NIST CSF 1.1 a 2.0: che fine hanno fatto le sottocategorie ritirate

NIST ha pubblicato il CSF 2.0 nel febbraio 2024, con una nuova funzione Governare e un nucleo riorganizzato. Molte sottocategorie del CSF 1.1 non sono sopravvissute nella forma originaria: sono state spostate su un nuovo identificativo oppure incorporate in uno più ampio. NIST ha registrato dove è finita ciascuna, nelle note di ritiro dei propri dati del CSF 2.0.

Questo conta più di quanto sembri. Policy, registri dei rischi, strumenti GRC, questionari per i fornitori e innumerevoli fogli di calcolo citano ancora gli identificativi del CSF 1.1. Una mappatura verso una sottocategoria ritirata non è un errore che qualcuno noti; è un collegamento che porta al nulla. Per questo motivo la build di ControlMapping fallisce su qualsiasi ID ritirato.

La tabella completa

Ogni sottocategoria del CSF 1.1 che NIST ha ritirato nel 2.0, e ciò che NIST indica che le è accaduto:

CSF 1.1	Cosa è cambiato in CSF 2.0 (NIST)
DE.AE-01	Incorporato in ID.AM-03
DE.AE-05	Spostato in DE.AE-08
DE.CM-04	Incorporato in DE.CM-01, DE.CM-09
DE.CM-05	Incorporato in DE.CM-01, DE.CM-09
DE.CM-07	Incorporato in DE.CM-01, DE.CM-03, DE.CM-06, DE.CM-09
DE.CM-08	Incorporato in ID.RA-01
DE.DP-01	Incorporato in GV.RR-02
DE.DP-02	Incorporato in DE.AE
DE.DP-03	Incorporato in ID.IM-02
DE.DP-04	Incorporato in DE.AE-06
DE.DP-05	Incorporato in ID.IM, ID.IM-03
ID.AM-06	Incorporato in GV.RR-02, GV.SC-02
ID.BE-01	Incorporato in GV.OC-05
ID.BE-02	Incorporato in GV.OC-01
ID.BE-03	Incorporato in GV.OC-01
ID.BE-04	Incorporato in GV.OC-04, GV.OC-05
ID.BE-05	Incorporato in GV.OC-04
ID.GV-01	Incorporato in GV.PO, GV.PO-01, GV.PO-02
ID.GV-02	Incorporato in GV.OC-02, GV.RR, GV.RR-02
ID.GV-03	Spostato in GV.OC-03
ID.GV-04	Spostato in GV.RM-04
ID.RM-01	Incorporato in GV.RM-01, GV.RM-06, GV.RR-03
ID.RM-02	Incorporato in GV.RM-02, GV.RM-04
ID.RM-03	Spostato in GV.RM-02
ID.SC-01	Incorporato in GV.RM-05, GV.SC-01, GV.SC-06, GV.SC-09, GV.SC-10
ID.SC-02	Incorporato in GV.OC-02, GV.SC-03, GV.SC-04, GV.SC-07, ID.RA-10
ID.SC-03	Spostato in GV.SC-05
ID.SC-04	Incorporato in GV.SC-07, ID.RA-10
ID.SC-05	Incorporato in GV.SC-08, ID.IM-02
PR.AC-01	Incorporato in PR.AA-01, PR.AA-05
PR.AC-02	Spostato in PR.AA-06
PR.AC-03	Incorporato in PR.AA-03, PR.AA-05, PR.IR-01
PR.AC-04	Spostato in PR.AA-05
PR.AC-05	Incorporato in PR.IR-01
PR.AC-06	Spostato in PR.AA-02
PR.AC-07	Spostato in PR.AA-03
PR.AT-03	Incorporato in PR.AT-01, PR.AT-02
PR.AT-04	Incorporato in PR.AT-02
PR.AT-05	Incorporato in PR.AT-02
PR.DS-03	Incorporato in ID.AM-08, PR.PS-03
PR.DS-04	Spostato in PR.IR-04
PR.DS-05	Incorporato in PR.DS-01, PR.DS-02, PR.DS-10
PR.DS-06	Incorporato in PR.DS-01, DE.CM-09
PR.DS-07	Incorporato in PR.IR-01
PR.DS-08	Incorporato in ID.RA-09, DE.CM-09
PR.IP-01	Incorporato in PR.PS-01
PR.IP-02	Incorporato in ID.AM-08, PR.PS-06
PR.IP-03	Incorporato in PR.PS-01, ID.RA-07
PR.IP-04	Spostato in PR.DS-11
PR.IP-05	Spostato in PR.IR-02
PR.IP-06	Incorporato in ID.AM-08
PR.IP-07	Incorporato in ID.IM, ID.IM-03
PR.IP-08	Spostato in ID.IM-03
PR.IP-09	Spostato in ID.IM-04
PR.IP-10	Incorporato in ID.IM-02, ID.IM-04
PR.IP-11	Spostato in GV.RR-04
PR.IP-12	Incorporato in ID.RA-01, PR.PS-02
PR.MA-01	Incorporato in ID.AM-08, PR.PS-03
PR.MA-02	Incorporato in ID.AM-08, PR.PS-02
PR.PT-01	Incorporato in PR.PS-04
PR.PT-02	Incorporato in PR.DS-01, PR.PS-01
PR.PT-03	Incorporato in PR.PS-01
PR.PT-04	Incorporato in PR.AA-06, PR.IR-01
PR.PT-05	Spostato in PR.IR-03
RC.CO-01	Incorporato in RC.CO-04
RC.CO-02	Incorporato in RC.CO-04
RC.IM-01	Incorporato in ID.IM-03, ID.IM-04
RC.IM-02	Incorporato in ID.IM-03
RS.AN-01	Incorporato in RS.MA-02
RS.AN-02	Incorporato in RS.MA-02, RS.MA-03, RS.MA-04
RS.AN-04	Spostato in RS.MA-03
RS.AN-05	Spostato in ID.RA-08
RS.CO-01	Incorporato in PR.AT-01
RS.CO-04	Incorporato in RS.MA-01, RS.MA-04
RS.CO-05	Incorporato in RS.CO-03
RS.IM-01	Incorporato in ID.IM-03, ID.IM-04
RS.IM-02	Incorporato in ID.IM-03
RS.MI-03	Incorporato in ID.RA-06
RS.RP-01	Incorporato in RS.MA-01

I principali schemi

• ID.BE (Business Environment) e ID.GV (Governance) sono confluite nella nuova funzione Governare, come GV.OC (Organisational Context), GV.RR, GV.PO e GV.OV.
• ID.SC (Supply Chain Risk Management) è diventata GV.SC, ampliata a dieci sottocategorie.
• PR.AC (Access Control) è diventata PR.AA (Identity Management, Authentication and Access Control), mentre la segmentazione di rete è passata a PR.IR.
• PR.IP (Information Protection Processes) è stata suddivisa: i risultati su configurazione e manutenzione sono passati a PR.PS (Platform Security), quelli di miglioramento a ID.IM.
• DE.DP (Detection Processes) è stata ritirata, con i suoi risultati confluiti in DE.CM, DE.AE e ID.IM.
• Molte sottocategorie RS e RC sono state consolidate in risultati meno numerosi e più ampi sotto RS.MA, RS.AN, RS.CO e RC.RP.

Come aggiornare le vecchie mappature

1. Cerca nei tuoi documenti e strumenti gli identificativi CSF e confrontali con la tabella sopra. Gli identificativi del CSF 1.1 usano una cifra (PR.AC-1); il CSF 2.0 ne usa due (PR.AA-01).
2. Sostituisci direttamente i collegamenti "spostato in". Quando NIST indica che una sottocategoria è stata spostata, il nuovo identificativo è una sostituzione diretta.
3. Verifica i collegamenti "incorporato in". Il risultato più ampio del 2.0 potrebbe coprire più di quanto copre il tuo controllo; verifica che la mappatura abbia ancora senso.
4. Aggiungi i nuovi risultati della funzione Governare. Il CSF 2.0 ha introdotto risultati senza un predecessore nel 1.1, soprattutto in materia di rischio della catena di fornitura e supervisione.

Ogni sottocategoria del CSF 2.0 ha qui una pagina con le sue mappature verso altri dieci framework; parti dalla pagina del framework CSF 2.0. Per capire cosa significhi in pratica la funzione Governare, consulta quali framework la coprono. Le note di ritiro sopra provengono dai dati ufficiali del CSF 2.0 di NIST, tramite il suo Cybersecurity and Privacy Reference Tool; consulta la metodologia.

Domande

Cosa ha sostituito PR.AC nel NIST CSF 2.0?

La maggior parte delle sottocategorie PR.AC (Access Control) del CSF 1.1 è passata nella nuova categoria PR.AA (Identity Management, Authentication and Access Control); le note di ritiro di NIST indicano la destinazione esatta di ciascuna.

Posso ancora usare il CSF 1.1?

Sì, ma la versione attuale di NIST è la 2.0, e i nuovi crosswalk e i nuovi riferimenti informativi vengono pubblicati rispetto alla 2.0. Aggiornare i vecchi riferimenti evita mappature che puntano silenziosamente a sottocategorie ritirate.