Confronto
NIST CSF 2.0 vs ISO 27001: esiti contro un sistema certificabile
NIST Cybersecurity Framework 2.0 · ISO/IEC 27001:2022 · dati al 2026-10-27
Per Paul Gillet · Aggiornato il 2026-10-17
Il Cybersecurity Framework 2.0 del NIST descrive esiti: 106 sottocategorie suddivise in sei funzioni (Governare, Identificare, Proteggere, Rilevare, Rispondere, Ripristinare). Si tratta di un framework volontario e non certificabile, che volutamente non indica come raggiungere ciascun esito. ISO/IEC 27001 è uno standard certificabile: richiede un sistema di gestione della sicurezza delle informazioni e una scelta motivata dei controlli dell'Allegato A.
Poiché il NIST pubblica un crosswalk di riferimenti informativi da CSF 2.0 a ISO 27001, i due framework si mappano strettamente e quasi ogni esito CSF ha controlli ISO collegati. Le organizzazioni usano spesso CSF come linguaggio per il consiglio di amministrazione e ISO 27001 come framework operativo e di certificazione sottostante.
Passando da CSF a ISO, il divario riguarda il sistema di gestione piuttosto che gli esiti di sicurezza. La funzione Governare di CSF copre strategia, politiche, ruoli e supervisione, ma ISO prescrive meccanismi specifici che CSF lascia aperti: un perimetro ISMS definito, obiettivi di sicurezza delle informazioni, controllo delle informazioni documentate, programmi di audit interno e riesame della direzione. Queste clausole compaiono come non corrispondenti di seguito.
Passando da ISO a CSF, la copertura è sostanzialmente completa. Il lavoro consiste nella traduzione: costruire un Current e un Target Profile CSF a partire dal proprio ISMS ed esprimere le decisioni di trattamento del rischio come esiti CSF.
In sintesi
| NIST CSF 2.0 | ISO 27001 | |
|---|---|---|
| Cos'è | Un framework volontario di esiti | Uno standard di sistema di gestione certificabile |
| Struttura | 6 funzioni, 22 categorie, 106 sottocategorie | Clausole 4–10 più 93 controlli dell'Allegato A |
| Certificazione | Nessuna | Sì, tramite organismi di certificazione accreditati |
| Costo d'uso | Gratuito | Lo standard è venduto da ISO; la certificazione comporta le tariffe di audit |
| Ideale per | Strutturare un programma, reportistica al consiglio, autovalutazione | Dimostrare la sicurezza a clienti e autorità di regolamentazione a livello internazionale |
| Mappatura ufficiale | NIST pubblica i riferimenti CSF 2.0 ↔ ISO 27001 utilizzati qui | — |
Uso combinato
I due framework si integrano bene: CSF 2.0 fornisce un vocabolario di esiti che consigli di amministrazione e autorità di regolamentazione comprendono, mentre ISO 27001 fornisce il sistema di gestione certificabile che dimostra che il programma è attuato. Una prassi comune è riportare la postura rispetto alle funzioni CSF mentre si certifica l'ISMS secondo ISO 27001.
Poiché il NIST collega ogni sottocategoria CSF a clausole ISO e controlli dell'Allegato A, si può mantenere un unico insieme di controlli e riferirlo in entrambi i modi. Le tabelle dei requisiti qui sotto mostrano dove i riferimenti pubblicati li collegano e dove un esito CSF non ha una controparte ISO nei nostri dati.
Cosa è cambiato in CSF 2.0
CSF 2.0 (febbraio 2024) ha aggiunto una sesta funzione, Governare, che copre contesto organizzativo, strategia del rischio, ruoli, politiche, supervisione e rischio della catena di fornitura. Questi esiti corrispondono strettamente alle clausole 4–6 e 9 di ISO 27001, motivo per cui ora i due framework si sovrappongono più di quanto accadesse tra CSF 1.1 e ISO.
Chi usa cosa
- NIST CSF 2.0 è usato da organizzazioni di ogni dimensione e settore per strutturare un programma, definire obiettivi e riferire alla direzione. È il linguaggio comune delle infrastrutture critiche statunitensi, di molte autorità di regolamentazione e delle assicurazioni cyber, ed è gratuito.
- ISO 27001 è usato quando un'organizzazione deve dimostrare la propria sicurezza a terzi con una certificazione: fornitori di software e servizi che vendono alle imprese, fornitori in catene di fornitura regolamentate e aziende che partecipano a gare della pubblica amministrazione, soprattutto al di fuori degli Stati Uniti.
- Molte organizzazioni usano entrambi: CSF per gestire e riferire, ISO 27001 per certificare.
Costi e impegno
L'adozione di CSF non ha costi e non prevede audit, quindi il costo è lo sforzo interno necessario a valutare il proprio Current Profile, definire un Target Profile e colmare il divario. ISO 27001 aggiunge il costo dello standard, le tariffe di audit dell'organismo di certificazione e, soprattutto, lo sforzo interno per costruire e gestire il sistema di gestione: valutazione del rischio, Dichiarazione di applicabilità (SoA), audit interno e riesame della direzione. Per un'organizzazione che già usa bene CSF, gran parte del lavoro tecnico per ISO è già fatto; il resto dello sforzo riguarda principalmente il sistema di gestione e la sua documentazione.
Passare da CSF alla certificazione ISO 27001
- Mappa il tuo profilo CSF su ISO. I riferimenti stessi del NIST collegano le sottocategorie CSF 2.0 a clausole ISO e controlli dell'Allegato A; la gap analysis elenca ogni requisito ISO con la sua corrispondenza CSF.
- Definisci il perimetro dell'ISMS e trasforma il tuo Target Profile CSF in obiettivi di sicurezza delle informazioni.
- Formalizza la valutazione del rischio secondo i requisiti ISO (un metodo documentato, responsabili, criteri di accettazione) e redigi la Dichiarazione di applicabilità.
- Aggiungi i processi del sistema di gestione: controllo dei documenti, audit interno, riesame della direzione e azione correttiva.
- Fai funzionare l'ISMS per alcuni mesi, poi prenota gli audit di Stage 1 e Stage 2.
Molte organizzazioni con un programma CSF maturo ottengono la certificazione in sei-nove mesi.
Caso pratico: un fornitore sanitario regionale
Un gruppo sanitario regionale usa NIST CSF da tre anni per strutturare il proprio programma e riferire al consiglio di amministrazione. Un nuovo contratto con un partner richiede la certificazione ISO 27001 per il servizio di portale pazienti condiviso.
Il suo Current Profile CSF mostra esiti Proteggere e Rilevare solidi, quindi la maggior parte dei controlli tecnici dell'Allegato A esiste già. La gap analysis evidenzia le clausole del sistema di gestione, una Dichiarazione di applicabilità, accordi formali con i fornitori e la sicurezza fisica per la sala dati. Il gruppo limita il perimetro dell'ISMS al servizio di portale pazienti e alla sua infrastruttura di supporto, riutilizza il proprio registro dei rischi CSF con un metodo conforme a ISO e ottiene la certificazione in circa otto mesi. Continua a riferire al consiglio in termini CSF e all'organismo di certificazione in termini ISO, a partire dagli stessi controlli.
Errori comuni
- Mappare su CSF 1.1. Molti fogli di calcolo datati mappano ISO 27001:2013 su CSF 1.1; entrambi sono cambiati nel frattempo e i collegamenti a sottocategorie ritirate non portano più da nessuna parte.
- Trattare un profilo CSF come un ISMS. CSF non richiede audit interno, riesame della direzione o controllo dei documenti; li richiederanno gli auditor ISO.
- Certificare un perimetro troppo ristretto per risparmiare sforzi, per poi scoprire che il certificato non copre ciò che i clienti acquistano.
- Riferire due quadri diversi. I report al consiglio in termini CSF e le evidenze di audit in termini ISO dovrebbero derivare dagli stessi controlli, altrimenti si allontanano.
Punti chiave
- Se ti serve un certificato, ISO 27001 te lo fornisce; CSF non lo farà mai.
- CSF → ISO: pianifica i meccanismi dell'ISMS (perimetro, obiettivi, informazioni documentate, audit interno, riesame della direzione).
- ISO → CSF: produci profili CSF dalla tua SoA esistente; serve poco nuovo lavoro sui controlli.
Hai NIST CSF 2.0 → ti serve ISO 27001
123 req. 79 mappati · · 10 senza mappatura Apri in vista dei gap →Dei 123 requisiti di ISO/IEC 27001:2022, 79 corrispondono a qualcosa in NIST CSF 2.0, 34 sono solo debolmente correlati e 10 non hanno mappature nei nostri dati.
Probabile lavoro aggiuntivo: requisiti di ISO 27001 senza mappature verso NIST CSF 2.0 (10)
| ISO 27001 | Requisito | Corrispondenza | NIST CSF 2.0 | Evidenze |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIST CSF 2.0 nei nostri dati. |
| Clause 5.1 | Leadership and commitment | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIST CSF 2.0 nei nostri dati. |
| Clause 6.2 | Information security objectives and planning to achieve them | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIST CSF 2.0 nei nostri dati. |
| Clause 6.3 | Planning of changes | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIST CSF 2.0 nei nostri dati. |
| Clause 7.5.1 | General | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIST CSF 2.0 nei nostri dati. |
| Clause 7.5.2 | Creating and updating | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIST CSF 2.0 nei nostri dati. |
| Clause 7.5.3 | Control of documented information | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIST CSF 2.0 nei nostri dati. |
| Clause 9.2.1 | General | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIST CSF 2.0 nei nostri dati. |
| Clause 9.2.2 | Internal audit programme | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIST CSF 2.0 nei nostri dati. |
| Clause 10.2 | Nonconformity and corrective action | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso NIST CSF 2.0 nei nostri dati. |
Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (34)
| ISO 27001 | Requisito | Corrispondenza | NIST CSF 2.0 | Evidenze |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.3 | Segregation of duties | GV.OC-05GV.RR-02PR.AA-05+3 | Condivide solo le sottocategorie CSF GV.OC-05, GV.RR-02, PR.AA-05: correlato, non una mappatura | |
| A.5.8 | Information security in project management | GV.OC-05ID.AM-08 | Condivide solo le sottocategorie CSF GV.OC-05, ID.AM-08: correlato, non una mappatura | |
| A.5.10 | Acceptable use of information and other associated assets | PR.DS-01PR.DS-02PR.DS-10 | Condivide solo le sottocategorie CSF PR.DS-01, PR.DS-02, PR.DS-10: correlato, non una mappatura | |
| A.5.17 | Authentication information | PR.AA-03PR.AA-05 | Condivide solo le sottocategorie CSF PR.AA-03, PR.AA-05: correlato, non una mappatura | |
| A.5.32 | Intellectual property rights | GV.PO-02 | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| A.5.33 | Protection of records | PR.DS-01 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.5.34 | Privacy and protection of PII | GV.PO-02 | Condivide solo le sottocategorie CSF GV.PO-02: correlato, non una mappatura | |
| A.5.35 | Independent review of information security | GV.OV-02 | Condivide solo le sottocategorie CSF GV.OV-02: correlato, non una mappatura | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Condivide solo le sottocategorie CSF GV.PO-01, GV.RR-04, PR.DS-01: correlato, non una mappatura | |
| A.6.5 | Responsibilities after termination or change of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Condivide solo le sottocategorie CSF GV.PO-01, GV.RR-04, PR.DS-01: correlato, non una mappatura | |
| A.6.6 | Confidentiality or non-disclosure agreements | GV.RR-03GV.RR-04 | Condivide solo le sottocategorie CSF GV.RR-03, GV.RR-04: correlato, non una mappatura | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | PR.DS-01PR.IR-02 | Condivide solo le sottocategorie CSF PR.DS-01, PR.IR-02: correlato, non una mappatura | |
| A.7.9 | Security of assets off-premises | PR.DS-01 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.7.10 | Storage media | ID.AM-08PR.DS-01 | Condivide solo le sottocategorie CSF ID.AM-08, PR.DS-01: correlato, non una mappatura | |
| A.7.13 | Equipment maintenance | ID.AM-08PR.IR-02 | Condivide solo le sottocategorie CSF ID.AM-08, PR.IR-02: correlato, non una mappatura | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | PR.AA-05PR.DS-01PR.DS-02+1 | Condivide solo le sottocategorie CSF PR.AA-05, PR.DS-01, PR.DS-02: correlato, non una mappatura | |
| A.8.6 | Capacity management | DE.CM-09PR.IR-04 | Condivide solo le sottocategorie CSF DE.CM-09, PR.IR-04: correlato, non una mappatura | |
| A.8.23 | Web filtering | PR.IR-01 | Condivide solo le sottocategorie CSF PR.IR-01: correlato, non una mappatura | |
| A.8.27 | Secure system architecture and engineering principles | PR.IR-03 | Condivide solo le sottocategorie CSF PR.IR-03: correlato, non una mappatura | |
| A.8.30 | Outsourced development | GV.OV-03 | Condivide solo le sottocategorie CSF GV.OV-03: correlato, non una mappatura | |
| A.8.31 | Separation of development, test and production environments | PR.PS-06 | Condivide solo le sottocategorie CSF PR.PS-06: correlato, non una mappatura | |
| A.8.32 | Change management | GV.OV-03ID.RA-07 | Condivide solo le sottocategorie CSF GV.OV-03, ID.RA-07: correlato, non una mappatura | |
| A.8.33 | Test information | PR.DS-01 | Condivide solo le sottocategorie CSF PR.DS-01: correlato, non una mappatura | |
| A.8.34 | Protection of information systems during audit testing | GV.OV-03 | Condivide solo le sottocategorie CSF GV.OV-03: correlato, non una mappatura | |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.4 | Information security management system | GV.OC-02 | Condivide solo le sottocategorie CSF GV.OC-02: correlato, non una mappatura | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | GV.SC-02 | Condivide solo le sottocategorie CSF GV.SC-02: correlato, non una mappatura | |
| Clause 7.1 | Resources | GV.RR-03 | Condivide solo le sottocategorie CSF GV.RR-03: correlato, non una mappatura | |
| Clause 7.2 | Competence | GV.RR-01GV.RR-02GV.RR-03 | Condivide solo le sottocategorie CSF GV.RR-01, GV.RR-02, GV.RR-03: correlato, non una mappatura | |
| Clause 8.1 | Operational planning and control | GV.OC-01GV.OC-02GV.SC-01+2 | Condivide solo le sottocategorie CSF GV.OC-01, GV.OC-02, GV.SC-01: correlato, non una mappatura | |
| Clause 8.2 | Information security risk assessment | GV.OC-01GV.OC-02 | Condivide solo le sottocategorie CSF GV.OC-01, GV.OC-02: correlato, non una mappatura | |
| Clause 8.3 | Information security risk treatment | GV.OC-01GV.OC-02 | Condivide solo le sottocategorie CSF GV.OC-01, GV.OC-02: correlato, non una mappatura | |
| Clause 9.3.1 | General | PR.PS-01 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| Clause 9.3.2 | Management review inputs | PR.PS-01 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
| Clause 9.3.3 | Management review results | PR.PS-01 | Condivide solo le sottocategorie CSF PR.PS-01: correlato, non una mappatura | |
Mappato (79)
| ISO 27001 | Requisito | Corrispondenza | NIST CSF 2.0 | Evidenze |
|---|---|---|---|---|
| A.5 Organizational controls · 29 | ||||
| A.5.1 | Policies for information security | Crosswalk | GV.PO-01GV.PO-02 | Stesso argomento: Politica di governance |
| A.5.2 | Information security roles and responsibilities | Crosswalk | GV.RR-01GV.RR-02GV.RR-03 | Stesso argomento: Ruoli e responsabilità |
| A.5.4 | Management responsibilities | Crosswalk | GV.RR-01GV.RR-02GV.RR-03 | Stesso argomento: Ruoli e responsabilità |
| A.5.5 | Contact with authorities | Crosswalk | RS.CO-02 | Stesso argomento: Segnalazione |
| A.5.6 | Contact with special interest groups | Redazione | RS.CO-03 | Stesso argomento: Comunicazione (selezione della redazione) |
| A.5.7 | Threat intelligence | Crosswalk | DE.AE-07ID.RA-02ID.RA-03 | Stesso argomento: Threat Intelligence |
| A.5.9 | Inventory of information and other associated assets | Crosswalk | ID.AM-01ID.AM-02ID.AM-04+1 | Stesso argomento: Gestione degli asset |
| A.5.11 | Return of assets | Crosswalk | ID.AM-01ID.AM-02ID.AM-04+1 | Stesso argomento: Gestione degli asset |
| A.5.12 | Classification of information | Crosswalk | ID.AM-05ID.AM-07 | Stesso argomento: Classificazione dei dati |
| A.5.13 | Labelling of information | Crosswalk | ID.AM-05ID.AM-07 | Stesso argomento: Classificazione dei dati |
| A.5.14 | Information transfer | Crosswalk | DE.CM-09PR.DS-01PR.DS-02+1 | Stesso argomento: Sicurezza della posta elettronica, Protezione dei dati |
| A.5.15 | Access control | Crosswalk | PR.AA-01PR.AA-03PR.AA-04+2 | Stesso argomento: Controllo degli accessi, Zero Trust |
| A.5.16 | Identity management | Crosswalk | PR.AA-01PR.AA-05 | Stesso argomento: Controllo degli accessi |
| A.5.18 | Access rights | Crosswalk | PR.AA-01PR.AA-05 | Stesso argomento: Controllo degli accessi |
| A.5.19 | Information security in supplier relationships | Crosswalk | DE.CM-06GV.SC-01GV.SC-03+7 | Stesso argomento: Gestione del rischio dei fornitori, Gestione del rischio della supply chain |
| A.5.20 | Addressing information security within supplier agreements | Crosswalk | DE.CM-06GV.SC-04GV.SC-06+2 | Stesso argomento: Gestione del rischio dei fornitori |
| A.5.21 | Managing information security in the ICT supply chain | Crosswalk | GV.SC-01GV.SC-03GV.SC-05+2 | Stesso argomento: Gestione del rischio della supply chain |
| A.5.22 | Monitoring, review and change management of supplier services | Crosswalk | DE.CM-06GV.SC-04GV.SC-06+2 | Stesso argomento: Gestione del rischio dei fornitori |
| A.5.23 | Information security for use of cloud services | Crosswalk | ID.AM-04PR.IR-01PR.PS-01 | Stesso argomento: Sicurezza del cloud |
| A.5.24 | Information security incident management planning and preparation | Crosswalk | ID.IM-04RS.MA-01RS.MA-02+2 | Stesso argomento: Gestione degli incidenti |
| A.5.25 | Assessment and decision on information security events | Crosswalk | DE.AE-03DE.AE-06DE.AE-08+5 | Stesso argomento: SIEM / SOC |
| A.5.26 | Response to information security incidents | Crosswalk | ID.IM-04RC.CO-03RC.CO-04+7 | Stesso argomento: Gestione degli incidenti, Comunicazioni e ripristino |
| A.5.27 | Learning from information security incidents | Crosswalk | ID.IM-03RC.RP-06 | Stesso argomento: Lezioni apprese |
| A.5.28 | Collection of evidence | Crosswalk | RS.AN-03RS.AN-06RS.AN-07 | Stesso argomento: Analisi forense |
| A.5.29 | Information security during disruption | Crosswalk | GV.OC-04ID.IM-04PR.IR-03+3 | Stesso argomento: Continuità operativa, Pianificazione del ripristino |
| A.5.30 | ICT readiness for business continuity | Crosswalk | GV.OC-04ID.IM-04PR.IR-03+4 | Stesso argomento: Continuità operativa, Pianificazione del ripristino, Disaster Recovery |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Crosswalk | GV.OC-03GV.OV-03 | Stesso argomento: Conformità |
| A.5.36 | Compliance with policies, rules and standards for information security | Redazione | GV.OC-03GV.OV-03 | Stesso argomento: Conformità (selezione della redazione) |
| A.5.37 | Documented operating procedures | Crosswalk | GV.PO-01GV.PO-02 | Stesso argomento: Politica di governance |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Crosswalk | DE.CM-03GV.RR-04 | Stesso argomento: Minaccia interna |
| A.6.3 | Information security awareness, education and training | Crosswalk | PR.AT-01PR.AT-02 | Stesso argomento: Consapevolezza e formazione |
| A.6.4 | Disciplinary process | Crosswalk | DE.CM-03GV.RR-04 | Stesso argomento: Minaccia interna |
| A.6.7 | Remote working | Redazione | PR.AA-05PR.PS-01 | Stesso argomento: Sicurezza mobile (selezione della redazione) |
| A.6.8 | Information security event reporting | Crosswalk | RS.CO-02 | Stesso argomento: Segnalazione |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Stesso argomento: Sicurezza fisica |
| A.7.2 | Physical entry | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Stesso argomento: Sicurezza fisica |
| A.7.3 | Securing offices, rooms and facilities | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Stesso argomento: Sicurezza fisica |
| A.7.4 | Physical security monitoring | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Stesso argomento: Sicurezza fisica |
| A.7.5 | Protecting against physical and environmental threats | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Stesso argomento: Sicurezza fisica |
| A.7.6 | Working in secure areas | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Stesso argomento: Sicurezza fisica |
| A.7.8 | Equipment siting and protection | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Stesso argomento: Sicurezza fisica |
| A.7.11 | Supporting utilities | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Stesso argomento: Sicurezza fisica |
| A.7.12 | Cabling security | Crosswalk | DE.CM-02PR.AA-06PR.IR-02 | Stesso argomento: Sicurezza fisica |
| A.7.14 | Secure disposal or re-use of equipment | Crosswalk | ID.AM-01ID.AM-02ID.AM-04+1 | Stesso argomento: Gestione degli asset |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Crosswalk | PR.AA-05PR.PS-01DE.CM-09+1 | Stesso argomento: Sicurezza mobile, Protezione degli endpoint |
| A.8.2 | Privileged access rights | Crosswalk | PR.AA-05 | Stesso argomento: Accesso privilegiato |
| A.8.3 | Information access restriction | Crosswalk | PR.AA-01PR.AA-05 | Stesso argomento: Controllo degli accessi |
| A.8.5 | Secure authentication | Crosswalk | PR.AA-03PR.AA-04PR.AA-05+2 | Stesso argomento: Autenticazione a più fattori, Zero Trust, Sicurezza delle API |
| A.8.7 | Protection against malware | Redazione | DE.CM-09PR.PS-05 | Stesso argomento: Protezione degli endpoint (selezione della redazione) |
| A.8.8 | Management of technical vulnerabilities | Crosswalk | ID.RA-01ID.RA-08PR.PS-02 | Stesso argomento: Gestione delle vulnerabilità, Gestione delle patch |
| A.8.9 | Configuration management | Crosswalk | PR.PS-01 | Stesso argomento: Configurazione sicura |
| A.8.10 | Information deletion | Crosswalk | PR.DS-01PR.DS-02PR.DS-10 | Stesso argomento: Protezione dei dati |
| A.8.11 | Data masking | Crosswalk | PR.DS-01PR.DS-02PR.DS-10 | Stesso argomento: Protezione dei dati |
| A.8.12 | Data leakage prevention | Crosswalk | PR.DS-01PR.DS-02PR.DS-10 | Stesso argomento: DLP |
| A.8.13 | Information backup | Crosswalk | PR.DS-11RC.RP-03 | Stesso argomento: Backup e ripristino |
| A.8.14 | Redundancy of information processing facilities | Crosswalk | GV.OC-04PR.IR-03RC.RP-02+2 | Stesso argomento: Continuità operativa, Disaster Recovery |
| A.8.15 | Logging | Crosswalk | DE.AE-03PR.PS-04 | Stesso argomento: Logging e audit |
| A.8.16 | Monitoring activities | Crosswalk | DE.AE-02DE.AE-03DE.AE-04+6 | Stesso argomento: Intrusion Detection, Rilevamento delle anomalie, SIEM / SOC |
| A.8.17 | Clock synchronization | Crosswalk | DE.AE-03PR.PS-04 | Stesso argomento: Logging e audit |
| A.8.18 | Use of privileged utility programs | Crosswalk | PR.AA-05 | Stesso argomento: Accesso privilegiato |
| A.8.19 | Installation of software on operational systems | Crosswalk | DE.CM-09PR.PS-05 | Stesso argomento: Protezione degli endpoint |
| A.8.20 | Networks security | Crosswalk | DE.CM-01ID.AM-03PR.IR-01 | Stesso argomento: Sicurezza DNS, WAF, Firewall / Segmentazione di rete |
| A.8.21 | Security of network services | Crosswalk | DE.CM-01ID.AM-03PR.IR-01 | Stesso argomento: Sicurezza DNS, Firewall / Segmentazione di rete |
| A.8.22 | Segregation of networks | Crosswalk | ID.AM-03PR.AA-03PR.AA-04+2 | Stesso argomento: Firewall / Segmentazione di rete, Zero Trust |
| A.8.24 | Use of cryptography | Crosswalk | PR.DS-01PR.DS-02 | Stesso argomento: Crittografia |
| A.8.25 | Secure development life cycle | Crosswalk | PR.PS-06 | Stesso argomento: Sviluppo sicuro |
| A.8.26 | Application security requirements | Crosswalk | PR.AA-03PR.IR-01PR.PS-06 | Stesso argomento: Sicurezza delle API, Sicurezza web, Sviluppo sicuro |
| A.8.28 | Secure coding | Crosswalk | PR.PS-06 | Stesso argomento: Sviluppo sicuro |
| A.8.29 | Security testing in development and acceptance | Crosswalk | PR.PS-06 | Stesso argomento: Sviluppo sicuro |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.1 | Understanding the organization and its context | Crosswalk | GV.OC-01GV.OC-04GV.OC-05 | Stesso argomento: Contesto aziendale |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Crosswalk | GV.OC-01GV.OC-04GV.OC-05 | Stesso argomento: Contesto aziendale |
| Clause 5.2 | Policy | Crosswalk | GV.PO-01GV.PO-02 | Stesso argomento: Politica di governance |
| Clause 6.1.1 | General | Crosswalk | GV.RM-01GV.RM-02GV.RM-03+1 | Stesso argomento: Gestione del rischio |
| Clause 6.1.2 | Information security risk assessment | Crosswalk | ID.RA-03ID.RA-04ID.RA-05+1 | Stesso argomento: Risk Assessment |
| Clause 6.1.3 | Information security risk treatment | Crosswalk | GV.RM-01GV.RM-02GV.RM-03+5 | Stesso argomento: Gestione del rischio |
| Clause 7.3 | Awareness | Crosswalk | PR.AT-01PR.AT-02 | Stesso argomento: Consapevolezza e formazione |
| Clause 7.4 | Communication | Crosswalk | RC.CO-03RC.CO-04RC.RP-05+1 | Stesso argomento: Comunicazioni e ripristino |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Crosswalk | GV.OC-03GV.OV-03 | Stesso argomento: Conformità |
| Clause 10.1 | Continual improvement | Redazione | ID.IM-03RC.RP-06 | Stesso argomento: Lezioni apprese (selezione della redazione) |
Hai ISO 27001 → ti serve NIST CSF 2.0
106 req. 89 mappati · · 2 senza mappatura Apri in vista dei gap →Dei 106 requisiti di NIST Cybersecurity Framework 2.0, 89 corrispondono a qualcosa in ISO 27001, 15 sono solo debolmente correlati e 2 non hanno mappature nei nostri dati.
Probabile lavoro aggiuntivo: requisiti di NIST CSF 2.0 senza mappature verso ISO 27001 (2)
| NIST CSF 2.0 | Requisito | Corrispondenza | ISO 27001 | Evidenze |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso ISO 27001 nei nostri dati. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Nessuna mappatura nei nostri dati | — | Nessuna mappatura verso ISO 27001 nei nostri dati. |
Da verificare: solo vagamente correlati (un risultato CSF condiviso, non una mappatura) (15)
| NIST CSF 2.0 | Requisito | Corrispondenza | ISO 27001 | Evidenze |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Clause 4.1Clause 4.2Clause 4.4+4 | Condivide solo le sottocategorie CSF GV.OC-02: correlato, non una mappatura | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | A.5.1A.5.5A.5.6+3 | Condivide solo le sottocategorie CSF GV.OV-01: correlato, non una mappatura | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | A.5.1A.5.19A.5.27+3 | Condivide solo le sottocategorie CSF GV.OV-02: correlato, non una mappatura | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | A.5.1Clause 6.1.3 | Condivide solo le sottocategorie CSF GV.RM-04: correlato, non una mappatura | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | A.5.1A.5.19Clause 6.1.1+1 | Condivide solo le sottocategorie CSF GV.RM-05: correlato, non una mappatura | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Clause 6.1.1 | Condivide solo le sottocategorie CSF GV.RM-07: correlato, non una mappatura | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | A.5.2A.5.4Clause 5.3 | Condivide solo le sottocategorie CSF GV.SC-02: correlato, non una mappatura | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | A.5.26 | Condivide solo le sottocategorie CSF GV.SC-08: correlato, non una mappatura | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | A.5.19A.5.20A.5.21+4 | Condivide solo le sottocategorie CSF GV.SC-10: correlato, non una mappatura | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | A.8.32Clause 6.1.3 | Condivide solo le sottocategorie CSF ID.RA-07: correlato, non una mappatura | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | A.8.2A.8.3A.8.5 | Condivide solo le sottocategorie CSF PR.AA-02: correlato, non una mappatura | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | A.8.6 | Condivide solo le sottocategorie CSF PR.IR-04: correlato, non una mappatura | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | A.5.9A.8.1 | Condivide solo le sottocategorie CSF PR.PS-03: correlato, non una mappatura | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | A.5.25 | Condivide solo le sottocategorie CSF RS.AN-08: correlato, non una mappatura | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | A.5.25 | Condivide solo le sottocategorie CSF RS.MA-05: correlato, non una mappatura | |
Mappato (89)
| NIST CSF 2.0 | Requisito | Corrispondenza | ISO 27001 | Evidenze |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Crosswalk | A.8.16 | Stesso argomento: Intrusion Detection, Rilevamento delle anomalie |
| DE.AE-03 | Information is correlated from multiple sources | Crosswalk | A.5.25A.8.15A.8.16+1 | Stesso argomento: SIEM / SOC, Logging e audit |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Crosswalk | A.8.16 | Stesso argomento: Rilevamento delle anomalie |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Crosswalk | A.5.25A.8.16 | Stesso argomento: SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | Crosswalk | A.5.7 | Stesso argomento: Threat Intelligence |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Crosswalk | A.5.25A.8.16 | Stesso argomento: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Crosswalk | A.8.16A.8.20A.8.21 | Stesso argomento: Monitoraggio continuo, Intrusion Detection, Sicurezza DNS, WAF |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Crosswalk | A.7.1A.7.2A.7.3+6 | Stesso argomento: Sicurezza fisica |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Crosswalk | A.6.1A.6.4A.8.16 | Stesso argomento: Minaccia interna, Monitoraggio continuo |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Crosswalk | A.5.19A.5.20A.5.22 | Stesso argomento: Gestione del rischio dei fornitori |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Crosswalk | A.5.14A.8.16A.8.19+2 | Stesso argomento: Sicurezza della posta elettronica, Monitoraggio continuo, Rilevamento delle anomalie, Protezione degli endpoint |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Crosswalk | Clause 4.1Clause 4.2 | Stesso argomento: Contesto aziendale |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Crosswalk | A.5.31Clause 9.1A.5.36 | Stesso argomento: Conformità |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Crosswalk | A.5.29A.5.30A.8.14+2 | Stesso argomento: Continuità operativa |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | Crosswalk | Clause 4.1Clause 4.2 | Stesso argomento: Contesto aziendale |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Crosswalk | A.5.31Clause 9.1A.5.36 | Stesso argomento: Conformità |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Crosswalk | A.5.1A.5.37Clause 5.2 | Stesso argomento: Politica di governance |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Crosswalk | A.5.1A.5.37Clause 5.2 | Stesso argomento: Politica di governance |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Crosswalk | Clause 6.1.1Clause 6.1.3 | Stesso argomento: Gestione del rischio |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Crosswalk | Clause 6.1.1Clause 6.1.3 | Stesso argomento: Gestione del rischio |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Crosswalk | Clause 6.1.1Clause 6.1.3 | Stesso argomento: Gestione del rischio |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Crosswalk | Clause 6.1.1Clause 6.1.3 | Stesso argomento: Gestione del rischio |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Crosswalk | A.5.2A.5.4 | Stesso argomento: Ruoli e responsabilità |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Crosswalk | A.5.2A.5.4 | Stesso argomento: Ruoli e responsabilità |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Crosswalk | A.5.2A.5.4 | Stesso argomento: Ruoli e responsabilità |
| GV.RR-04 | Cybersecurity is included in human resources practices | Crosswalk | A.6.1A.6.4A.8.16 | Stesso argomento: Minaccia interna |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Crosswalk | A.5.19A.5.21 | Stesso argomento: Gestione del rischio della supply chain |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Crosswalk | A.5.19A.5.21 | Stesso argomento: Gestione del rischio della supply chain |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Crosswalk | A.5.19A.5.20A.5.22 | Stesso argomento: Gestione del rischio dei fornitori |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Crosswalk | A.5.19A.5.21 | Stesso argomento: Gestione del rischio della supply chain |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Crosswalk | A.5.19A.5.20A.5.22 | Stesso argomento: Gestione del rischio dei fornitori |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Crosswalk | A.5.19A.5.20A.5.22 | Stesso argomento: Gestione del rischio dei fornitori |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Crosswalk | A.5.19A.5.21 | Stesso argomento: Gestione del rischio della supply chain |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Crosswalk | A.5.9A.5.11A.7.14 | Stesso argomento: Gestione degli asset |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Crosswalk | A.5.9A.5.11A.7.14 | Stesso argomento: Gestione degli asset |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Crosswalk | A.8.20A.8.21A.8.22 | Stesso argomento: Firewall / Segmentazione di rete |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Crosswalk | A.5.9A.5.11A.5.23+1 | Stesso argomento: Gestione degli asset, Sicurezza del cloud |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Crosswalk | A.5.12A.5.13 | Stesso argomento: Classificazione dei dati |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Crosswalk | A.5.12A.5.13 | Stesso argomento: Classificazione dei dati |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Crosswalk | A.5.9A.5.11A.7.14 | Stesso argomento: Gestione degli asset |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Crosswalk | A.5.27Clause 10.1 | Stesso argomento: Lezioni apprese |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Crosswalk | A.5.24A.5.25A.5.26+2 | Stesso argomento: Gestione degli incidenti |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Crosswalk | A.8.8 | Stesso argomento: Gestione delle vulnerabilità |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Crosswalk | A.5.7 | Stesso argomento: Threat Intelligence |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Crosswalk | A.5.7Clause 6.1.2Clause 6.1.3 | Stesso argomento: Threat Intelligence, Risk Assessment |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Crosswalk | Clause 6.1.2Clause 6.1.3 | Stesso argomento: Risk Assessment |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Crosswalk | Clause 6.1.2Clause 6.1.3 | Stesso argomento: Risk Assessment |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Crosswalk | Clause 6.1.2Clause 6.1.3 | Stesso argomento: Risk Assessment |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Crosswalk | A.8.8 | Stesso argomento: Gestione delle vulnerabilità |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Crosswalk | A.5.19A.5.21 | Stesso argomento: Gestione del rischio della supply chain |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Crosswalk | A.5.19A.5.20A.5.22 | Stesso argomento: Gestione del rischio dei fornitori |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Crosswalk | A.5.15A.5.16A.5.18+1 | Stesso argomento: Controllo degli accessi |
| PR.AA-03 | Users, services, and hardware are authenticated | Crosswalk | A.5.15A.8.5A.8.22+1 | Stesso argomento: Zero Trust, Autenticazione a più fattori, Sicurezza delle API |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Crosswalk | A.5.15A.8.5A.8.22 | Stesso argomento: Zero Trust |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Crosswalk | A.5.15A.5.16A.5.18+7 | Stesso argomento: Controllo degli accessi, Zero Trust |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Crosswalk | A.7.1A.7.2A.7.3+6 | Stesso argomento: Sicurezza fisica |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Crosswalk | A.6.3Clause 7.3 | Stesso argomento: Consapevolezza e formazione |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Crosswalk | A.6.3Clause 7.3 | Stesso argomento: Consapevolezza e formazione |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Crosswalk | A.5.14A.8.10A.8.11+2 | Stesso argomento: Protezione dei dati |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Crosswalk | A.5.14A.8.10A.8.11+2 | Stesso argomento: Protezione dei dati, Sicurezza della posta elettronica |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Crosswalk | A.5.14A.8.10A.8.11+1 | Stesso argomento: Protezione dei dati |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Crosswalk | A.8.13 | Stesso argomento: Backup e ripristino |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Crosswalk | A.5.15A.5.23A.8.5+4 | Stesso argomento: Zero Trust, Sicurezza del cloud, Sicurezza delle API |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Crosswalk | A.7.1A.7.2A.7.3+6 | Stesso argomento: Sicurezza fisica |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Crosswalk | A.5.29A.5.30A.8.14 | Stesso argomento: Continuità operativa, Disaster Recovery |
| PR.PS-01 | Configuration management practices are established and applied | Crosswalk | A.5.23A.8.1A.8.9+1 | Stesso argomento: Sicurezza del cloud, Sicurezza mobile, Configurazione sicura |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Crosswalk | A.8.8 | Stesso argomento: Gestione delle patch |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Crosswalk | A.8.15A.8.17 | Stesso argomento: Logging e audit |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Crosswalk | A.8.19A.8.1A.8.7 | Stesso argomento: Protezione degli endpoint |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Crosswalk | A.8.5A.8.25A.8.26+2 | Stesso argomento: Sicurezza delle API, Sviluppo sicuro, Sicurezza web |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Crosswalk | A.5.26Clause 7.4 | Stesso argomento: Comunicazioni e ripristino |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Crosswalk | A.5.26Clause 7.4 | Stesso argomento: Comunicazioni e ripristino |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Crosswalk | A.5.29A.5.30 | Stesso argomento: Pianificazione del ripristino |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Crosswalk | A.5.29A.5.30A.8.14 | Stesso argomento: Pianificazione del ripristino, Disaster Recovery |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Crosswalk | A.8.13 | Stesso argomento: Backup e ripristino |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Crosswalk | A.5.29A.5.30A.8.14 | Stesso argomento: Continuità operativa |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Crosswalk | A.5.26A.5.30A.8.14+1 | Stesso argomento: Comunicazioni e ripristino, Disaster Recovery |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Crosswalk | A.5.27Clause 10.1 | Stesso argomento: Lezioni apprese |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Crosswalk | A.5.28 | Stesso argomento: Analisi forense |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Crosswalk | A.5.28 | Stesso argomento: Analisi forense |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Crosswalk | A.5.28 | Stesso argomento: Analisi forense |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Crosswalk | A.5.5A.6.8 | Stesso argomento: Segnalazione |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Crosswalk | Clause 7.4A.5.6 | Stesso argomento: Comunicazione |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Crosswalk | A.5.24A.5.25A.5.26 | Stesso argomento: Gestione degli incidenti |
| RS.MA-02 | Incident reports are triaged and validated | Crosswalk | A.5.24A.5.25A.5.26 | Stesso argomento: Gestione degli incidenti |
| RS.MA-03 | Incidents are categorized and prioritized | Crosswalk | A.5.24A.5.25A.5.26 | Stesso argomento: Gestione degli incidenti |
| RS.MA-04 | Incidents are escalated or elevated as needed | Crosswalk | A.5.24A.5.25A.5.26 | Stesso argomento: Gestione degli incidenti |
| RS.MI-01 | Incidents are contained | Crosswalk | A.5.26 | Stesso argomento: Mitigazione |
| RS.MI-02 | Incidents are eradicated | Crosswalk | A.5.26 | Stesso argomento: Mitigazione |
Per tema
Coperti da entrambi (50):
Politica di governanceConsapevolezza e formazioneGestione del rischioGestione del rischio della supply chainRuoli e responsabilitàConformitàGestione degli assetRisk AssessmentContesto aziendaleClassificazione dei datiGestione delle vulnerabilitàThreat IntelligenceControllo degli accessiAutenticazione a più fattoriCrittografiaProtezione dei datiBackup e ripristinoAccesso privilegiatoFirewall / Segmentazione di reteProtezione degli endpointGestione delle patchConfigurazione sicuraSviluppo sicuroSicurezza della posta elettronicaSicurezza webZero TrustSicurezza mobileSicurezza del cloudSicurezza DNSWAFDLPMonitoraggio continuoLogging e auditIntrusion DetectionRilevamento delle anomalieSIEM / SOCGestione degli incidentiAnalisi forenseComunicazioneMitigazioneSegnalazionePianificazione del ripristinoContinuità operativaLezioni appreseComunicazioni e ripristinoDisaster RecoverySicurezza delle APIMinaccia internaGestione del rischio dei fornitoriSicurezza fisica
Domande
Si può ottenere una certificazione NIST CSF?
No. Il NIST non offre certificazioni; le organizzazioni si autovalutano o commissionano una valutazione indipendente. ISO 27001 è l'opzione certificabile.
NIST CSF è più facile di ISO 27001?
È meno prescrittivo e non prevede audit, quindi è più facile iniziare. Non è più leggero nella sostanza: coprire ogni esito di CSF 2.0 richiede un programma maturo.
Da dove viene la mappatura?
Dai riferimenti informativi CSF 2.0 del NIST stesso e dalla mappatura NIST SP 800-53 → ISO 27001 del NIST. Vedi la metodologia.
ISO 27001 è più rigoroso di NIST CSF?
Sono rigorosi in modi diversi. ISO 27001 è sottoposto ad audit ed è certificabile e richiede un sistema di gestione; NIST CSF ha un ambito più ampio (soprattutto in governance e rischio della catena di fornitura dalla versione 2.0) ma non prevede audit. Il rigore dipende da come ciascuno viene implementato.
NIST CSF e ISO 27001 possono condividere un'unica valutazione del rischio?
Sì. Una valutazione del rischio che soddisfa i requisiti di ISO 27001 per un metodo documentato, responsabili e criteri di accettazione supporta anche gli esiti di gestione del rischio di CSF.
Il governo statunitense richiede ISO 27001?
In generale no. I sistemi federali statunitensi usano NIST SP 800-53 e il Risk Management Framework; CSF è ampiamente usato nel settore privato. ISO 27001 è richiesto più spesso dai clienti internazionali.
Devo acquistare ISO 27001 per usarlo?
Sì, lo standard è venduto da ISO e dagli enti nazionali di normazione. NIST CSF e i suoi riferimenti sono scaricabili gratuitamente.
Qual è la scelta migliore per una piccola impresa?
NIST CSF è gratuito e più facile da adottare; ISO 27001 vale la pena quando clienti o gare richiedono la certificazione. Molte piccole imprese iniziano con CSF e si certificano in seguito.
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Mappato = raccolto insieme in un argomento di ControlMapping o collegato direttamente. I crosswalk non dimostrano la conformità. Metodologia · Scarica i dati · Segnala un errore.