Comparação
NIST CSF 2.0 versus ISO 27001: resultados versus um sistema certificável
NIST Cybersecurity Framework 2.0 · ISO/IEC 27001:2022 · dados de 2026-10-27
Por Paul Gillet · Atualizado em 2026-10-17
O Cybersecurity Framework 2.0 do NIST descreve resultados: 106 subcategorias distribuídas em seis funções (Governar, Identificar, Proteger, Detectar, Responder, Recuperar). É voluntário e não certificável, e deliberadamente não diz como alcançar cada resultado. A ISO/IEC 27001 é uma norma certificável: exige um sistema de gestão de segurança da informação e uma escolha fundamentada de controles do Anexo A.
Como o NIST publica uma Correspondência de referências informativas do CSF 2.0 para a ISO 27001, os dois se relacionam de perto, e quase todo resultado do CSF tem controles ISO vinculados a ele. As organizações costumam usar o CSF como linguagem para o conselho e a ISO 27001 como framework operacional e de certificação por baixo dele.
Na passagem do CSF para a ISO, a lacuna está no sistema de gestão, e não nos resultados de segurança. A função Governar do CSF cobre estratégia, política, papéis e supervisão, mas a ISO prescreve mecanismos específicos que o CSF deixa em aberto: um escopo definido do SGSI, objetivos de segurança da informação, controle da informação documentada, programas de auditoria interna e análise crítica pela direção. Essas cláusulas aparecem como sem correspondência abaixo.
Na passagem da ISO para o CSF, a cobertura é essencialmente completa. O trabalho é de tradução: construir um Perfil Atual e um Perfil Alvo do CSF a partir do seu SGSI e expressar suas decisões de tratamento de riscos como resultados do CSF.
Em resumo
| NIST CSF 2.0 | ISO 27001 | |
|---|---|---|
| O que é | Um framework voluntário de resultados | Uma norma de sistema de gestão certificável |
| Estrutura | 6 funções, 22 categorias, 106 subcategorias | Cláusulas 4–10 mais 93 controles do Anexo A |
| Certificação | Nenhuma | Sim, por organismos de certificação acreditados |
| Custo de uso | Gratuito | A norma é vendida pela ISO; a certificação acrescenta honorários de auditoria |
| Melhor para | Estruturar um programa, relatórios ao conselho, autoavaliação | Comprovar segurança a clientes e reguladores internacionalmente |
| Mapeamento oficial | O NIST publica as referências CSF 2.0 ↔ ISO 27001 usadas aqui | — |
Usando os dois juntos
Os dois se complementam bem: o CSF 2.0 oferece um vocabulário de resultados que conselhos e reguladores compreendem, e a ISO 27001 oferece o sistema de gestão certificável que comprova que você executa o programa. Um padrão comum é reportar a postura por funções do CSF enquanto se certifica o SGSI pela ISO 27001.
Como o NIST vincula cada subcategoria do CSF a cláusulas da ISO e controles do Anexo A, você pode manter um único conjunto de controles e reportá-lo das duas formas. As tabelas de requisitos abaixo mostram onde as referências publicadas os relacionam e onde um resultado do CSF não tem equivalente na ISO em nossos dados.
O que mudou no CSF 2.0
O CSF 2.0 (fevereiro de 2024) acrescentou uma sexta função, Governar, que cobre contexto organizacional, estratégia de risco, papéis, política, supervisão e risco na cadeia de suprimentos. Esses resultados se alinham de perto às cláusulas 4–6 e 9 da ISO 27001, razão pela qual os dois agora se sobrepõem mais do que o CSF 1.1 e a ISO se sobrepunham.
Quem usa cada um
- O NIST CSF 2.0 é usado por organizações de todos os portes e setores para estruturar um programa, definir metas e reportar à liderança. É a linguagem comum da infraestrutura crítica dos EUA, de muitos reguladores e de seguradoras cibernéticas, e é gratuito.
- A ISO 27001 é usada quando uma organização precisa comprovar sua segurança a terceiros com um certificado: fornecedores de software e serviços que vendem para grandes empresas, fornecedores de cadeias de suprimentos reguladas e empresas que disputam contratos do setor público, especialmente fora dos EUA.
- Muitas organizações usam os dois: o CSF para executar e reportar, a ISO 27001 para certificar.
Custo e esforço
Adotar o CSF não tem custo e não envolve auditoria, então o custo é o esforço interno de avaliar seu Perfil Atual, definir um Perfil Alvo e fechar a lacuna. A ISO 27001 acrescenta o custo da própria norma, os honorários de auditoria do organismo de certificação e, sobretudo, o esforço interno de construir e operar o sistema de gestão: avaliação de riscos, Declaração de Aplicabilidade, auditoria interna e análise crítica pela direção. Para uma organização que já usa bem o CSF, a maior parte do trabalho técnico para a ISO já está feita; o esforço restante é principalmente o sistema de gestão e sua documentação.
Da certificação pelo CSF para a ISO 27001
- Mapeie seu perfil CSF para a ISO. As referências do próprio NIST vinculam as subcategorias do CSF 2.0 a cláusulas da ISO e controles do Anexo A; a análise de lacunas lista cada requisito da ISO com sua correspondência no CSF.
- Defina o escopo do SGSI e transforme seu Perfil Alvo do CSF em objetivos de segurança da informação.
- Formalize a avaliação de riscos conforme os requisitos da ISO (método documentado, responsáveis, critérios de aceitação) e elabore a Declaração de Aplicabilidade.
- Acrescente os processos do sistema de gestão: controle de documentos, auditoria interna, análise crítica pela direção e ação corretiva.
- Opere o SGSI por alguns meses e, em seguida, agende as auditorias de Estágio 1 e Estágio 2.
Muitas organizações com um programa de CSF maduro chegam à certificação em seis a nove meses.
Exemplo prático: um prestador regional de serviços de saúde
Um grupo regional de saúde usa o NIST CSF há três anos para estruturar seu programa e reportar ao conselho. Um novo contrato com parceiro exige a certificação ISO 27001 para o serviço compartilhado de portal do paciente.
Seu Perfil Atual do CSF mostra resultados fortes de Proteger e Detectar, por isso a maior parte dos controles técnicos do Anexo A já existe. A análise de lacunas destaca as cláusulas do sistema de gestão, uma Declaração de Aplicabilidade, acordos formais com fornecedores e segurança física para a sala de dados. O grupo define o escopo do SGSI para o serviço de portal do paciente e a infraestrutura que o sustenta, reaproveita seu registro de riscos do CSF com um método conforme a ISO e obtém a certificação em cerca de oito meses. Continua reportando ao conselho em termos do CSF e ao organismo de certificação em termos da ISO, a partir dos mesmos controles.
Erros comuns
- Mapear para o CSF 1.1. Muitas planilhas antigas mapeiam a ISO 27001:2013 para o CSF 1.1; as duas versões já mudaram, e os vínculos com subcategorias retiradas não levam a lugar nenhum.
- Tratar um perfil CSF como um SGSI. O CSF não exige auditoria interna, análise crítica pela direção nem controle de documentos; os auditores da ISO exigirão.
- Certificar um escopo restrito demais para economizar esforço e descobrir depois que o certificado não cobre o que os clientes contratam.
- Reportar duas visões diferentes. Relatórios ao conselho em termos do CSF e evidências de auditoria em termos da ISO devem vir dos mesmos controles, ou então se distanciam.
Principais conclusões
- Se você precisa de um certificado, a ISO 27001 o fornece; o CSF nunca fornecerá um.
- CSF → ISO: planeje a mecânica do SGSI (escopo, objetivos, informação documentada, auditoria interna, análise crítica pela direção).
- ISO → CSF: produza perfis CSF a partir da sua Declaração de Aplicabilidade (SoA) existente; é necessário pouco trabalho novo de controles.
Descarregar esta comparação (CSV) Abrir em análise de lacunas →
Tem NIST CSF 2.0 → precisa de ISO 27001
123 req. 79 mapeados · · 10 sem mapeamento Abrir na visão de lacunas →Dos 123 requisitos de ISO/IEC 27001:2022, 79 mapeiam para algo em NIST CSF 2.0, 34 são apenas vagamente relacionados e 10 não têm mapeamento em nossos dados.
Provável trabalho novo: requisitos de ISO 27001 sem mapeamento para NIST CSF 2.0 (10)
| ISO 27001 | Requisito | Correspondência | NIST CSF 2.0 | Evidências |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | Sem mapeamento em nossos dados | — | Sem mapeamento para NIST CSF 2.0 em nossos dados. |
| Clause 5.1 | Leadership and commitment | Sem mapeamento em nossos dados | — | Sem mapeamento para NIST CSF 2.0 em nossos dados. |
| Clause 6.2 | Information security objectives and planning to achieve them | Sem mapeamento em nossos dados | — | Sem mapeamento para NIST CSF 2.0 em nossos dados. |
| Clause 6.3 | Planning of changes | Sem mapeamento em nossos dados | — | Sem mapeamento para NIST CSF 2.0 em nossos dados. |
| Clause 7.5.1 | General | Sem mapeamento em nossos dados | — | Sem mapeamento para NIST CSF 2.0 em nossos dados. |
| Clause 7.5.2 | Creating and updating | Sem mapeamento em nossos dados | — | Sem mapeamento para NIST CSF 2.0 em nossos dados. |
| Clause 7.5.3 | Control of documented information | Sem mapeamento em nossos dados | — | Sem mapeamento para NIST CSF 2.0 em nossos dados. |
| Clause 9.2.1 | General | Sem mapeamento em nossos dados | — | Sem mapeamento para NIST CSF 2.0 em nossos dados. |
| Clause 9.2.2 | Internal audit programme | Sem mapeamento em nossos dados | — | Sem mapeamento para NIST CSF 2.0 em nossos dados. |
| Clause 10.2 | Nonconformity and corrective action | Sem mapeamento em nossos dados | — | Sem mapeamento para NIST CSF 2.0 em nossos dados. |
Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (34)
| ISO 27001 | Requisito | Correspondência | NIST CSF 2.0 | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.3 | Segregation of duties | GV.OC-05GV.RR-02PR.AA-05+3 | Compartilha apenas CSF GV.OC-05, GV.RR-02, PR.AA-05: relacionado, não um mapeamento | |
| A.5.8 | Information security in project management | GV.OC-05ID.AM-08 | Compartilha apenas CSF GV.OC-05, ID.AM-08: relacionado, não um mapeamento | |
| A.5.10 | Acceptable use of information and other associated assets | PR.DS-01PR.DS-02PR.DS-10 | Compartilha apenas CSF PR.DS-01, PR.DS-02, PR.DS-10: relacionado, não um mapeamento | |
| A.5.17 | Authentication information | PR.AA-03PR.AA-05 | Compartilha apenas CSF PR.AA-03, PR.AA-05: relacionado, não um mapeamento | |
| A.5.32 | Intellectual property rights | GV.PO-02 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| A.5.33 | Protection of records | PR.DS-01 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.5.34 | Privacy and protection of PII | GV.PO-02 | Compartilha apenas CSF GV.PO-02: relacionado, não um mapeamento | |
| A.5.35 | Independent review of information security | GV.OV-02 | Compartilha apenas CSF GV.OV-02: relacionado, não um mapeamento | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Compartilha apenas CSF GV.PO-01, GV.RR-04, PR.DS-01: relacionado, não um mapeamento | |
| A.6.5 | Responsibilities after termination or change of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Compartilha apenas CSF GV.PO-01, GV.RR-04, PR.DS-01: relacionado, não um mapeamento | |
| A.6.6 | Confidentiality or non-disclosure agreements | GV.RR-03GV.RR-04 | Compartilha apenas CSF GV.RR-03, GV.RR-04: relacionado, não um mapeamento | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | PR.DS-01PR.IR-02 | Compartilha apenas CSF PR.DS-01, PR.IR-02: relacionado, não um mapeamento | |
| A.7.9 | Security of assets off-premises | PR.DS-01 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.7.10 | Storage media | ID.AM-08PR.DS-01 | Compartilha apenas CSF ID.AM-08, PR.DS-01: relacionado, não um mapeamento | |
| A.7.13 | Equipment maintenance | ID.AM-08PR.IR-02 | Compartilha apenas CSF ID.AM-08, PR.IR-02: relacionado, não um mapeamento | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | PR.AA-05PR.DS-01PR.DS-02+1 | Compartilha apenas CSF PR.AA-05, PR.DS-01, PR.DS-02: relacionado, não um mapeamento | |
| A.8.6 | Capacity management | DE.CM-09PR.IR-04 | Compartilha apenas CSF DE.CM-09, PR.IR-04: relacionado, não um mapeamento | |
| A.8.23 | Web filtering | PR.IR-01 | Compartilha apenas CSF PR.IR-01: relacionado, não um mapeamento | |
| A.8.27 | Secure system architecture and engineering principles | PR.IR-03 | Compartilha apenas CSF PR.IR-03: relacionado, não um mapeamento | |
| A.8.30 | Outsourced development | GV.OV-03 | Compartilha apenas CSF GV.OV-03: relacionado, não um mapeamento | |
| A.8.31 | Separation of development, test and production environments | PR.PS-06 | Compartilha apenas CSF PR.PS-06: relacionado, não um mapeamento | |
| A.8.32 | Change management | GV.OV-03ID.RA-07 | Compartilha apenas CSF GV.OV-03, ID.RA-07: relacionado, não um mapeamento | |
| A.8.33 | Test information | PR.DS-01 | Compartilha apenas CSF PR.DS-01: relacionado, não um mapeamento | |
| A.8.34 | Protection of information systems during audit testing | GV.OV-03 | Compartilha apenas CSF GV.OV-03: relacionado, não um mapeamento | |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.4 | Information security management system | GV.OC-02 | Compartilha apenas CSF GV.OC-02: relacionado, não um mapeamento | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | GV.SC-02 | Compartilha apenas CSF GV.SC-02: relacionado, não um mapeamento | |
| Clause 7.1 | Resources | GV.RR-03 | Compartilha apenas CSF GV.RR-03: relacionado, não um mapeamento | |
| Clause 7.2 | Competence | GV.RR-01GV.RR-02GV.RR-03 | Compartilha apenas CSF GV.RR-01, GV.RR-02, GV.RR-03: relacionado, não um mapeamento | |
| Clause 8.1 | Operational planning and control | GV.OC-01GV.OC-02GV.SC-01+2 | Compartilha apenas CSF GV.OC-01, GV.OC-02, GV.SC-01: relacionado, não um mapeamento | |
| Clause 8.2 | Information security risk assessment | GV.OC-01GV.OC-02 | Compartilha apenas CSF GV.OC-01, GV.OC-02: relacionado, não um mapeamento | |
| Clause 8.3 | Information security risk treatment | GV.OC-01GV.OC-02 | Compartilha apenas CSF GV.OC-01, GV.OC-02: relacionado, não um mapeamento | |
| Clause 9.3.1 | General | PR.PS-01 | Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento | |
| Clause 9.3.2 | Management review inputs | PR.PS-01 | Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento | |
| Clause 9.3.3 | Management review results | PR.PS-01 | Compartilha apenas CSF PR.PS-01: relacionado, não um mapeamento | |
Mapeado (79)
| ISO 27001 | Requisito | Correspondência | NIST CSF 2.0 | Evidências |
|---|---|---|---|---|
| A.5 Organizational controls · 29 | ||||
| A.5.1 | Policies for information security | Correspondência | GV.PO-01GV.PO-02 | Mesmo tópico: Política de governança |
| A.5.2 | Information security roles and responsibilities | Correspondência | GV.RR-01GV.RR-02GV.RR-03 | Mesmo tópico: Funções e responsabilidades |
| A.5.4 | Management responsibilities | Correspondência | GV.RR-01GV.RR-02GV.RR-03 | Mesmo tópico: Funções e responsabilidades |
| A.5.5 | Contact with authorities | Correspondência | RS.CO-02 | Mesmo tópico: Notificação |
| A.5.6 | Contact with special interest groups | Editorial | RS.CO-03 | Mesmo tópico: Comunicação (escolha do editor) |
| A.5.7 | Threat intelligence | Correspondência | DE.AE-07ID.RA-02ID.RA-03 | Mesmo tópico: Inteligência de Ameaças |
| A.5.9 | Inventory of information and other associated assets | Correspondência | ID.AM-01ID.AM-02ID.AM-04+1 | Mesmo tópico: Gestão de Ativos |
| A.5.11 | Return of assets | Correspondência | ID.AM-01ID.AM-02ID.AM-04+1 | Mesmo tópico: Gestão de Ativos |
| A.5.12 | Classification of information | Correspondência | ID.AM-05ID.AM-07 | Mesmo tópico: Classificação de Dados |
| A.5.13 | Labelling of information | Correspondência | ID.AM-05ID.AM-07 | Mesmo tópico: Classificação de Dados |
| A.5.14 | Information transfer | Correspondência | DE.CM-09PR.DS-01PR.DS-02+1 | Mesmo tópico: Segurança de e-mail, Proteção de Dados |
| A.5.15 | Access control | Correspondência | PR.AA-01PR.AA-03PR.AA-04+2 | Mesmo tópico: Controle de acesso, Confiança Zero |
| A.5.16 | Identity management | Correspondência | PR.AA-01PR.AA-05 | Mesmo tópico: Controle de acesso |
| A.5.18 | Access rights | Correspondência | PR.AA-01PR.AA-05 | Mesmo tópico: Controle de acesso |
| A.5.19 | Information security in supplier relationships | Correspondência | DE.CM-06GV.SC-01GV.SC-03+7 | Mesmo tópico: Gestão de Risco de Fornecedores, Risco na cadeia de suprimentos |
| A.5.20 | Addressing information security within supplier agreements | Correspondência | DE.CM-06GV.SC-04GV.SC-06+2 | Mesmo tópico: Gestão de Risco de Fornecedores |
| A.5.21 | Managing information security in the ICT supply chain | Correspondência | GV.SC-01GV.SC-03GV.SC-05+2 | Mesmo tópico: Risco na cadeia de suprimentos |
| A.5.22 | Monitoring, review and change management of supplier services | Correspondência | DE.CM-06GV.SC-04GV.SC-06+2 | Mesmo tópico: Gestão de Risco de Fornecedores |
| A.5.23 | Information security for use of cloud services | Correspondência | ID.AM-04PR.IR-01PR.PS-01 | Mesmo tópico: Segurança em Nuvem |
| A.5.24 | Information security incident management planning and preparation | Correspondência | ID.IM-04RS.MA-01RS.MA-02+2 | Mesmo tópico: Resposta a Incidentes |
| A.5.25 | Assessment and decision on information security events | Correspondência | DE.AE-03DE.AE-06DE.AE-08+5 | Mesmo tópico: SIEM / SOC |
| A.5.26 | Response to information security incidents | Correspondência | ID.IM-04RC.CO-03RC.CO-04+7 | Mesmo tópico: Resposta a Incidentes, Comunicação e restauração |
| A.5.27 | Learning from information security incidents | Correspondência | ID.IM-03RC.RP-06 | Mesmo tópico: Lições Aprendidas |
| A.5.28 | Collection of evidence | Correspondência | RS.AN-03RS.AN-06RS.AN-07 | Mesmo tópico: Perícia forense |
| A.5.29 | Information security during disruption | Correspondência | GV.OC-04ID.IM-04PR.IR-03+3 | Mesmo tópico: Continuidade de Negócios, Planejamento de Recuperação |
| A.5.30 | ICT readiness for business continuity | Correspondência | GV.OC-04ID.IM-04PR.IR-03+4 | Mesmo tópico: Continuidade de Negócios, Planejamento de Recuperação, Recuperação de desastres |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Correspondência | GV.OC-03GV.OV-03 | Mesmo tópico: Conformidade |
| A.5.36 | Compliance with policies, rules and standards for information security | Editorial | GV.OC-03GV.OV-03 | Mesmo tópico: Conformidade (escolha do editor) |
| A.5.37 | Documented operating procedures | Correspondência | GV.PO-01GV.PO-02 | Mesmo tópico: Política de governança |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Correspondência | DE.CM-03GV.RR-04 | Mesmo tópico: Ameaça interna |
| A.6.3 | Information security awareness, education and training | Correspondência | PR.AT-01PR.AT-02 | Mesmo tópico: Conscientização e treinamento |
| A.6.4 | Disciplinary process | Correspondência | DE.CM-03GV.RR-04 | Mesmo tópico: Ameaça interna |
| A.6.7 | Remote working | Editorial | PR.AA-05PR.PS-01 | Mesmo tópico: Segurança Móvel (escolha do editor) |
| A.6.8 | Information security event reporting | Correspondência | RS.CO-02 | Mesmo tópico: Notificação |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Correspondência | DE.CM-02PR.AA-06PR.IR-02 | Mesmo tópico: Segurança Física |
| A.7.2 | Physical entry | Correspondência | DE.CM-02PR.AA-06PR.IR-02 | Mesmo tópico: Segurança Física |
| A.7.3 | Securing offices, rooms and facilities | Correspondência | DE.CM-02PR.AA-06PR.IR-02 | Mesmo tópico: Segurança Física |
| A.7.4 | Physical security monitoring | Correspondência | DE.CM-02PR.AA-06PR.IR-02 | Mesmo tópico: Segurança Física |
| A.7.5 | Protecting against physical and environmental threats | Correspondência | DE.CM-02PR.AA-06PR.IR-02 | Mesmo tópico: Segurança Física |
| A.7.6 | Working in secure areas | Correspondência | DE.CM-02PR.AA-06PR.IR-02 | Mesmo tópico: Segurança Física |
| A.7.8 | Equipment siting and protection | Correspondência | DE.CM-02PR.AA-06PR.IR-02 | Mesmo tópico: Segurança Física |
| A.7.11 | Supporting utilities | Correspondência | DE.CM-02PR.AA-06PR.IR-02 | Mesmo tópico: Segurança Física |
| A.7.12 | Cabling security | Correspondência | DE.CM-02PR.AA-06PR.IR-02 | Mesmo tópico: Segurança Física |
| A.7.14 | Secure disposal or re-use of equipment | Correspondência | ID.AM-01ID.AM-02ID.AM-04+1 | Mesmo tópico: Gestão de Ativos |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Correspondência | PR.AA-05PR.PS-01DE.CM-09+1 | Mesmo tópico: Segurança Móvel, Proteção de endpoints |
| A.8.2 | Privileged access rights | Correspondência | PR.AA-05 | Mesmo tópico: Acesso privilegiado |
| A.8.3 | Information access restriction | Correspondência | PR.AA-01PR.AA-05 | Mesmo tópico: Controle de acesso |
| A.8.5 | Secure authentication | Correspondência | PR.AA-03PR.AA-04PR.AA-05+2 | Mesmo tópico: Autenticação multifator, Confiança Zero, Segurança de APIs |
| A.8.7 | Protection against malware | Editorial | DE.CM-09PR.PS-05 | Mesmo tópico: Proteção de endpoints (escolha do editor) |
| A.8.8 | Management of technical vulnerabilities | Correspondência | ID.RA-01ID.RA-08PR.PS-02 | Mesmo tópico: Gestão de Vulnerabilidades, Gestão de Patches |
| A.8.9 | Configuration management | Correspondência | PR.PS-01 | Mesmo tópico: Configuração Segura |
| A.8.10 | Information deletion | Correspondência | PR.DS-01PR.DS-02PR.DS-10 | Mesmo tópico: Proteção de Dados |
| A.8.11 | Data masking | Correspondência | PR.DS-01PR.DS-02PR.DS-10 | Mesmo tópico: Proteção de Dados |
| A.8.12 | Data leakage prevention | Correspondência | PR.DS-01PR.DS-02PR.DS-10 | Mesmo tópico: DLP |
| A.8.13 | Information backup | Correspondência | PR.DS-11RC.RP-03 | Mesmo tópico: Backup e recuperação |
| A.8.14 | Redundancy of information processing facilities | Correspondência | GV.OC-04PR.IR-03RC.RP-02+2 | Mesmo tópico: Continuidade de Negócios, Recuperação de desastres |
| A.8.15 | Logging | Correspondência | DE.AE-03PR.PS-04 | Mesmo tópico: Registro e Auditoria |
| A.8.16 | Monitoring activities | Correspondência | DE.AE-02DE.AE-03DE.AE-04+6 | Mesmo tópico: Detecção de intrusão, Detecção de Anomalias, SIEM / SOC |
| A.8.17 | Clock synchronization | Correspondência | DE.AE-03PR.PS-04 | Mesmo tópico: Registro e Auditoria |
| A.8.18 | Use of privileged utility programs | Correspondência | PR.AA-05 | Mesmo tópico: Acesso privilegiado |
| A.8.19 | Installation of software on operational systems | Correspondência | DE.CM-09PR.PS-05 | Mesmo tópico: Proteção de endpoints |
| A.8.20 | Networks security | Correspondência | DE.CM-01ID.AM-03PR.IR-01 | Mesmo tópico: Segurança de DNS, WAF, Firewall / Segmentação de rede |
| A.8.21 | Security of network services | Correspondência | DE.CM-01ID.AM-03PR.IR-01 | Mesmo tópico: Segurança de DNS, Firewall / Segmentação de rede |
| A.8.22 | Segregation of networks | Correspondência | ID.AM-03PR.AA-03PR.AA-04+2 | Mesmo tópico: Firewall / Segmentação de rede, Confiança Zero |
| A.8.24 | Use of cryptography | Correspondência | PR.DS-01PR.DS-02 | Mesmo tópico: Criptografia |
| A.8.25 | Secure development life cycle | Correspondência | PR.PS-06 | Mesmo tópico: Desenvolvimento Seguro |
| A.8.26 | Application security requirements | Correspondência | PR.AA-03PR.IR-01PR.PS-06 | Mesmo tópico: Segurança de APIs, Segurança Web, Desenvolvimento Seguro |
| A.8.28 | Secure coding | Correspondência | PR.PS-06 | Mesmo tópico: Desenvolvimento Seguro |
| A.8.29 | Security testing in development and acceptance | Correspondência | PR.PS-06 | Mesmo tópico: Desenvolvimento Seguro |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.1 | Understanding the organization and its context | Correspondência | GV.OC-01GV.OC-04GV.OC-05 | Mesmo tópico: Ambiente de Negócios |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Correspondência | GV.OC-01GV.OC-04GV.OC-05 | Mesmo tópico: Ambiente de Negócios |
| Clause 5.2 | Policy | Correspondência | GV.PO-01GV.PO-02 | Mesmo tópico: Política de governança |
| Clause 6.1.1 | General | Correspondência | GV.RM-01GV.RM-02GV.RM-03+1 | Mesmo tópico: Gestão de Riscos |
| Clause 6.1.2 | Information security risk assessment | Correspondência | ID.RA-03ID.RA-04ID.RA-05+1 | Mesmo tópico: Avaliação de riscos |
| Clause 6.1.3 | Information security risk treatment | Correspondência | GV.RM-01GV.RM-02GV.RM-03+5 | Mesmo tópico: Gestão de Riscos |
| Clause 7.3 | Awareness | Correspondência | PR.AT-01PR.AT-02 | Mesmo tópico: Conscientização e treinamento |
| Clause 7.4 | Communication | Correspondência | RC.CO-03RC.CO-04RC.RP-05+1 | Mesmo tópico: Comunicação e restauração |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Correspondência | GV.OC-03GV.OV-03 | Mesmo tópico: Conformidade |
| Clause 10.1 | Continual improvement | Editorial | ID.IM-03RC.RP-06 | Mesmo tópico: Lições Aprendidas (escolha do editor) |
Tem ISO 27001 → precisa de NIST CSF 2.0
106 req. 89 mapeados · · 2 sem mapeamento Abrir na visão de lacunas →Dos 106 requisitos de NIST Cybersecurity Framework 2.0, 89 mapeiam para algo em ISO 27001, 15 são apenas vagamente relacionados e 2 não têm mapeamento em nossos dados.
Provável trabalho novo: requisitos de NIST CSF 2.0 sem mapeamento para ISO 27001 (2)
| NIST CSF 2.0 | Requisito | Correspondência | ISO 27001 | Evidências |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Sem mapeamento em nossos dados | — | Sem mapeamento para ISO 27001 em nossos dados. |
Verifique estes: apenas vagamente relacionados (um resultado CSF comum, não um mapeamento) (15)
| NIST CSF 2.0 | Requisito | Correspondência | ISO 27001 | Evidências |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Clause 4.1Clause 4.2Clause 4.4+4 | Compartilha apenas CSF GV.OC-02: relacionado, não um mapeamento | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | A.5.1A.5.5A.5.6+3 | Compartilha apenas CSF GV.OV-01: relacionado, não um mapeamento | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | A.5.1A.5.19A.5.27+3 | Compartilha apenas CSF GV.OV-02: relacionado, não um mapeamento | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | A.5.1Clause 6.1.3 | Compartilha apenas CSF GV.RM-04: relacionado, não um mapeamento | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | A.5.1A.5.19Clause 6.1.1+1 | Compartilha apenas CSF GV.RM-05: relacionado, não um mapeamento | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Clause 6.1.1 | Compartilha apenas CSF GV.RM-07: relacionado, não um mapeamento | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | A.5.2A.5.4Clause 5.3 | Compartilha apenas CSF GV.SC-02: relacionado, não um mapeamento | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | A.5.26 | Compartilha apenas CSF GV.SC-08: relacionado, não um mapeamento | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | A.5.19A.5.20A.5.21+4 | Compartilha apenas CSF GV.SC-10: relacionado, não um mapeamento | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | A.8.32Clause 6.1.3 | Compartilha apenas CSF ID.RA-07: relacionado, não um mapeamento | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | A.8.2A.8.3A.8.5 | Compartilha apenas CSF PR.AA-02: relacionado, não um mapeamento | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | A.8.6 | Compartilha apenas CSF PR.IR-04: relacionado, não um mapeamento | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | A.5.9A.8.1 | Compartilha apenas CSF PR.PS-03: relacionado, não um mapeamento | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | A.5.25 | Compartilha apenas CSF RS.AN-08: relacionado, não um mapeamento | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | A.5.25 | Compartilha apenas CSF RS.MA-05: relacionado, não um mapeamento | |
Mapeado (89)
| NIST CSF 2.0 | Requisito | Correspondência | ISO 27001 | Evidências |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Correspondência | A.8.16 | Mesmo tópico: Detecção de intrusão, Detecção de Anomalias |
| DE.AE-03 | Information is correlated from multiple sources | Correspondência | A.5.25A.8.15A.8.16+1 | Mesmo tópico: SIEM / SOC, Registro e Auditoria |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Correspondência | A.8.16 | Mesmo tópico: Detecção de Anomalias |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Correspondência | A.5.25A.8.16 | Mesmo tópico: SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | Correspondência | A.5.7 | Mesmo tópico: Inteligência de Ameaças |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Correspondência | A.5.25A.8.16 | Mesmo tópico: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Correspondência | A.8.16A.8.20A.8.21 | Mesmo tópico: Monit. contínuo, Detecção de intrusão, Segurança de DNS, WAF |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Correspondência | A.7.1A.7.2A.7.3+6 | Mesmo tópico: Segurança Física |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Correspondência | A.6.1A.6.4A.8.16 | Mesmo tópico: Ameaça interna, Monit. contínuo |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Correspondência | A.5.19A.5.20A.5.22 | Mesmo tópico: Gestão de Risco de Fornecedores |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Correspondência | A.5.14A.8.16A.8.19+2 | Mesmo tópico: Segurança de e-mail, Monit. contínuo, Detecção de Anomalias, Proteção de endpoints |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Correspondência | Clause 4.1Clause 4.2 | Mesmo tópico: Ambiente de Negócios |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Correspondência | A.5.31Clause 9.1A.5.36 | Mesmo tópico: Conformidade |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Correspondência | A.5.29A.5.30A.8.14+2 | Mesmo tópico: Continuidade de Negócios |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | Correspondência | Clause 4.1Clause 4.2 | Mesmo tópico: Ambiente de Negócios |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Correspondência | A.5.31Clause 9.1A.5.36 | Mesmo tópico: Conformidade |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Correspondência | A.5.1A.5.37Clause 5.2 | Mesmo tópico: Política de governança |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Correspondência | A.5.1A.5.37Clause 5.2 | Mesmo tópico: Política de governança |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Correspondência | Clause 6.1.1Clause 6.1.3 | Mesmo tópico: Gestão de Riscos |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Correspondência | Clause 6.1.1Clause 6.1.3 | Mesmo tópico: Gestão de Riscos |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Correspondência | Clause 6.1.1Clause 6.1.3 | Mesmo tópico: Gestão de Riscos |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Correspondência | Clause 6.1.1Clause 6.1.3 | Mesmo tópico: Gestão de Riscos |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Correspondência | A.5.2A.5.4 | Mesmo tópico: Funções e responsabilidades |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Correspondência | A.5.2A.5.4 | Mesmo tópico: Funções e responsabilidades |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Correspondência | A.5.2A.5.4 | Mesmo tópico: Funções e responsabilidades |
| GV.RR-04 | Cybersecurity is included in human resources practices | Correspondência | A.6.1A.6.4A.8.16 | Mesmo tópico: Ameaça interna |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Correspondência | A.5.19A.5.21 | Mesmo tópico: Risco na cadeia de suprimentos |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Correspondência | A.5.19A.5.21 | Mesmo tópico: Risco na cadeia de suprimentos |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Correspondência | A.5.19A.5.20A.5.22 | Mesmo tópico: Gestão de Risco de Fornecedores |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Correspondência | A.5.19A.5.21 | Mesmo tópico: Risco na cadeia de suprimentos |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Correspondência | A.5.19A.5.20A.5.22 | Mesmo tópico: Gestão de Risco de Fornecedores |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Correspondência | A.5.19A.5.20A.5.22 | Mesmo tópico: Gestão de Risco de Fornecedores |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Correspondência | A.5.19A.5.21 | Mesmo tópico: Risco na cadeia de suprimentos |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Correspondência | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Correspondência | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Correspondência | A.8.20A.8.21A.8.22 | Mesmo tópico: Firewall / Segmentação de rede |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Correspondência | A.5.9A.5.11A.5.23+1 | Mesmo tópico: Gestão de Ativos, Segurança em Nuvem |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Correspondência | A.5.12A.5.13 | Mesmo tópico: Classificação de Dados |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Correspondência | A.5.12A.5.13 | Mesmo tópico: Classificação de Dados |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Correspondência | A.5.9A.5.11A.7.14 | Mesmo tópico: Gestão de Ativos |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Correspondência | A.5.27Clause 10.1 | Mesmo tópico: Lições Aprendidas |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Correspondência | A.5.24A.5.25A.5.26+2 | Mesmo tópico: Resposta a Incidentes |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Correspondência | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Correspondência | A.5.7 | Mesmo tópico: Inteligência de Ameaças |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Correspondência | A.5.7Clause 6.1.2Clause 6.1.3 | Mesmo tópico: Inteligência de Ameaças, Avaliação de riscos |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Correspondência | Clause 6.1.2Clause 6.1.3 | Mesmo tópico: Avaliação de riscos |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Correspondência | Clause 6.1.2Clause 6.1.3 | Mesmo tópico: Avaliação de riscos |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Correspondência | Clause 6.1.2Clause 6.1.3 | Mesmo tópico: Avaliação de riscos |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Correspondência | A.8.8 | Mesmo tópico: Gestão de Vulnerabilidades |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Correspondência | A.5.19A.5.21 | Mesmo tópico: Risco na cadeia de suprimentos |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Correspondência | A.5.19A.5.20A.5.22 | Mesmo tópico: Gestão de Risco de Fornecedores |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Correspondência | A.5.15A.5.16A.5.18+1 | Mesmo tópico: Controle de acesso |
| PR.AA-03 | Users, services, and hardware are authenticated | Correspondência | A.5.15A.8.5A.8.22+1 | Mesmo tópico: Confiança Zero, Autenticação multifator, Segurança de APIs |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Correspondência | A.5.15A.8.5A.8.22 | Mesmo tópico: Confiança Zero |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Correspondência | A.5.15A.5.16A.5.18+7 | Mesmo tópico: Controle de acesso, Confiança Zero |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Correspondência | A.7.1A.7.2A.7.3+6 | Mesmo tópico: Segurança Física |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Correspondência | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Correspondência | A.6.3Clause 7.3 | Mesmo tópico: Conscientização e treinamento |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Correspondência | A.5.14A.8.10A.8.11+2 | Mesmo tópico: Proteção de Dados |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Correspondência | A.5.14A.8.10A.8.11+2 | Mesmo tópico: Proteção de Dados, Segurança de e-mail |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Correspondência | A.5.14A.8.10A.8.11+1 | Mesmo tópico: Proteção de Dados |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Correspondência | A.8.13 | Mesmo tópico: Backup e recuperação |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Correspondência | A.5.15A.5.23A.8.5+4 | Mesmo tópico: Confiança Zero, Segurança em Nuvem, Segurança de APIs |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Correspondência | A.7.1A.7.2A.7.3+6 | Mesmo tópico: Segurança Física |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Correspondência | A.5.29A.5.30A.8.14 | Mesmo tópico: Continuidade de Negócios, Recuperação de desastres |
| PR.PS-01 | Configuration management practices are established and applied | Correspondência | A.5.23A.8.1A.8.9+1 | Mesmo tópico: Segurança em Nuvem, Segurança Móvel, Configuração Segura |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Correspondência | A.8.8 | Mesmo tópico: Gestão de Patches |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Correspondência | A.8.15A.8.17 | Mesmo tópico: Registro e Auditoria |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Correspondência | A.8.19A.8.1A.8.7 | Mesmo tópico: Proteção de endpoints |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Correspondência | A.8.5A.8.25A.8.26+2 | Mesmo tópico: Segurança de APIs, Desenvolvimento Seguro, Segurança Web |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Correspondência | A.5.26Clause 7.4 | Mesmo tópico: Comunicação e restauração |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Correspondência | A.5.26Clause 7.4 | Mesmo tópico: Comunicação e restauração |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Correspondência | A.5.29A.5.30 | Mesmo tópico: Planejamento de Recuperação |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Correspondência | A.5.29A.5.30A.8.14 | Mesmo tópico: Planejamento de Recuperação, Recuperação de desastres |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Correspondência | A.8.13 | Mesmo tópico: Backup e recuperação |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Correspondência | A.5.29A.5.30A.8.14 | Mesmo tópico: Continuidade de Negócios |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Correspondência | A.5.26A.5.30A.8.14+1 | Mesmo tópico: Comunicação e restauração, Recuperação de desastres |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Correspondência | A.5.27Clause 10.1 | Mesmo tópico: Lições Aprendidas |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Correspondência | A.5.28 | Mesmo tópico: Perícia forense |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Correspondência | A.5.28 | Mesmo tópico: Perícia forense |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Correspondência | A.5.28 | Mesmo tópico: Perícia forense |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Correspondência | A.5.5A.6.8 | Mesmo tópico: Notificação |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Correspondência | Clause 7.4A.5.6 | Mesmo tópico: Comunicação |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Correspondência | A.5.24A.5.25A.5.26 | Mesmo tópico: Resposta a Incidentes |
| RS.MA-02 | Incident reports are triaged and validated | Correspondência | A.5.24A.5.25A.5.26 | Mesmo tópico: Resposta a Incidentes |
| RS.MA-03 | Incidents are categorized and prioritized | Correspondência | A.5.24A.5.25A.5.26 | Mesmo tópico: Resposta a Incidentes |
| RS.MA-04 | Incidents are escalated or elevated as needed | Correspondência | A.5.24A.5.25A.5.26 | Mesmo tópico: Resposta a Incidentes |
| RS.MI-01 | Incidents are contained | Correspondência | A.5.26 | Mesmo tópico: Mitigação |
| RS.MI-02 | Incidents are eradicated | Correspondência | A.5.26 | Mesmo tópico: Mitigação |
Por tópico
Ambos cobrem (50):
Política de governançaConscientização e treinamentoGestão de RiscosRisco na cadeia de suprimentosFunções e responsabilidadesConformidadeGestão de AtivosAvaliação de riscosAmbiente de NegóciosClassificação de DadosGestão de VulnerabilidadesInteligência de AmeaçasControle de acessoAutenticação multifatorCriptografiaProteção de DadosBackup e recuperaçãoAcesso privilegiadoFirewall / Segmentação de redeProteção de endpointsGestão de PatchesConfiguração SeguraDesenvolvimento SeguroSegurança de e-mailSegurança WebConfiança ZeroSegurança MóvelSegurança em NuvemSegurança de DNSWAFDLPMonit. contínuoRegistro e AuditoriaDetecção de intrusãoDetecção de AnomaliasSIEM / SOCResposta a IncidentesPerícia forenseComunicaçãoMitigaçãoNotificaçãoPlanejamento de RecuperaçãoContinuidade de NegóciosLições AprendidasComunicação e restauraçãoRecuperação de desastresSegurança de APIsAmeaça internaGestão de Risco de FornecedoresSegurança Física
Perguntas
É possível certificar-se no NIST CSF?
Não. O NIST não oferece certificação; as organizações fazem autoavaliação ou contratam uma avaliação independente. A ISO 27001 é a opção certificável.
O NIST CSF é mais fácil que a ISO 27001?
É menos prescritivo e não envolve auditoria, por isso é mais fácil começar. Não é mais leve em substância: cobrir todos os resultados do CSF 2.0 exige um programa maduro.
De onde vem o mapeamento?
Das próprias referências informativas do NIST para o CSF 2.0 e do mapeamento do NIST entre o SP 800-53 e a ISO 27001. Veja a metodologia.
A ISO 27001 é mais rigorosa que o NIST CSF?
Ambos são rigorosos de maneiras diferentes. A ISO 27001 é auditada e certificável, e exige um sistema de gestão; o NIST CSF tem escopo mais amplo (especialmente em governança e risco da cadeia de suprimentos desde a versão 2.0), mas não prevê auditoria. O rigor depende de como cada um é implementado.
NIST CSF e ISO 27001 podem compartilhar uma única avaliação de riscos?
Sim. Uma avaliação de riscos que atenda aos requisitos da ISO 27001 quanto a método documentado, responsáveis e critérios de aceitação também sustenta os resultados de gestão de riscos do CSF.
O governo dos EUA exige a ISO 27001?
Em geral, não. Os sistemas federais dos EUA usam o NIST SP 800-53 e o Risk Management Framework; o CSF é amplamente usado no setor privado. A ISO 27001 é exigida com mais frequência por clientes internacionais.
Preciso comprar a ISO 27001 para usá-la?
Sim, a norma é vendida pela ISO e pelos organismos nacionais de normalização. O NIST CSF e suas referências podem ser baixados gratuitamente.
Qual é melhor para uma pequena empresa?
O NIST CSF é gratuito e mais fácil para começar; a ISO 27001 compensa quando clientes ou licitações exigem certificação. Muitas pequenas empresas começam com o CSF e certificam-se mais tarde.
Os IDs e títulos dos requisitos são exibidos como cada framework os publica, em inglês.
Correspondência um crosswalk publicado (NIST, ENISA, CIS, PCI SSC) estabelece a correspondência · Editorial Juízo editorial da ControlMapping onde não existe crosswalk; o motivo é indicado · compartilha apenas um resultado do CSF 2.0: vale verificar, mas não é um mapeamento · Sem mapeamento em nossos dados nada mapeado em nossos dados; muitas vezes é trabalho novo, mas verifique as notas de cobertura. Mapeado = curado em conjunto em um tema da ControlMapping, ou vinculado diretamente. Crosswalks não comprovam conformidade. Metodologia · Descarregar os dados · Relatar um erro.