NIST CSF 1.1 → 2.0: куда делись отозванные подкатегории

NIST опубликовал CSF 2.0 в феврале 2024 года с новой функцией Govern и переработанным ядром. Многие подкатегории CSF 1.1 не сохранились в прежнем виде: их перенесли под новый идентификатор или включили в более широкую подкатегорию. NIST зафиксировал, куда попала каждая из них, в примечаниях об отзыве в данных CSF 2.0.

Это важнее, чем кажется. Политики, реестры рисков, GRC-инструменты, опросники поставщиков и бесчисленные таблицы по-прежнему ссылаются на идентификаторы CSF 1.1. Сопоставление с отозванной подкатегорией не воспринимается как ошибка: это ссылка в никуда. Именно поэтому сборка ControlMapping прерывается при любом отозванном идентификаторе.

Полная таблица

Каждая подкатегория CSF 1.1, которую NIST отозвал в версии 2.0, и то, что, по данным NIST, с ней произошло:

CSF 1.1	Что произошло в CSF 2.0 (NIST)
DE.AE-01	Включено в ID.AM-03
DE.AE-05	Перенесено в DE.AE-08
DE.CM-04	Включено в DE.CM-01, DE.CM-09
DE.CM-05	Включено в DE.CM-01, DE.CM-09
DE.CM-07	Включено в DE.CM-01, DE.CM-03, DE.CM-06, DE.CM-09
DE.CM-08	Включено в ID.RA-01
DE.DP-01	Включено в GV.RR-02
DE.DP-02	Включено в DE.AE
DE.DP-03	Включено в ID.IM-02
DE.DP-04	Включено в DE.AE-06
DE.DP-05	Включено в ID.IM, ID.IM-03
ID.AM-06	Включено в GV.RR-02, GV.SC-02
ID.BE-01	Включено в GV.OC-05
ID.BE-02	Включено в GV.OC-01
ID.BE-03	Включено в GV.OC-01
ID.BE-04	Включено в GV.OC-04, GV.OC-05
ID.BE-05	Включено в GV.OC-04
ID.GV-01	Включено в GV.PO, GV.PO-01, GV.PO-02
ID.GV-02	Включено в GV.OC-02, GV.RR, GV.RR-02
ID.GV-03	Перенесено в GV.OC-03
ID.GV-04	Перенесено в GV.RM-04
ID.RM-01	Включено в GV.RM-01, GV.RM-06, GV.RR-03
ID.RM-02	Включено в GV.RM-02, GV.RM-04
ID.RM-03	Перенесено в GV.RM-02
ID.SC-01	Включено в GV.RM-05, GV.SC-01, GV.SC-06, GV.SC-09, GV.SC-10
ID.SC-02	Включено в GV.OC-02, GV.SC-03, GV.SC-04, GV.SC-07, ID.RA-10
ID.SC-03	Перенесено в GV.SC-05
ID.SC-04	Включено в GV.SC-07, ID.RA-10
ID.SC-05	Включено в GV.SC-08, ID.IM-02
PR.AC-01	Включено в PR.AA-01, PR.AA-05
PR.AC-02	Перенесено в PR.AA-06
PR.AC-03	Включено в PR.AA-03, PR.AA-05, PR.IR-01
PR.AC-04	Перенесено в PR.AA-05
PR.AC-05	Включено в PR.IR-01
PR.AC-06	Перенесено в PR.AA-02
PR.AC-07	Перенесено в PR.AA-03
PR.AT-03	Включено в PR.AT-01, PR.AT-02
PR.AT-04	Включено в PR.AT-02
PR.AT-05	Включено в PR.AT-02
PR.DS-03	Включено в ID.AM-08, PR.PS-03
PR.DS-04	Перенесено в PR.IR-04
PR.DS-05	Включено в PR.DS-01, PR.DS-02, PR.DS-10
PR.DS-06	Включено в PR.DS-01, DE.CM-09
PR.DS-07	Включено в PR.IR-01
PR.DS-08	Включено в ID.RA-09, DE.CM-09
PR.IP-01	Включено в PR.PS-01
PR.IP-02	Включено в ID.AM-08, PR.PS-06
PR.IP-03	Включено в PR.PS-01, ID.RA-07
PR.IP-04	Перенесено в PR.DS-11
PR.IP-05	Перенесено в PR.IR-02
PR.IP-06	Включено в ID.AM-08
PR.IP-07	Включено в ID.IM, ID.IM-03
PR.IP-08	Перенесено в ID.IM-03
PR.IP-09	Перенесено в ID.IM-04
PR.IP-10	Включено в ID.IM-02, ID.IM-04
PR.IP-11	Перенесено в GV.RR-04
PR.IP-12	Включено в ID.RA-01, PR.PS-02
PR.MA-01	Включено в ID.AM-08, PR.PS-03
PR.MA-02	Включено в ID.AM-08, PR.PS-02
PR.PT-01	Включено в PR.PS-04
PR.PT-02	Включено в PR.DS-01, PR.PS-01
PR.PT-03	Включено в PR.PS-01
PR.PT-04	Включено в PR.AA-06, PR.IR-01
PR.PT-05	Перенесено в PR.IR-03
RC.CO-01	Включено в RC.CO-04
RC.CO-02	Включено в RC.CO-04
RC.IM-01	Включено в ID.IM-03, ID.IM-04
RC.IM-02	Включено в ID.IM-03
RS.AN-01	Включено в RS.MA-02
RS.AN-02	Включено в RS.MA-02, RS.MA-03, RS.MA-04
RS.AN-04	Перенесено в RS.MA-03
RS.AN-05	Перенесено в ID.RA-08
RS.CO-01	Включено в PR.AT-01
RS.CO-04	Включено в RS.MA-01, RS.MA-04
RS.CO-05	Включено в RS.CO-03
RS.IM-01	Включено в ID.IM-03, ID.IM-04
RS.IM-02	Включено в ID.IM-03
RS.MI-03	Включено в ID.RA-06
RS.RP-01	Включено в RS.MA-01

Основные закономерности

• ID.BE (Business Environment) и ID.GV (Governance) перешли в новую функцию Govern в составе GV.OC (Organisational Context), GV.RR, GV.PO и GV.OV.
• ID.SC (Supply Chain Risk Management) стала GV.SC, расширившись до десяти подкатегорий.
• PR.AC (Access Control) стала PR.AA (Identity Management, Authentication and Access Control), а сегментация сети перешла в PR.IR.
• PR.IP (Information Protection Processes) была разделена: результаты, связанные с конфигурацией и обслуживанием, перешли в PR.PS (Platform Security), а результаты, связанные с совершенствованием, в ID.IM.
• DE.DP (Detection Processes) отозвана, а её результаты включены в DE.CM, DE.AE и ID.IM.
• Многие подкатегории RS и RC были объединены в меньшее число более широких результатов в рамках RS.MA, RS.AN, RS.CO и RC.RP.

Как обновить старые сопоставления

1. Найдите идентификаторы CSF в документах и инструментах и сверьте каждый с таблицей выше. Идентификаторы CSF 1.1 используют одну цифру (PR.AC-1), а CSF 2.0 — две (PR.AA-01).
2. Прямо заменяйте ссылки «перенесено в». Если NIST указал, что подкатегория перенесена, новый идентификатор является прямой заменой.
3. Проверьте ссылки «включено в». Более широкий результат CSF 2.0 может охватывать больше, чем ваш контроль; убедитесь, что сопоставление по-прежнему корректно.
4. Добавьте новые результаты Govern. CSF 2.0 ввёл результаты, не имеющие предшественника в версии 1.1, особенно в области управления рисками цепочек поставок и надзора.

Для каждой подкатегории CSF 2.0 здесь есть страница с сопоставлениями с десятью другими стандартами; начните со страницы стандарта CSF 2.0. О том, что функция Govern означает на практике, см. какие стандарты её покрывают. Примечания об отзыве выше взяты из собственных данных NIST по CSF 2.0 через его Cybersecurity and Privacy Reference Tool; см. методологию.

Вопросы

Что заменило PR.AC в NIST CSF 2.0?

Большинство подкатегорий PR.AC (Access Control) из CSF 1.1 перешли в новую категорию PR.AA (Identity Management, Authentication and Access Control); примечания NIST об отзыве указывают точное место назначения каждой из них.

Можно ли по-прежнему использовать CSF 1.1?

Можно, но текущая версия NIST — 2.0, а новые соответствия и информативные ссылки публикуются относительно 2.0. Обновление старых ссылок позволяет избежать сопоставлений, которые незаметно указывают на отозванные подкатегории.