Функция «Управлять» в NIST CSF 2.0: какие стандарты её уже покрывают?
Самое значительное изменение в NIST CSF 2.0 — новая шестая функция «Управлять». Если вы уже следуете другому стандарту, сколько из этого у вас есть? Многое зависит от того, какому именно.
В этом материале рассматриваются 11 фреймворков, которые ControlMapping сопоставил на момент написания. С тех пор DORA, CPS 234, Cyber Essentials были добавлены 2026-10-27; их страницы и матрица покрытия уже включают их.
Когда NIST опубликовал CSF 2.0 в феврале 2024 года, главным изменением стала шестая функция. К функциям Идентифицировать, Защищать, Обнаруживать, Реагировать и Восстанавливать добавилась функция «Управлять», и NIST поместил её в центр остальных: организационный контекст, стратегию управления рисками, роли и ответственность, политику, надзор и управление риском цепочки поставок в сфере кибербезопасности. Она вынесла управление из категории внутри Identify и сделала его тем, что направляет всё остальное.
Если вы уже следуете другому стандарту, сколько из «Управлять» у вас есть?
Покрытие функции «Управлять» по стандартам
В ControlMapping шесть тем, привязанных к функции «Управлять». Вот, сколько из них покрывает каждый стандарт:
| Стандарт | Сопоставлено тем: Управлять | Нет сопоставления для |
|---|---|---|
| ISO 27001 | 6 из 6 | — |
| SOC 2 | 6 из 6 | — |
| PCI DSS | 6 из 6 | — |
| 800-53 | 6 из 6 | — |
| GDPR | 6 из 6 | — |
| NIS2 | 6 из 6 | — |
| HIPAA | 5 из 6 | Управление рисками цепочки поставок |
| CIS v8.1 | 2 из 6 | Политика управления, Управление рисками, Роли и обязанности, Соответствие требованиям |
| CMMC | 2 из 6 | Политика управления, Управление рисками цепочки поставок, Роли и обязанности, Управление рисками поставщиков |
| Essential Eight | 0 из 6 | Политика управления, Управление рисками, Управление рисками цепочки поставок, Роли и обязанности, Соответствие требованиям, Управление рисками поставщиков |
Темы: Политика управления, Управление рисками, Управление рисками цепочки поставок, Роли и обязанности, Соответствие требованиям, Управление рисками поставщиков.
Стандарты, которые её покрывают
Стандарты систем менеджмента и каталоги мер хорошо покрывают «Управлять». Пункты 4–6 и 9 ISO 27001 относятся к управлению: контекст, лидерство, роли, оценка и обработка рисков, оценка эффективности, анализ со стороны руководства. SP 800-53 содержит целое семейство программного управления (PM). Критерии контрольной среды SOC 2 (CC1–CC5) основаны на модели внутреннего контроля COSO, которая по своей сути является управлением. Требование 12 PCI DSS и обязанности руководящего органа по NIS2 занимают то же пространство.
Стандарты, которые не покрывают
Операционные базовые уровни покрывают её слабо. Essential Eight — это восемь технических стратегий снижения рисков без какого-либо содержания об управлении; это проектное решение, а не упущение. CIS Controls v8.1 касаются управления в основном через процессы управления поставщиками услуг и управления данными. CMMC Level 2 наследует фокус SP 800-171 на защите CUI в системах, что оставляет за бортом большинство результатов, связанных со стратегией рисков и программой цепочки поставок.
Цепочка поставок: самая сложная часть «Управлять»
В «Управлять» входят десять подкатегорий, посвящённых управлению риском цепочки поставок в сфере кибербезопасности: от наличия самой программы до управления поставщиками на протяжении всего жизненного цикла отношений. Многие стандарты затрагивают безопасность поставщиков (меры A.5.19–A.5.23 ISO 27001, CC9.2 SOC 2, 12.8 PCI DSS), но немногие рассматривают её как программу с критериями риска, уровнями и мониторингом. Если покрытие «Управлять» в вашем стандарте высокое, проверьте, высокое ли оно именно по цепочке поставок.
Главные выводы
- «Управлять» — новая функция CSF 2.0 для контекста, стратегии рисков, ролей, политики, надзора и риска цепочки поставок.
- Стандарты систем менеджмента и каталоги мер (ISO 27001, SP 800-53, SOC 2, PCI DSS, NIS2) хорошо покрывают её.
- Операционные базовые уровни (Essential Eight, CIS, CMMC) покрывают её мало, по замыслу.
- Риск цепочки поставок — та часть «Управлять», где глубина покрытия сильнее всего различается между стандартами.
Что делать
- Если вы используете операционный базовый уровень (CIS, Essential Eight, CMMC), добавьте управление поверх него: функция «Управлять» CSF или система менеджмента ISO 27001 даст структуру.
- Если вы используете ISO 27001 или SOC 2, применяйте «Управлять» для улучшения отчётности перед руководством: результаты CSF сформулированы языком, понятным руководителям.
- Проверьте темы цепочка поставок и риски поставщиков, где стандарты различаются по глубине больше всего.
В странице стандарта CSF 2.0 перечислены все подкатегории «Управлять» с их соответствиями, а анализ разрывов показывает покрытие CSF из любого имеющегося у вас стандарта.
Вопросы
Что такое функция «Управлять» в NIST CSF 2.0?
«Управлять» (GV), добавленная в CSF 2.0 в 2024 году, охватывает организационный контекст, стратегию управления рисками, роли и ответственность, политику, надзор и управление риском цепочки поставок в сфере кибербезопасности. NIST располагает её в центре остальных пяти функций.
Покрывает ли ISO 27001 функцию «Управлять» из CSF 2.0?
В основном да: пункты 4–6 и 9 ISO 27001 (контекст, лидерство, риски, оценка эффективности) и его меры для поставщиков соответствуют большинству результатов «Управлять».
Относится ли «Управлять» из CSF 2.0 только к крупным организациям?
Нет. Небольшим организациям нужны те же основы, только в упрощённом виде: кто за что отвечает, какие риски приемлемы, какие есть политики и как управляются поставщики.
Данные на 2026-10-27: цифры в этой публикации рассчитаны по текущей таблице соответствий и обновляются при её изменении. Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Не является консультацией по соответствию.
Связанные публикации
Аналитика · 2026-10-27APRA CPS 234 и ISO 27001: что охватывает ваша СУИБ и что добавляет APRAСУИБ по ISO 27001 охватывает почти каждый пункт стандарта CPS 234 от APRA, однако APRA добавляет обязанности совета директоров, гарантии в отношении третьих сторон и жёсткие сроки уведомления.
Аналитика · 2026-10-27Cyber Essentials и Essential Eight: сравнение базовых наборов мерCyber Essentials в Великобритании и Essential Eight в Австралии нацелены на одни и те же распространённые атаки, но охватывают разные области. Что совпадает, что нет и почему.
Аналитика · 2026-10-27DORA и NIS2: что уже покрывает программа NIS2DORA и NIS2 во многом совпадают по мерам безопасности, но DORA добавляет реестр, условия договоров и тестирование на основе угроз. Статья за статьёй: что переносится.