Perbandingan
NIST CSF 2.0 vs ISO 27001: hasil yang diharapkan vs sistem yang dapat disertifikasi
NIST Cybersecurity Framework 2.0 · ISO/IEC 27001:2022 · data 2026-10-27
Menurut Paul Gillet · Diperbarui 2026-10-17
Kerangka kerja Keamanan Siber NIST (CSF) 2.0 menjelaskan hasil yang diharapkan: 106 subkategori di bawah enam fungsi (Mengatur, Mengidentifikasi, Melindungi, Mendeteksi, Merespons, Memulihkan). Kerangka kerja ini bersifat sukarela dan tidak dapat disertifikasi, serta secara sengaja tidak menjelaskan cara mencapai setiap hasil. ISO/IEC 27001 adalah standar yang dapat disertifikasi: standar ini mensyaratkan sistem manajemen keamanan informasi dan pemilihan kontrol dari Lampiran A yang didasarkan pada pertimbangan.
Karena NIST menerbitkan Crosswalk referensi informatif dari CSF 2.0 ke ISO 27001, keduanya terpetakan secara erat, dan hampir setiap hasil CSF memiliki kontrol ISO yang tertaut. Organisasi sering menggunakan CSF sebagai bahasa untuk dewan direksi dan ISO 27001 sebagai kerangka kerja operasional serta sertifikasi di bawahnya.
Dari CSF ke ISO, kesenjangannya terletak pada sistem manajemen, bukan pada hasil keamanan. Fungsi Mengatur di CSF mencakup strategi, kebijakan, peran, dan pengawasan, tetapi ISO menetapkan mekanisme spesifik yang tidak diatur oleh CSF: ruang lingkup ISMS yang jelas, sasaran keamanan informasi, pengendalian informasi terdokumentasi, program audit internal, dan tinjauan manajemen. Klausul-klausul tersebut ditampilkan di bawah sebagai tidak memiliki padanan.
Dari ISO ke CSF, cakupannya hampir lengkap. Pekerjaannya berupa penerjemahan: membangun Profil CSF Saat Ini dan Profil Target dari ISMS Anda, serta menyatakan keputusan penanganan risiko Anda sebagai hasil CSF.
Sekilas
| NIST CSF 2.0 | ISO 27001 | |
|---|---|---|
| Apa itu | Kerangka kerja sukarela berisi hasil | Standar sistem manajemen yang dapat disertifikasi |
| Struktur | 6 fungsi, 22 kategori, 106 subkategori | Klausul 4–10 ditambah 93 kontrol Lampiran A |
| Sertifikasi | Tidak ada | Ya, oleh lembaga sertifikasi terakreditasi |
| Biaya penggunaan | Gratis | Standar dijual oleh ISO; sertifikasi menambah biaya audit |
| Paling cocok untuk | Menyusun program, pelaporan kepada dewan direksi, penilaian mandiri | Membuktikan keamanan kepada pelanggan dan regulator secara internasional |
| Pemetaan resmi | NIST menerbitkan referensi CSF 2.0 ↔ ISO 27001 yang digunakan di sini | — |
Menggunakan keduanya bersama-sama
Keduanya cocok satu sama lain: CSF 2.0 memberikan kosakata hasil yang dipahami dewan direksi dan regulator, sementara ISO 27001 menyediakan sistem manajemen yang dapat disertifikasi untuk membuktikan bahwa program tersebut dijalankan. Pola umumnya adalah melaporkan postur terhadap fungsi CSF sambil menyertifikasi ISMS terhadap ISO 27001.
Karena NIST menautkan setiap subkategori CSF ke klausul ISO dan kontrol Lampiran A, Anda dapat menyimpan satu kumpulan kontrol dan melaporkannya dengan kedua cara. Tabel persyaratan di bawah menunjukkan tempat referensi yang diterbitkan menautkan keduanya, dan tempat hasil CSF tidak memiliki padanan ISO dalam data kami.
Yang berubah di CSF 2.0
CSF 2.0 (Februari 2024) menambahkan fungsi keenam, Mengatur, yang mencakup konteks organisasi, strategi risiko, peran, kebijakan, pengawasan, dan risiko rantai pasok. Hasil-hasil ini sejalan erat dengan klausul 4–6 dan 9 ISO 27001, itulah sebabnya keduanya kini lebih tumpang tindih dibandingkan CSF 1.1 dan ISO sebelumnya.
Siapa menggunakan yang mana
- NIST CSF 2.0 digunakan oleh organisasi dari setiap ukuran dan sektor untuk menyusun program, menetapkan target, dan melaporkan kepada pimpinan. Kerangka kerja ini menjadi bahasa umum infrastruktur kritis AS, banyak regulator, dan perusahaan asuransi siber, serta bersifat gratis.
- ISO 27001 digunakan ketika organisasi perlu membuktikan keamanannya kepada pihak lain dengan sertifikat: penyedia perangkat lunak dan layanan yang menjual ke perusahaan besar, pemasok dalam rantai pasok yang diatur, serta perusahaan yang mengikuti tender kontrak sektor publik, terutama di luar AS.
- Banyak organisasi menggunakan keduanya: CSF untuk menjalankan dan melaporkan, ISO 27001 untuk sertifikasi.
Biaya dan upaya
Mengadopsi CSF tidak memerlukan biaya dan tidak ada audit, sehingga biayanya berupa upaya internal untuk menilai Profil Saat Ini, menetapkan Profil Target, dan menutup kesenjangan. ISO 27001 menambah biaya standarnya sendiri, biaya audit lembaga sertifikasi, dan terutama upaya internal untuk membangun serta menjalankan sistem manajemen: penilaian risiko, Statement of Applicability, audit internal, dan tinjauan manajemen. Bagi organisasi yang sudah menggunakan CSF dengan baik, sebagian besar pekerjaan teknis untuk ISO sudah selesai; sisa upayanya sebagian besar berupa sistem manajemen dan dokumentasinya.
Dari CSF menuju sertifikasi ISO 27001
- Petakan profil CSF Anda ke ISO. Referensi resmi NIST menautkan subkategori CSF 2.0 ke klausul ISO dan kontrol Lampiran A; analisis kesenjangan mencantumkan setiap persyaratan ISO beserta padanan CSF-nya.
- Tetapkan ruang lingkup ISMS dan ubah Profil Target CSF Anda menjadi sasaran keamanan informasi.
- Formalkan penilaian risiko sesuai persyaratan ISO (metode terdokumentasi, pemilik, kriteria penerimaan) dan susun Statement of Applicability.
- Tambahkan proses sistem manajemen: pengendalian dokumen, audit internal, tinjauan manajemen, dan tindakan korektif.
- Jalankan ISMS selama beberapa bulan, lalu jadwalkan audit Tahap 1 dan Tahap 2.
Banyak organisasi dengan program CSF yang matang mencapai sertifikasi dalam enam hingga sembilan bulan.
Contoh kasus: penyedia layanan kesehatan regional
Sebuah grup layanan kesehatan regional telah menggunakan NIST CSF selama tiga tahun untuk menyusun programnya dan melaporkan kepada dewan direksinya. Sebuah kontrak mitra baru mensyaratkan sertifikasi ISO 27001 untuk layanan portal pasien bersama.
Profil Saat Ini CSF-nya menunjukkan hasil Melindungi dan Mendeteksi yang kuat, sehingga sebagian besar kontrol teknis Lampiran A sudah ada. Analisis kesenjangan menyoroti klausul sistem manajemen, Statement of Applicability, perjanjian pemasok formal, dan keamanan fisik untuk ruang data. Grup ini membatasi ruang lingkup ISMS pada layanan portal pasien dan infrastruktur pendukungnya, menggunakan kembali daftar risiko CSF-nya dengan metode yang sesuai ISO, dan memperoleh sertifikasi dalam sekitar delapan bulan. Grup ini terus melaporkan kepada dewan direksi dalam istilah CSF, dan kepada lembaga sertifikasi dalam istilah ISO, dari kontrol yang sama.
Kesalahan umum
- Memetakan ke CSF 1.1. Banyak spreadsheet lama memetakan ISO 27001:2013 ke CSF 1.1; keduanya telah berubah, dan tautan ke subkategori yang sudah dicabut tidak mengarah ke mana pun.
- Memperlakukan profil CSF sebagai ISMS. CSF tidak mensyaratkan audit internal, tinjauan manajemen, atau pengendalian dokumen; auditor ISO akan memintanya.
- Mensertifikasi ruang lingkup yang terlalu sempit untuk menghemat upaya, lalu menemukan bahwa sertifikat tidak mencakup apa yang dibeli pelanggan.
- Melaporkan dua gambaran yang berbeda. Laporan dewan dalam istilah CSF dan bukti audit dalam istilah ISO sebaiknya berasal dari kontrol yang sama, atau keduanya akan menyimpang.
Poin utama
- Jika Anda memerlukan sertifikat, ISO 27001 menyediakannya; CSF tidak akan pernah.
- CSF → ISO: rencanakan mekanisme ISMS (ruang lingkup, sasaran, informasi terdokumentasi, audit internal, tinjauan manajemen).
- ISO → CSF: hasilkan profil CSF dari SoA yang sudah ada; sedikit pekerjaan kontrol baru yang diperlukan.
Miliki NIST CSF 2.0 → butuhkan ISO 27001
123 persyaratan 79 terpetakan · · 10 tanpa pemetaan Buka di tampilan kesenjangan →Dari 123 persyaratan ISO/IEC 27001:2022, 79 dipetakan ke sesuatu dalam NIST CSF 2.0, 34 hanya terkait secara longgar, dan 10 tidak memiliki pemetaan dalam data kami.
Kemungkinan pekerjaan baru: persyaratan ISO 27001 tanpa pemetaan ke NIST CSF 2.0 (10)
| ISO 27001 | Persyaratan | Kecocokan | NIST CSF 2.0 | Bukti |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| Clause 5.1 | Leadership and commitment | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| Clause 6.2 | Information security objectives and planning to achieve them | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| Clause 6.3 | Planning of changes | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| Clause 7.5.1 | General | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| Clause 7.5.2 | Creating and updating | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| Clause 7.5.3 | Control of documented information | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| Clause 9.2.1 | General | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| Clause 9.2.2 | Internal audit programme | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
| Clause 10.2 | Nonconformity and corrective action | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke NIST CSF 2.0 dalam data kami. |
Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (34)
| ISO 27001 | Persyaratan | Kecocokan | NIST CSF 2.0 | Bukti |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.3 | Segregation of duties | GV.OC-05GV.RR-02PR.AA-05+3 | Hanya berbagi CSF GV.OC-05, GV.RR-02, PR.AA-05: terkait, bukan pemetaan | |
| A.5.8 | Information security in project management | GV.OC-05ID.AM-08 | Hanya berbagi CSF GV.OC-05, ID.AM-08: terkait, bukan pemetaan | |
| A.5.10 | Acceptable use of information and other associated assets | PR.DS-01PR.DS-02PR.DS-10 | Hanya berbagi CSF PR.DS-01, PR.DS-02, PR.DS-10: terkait, bukan pemetaan | |
| A.5.17 | Authentication information | PR.AA-03PR.AA-05 | Hanya berbagi CSF PR.AA-03, PR.AA-05: terkait, bukan pemetaan | |
| A.5.32 | Intellectual property rights | GV.PO-02 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| A.5.33 | Protection of records | PR.DS-01 | Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan | |
| A.5.34 | Privacy and protection of PII | GV.PO-02 | Hanya berbagi CSF GV.PO-02: terkait, bukan pemetaan | |
| A.5.35 | Independent review of information security | GV.OV-02 | Hanya berbagi CSF GV.OV-02: terkait, bukan pemetaan | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Hanya berbagi CSF GV.PO-01, GV.RR-04, PR.DS-01: terkait, bukan pemetaan | |
| A.6.5 | Responsibilities after termination or change of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Hanya berbagi CSF GV.PO-01, GV.RR-04, PR.DS-01: terkait, bukan pemetaan | |
| A.6.6 | Confidentiality or non-disclosure agreements | GV.RR-03GV.RR-04 | Hanya berbagi CSF GV.RR-03, GV.RR-04: terkait, bukan pemetaan | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | PR.DS-01PR.IR-02 | Hanya berbagi CSF PR.DS-01, PR.IR-02: terkait, bukan pemetaan | |
| A.7.9 | Security of assets off-premises | PR.DS-01 | Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan | |
| A.7.10 | Storage media | ID.AM-08PR.DS-01 | Hanya berbagi CSF ID.AM-08, PR.DS-01: terkait, bukan pemetaan | |
| A.7.13 | Equipment maintenance | ID.AM-08PR.IR-02 | Hanya berbagi CSF ID.AM-08, PR.IR-02: terkait, bukan pemetaan | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | PR.AA-05PR.DS-01PR.DS-02+1 | Hanya berbagi CSF PR.AA-05, PR.DS-01, PR.DS-02: terkait, bukan pemetaan | |
| A.8.6 | Capacity management | DE.CM-09PR.IR-04 | Hanya berbagi CSF DE.CM-09, PR.IR-04: terkait, bukan pemetaan | |
| A.8.23 | Web filtering | PR.IR-01 | Hanya berbagi CSF PR.IR-01: terkait, bukan pemetaan | |
| A.8.27 | Secure system architecture and engineering principles | PR.IR-03 | Hanya berbagi CSF PR.IR-03: terkait, bukan pemetaan | |
| A.8.30 | Outsourced development | GV.OV-03 | Hanya berbagi CSF GV.OV-03: terkait, bukan pemetaan | |
| A.8.31 | Separation of development, test and production environments | PR.PS-06 | Hanya berbagi CSF PR.PS-06: terkait, bukan pemetaan | |
| A.8.32 | Change management | GV.OV-03ID.RA-07 | Hanya berbagi CSF GV.OV-03, ID.RA-07: terkait, bukan pemetaan | |
| A.8.33 | Test information | PR.DS-01 | Hanya berbagi CSF PR.DS-01: terkait, bukan pemetaan | |
| A.8.34 | Protection of information systems during audit testing | GV.OV-03 | Hanya berbagi CSF GV.OV-03: terkait, bukan pemetaan | |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.4 | Information security management system | GV.OC-02 | Hanya berbagi CSF GV.OC-02: terkait, bukan pemetaan | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | GV.SC-02 | Hanya berbagi CSF GV.SC-02: terkait, bukan pemetaan | |
| Clause 7.1 | Resources | GV.RR-03 | Hanya berbagi CSF GV.RR-03: terkait, bukan pemetaan | |
| Clause 7.2 | Competence | GV.RR-01GV.RR-02GV.RR-03 | Hanya berbagi CSF GV.RR-01, GV.RR-02, GV.RR-03: terkait, bukan pemetaan | |
| Clause 8.1 | Operational planning and control | GV.OC-01GV.OC-02GV.SC-01+2 | Hanya berbagi CSF GV.OC-01, GV.OC-02, GV.SC-01: terkait, bukan pemetaan | |
| Clause 8.2 | Information security risk assessment | GV.OC-01GV.OC-02 | Hanya berbagi CSF GV.OC-01, GV.OC-02: terkait, bukan pemetaan | |
| Clause 8.3 | Information security risk treatment | GV.OC-01GV.OC-02 | Hanya berbagi CSF GV.OC-01, GV.OC-02: terkait, bukan pemetaan | |
| Clause 9.3.1 | General | PR.PS-01 | Hanya berbagi CSF PR.PS-01: terkait, bukan pemetaan | |
| Clause 9.3.2 | Management review inputs | PR.PS-01 | Hanya berbagi CSF PR.PS-01: terkait, bukan pemetaan | |
| Clause 9.3.3 | Management review results | PR.PS-01 | Hanya berbagi CSF PR.PS-01: terkait, bukan pemetaan | |
Dipetakan (79)
| ISO 27001 | Persyaratan | Kecocokan | NIST CSF 2.0 | Bukti |
|---|---|---|---|---|
| A.5 Organizational controls · 29 | ||||
| A.5.1 | Policies for information security | Crosswalk | GV.PO-01GV.PO-02 | Topik sama: Kebijakan Tata Kelola |
| A.5.2 | Information security roles and responsibilities | Crosswalk | GV.RR-01GV.RR-02GV.RR-03 | Topik sama: Peran & Tanggung Jawab |
| A.5.4 | Management responsibilities | Crosswalk | GV.RR-01GV.RR-02GV.RR-03 | Topik sama: Peran & Tanggung Jawab |
| A.5.5 | Contact with authorities | Crosswalk | RS.CO-02 | Topik sama: Pelaporan |
| A.5.6 | Contact with special interest groups | Editorial | RS.CO-03 | Topik sama: Komunikasi (pilihan editor) |
| A.5.7 | Threat intelligence | Crosswalk | DE.AE-07ID.RA-02ID.RA-03 | Topik sama: Intelijen Ancaman |
| A.5.9 | Inventory of information and other associated assets | Crosswalk | ID.AM-01ID.AM-02ID.AM-04+1 | Topik sama: Manajemen Aset |
| A.5.11 | Return of assets | Crosswalk | ID.AM-01ID.AM-02ID.AM-04+1 | Topik sama: Manajemen Aset |
| A.5.12 | Classification of information | Crosswalk | ID.AM-05ID.AM-07 | Topik sama: Klasifikasi Data |
| A.5.13 | Labelling of information | Crosswalk | ID.AM-05ID.AM-07 | Topik sama: Klasifikasi Data |
| A.5.14 | Information transfer | Crosswalk | DE.CM-09PR.DS-01PR.DS-02+1 | Topik sama: Keamanan Email, Perlindungan Data |
| A.5.15 | Access control | Crosswalk | PR.AA-01PR.AA-03PR.AA-04+2 | Topik sama: Kontrol Akses, Zero Trust |
| A.5.16 | Identity management | Crosswalk | PR.AA-01PR.AA-05 | Topik sama: Kontrol Akses |
| A.5.18 | Access rights | Crosswalk | PR.AA-01PR.AA-05 | Topik sama: Kontrol Akses |
| A.5.19 | Information security in supplier relationships | Crosswalk | DE.CM-06GV.SC-01GV.SC-03+7 | Topik sama: Manajemen Risiko Vendor, Risiko Rantai Pasok |
| A.5.20 | Addressing information security within supplier agreements | Crosswalk | DE.CM-06GV.SC-04GV.SC-06+2 | Topik sama: Manajemen Risiko Vendor |
| A.5.21 | Managing information security in the ICT supply chain | Crosswalk | GV.SC-01GV.SC-03GV.SC-05+2 | Topik sama: Risiko Rantai Pasok |
| A.5.22 | Monitoring, review and change management of supplier services | Crosswalk | DE.CM-06GV.SC-04GV.SC-06+2 | Topik sama: Manajemen Risiko Vendor |
| A.5.23 | Information security for use of cloud services | Crosswalk | ID.AM-04PR.IR-01PR.PS-01 | Topik sama: Keamanan Cloud |
| A.5.24 | Information security incident management planning and preparation | Crosswalk | ID.IM-04RS.MA-01RS.MA-02+2 | Topik sama: Respons Insiden |
| A.5.25 | Assessment and decision on information security events | Crosswalk | DE.AE-03DE.AE-06DE.AE-08+5 | Topik sama: SIEM / SOC |
| A.5.26 | Response to information security incidents | Crosswalk | ID.IM-04RC.CO-03RC.CO-04+7 | Topik sama: Respons Insiden, Komunikasi & Pemulihan |
| A.5.27 | Learning from information security incidents | Crosswalk | ID.IM-03RC.RP-06 | Topik sama: Pelajaran yang Dipetik |
| A.5.28 | Collection of evidence | Crosswalk | RS.AN-03RS.AN-06RS.AN-07 | Topik sama: Forensik |
| A.5.29 | Information security during disruption | Crosswalk | GV.OC-04ID.IM-04PR.IR-03+3 | Topik sama: Kelangsungan Usaha, Perencanaan Pemulihan |
| A.5.30 | ICT readiness for business continuity | Crosswalk | GV.OC-04ID.IM-04PR.IR-03+4 | Topik sama: Kelangsungan Usaha, Perencanaan Pemulihan, Pemulihan Bencana |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Crosswalk | GV.OC-03GV.OV-03 | Topik sama: Kepatuhan |
| A.5.36 | Compliance with policies, rules and standards for information security | Editorial | GV.OC-03GV.OV-03 | Topik sama: Kepatuhan (pilihan editor) |
| A.5.37 | Documented operating procedures | Crosswalk | GV.PO-01GV.PO-02 | Topik sama: Kebijakan Tata Kelola |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Crosswalk | DE.CM-03GV.RR-04 | Topik sama: Ancaman Orang Dalam |
| A.6.3 | Information security awareness, education and training | Crosswalk | PR.AT-01PR.AT-02 | Topik sama: Kesadaran & Pelatihan |
| A.6.4 | Disciplinary process | Crosswalk | DE.CM-03GV.RR-04 | Topik sama: Ancaman Orang Dalam |
| A.6.7 | Remote working | Editorial | PR.AA-05PR.PS-01 | Topik sama: Keamanan Seluler (pilihan editor) |
| A.6.8 | Information security event reporting | Crosswalk | RS.CO-02 | Topik sama: Pelaporan |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Topik sama: Keamanan Fisik |
| A.7.2 | Physical entry | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Topik sama: Keamanan Fisik |
| A.7.3 | Securing offices, rooms and facilities | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Topik sama: Keamanan Fisik |
| A.7.4 | Physical security monitoring | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Topik sama: Keamanan Fisik |
| A.7.5 | Protecting against physical and environmental threats | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Topik sama: Keamanan Fisik |
| A.7.6 | Working in secure areas | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Topik sama: Keamanan Fisik |
| A.7.8 | Equipment siting and protection | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Topik sama: Keamanan Fisik |
| A.7.11 | Supporting utilities | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Topik sama: Keamanan Fisik |
| A.7.12 | Cabling security | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Topik sama: Keamanan Fisik |
| A.7.14 | Secure disposal or re-use of equipment | Crosswalk | ID.AM-01ID.AM-02ID.AM-04+1 | Topik sama: Manajemen Aset |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Crosswalk | PR.AA-05PR.PS-01DE.CM-09+1 | Topik sama: Keamanan Seluler, Perlindungan Endpoint |
| A.8.2 | Privileged access rights | Crosswalk | PR.AA-05 | Topik sama: Akses Istimewa |
| A.8.3 | Information access restriction | Crosswalk | PR.AA-01PR.AA-05 | Topik sama: Kontrol Akses |
| A.8.5 | Secure authentication | Crosswalk | PR.AA-03PR.AA-04PR.AA-05+2 | Topik sama: Autentikasi Multi-Faktor, Zero Trust, Keamanan API |
| A.8.7 | Protection against malware | Editorial | DE.CM-09PR.PS-05 | Topik sama: Perlindungan Endpoint (pilihan editor) |
| A.8.8 | Management of technical vulnerabilities | Crosswalk | ID.RA-01ID.RA-08PR.PS-02 | Topik sama: Manajemen Kerentanan, Manajemen Patch |
| A.8.9 | Configuration management | Crosswalk | PR.PS-01 | Topik sama: Konfigurasi Aman |
| A.8.10 | Information deletion | Crosswalk | PR.DS-01PR.DS-02PR.DS-10 | Topik sama: Perlindungan Data |
| A.8.11 | Data masking | Crosswalk | PR.DS-01PR.DS-02PR.DS-10 | Topik sama: Perlindungan Data |
| A.8.12 | Data leakage prevention | Crosswalk | PR.DS-01PR.DS-02PR.DS-10 | Topik sama: DLP |
| A.8.13 | Information backup | Crosswalk | PR.DS-11RC.RP-03 | Topik sama: Cadangan & Pemulihan |
| A.8.14 | Redundancy of information processing facilities | Crosswalk | GV.OC-04PR.IR-03RC.RP-02+2 | Topik sama: Kelangsungan Usaha, Pemulihan Bencana |
| A.8.15 | Logging | Crosswalk | DE.AE-03PR.PS-04 | Topik sama: Pencatatan & Audit |
| A.8.16 | Monitoring activities | Crosswalk | DE.AE-02DE.AE-03DE.AE-04+6 | Topik sama: Deteksi Intrusi, Deteksi Anomali, SIEM / SOC |
| A.8.17 | Clock synchronization | Crosswalk | DE.AE-03PR.PS-04 | Topik sama: Pencatatan & Audit |
| A.8.18 | Use of privileged utility programs | Crosswalk | PR.AA-05 | Topik sama: Akses Istimewa |
| A.8.19 | Installation of software on operational systems | Crosswalk | DE.CM-09PR.PS-05 | Topik sama: Perlindungan Endpoint |
| A.8.20 | Networks security | Crosswalk | DE.CM-01ID.AM-03PR.IR-01 | Topik sama: Keamanan DNS, WAF, Firewall / Segmentasi Jaringan |
| A.8.21 | Security of network services | Crosswalk | DE.CM-01ID.AM-03PR.IR-01 | Topik sama: Keamanan DNS, Firewall / Segmentasi Jaringan |
| A.8.22 | Segregation of networks | Crosswalk | ID.AM-03PR.AA-03PR.AA-04+2 | Topik sama: Firewall / Segmentasi Jaringan, Zero Trust |
| A.8.24 | Use of cryptography | Crosswalk | PR.DS-01PR.DS-02 | Topik sama: Enkripsi |
| A.8.25 | Secure development life cycle | Crosswalk | PR.PS-06 | Topik sama: Pengembangan Aman |
| A.8.26 | Application security requirements | Crosswalk | PR.AA-03PR.IR-01PR.PS-06 | Topik sama: Keamanan API, Keamanan Web, Pengembangan Aman |
| A.8.28 | Secure coding | Crosswalk | PR.PS-06 | Topik sama: Pengembangan Aman |
| A.8.29 | Security testing in development and acceptance | Crosswalk | PR.PS-06 | Topik sama: Pengembangan Aman |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.1 | Understanding the organization and its context | Crosswalk | GV.OC-01GV.OC-04GV.OC-05 | Topik sama: Lingkungan Bisnis |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Crosswalk | GV.OC-01GV.OC-04GV.OC-05 | Topik sama: Lingkungan Bisnis |
| Clause 5.2 | Policy | Crosswalk | GV.PO-01GV.PO-02 | Topik sama: Kebijakan Tata Kelola |
| Clause 6.1.1 | General | Crosswalk | GV.RM-01GV.RM-02GV.RM-03+1 | Topik sama: Manajemen Risiko |
| Clause 6.1.2 | Information security risk assessment | Crosswalk | ID.RA-03ID.RA-04ID.RA-05+1 | Topik sama: Penilaian Risiko |
| Clause 6.1.3 | Information security risk treatment | Crosswalk | GV.RM-01GV.RM-02GV.RM-03+5 | Topik sama: Manajemen Risiko |
| Clause 7.3 | Awareness | Crosswalk | PR.AT-01PR.AT-02 | Topik sama: Kesadaran & Pelatihan |
| Clause 7.4 | Communication | Crosswalk | RC.CO-03RC.CO-04RC.RP-05+1 | Topik sama: Komunikasi & Pemulihan |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Crosswalk | GV.OC-03GV.OV-03 | Topik sama: Kepatuhan |
| Clause 10.1 | Continual improvement | Editorial | ID.IM-03RC.RP-06 | Topik sama: Pelajaran yang Dipetik (pilihan editor) |
Miliki ISO 27001 → butuhkan NIST CSF 2.0
106 persyaratan 89 terpetakan · · 2 tanpa pemetaan Buka di tampilan kesenjangan →Dari 106 persyaratan NIST Cybersecurity Framework 2.0, 89 dipetakan ke sesuatu dalam ISO 27001, 15 hanya terkait secara longgar, dan 2 tidak memiliki pemetaan dalam data kami.
Kemungkinan pekerjaan baru: persyaratan NIST CSF 2.0 tanpa pemetaan ke ISO 27001 (2)
| NIST CSF 2.0 | Persyaratan | Kecocokan | ISO 27001 | Bukti |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Tidak ada pemetaan dalam data kami | — | Tidak ada pemetaan ke ISO 27001 dalam data kami. |
Periksa ini: hanya terkait secara longgar (hasil CSF yang sama, bukan pemetaan) (15)
| NIST CSF 2.0 | Persyaratan | Kecocokan | ISO 27001 | Bukti |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Clause 4.1Clause 4.2Clause 4.4+4 | Hanya berbagi CSF GV.OC-02: terkait, bukan pemetaan | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | A.5.1A.5.5A.5.6+3 | Hanya berbagi CSF GV.OV-01: terkait, bukan pemetaan | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | A.5.1A.5.19A.5.27+3 | Hanya berbagi CSF GV.OV-02: terkait, bukan pemetaan | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | A.5.1Clause 6.1.3 | Hanya berbagi CSF GV.RM-04: terkait, bukan pemetaan | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | A.5.1A.5.19Clause 6.1.1+1 | Hanya berbagi CSF GV.RM-05: terkait, bukan pemetaan | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Clause 6.1.1 | Hanya berbagi CSF GV.RM-07: terkait, bukan pemetaan | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | A.5.2A.5.4Clause 5.3 | Hanya berbagi CSF GV.SC-02: terkait, bukan pemetaan | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | A.5.26 | Hanya berbagi CSF GV.SC-08: terkait, bukan pemetaan | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | A.5.19A.5.20A.5.21+4 | Hanya berbagi CSF GV.SC-10: terkait, bukan pemetaan | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | A.8.32Clause 6.1.3 | Hanya berbagi CSF ID.RA-07: terkait, bukan pemetaan | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | A.8.2A.8.3A.8.5 | Hanya berbagi CSF PR.AA-02: terkait, bukan pemetaan | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | A.8.6 | Hanya berbagi CSF PR.IR-04: terkait, bukan pemetaan | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | A.5.9A.8.1 | Hanya berbagi CSF PR.PS-03: terkait, bukan pemetaan | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | A.5.25 | Hanya berbagi CSF RS.AN-08: terkait, bukan pemetaan | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | A.5.25 | Hanya berbagi CSF RS.MA-05: terkait, bukan pemetaan | |
Dipetakan (89)
| NIST CSF 2.0 | Persyaratan | Kecocokan | ISO 27001 | Bukti |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Crosswalk | A.8.16 | Topik sama: Deteksi Intrusi, Deteksi Anomali |
| DE.AE-03 | Information is correlated from multiple sources | Crosswalk | A.5.25A.8.15A.8.16+1 | Topik sama: SIEM / SOC, Pencatatan & Audit |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Crosswalk | A.8.16 | Topik sama: Deteksi Anomali |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Crosswalk | A.5.25A.8.16 | Topik sama: SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | Crosswalk | A.5.7 | Topik sama: Intelijen Ancaman |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Crosswalk | A.5.25A.8.16 | Topik sama: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Crosswalk | A.8.16A.8.20A.8.21 | Topik sama: Pemantauan Berkelanjutan, Deteksi Intrusi, Keamanan DNS, WAF |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Crosswalk | A.7.1A.7.2A.7.3+6 | Topik sama: Keamanan Fisik |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Crosswalk | A.6.1A.6.4A.8.16 | Topik sama: Ancaman Orang Dalam, Pemantauan Berkelanjutan |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Crosswalk | A.5.19A.5.20A.5.22 | Topik sama: Manajemen Risiko Vendor |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Crosswalk | A.5.14A.8.16A.8.19+2 | Topik sama: Keamanan Email, Pemantauan Berkelanjutan, Deteksi Anomali, Perlindungan Endpoint |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Crosswalk | Clause 4.1Clause 4.2 | Topik sama: Lingkungan Bisnis |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Crosswalk | A.5.31Clause 9.1A.5.36 | Topik sama: Kepatuhan |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Crosswalk | A.5.29A.5.30A.8.14+2 | Topik sama: Kelangsungan Usaha |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | Crosswalk | Clause 4.1Clause 4.2 | Topik sama: Lingkungan Bisnis |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Crosswalk | A.5.31Clause 9.1A.5.36 | Topik sama: Kepatuhan |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Crosswalk | A.5.1A.5.37Clause 5.2 | Topik sama: Kebijakan Tata Kelola |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Crosswalk | A.5.1A.5.37Clause 5.2 | Topik sama: Kebijakan Tata Kelola |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Crosswalk | Clause 6.1.1Clause 6.1.3 | Topik sama: Manajemen Risiko |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Crosswalk | Clause 6.1.1Clause 6.1.3 | Topik sama: Manajemen Risiko |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Crosswalk | Clause 6.1.1Clause 6.1.3 | Topik sama: Manajemen Risiko |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Crosswalk | Clause 6.1.1Clause 6.1.3 | Topik sama: Manajemen Risiko |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Crosswalk | A.5.2A.5.4 | Topik sama: Peran & Tanggung Jawab |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Crosswalk | A.5.2A.5.4 | Topik sama: Peran & Tanggung Jawab |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Crosswalk | A.5.2A.5.4 | Topik sama: Peran & Tanggung Jawab |
| GV.RR-04 | Cybersecurity is included in human resources practices | Crosswalk | A.6.1A.6.4A.8.16 | Topik sama: Ancaman Orang Dalam |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Crosswalk | A.5.19A.5.21 | Topik sama: Risiko Rantai Pasok |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Crosswalk | A.5.19A.5.21 | Topik sama: Risiko Rantai Pasok |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Crosswalk | A.5.19A.5.20A.5.22 | Topik sama: Manajemen Risiko Vendor |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Crosswalk | A.5.19A.5.21 | Topik sama: Risiko Rantai Pasok |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Crosswalk | A.5.19A.5.20A.5.22 | Topik sama: Manajemen Risiko Vendor |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Crosswalk | A.5.19A.5.20A.5.22 | Topik sama: Manajemen Risiko Vendor |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Crosswalk | A.5.19A.5.21 | Topik sama: Risiko Rantai Pasok |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Crosswalk | A.5.9A.5.11A.7.14 | Topik sama: Manajemen Aset |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Crosswalk | A.5.9A.5.11A.7.14 | Topik sama: Manajemen Aset |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Crosswalk | A.8.20A.8.21A.8.22 | Topik sama: Firewall / Segmentasi Jaringan |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Crosswalk | A.5.9A.5.11A.5.23+1 | Topik sama: Manajemen Aset, Keamanan Cloud |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Crosswalk | A.5.12A.5.13 | Topik sama: Klasifikasi Data |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Crosswalk | A.5.12A.5.13 | Topik sama: Klasifikasi Data |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Crosswalk | A.5.9A.5.11A.7.14 | Topik sama: Manajemen Aset |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Crosswalk | A.5.27Clause 10.1 | Topik sama: Pelajaran yang Dipetik |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Crosswalk | A.5.24A.5.25A.5.26+2 | Topik sama: Respons Insiden |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Crosswalk | A.8.8 | Topik sama: Manajemen Kerentanan |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Crosswalk | A.5.7 | Topik sama: Intelijen Ancaman |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Crosswalk | A.5.7Clause 6.1.2Clause 6.1.3 | Topik sama: Intelijen Ancaman, Penilaian Risiko |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Crosswalk | Clause 6.1.2Clause 6.1.3 | Topik sama: Penilaian Risiko |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Crosswalk | Clause 6.1.2Clause 6.1.3 | Topik sama: Penilaian Risiko |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Crosswalk | Clause 6.1.2Clause 6.1.3 | Topik sama: Penilaian Risiko |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Crosswalk | A.8.8 | Topik sama: Manajemen Kerentanan |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Crosswalk | A.5.19A.5.21 | Topik sama: Risiko Rantai Pasok |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Crosswalk | A.5.19A.5.20A.5.22 | Topik sama: Manajemen Risiko Vendor |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Crosswalk | A.5.15A.5.16A.5.18+1 | Topik sama: Kontrol Akses |
| PR.AA-03 | Users, services, and hardware are authenticated | Crosswalk | A.5.15A.8.5A.8.22+1 | Topik sama: Zero Trust, Autentikasi Multi-Faktor, Keamanan API |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Crosswalk | A.5.15A.8.5A.8.22 | Topik sama: Zero Trust |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Crosswalk | A.5.15A.5.16A.5.18+7 | Topik sama: Kontrol Akses, Zero Trust |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Crosswalk | A.7.1A.7.2A.7.3+6 | Topik sama: Keamanan Fisik |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Crosswalk | A.6.3Clause 7.3 | Topik sama: Kesadaran & Pelatihan |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Crosswalk | A.6.3Clause 7.3 | Topik sama: Kesadaran & Pelatihan |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Crosswalk | A.5.14A.8.10A.8.11+2 | Topik sama: Perlindungan Data |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Crosswalk | A.5.14A.8.10A.8.11+2 | Topik sama: Perlindungan Data, Keamanan Email |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Crosswalk | A.5.14A.8.10A.8.11+1 | Topik sama: Perlindungan Data |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Crosswalk | A.8.13 | Topik sama: Cadangan & Pemulihan |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Crosswalk | A.5.15A.5.23A.8.5+4 | Topik sama: Zero Trust, Keamanan Cloud, Keamanan API |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Crosswalk | A.7.1A.7.2A.7.3+6 | Topik sama: Keamanan Fisik |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Crosswalk | A.5.29A.5.30A.8.14 | Topik sama: Kelangsungan Usaha, Pemulihan Bencana |
| PR.PS-01 | Configuration management practices are established and applied | Crosswalk | A.5.23A.8.1A.8.9+1 | Topik sama: Keamanan Cloud, Keamanan Seluler, Konfigurasi Aman |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Crosswalk | A.8.8 | Topik sama: Manajemen Patch |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Crosswalk | A.8.15A.8.17 | Topik sama: Pencatatan & Audit |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Crosswalk | A.8.19A.8.1A.8.7 | Topik sama: Perlindungan Endpoint |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Crosswalk | A.8.5A.8.25A.8.26+2 | Topik sama: Keamanan API, Pengembangan Aman, Keamanan Web |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Crosswalk | A.5.26Clause 7.4 | Topik sama: Komunikasi & Pemulihan |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Crosswalk | A.5.26Clause 7.4 | Topik sama: Komunikasi & Pemulihan |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Crosswalk | A.5.29A.5.30 | Topik sama: Perencanaan Pemulihan |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Crosswalk | A.5.29A.5.30A.8.14 | Topik sama: Perencanaan Pemulihan, Pemulihan Bencana |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Crosswalk | A.8.13 | Topik sama: Cadangan & Pemulihan |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Crosswalk | A.5.29A.5.30A.8.14 | Topik sama: Kelangsungan Usaha |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Crosswalk | A.5.26A.5.30A.8.14+1 | Topik sama: Komunikasi & Pemulihan, Pemulihan Bencana |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Crosswalk | A.5.27Clause 10.1 | Topik sama: Pelajaran yang Dipetik |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Crosswalk | A.5.28 | Topik sama: Forensik |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Crosswalk | A.5.28 | Topik sama: Forensik |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Crosswalk | A.5.28 | Topik sama: Forensik |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Crosswalk | A.5.5A.6.8 | Topik sama: Pelaporan |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Crosswalk | Clause 7.4A.5.6 | Topik sama: Komunikasi |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Crosswalk | A.5.24A.5.25A.5.26 | Topik sama: Respons Insiden |
| RS.MA-02 | Incident reports are triaged and validated | Crosswalk | A.5.24A.5.25A.5.26 | Topik sama: Respons Insiden |
| RS.MA-03 | Incidents are categorized and prioritized | Crosswalk | A.5.24A.5.25A.5.26 | Topik sama: Respons Insiden |
| RS.MA-04 | Incidents are escalated or elevated as needed | Crosswalk | A.5.24A.5.25A.5.26 | Topik sama: Respons Insiden |
| RS.MI-01 | Incidents are contained | Crosswalk | A.5.26 | Topik sama: Mitigasi |
| RS.MI-02 | Incidents are eradicated | Crosswalk | A.5.26 | Topik sama: Mitigasi |
Menurut topik
Keduanya mencakup (50):
Kebijakan Tata KelolaKesadaran & PelatihanManajemen RisikoRisiko Rantai PasokPeran & Tanggung JawabKepatuhanManajemen AsetPenilaian RisikoLingkungan BisnisKlasifikasi DataManajemen KerentananIntelijen AncamanKontrol AksesAutentikasi Multi-FaktorEnkripsiPerlindungan DataCadangan & PemulihanAkses IstimewaFirewall / Segmentasi JaringanPerlindungan EndpointManajemen PatchKonfigurasi AmanPengembangan AmanKeamanan EmailKeamanan WebZero TrustKeamanan SelulerKeamanan CloudKeamanan DNSWAFDLPPemantauan BerkelanjutanPencatatan & AuditDeteksi IntrusiDeteksi AnomaliSIEM / SOCRespons InsidenForensikKomunikasiMitigasiPelaporanPerencanaan PemulihanKelangsungan UsahaPelajaran yang DipetikKomunikasi & PemulihanPemulihan BencanaKeamanan APIAncaman Orang DalamManajemen Risiko VendorKeamanan Fisik
Pertanyaan
Bisakah disertifikasi terhadap NIST CSF?
Tidak. NIST tidak menyediakan sertifikasi; organisasi melakukan penilaian mandiri atau memesan penilaian independen. ISO 27001 adalah pilihan yang dapat disertifikasi.
Apakah NIST CSF lebih mudah daripada ISO 27001?
Kerangka kerja ini kurang preskriptif dan tidak ada audit, sehingga lebih mudah dimulai. Namun isinya tidak lebih ringan: mencakup setiap hasil CSF 2.0 memerlukan program yang matang.
Dari mana asal pemetaannya?
Dari referensi informatif CSF 2.0 milik NIST sendiri dan pemetaan SP 800-53 → ISO 27001 milik NIST. Lihat metodologi.
Apakah ISO 27001 lebih ketat daripada NIST CSF?
Keduanya ketat dengan cara yang berbeda. ISO 27001 diaudit dan dapat disertifikasi, serta mensyaratkan sistem manajemen; NIST CSF memiliki cakupan yang lebih luas (terutama dalam tata kelola dan risiko rantai pasok sejak 2.0) tetapi tidak ada audit. Ketegasan bergantung pada cara masing-masing diimplementasikan.
Bisakah NIST CSF dan ISO 27001 berbagi satu penilaian risiko?
Bisa. Penilaian risiko yang memenuhi persyaratan ISO 27001 untuk metode terdokumentasi, pemilik, dan kriteria penerimaan juga mendukung hasil manajemen risiko CSF.
Apakah pemerintah AS mewajibkan ISO 27001?
Umumnya tidak. Sistem federal AS menggunakan NIST SP 800-53 dan Risk Management Framework; CSF banyak digunakan di sektor swasta. ISO 27001 lebih sering diminta oleh pelanggan internasional.
Apakah saya perlu membeli ISO 27001 untuk menggunakannya?
Ya, standar ini dijual oleh ISO dan badan standar nasional. NIST CSF dan referensinya dapat diunduh secara gratis.
Mana yang lebih baik untuk usaha kecil?
NIST CSF gratis dan lebih mudah dimulai; ISO 27001 layak diambil ketika pelanggan atau tender mensyaratkan sertifikasi. Banyak usaha kecil memulai dengan CSF dan mensertifikasi nanti.
ID dan judul persyaratan ditampilkan sebagaimana diterbitkan masing-masing framework, dalam bahasa Inggris.
Crosswalk crosswalk yang dipublikasikan (NIST, ENISA, CIS, PCI SSC) menetapkan tautannya · Editorial Penilaian ControlMapping jika tidak ada crosswalk; alasannya ditampilkan · hanya berbagi hasil CSF 2.0: layak diperiksa, bukan pemetaan · Tidak ada pemetaan dalam data kami belum ada yang dipetakan dalam data kami; sering kali pekerjaan baru, tetapi periksa catatan cakupannya. Dipetakan = dikurasi bersama dalam topik ControlMapping, atau ditautkan langsung. Crosswalk tidak membuktikan kepatuhan. Metodologi · Unduh data · Laporkan kesalahan.