Fungsi Mengatur NIST CSF 2.0: kerangka kerja mana yang sudah mencakupnya?

Ketika NIST menerbitkan CSF 2.0 pada Februari 2024, perubahan utamanya adalah fungsi keenam. Mengatur bergabung dengan Mengidentifikasi, Melindungi, Mendeteksi, Merespons, dan Memulihkan, dan NIST menempatkannya di pusat fungsi-fungsi lainnya: konteks organisasi, strategi manajemen risiko, peran dan tanggung jawab, kebijakan, pengawasan, serta manajemen risiko rantai pasok keamanan siber. Fungsi ini memindahkan tata kelola dari sebuah kategori di dalam Mengidentifikasi menjadi pusat kendali bagi semua fungsi lainnya.

Jika Anda sudah mengikuti kerangka kerja lain, seberapa besar cakupan Mengatur yang sudah Anda miliki?

Cakupan Mengatur per kerangka kerja

ControlMapping memiliki enam topik yang berlabuh pada fungsi Mengatur. Berikut jumlah topik yang dipetakan oleh setiap kerangka kerja:

Kerangka kerja	Mengatur topik terpetakan	Tidak ada pemetaan untuk
ISO 27001	6 dari 6	—
SOC 2	6 dari 6	—
PCI DSS	6 dari 6	—
800-53	6 dari 6	—
GDPR	6 dari 6	—
NIS2	6 dari 6	—
HIPAA	5 dari 6	Risiko Rantai Pasok
CIS v8.1	2 dari 6	Kebijakan Tata Kelola, Manajemen Risiko, Peran & Tanggung Jawab, Kepatuhan
CMMC	2 dari 6	Kebijakan Tata Kelola, Risiko Rantai Pasok, Peran & Tanggung Jawab, Manajemen Risiko Vendor
Essential Eight	0 dari 6	Kebijakan Tata Kelola, Manajemen Risiko, Risiko Rantai Pasok, Peran & Tanggung Jawab, Kepatuhan, Manajemen Risiko Vendor

Topik: Kebijakan Tata Kelola, Manajemen Risiko, Risiko Rantai Pasok, Peran & Tanggung Jawab, Kepatuhan, Manajemen Risiko Vendor.

Kerangka kerja yang mencakupnya

Kerangka kerja sistem manajemen dan katalog kontrol mencakup Mengatur dengan baik. Klausul 4 sampai 6 dan 9 ISO 27001 merupakan tata kelola: konteks, kepemimpinan, peran, penilaian dan perlakuan risiko, evaluasi kinerja, serta tinjauan manajemen. SP 800-53 memiliki satu keluarga penuh pengelolaan program (PM). Kriteria lingkungan kontrol SOC 2 (CC1 sampai CC5) berasal dari kerangka pengendalian internal COSO, yang secara desain merupakan tata kelola. Persyaratan 12 PCI DSS dan kewajiban badan manajemen NIS2 mengisi ruang yang sama.

Kerangka kerja yang tidak

Baseline operasional hanya mencakup sedikit dari Mengatur. Essential Eight terdiri atas delapan strategi mitigasi teknis dan sama sekali tidak memuat konten tata kelola; itu adalah pilihan desain, bukan kelalaian. CIS Controls v8.1 menyentuh tata kelola terutama melalui proses manajemen penyedia layanan dan manajemen data. CMMC Level 2 mewarisi fokus SP 800-171 pada perlindungan CUI dalam sistem, yang tidak mencakup sebagian besar hasil program strategi risiko dan rantai pasok.

Rantai pasok: bagian tersulit dari Mengatur

Mengatur mencakup sepuluh subkategori tentang manajemen risiko rantai pasok keamanan siber, mulai dari memiliki program sama sekali hingga mengelola pemasok melalui siklus hidup hubungan. Banyak kerangka kerja menyentuh keamanan pemasok (A.5.19 sampai A.5.23 ISO 27001, CC9.2 SOC 2, 12.8 PCI DSS), tetapi sedikit yang memperlakukannya sebagai program dengan kriteria risiko, tingkatan, dan pemantauan. Jika cakupan Mengatur dalam kerangka kerja Anda tinggi, periksa apakah cakupan itu tinggi khususnya untuk rantai pasok.

Poin utama

• Mengatur adalah fungsi baru CSF 2.0 untuk konteks, strategi risiko, peran, kebijakan, pengawasan, dan risiko rantai pasok.
• Kerangka kerja sistem manajemen dan katalog (ISO 27001, SP 800-53, SOC 2, PCI DSS, NIS2) mencakupnya dengan baik.
• Baseline operasional (Essential Eight, CIS, CMMC) hanya mencakup sedikit, sesuai desainnya.
• Risiko rantai pasok adalah bagian Mengatur yang kedalamannya paling bervariasi antarkerangka kerja.

Yang perlu dilakukan

1. Jika Anda menjalankan baseline operasional (CIS, Essential Eight, CMMC), tambahkan tata kelola di atasnya: fungsi Mengatur CSF atau sistem manajemen ISO 27001 memberi Anda strukturnya.
2. Jika Anda menjalankan ISO 27001 atau SOC 2, gunakan Mengatur untuk mempertajam pelaporan kepada dewan: hasil CSF ditulis dengan bahasa yang dipahami eksekutif.
3. Periksa topik rantai pasok dan risiko vendor, tempat kerangka kerja paling berbeda kedalamannya.

Halaman kerangka kerja CSF 2.0 mencantumkan setiap subkategori Mengatur beserta pemetaannya, dan analisis kesenjangan menampilkan cakupan CSF dari kerangka kerja mana pun yang Anda miliki.

Pertanyaan

Apa itu fungsi Mengatur dalam NIST CSF 2.0?

Mengatur (GV), yang ditambahkan dalam CSF 2.0 pada 2024, mencakup konteks organisasi, strategi manajemen risiko, peran dan tanggung jawab, kebijakan, pengawasan, serta manajemen risiko rantai pasok keamanan siber. NIST menempatkannya di pusat lima fungsi lainnya.

Apakah ISO 27001 mencakup Mengatur dalam CSF 2.0?

Sebagian besar ya: klausul 4 sampai 6 dan 9 ISO 27001 (konteks, kepemimpinan, risiko, evaluasi kinerja) serta kontrol pemasoknya memetakan sebagian besar hasil Mengatur.

Apakah Mengatur dalam CSF 2.0 hanya untuk organisasi besar?

Tidak. Organisasi kecil membutuhkan dasar yang sama dalam bentuk yang lebih ringan: siapa yang bertanggung jawab, risiko apa yang dapat diterima, apa saja kebijakannya, dan bagaimana pemasok dikelola.