्ट, क्लाउड सुरक्षा, API सुरक्षा |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | क्रॉसवॉक | A.7.1A.7.2A.7.3+6 | वही विषय: भौतिक सुरक्षा |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | क्रॉसवॉक | A.5.29A.5.30A.8.14 | वही विषय: व्यवसाय निरंतरता, आपदा पुनर्प्राप्ति |
| PR.PS-01 | Configuration management practices are established and applied | क्रॉसवॉक | A.5.23A.8.1A.8.9+1 | वही विषय: क्लाउड सुरक्षा, मोबाइल सुरक्षा, सुरक्षित कॉन्फ़िगरेशन |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | क्रॉसवॉक | A.8.8 | वही विषय: पैच प्रबंधन |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | क्रॉसवॉक | A.8.15A.8.17 | वही विषय: लॉगिंग और ऑडिट |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | क्रॉसवॉक | A.8.19A.8.1A.8.7 | वही विषय: एंडपॉइंट सुरक्षा |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | क्रॉसवॉक | A.8.5A.8.25A.8.26+2 | वही विषय: API सुरक्षा, सुरक्षित विकास, वेब सुरक्षा |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | क्रॉसवॉक | A.5.26Clause 7.4 | वही विषय: संचार और बहाली |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | क्रॉसवॉक | A.5.26Clause 7.4 | वही विषय: संचार और बहाली |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | क्रॉसवॉक | A.5.29A.5.30 | वही विषय: रिकवरी योजना |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | क्रॉसवॉक | A.5.29A.5.30A.8.14 | वही विषय: रिकवरी योजना, आपदा पुनर्प्राप्ति |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | क्रॉसवॉक | A.8.13 | वही विषय: बैकअप और रिकवरी |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | क्रॉसवॉक | A.5.29A.5.30A.8.14 | वही विषय: व्यवसाय निरंतरता |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | क्रॉसवॉक | A.5.26A.5.30A.8.14+1 | वही विषय: संचार और बहाली, आपदा पुनर्प्राप्ति |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | क्रॉसवॉक | A.5.27Clause 10.1 | वही विषय: सीखे गए सबक |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | क्रॉसवॉक | A.5.28 | वही विषय: फ़ॉरेंसिक |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | क्रॉसवॉक | A.5.28 | वही विषय: फ़ॉरेंसिक |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | क्रॉसवॉक | A.5.28 | वही विषय: फ़ॉरेंसिक |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | क्रॉसवॉक | A.5.5A.6.8 | वही विषय: रिपोर्टिंग |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | क्रॉसवॉक | Clause 7.4A.5.6 | वही विषय: संचार |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | क्रॉसवॉक | A.5.24A.5.25A.5.26 | वही विषय: घटना प्रतिक्रिया |
| RS.MA-02 | Incident reports are triaged and validated | क्रॉसवॉक | A.5.24A.5.25A.5.26 | वही विषय: घटना प्रतिक्रिया |
| RS.MA-03 | Incidents are categorized and prioritized | क्रॉसवॉक | A.5.24A.5.25A.5.26 | वही विषय: घटना प्रतिक्रिया |
| RS.MA-04 | Incidents are escalated or elevated as needed | क्रॉसवॉक | A.5.24A.5.25A.5.26 | वही विषय: घटना प्रतिक्रिया |
| RS.MI-01 | Incidents are contained | क्रॉसवॉक | A.5.26 | वही विषय: शमन |
| RS.MI-02 | Incidents are eradicated | क्रॉसवॉक | A.5.26 | वही विषय: शमन |
विषय के अनुसार
दोनों में शामिल (50):
शासन नीतिजागरूकता और प्रशिक्षणजोखिम प्रबंधनआपूर्ति श्रृंखला जोखिमभूमिकाएँ और उत्तरदायित्वअनुपालनएसेट प्रबंधनजोखिम मूल्यांकनव्यावसायिक परिवेशडेटा वर्गीकरणभेद्यता प्रबंधनथ्रेट इंटेलिजेंसएक्सेस कंट्रोलमल्टी-फ़ैक्टर ऑथेंटिकेशनएन्क्रिप्शनडेटा संरक्षणबैकअप और रिकवरीविशेषाधिकार प्राप्त पहुँचफ़ायरवॉल / नेट सेगएंडपॉइंट सुरक्षापैच प्रबंधनसुरक्षित कॉन्फ़िगरेशनसुरक्षित विकासईमेल सुरक्षावेब सुरक्षाज़ीरो ट्रस्टमोबाइल सुरक्षाक्लाउड सुरक्षाDNS सुरक्षाWAFDLPसतत निगरानीलॉगिंग और ऑडिटघुसपैठ का पता लगानाविसंगति पहचान (Anomaly Detection)SIEM / SOCघटना प्रतिक्रियाफ़ॉरेंसिकसंचारशमनरिपोर्टिंगरिकवरी योजनाव्यवसाय निरंतरतासीखे गए सबकसंचार और बहालीआपदा पुनर्प्राप्तिAPI सुरक्षाइनसाइडर थ्रेटवेंडर जोखिम प्रबंधनभौतिक सुरक्षा
प्रश्न
क्या NIST CSF के आधार पर प्रमाणन हो सकता है?
नहीं। NIST कोई प्रमाणन नहीं देता; संगठन स्व-मूल्यांकन करते हैं या स्वतंत्र मूल्यांकन करवाते हैं। प्रमाणन योग्य विकल्प ISO 27001 है।
क्या NIST CSF, ISO 27001 से आसान है?
यह कम निर्देशात्मक है और इसमें कोई ऑडिट नहीं होता, इसलिए शुरू करना आसान है। सार में यह हल्का नहीं है: हर CSF 2.0 परिणाम को कवर करने के लिए एक परिपक्व कार्यक्रम चाहिए।
मैपिंग कहाँ से आती है?
NIST के अपने CSF 2.0 सूचनात्मक संदर्भों और NIST के SP 800-53 → ISO 27001 मैपिंग से। देखें पद्धति।
क्या ISO 27001, NIST CSF से अधिक कठोर है?
दोनों अलग-अलग तरीकों से कठोर हैं। ISO 27001 का ऑडिट होता है, वह प्रमाणन योग्य है और प्रबंधन प्रणाली की माँग करता है; NIST CSF का दायरा व्यापक है (विशेषकर 2.0 से शासन और आपूर्ति-शृंखला जोखिम में), लेकिन इसका ऑडिट नहीं होता। कठोरता इस पर निर्भर करती है कि प्रत्येक को कैसे लागू किया गया है।
क्या NIST CSF और ISO 27001 एक ही जोखिम मूल्यांकन साझा कर सकते हैं?
हाँ। ऐसा जोखिम मूल्यांकन जो ISO 27001 की दस्तावेज़ी पद्धति, स्वामियों और स्वीकृति मानदंडों की आवश्यकताओं को पूरा करता है, CSF के जोखिम प्रबंधन परिणामों को भी सहारा देता है।
क्या US सरकार ISO 27001 की माँग करती है?
आमतौर पर नहीं। US संघीय प्रणालियाँ NIST SP 800-53 और Risk Management Framework का उपयोग करती हैं; CSF निजी क्षेत्र में व्यापक रूप से उपयोग होता है। ISO 27001 की माँग अधिकतर अंतरराष्ट्रीय ग्राहक करते हैं।
क्या इसे उपयोग करने के लिए ISO 27001 खरीदना ज़रूरी है?
हाँ, यह मानक ISO और राष्ट्रीय मानक निकायों द्वारा बेचा जाता है। NIST CSF और उसके संदर्भ डाउनलोड के लिए निःशुल्क हैं।
छोटे व्यवसाय के लिए कौन सा बेहतर है?
NIST CSF निःशुल्क है और शुरू करना आसान है; ISO 27001 तब उपयोगी है जब ग्राहक या निविदाएँ प्रमाणन माँगें। कई छोटे व्यवसाय CSF से शुरू करते हैं और बाद में प्रमाणन लेते हैं।
आवश्यकता की ID और शीर्षक हर फ़्रेमवर्क द्वारा प्रकाशित रूप में, अंग्रेज़ी में दिखाए जाते हैं।
क्रॉसवॉक प्रकाशित क्रॉसवॉक (NIST, ENISA, CIS, PCI SSC) यह संबंध बनाता है · संपादकीय जहाँ कोई क्रॉसवॉक मौजूद नहीं है वहाँ ControlMapping का निर्णय; कारण दिखाया गया है · केवल एक CSF 2.0 परिणाम साझा करता है: जाँचने योग्य है, मैपिंग नहीं · हमारे डेटा में कोई मैपिंग नहीं हमारे डेटा में कुछ भी मैप नहीं है; अक्सर यह नया काम होता है, पर कवरेज नोट्स जाँच लें. मैप किया गया = ControlMapping के किसी विषय में एक साथ संकलित, या सीधे लिंक किया गया। क्रॉसवॉक अनुपालन को सिद्ध नहीं करते। पद्धति · डेटा डाउनलोड करें · गलती की रिपोर्ट करें.