Отчётность перед советом директоров по профилям NIST CSF 2.0

Большинство отчётов о кибербезопасности для совета директоров терпят неудачу одним из двух способов: стена технических метрик, которые никто из членов совета не может интерпретировать, или успокаивающий светофор, который скрывает реальные риски. NIST CSF 2.0 предлагает структуру, которая находится между ними. Его шесть функций (Управлять, Идентифицировать, Защищать, Обнаруживать, Реагировать, Восстанавливать) достаточно просты для совета, а его профили превращают вопрос «насколько мы защищены?» в «где мы находимся, куда движемся и что нам мешает?»

Текущий и целевой профили

В текущем профиле фиксируется, каких результатов CSF вы достигаете сегодня и насколько хорошо. В целевом профиле фиксируются результаты, которых вы стремитесь достичь, выбранные исходя из вашего аппетита к риску, обязательств и угроз. Разрыв между ними — это ваша дорожная карта, а задача совета — утвердить цель и профинансировать устранение разрыва.

Что показывать

1. Одна диаграмма: текущее состояние против целевого по функциям. Шесть групп столбцов, по два значения в каждой. Члены совета за несколько секунд увидят, что, например, Восстанавливать сильно отстаёт от Защищать.
2. Главные риски в деловых терминах. «Атака программ-вымогателей может остановить обработку заказов на неделю» воспринимается лучше, чем «PR.DS-11 частично достигнуто».
3. Прогресс с прошлого раза. Что сдвинулось, а что нет.
4. Решения, которые нужно принять. Бюджет, принятие риска или изменение цели.
5. Обязательства. Какие стандарты и регуляторные требования применяются и где вы находитесь по каждому из них (сертифицировано, в работе, есть разрывы).

Управление должно быть в самой повестке

Функция CSF 2.0 «Управлять» охватывает организационный контекст, стратегию управления рисками, роли, политику, надзор и управление рисками цепочки поставок. Несколько её результатов являются прямой зоной ответственности совета: установка аппетита к риску, надзор за стратегией, распределение ответственности. По NIS2 (статья 20) руководящие органы должны утверждать и контролировать меры кибербезопасности и сами проходить обучение, что делает функцию «Управлять» не только хорошей практикой, но и предметом соответствия требованиям. Наш анализ того, какие стандарты охватывают функцию «Управлять» показывает, где у других стандартов остаются пробелы.

Связывание CSF со стандартами, по которым вас аудируют

Если вы сертифицируетесь по ISO 27001 или отчитываетесь по SOC 2, отдельная программа CSF вам не нужна. Сопоставьте свои контроли с результатами CSF один раз и представляйте одни и те же доказательства двумя способами: функции CSF — совету директоров, требования стандартов — аудиторам. NIST публикует официальное соответствие между CSF 2.0 и стандартами ISO 27001 и SP 800-53:

Направление	Сопоставлено	Косвенно связано	Нет сопоставления
Есть NIST CSF 2.0 → нужен ISO 27001	79 из 123 (64%)	34	10	отчёт →
Есть ISO 27001 → нужен NIST CSF 2.0	89 из 106 (84%)	15	2	отчёт →

Оценка результатов без ложной точности

Совету директоров не нужны десятые доли. Достаточно простой и единообразной шкалы для каждой категории CSF, например:

Оценка	Значение
0	Не внедрено
1	Частично внедрено, неформально или непоследовательно
2	Внедрено и задокументировано, с некоторыми доказательствами
3	Внедрено, подтверждено доказательствами и регулярно проверяется
4	Измеряется и совершенствуется

Оценивайте каждую категорию по доказательствам, а не по мнению, и агрегируйте категории в шесть функций для диаграммы для совета. Записывайте правила оценки, чтобы цифры следующего квартала означали то же, что и цифры этого. Уровни Tiers самого CSF 2.0 описывают строгость управления и управления рисками в целом; используйте их для пояснительной части, а оценки категорий — для диаграммы.

Ключевые выводы

• Показывайте текущее и целевое состояние по функциям CSF на одной диаграмме.
• Представляйте главные риски в деловых терминах и решения, которые нужно принять.
• Оценивайте единообразно, по доказательствам.

Оставайтесь честными

• Оценивайте результаты по доказательствам, а не по мнению: результат считается достигнутым, когда его контроли работают и дают доказательства.
• Показывайте неудобные разрывы. Совет, который утверждает цель при известном разрыве, принимает риск; совет, который никогда не видит разрыва, — нет.
• Меняйте цель, когда меняется бизнес, и говорите об этом прямо.

Для каждой подкатегории CSF 2.0 здесь есть страница с её соответствием десяти стандартам; начните со страницы стандарта CSF 2.0 или сравнения NIST CSF и ISO 27001.

Вопросы

Что такое текущий профиль CSF?

Описание текущих результатов организации в области кибербезопасности относительно ядра CSF 2.0. Целевой профиль описывает результаты, которых организация стремится достичь; разрыв между ними определяет план.

Что использовать для отчётности совету директоров: ISO 27001 или NIST CSF?

Многие организации сертифицируются по ISO 27001, но отчитываются перед советом директоров, используя шесть функций CSF, потому что язык результатов CSF понятнее специалистам не из области ИБ. Эти два стандарта тесно сопоставляются между собой.