La funzione Governare di NIST CSF 2.0: quali framework la coprono già?

Quando NIST ha pubblicato CSF 2.0 nel febbraio 2024, la novità principale è stata una sesta funzione. Governare si è aggiunta a Identificare, Proteggere, Rilevare, Rispondere e Recuperare, e NIST l'ha posta al centro delle altre: contesto organizzativo, strategia di gestione del rischio, ruoli e responsabilità, policy, supervisione e gestione del rischio della catena di fornitura di cybersecurity. Ha spostato la governance da una categoria interna a Identificare a ciò che orienta tutto il resto.

Se segui già un altro framework, quanto di Governare hai già coperto?

Copertura di Governare per framework

ControlMapping ha sei argomenti ancorati alla funzione Governare. Ecco quanti di essi mappa ciascun framework:

Framework	Governare argomenti mappati	Nessuna mappatura per
ISO 27001	6 di 6	—
SOC 2	6 di 6	—
PCI DSS	6 di 6	—
800-53	6 di 6	—
GDPR	6 di 6	—
NIS2	6 di 6	—
HIPAA	5 di 6	Gestione del rischio della supply chain
CIS v8.1	2 di 6	Politica di governance, Gestione del rischio, Ruoli e responsabilità, Conformità
CMMC	2 di 6	Politica di governance, Gestione del rischio della supply chain, Ruoli e responsabilità, Gestione del rischio dei fornitori
Essential Eight	0 di 6	Politica di governance, Gestione del rischio, Gestione del rischio della supply chain, Ruoli e responsabilità, Conformità, Gestione del rischio dei fornitori

Argomenti: Politica di governance, Gestione del rischio, Gestione del rischio della supply chain, Ruoli e responsabilità, Conformità, Gestione del rischio dei fornitori.

I framework che la coprono

I framework basati su sistemi di gestione e cataloghi di controlli coprono bene Governare. Le clausole da 4 a 6 e 9 di ISO 27001 riguardano la governance: contesto, leadership, ruoli, valutazione e trattamento del rischio, valutazione delle prestazioni, riesame da parte della direzione. SP 800-53 ha un'intera famiglia dedicata alla gestione dei programmi (PM). I criteri dell'ambiente di controllo di SOC 2 (da CC1 a CC5) derivano dal framework COSO di controllo interno, che è governance per progettazione. Il Requisito 12 di PCI DSS e gli obblighi dell'organo di gestione previsti da NIS2 presidiano lo stesso ambito.

I framework che non la coprono

I baseline operativi ne coprono poco. Essential Eight consiste in otto strategie di mitigazione tecniche e non ha alcun contenuto di governance; è una scelta di progettazione, non una dimenticanza. I CIS Controls v8.1 toccano la governance soprattutto attraverso i processi di gestione dei fornitori di servizi e di gestione dei dati. CMMC Level 2 eredita da SP 800-171 il focus sulla protezione della CUI nei sistemi, che lascia fuori gran parte dei risultati relativi alla strategia di rischio e ai programmi di supply chain.

Catena di fornitura: la parte più difficile di Governare

Governare include dieci sottocategorie sulla gestione del rischio della catena di fornitura di cybersecurity, dall'avere un programma in primo luogo fino alla gestione dei fornitori lungo il ciclo di vita del rapporto. Molti framework toccano la sicurezza dei fornitori (ISO 27001 da A.5.19 ad A.5.23, SOC 2 CC9.2, PCI DSS 12.8), ma pochi la trattano come un programma con criteri di rischio, livelli e monitoraggio. Se la tua copertura di Governare nel framework è alta, verifica se lo è in particolare sulla catena di fornitura.

Punti chiave

• Governare è la nuova funzione di CSF 2.0 per contesto, strategia di rischio, ruoli, policy, supervisione e rischio della catena di fornitura.
• I framework basati su sistemi di gestione e cataloghi (ISO 27001, SP 800-53, SOC 2, PCI DSS, NIS2) lo coprono bene.
• I baseline operativi (Essential Eight, CIS, CMMC) ne coprono poco, per progettazione.
• Il rischio della catena di fornitura è la parte di Governare in cui la profondità varia di più tra i framework.

Cosa fare

1. Se usi un baseline operativo (CIS, Essential Eight, CMMC), aggiungi la governance: la funzione Governare di CSF o il sistema di gestione di ISO 27001 ti forniscono la struttura.
2. Se usi ISO 27001 o SOC 2, usa Governare per migliorare il reporting al board: i risultati di CSF sono scritti in un linguaggio che i dirigenti capiscono.
3. Verifica gli argomenti catena di fornitura e rischio fornitori, dove i framework differiscono di più in profondità.

La pagina del framework CSF 2.0 elenca ogni sottocategoria di Governare con le relative mappature, e la gap analysis mostra la copertura di CSF da qualsiasi framework tu abbia.

Domande

Cos'è la funzione Governare in NIST CSF 2.0?

Governare (GV), aggiunta in CSF 2.0 nel 2024, copre contesto organizzativo, strategia di gestione del rischio, ruoli e responsabilità, policy, supervisione e gestione del rischio della catena di fornitura di cybersecurity. NIST la colloca al centro delle altre cinque funzioni.

ISO 27001 copre Governare di CSF 2.0?

In gran parte sì: le clausole da 4 a 6 e 9 di ISO 27001 (contesto, leadership, rischio, valutazione delle prestazioni) e i suoi controlli sui fornitori corrispondono alla maggior parte dei risultati di Governare.

Governare di CSF 2.0 riguarda solo le grandi organizzazioni?

No. Le organizzazioni piccole hanno bisogno delle stesse basi in forma più leggera: chi è responsabile, quali rischi sono accettabili, quali sono le policy e come vengono gestiti i fornitori.