Сравнение
NIST CSF 2.0 vs ISO 27001: результаты и сертификация
NIST Cybersecurity Framework 2.0 · ISO/IEC 27001:2022 · данные на 2026-10-27
По параметру «Paul Gillet» · Обновлено 2026-10-17
Cybersecurity Framework 2.0 от NIST описывает результаты: 106 подкатегорий в рамках шести функций (Управлять, Идентифицировать, Защищать, Обнаруживать, Реагировать, Восстанавливать). Его применение добровольно и не подлежит сертификации, а сам стандарт намеренно не объясняет, как достичь каждого результата. ISO/IEC 27001 — сертифицируемый стандарт: он требует внедрения системы менеджмента информационной безопасности и обоснованного выбора контролей из Приложения A.
Поскольку NIST публикует справочник соответствий от CSF 2.0 к ISO 27001, эти два стандарта сопоставляются довольно тесно: почти каждому результату CSF соотнесены контроли ISO. Организации часто используют CSF как язык для совета директоров, а ISO 27001 как операционный стандарт и основу для сертификации.
При переходе от CSF к ISO разрыв связан не с результатами безопасности, а с системой менеджмента. Функция CSF «Управлять» охватывает стратегию, политику, роли и надзор, однако ISO предписывает конкретные механизмы, которые CSF оставляет открытыми: определённую область действия ISMS, цели информационной безопасности, управление документированной информацией, программы внутреннего аудита и анализ со стороны руководства. Эти пункты ниже отмечены как не имеющие соответствия.
При переходе от ISO к CSF покрытие практически полное. Задача сводится к переводу: построить текущий и целевой профили CSF на основе вашей ISMS и выразить решения по обработке рисков в виде результатов CSF.
Кратко
| NIST CSF 2.0 | ISO 27001 | |
|---|---|---|
| Что это такое | Добровольный стандарт результатов | Сертифицируемый стандарт системы менеджмента |
| Структура | 6 функций, 22 категории, 106 подкатегорий | Пункты 4–10 и 93 контроля Приложения A |
| Сертификация | Нет | Да, через аккредитованные органы сертификации |
| Стоимость использования | Бесплатно | Стандарт продаёт ISO; сертификация добавляет плату за аудит |
| Лучше всего подходит для | Структурирования программы, отчётности для совета директоров, самооценки | Подтверждения безопасности перед клиентами и регуляторами по всему миру |
| Официальное сопоставление | NIST публикует соответствия CSF 2.0 ↔ ISO 27001, использованные здесь | — |
Совместное использование
Эти два стандарта хорошо дополняют друг друга: CSF 2.0 даёт словарь результатов, понятный советам директоров и регуляторам, а ISO 27001 задаёт сертифицируемую систему менеджмента, которая подтверждает, что программа действительно работает. Распространённая практика — отчитываться о состоянии по функциям CSF, одновременно сертифицируя ISMS по ISO 27001.
Поскольку NIST связывает каждую подкатегорию CSF с пунктами ISO и контролями Приложения A, можно вести один набор контролей и отчитываться по нему двумя способами. Таблицы требований ниже показывают, где опубликованные соответствия связывают их, а где результат CSF не имеет аналога ISO в наших данных.
Что изменилось в CSF 2.0
CSF 2.0 (февраль 2024 г.) добавил шестую функцию Управлять, которая охватывает организационный контекст, стратегию управления рисками, роли, политику, надзор и риски цепочки поставок. Эти результаты тесно соответствуют пунктам 4–6 и 9 ISO 27001, поэтому сегодня оба стандарта пересекаются сильнее, чем CSF 1.1 и ISO.
Кто что использует
- NIST CSF 2.0 используют организации любого размера и отрасли для структурирования программы, постановки целей и отчётности руководству. Это общий язык американской критической инфраструктуры, многих регуляторов и киберстраховщиков, и он бесплатен.
- ISO 27001 применяют, когда организации нужно подтвердить свою безопасность перед другими сертификатом: поставщикам ПО и услуг, продающим корпорациям, поставщикам в регулируемых цепочках поставок и компаниям, участвующим в тендерах госсектора, особенно за пределами США.
- Многие организации используют оба: CSF для управления и отчётности, ISO 27001 для сертификации.
Стоимость и усилия
Внедрение CSF ничего не стоит и не предполагает аудита, поэтому основные затраты — внутренние усилия по оценке текущего профиля, определению целевого профиля и устранению разрыва между ними. ISO 27001 добавляет стоимость самого стандарта, плату органа по сертификации за аудит и, прежде всего, внутренние усилия по построению и ведению системы менеджмента: оценку рисков, Декларацию о применимости, внутренний аудит и анализ со стороны руководства. Для организации, которая уже хорошо использует CSF, большая часть технической работы для ISO выполнена; оставшиеся усилия в основном связаны с системой менеджмента и её документацией.
Путь от CSF к сертификации ISO 27001
- Сопоставьте ваш профиль CSF с ISO. NIST в своих соответствиях связывает подкатегории CSF 2.0 с пунктами ISO и контролями Приложения A; анализ разрывов перечисляет каждое требование ISO с его соответствием в CSF.
- Определите область действия ISMS и преобразуйте целевой профиль CSF в цели информационной безопасности.
- Формализуйте оценку рисков в соответствии с требованиями ISO (документированная методика, владельцы, критерии приемлемости) и составьте Декларацию о применимости.
- Добавьте процессы системы менеджмента: управление документами, внутренний аудит, анализ со стороны руководства и корректирующие действия.
- Поработайте с ISMS несколько месяцев, затем запишитесь на аудиты Этапа 1 и Этапа 2.
Многие организации с зрелой программой CSF получают сертификат за шесть–девять месяцев.
Пример: региональный поставщик медицинских услуг
Региональная медицинская группа три года использует NIST CSF, чтобы структурировать свою программу и отчитываться перед советом директоров. Новый договор с партнёром требует сертификации ISO 27001 для общего сервиса портала пациентов.
В текущем профиле CSF сильные результаты по функциям «Защищать» и «Обнаруживать», поэтому большинство технических контролей Приложения A уже существуют. Анализ разрывов выявляет пункты системы менеджмента, Декларацию о применимости, формальные соглашения с поставщиками и физическую безопасность серверного помещения. Группа определяет область действия ISMS: сервис портала пациентов и его поддерживающая инфраструктура. Она повторно использует реестр рисков CSF с методикой, соответствующей ISO, и получает сертификат примерно через восемь месяцев. Отчётность совету директоров продолжается в терминах CSF, а органу по сертификации — в терминах ISO, и обе отчётности основаны на одних и тех же контролях.
Распространённые ошибки
- Сопоставление с CSF 1.1. Во многих старых таблицах ISO 27001:2013 сопоставляется с CSF 1.1; оба стандарта с тех пор изменились, а ссылки на отозванные подкатегории никуда не ведут.
- Принимать профиль CSF за ISMS. CSF не требует внутреннего аудита, анализа со стороны руководства или управления документами; аудиторы ISO будут требовать.
- Слишком узкая область сертификации, выбранная для экономии усилий, после чего выясняется, что сертификат не покрывает то, что покупают клиенты.
- Отчётность по двум разным картинам. Отчёты совету директоров в терминах CSF и доказательства аудита в терминах ISO должны опираться на одни и те же контроли, иначе они расходятся.
Основные выводы
- Если нужен сертификат, ISO 27001 его даст; CSF — никогда.
- CSF → ISO: планируйте механику ISMS (область действия, цели, документированная информация, внутренний аудит, анализ со стороны руководства).
- ISO → CSF: формируйте профили CSF на основе существующей Декларации о применимости; почти никакой новой работы с контролями не требуется.
Есть NIST CSF 2.0 → нужен ISO 27001
123 треб. сопоставлено: 79 · · 10 без сопоставления Открыть в представлении разрывов →Из 123 требований ISO/IEC 27001:2022 79 сопоставлены с чем-либо в NIST CSF 2.0, 34 связаны лишь косвенно, а для 10 в наших данных нет сопоставления.
Вероятно, новая работа: требования ISO 27001 без сопоставления с NIST CSF 2.0 (10)
| ISO 27001 | Требование | Совпадение | NIST CSF 2.0 | Доказательства |
|---|---|---|---|---|
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.3 | Determining the scope of the ISMS | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с NIST CSF 2.0. |
| Clause 5.1 | Leadership and commitment | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с NIST CSF 2.0. |
| Clause 6.2 | Information security objectives and planning to achieve them | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с NIST CSF 2.0. |
| Clause 6.3 | Planning of changes | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с NIST CSF 2.0. |
| Clause 7.5.1 | General | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с NIST CSF 2.0. |
| Clause 7.5.2 | Creating and updating | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с NIST CSF 2.0. |
| Clause 7.5.3 | Control of documented information | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с NIST CSF 2.0. |
| Clause 9.2.1 | General | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с NIST CSF 2.0. |
| Clause 9.2.2 | Internal audit programme | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с NIST CSF 2.0. |
| Clause 10.2 | Nonconformity and corrective action | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с NIST CSF 2.0. |
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (34)
| ISO 27001 | Требование | Совпадение | NIST CSF 2.0 | Доказательства |
|---|---|---|---|---|
| A.5 Organizational controls · 8 | ||||
| A.5.3 | Segregation of duties | GV.OC-05GV.RR-02PR.AA-05+3 | Совпадает только CSF GV.OC-05, GV.RR-02, PR.AA-05: связь косвенная, это не сопоставление | |
| A.5.8 | Information security in project management | GV.OC-05ID.AM-08 | Совпадает только CSF GV.OC-05, ID.AM-08: связь косвенная, это не сопоставление | |
| A.5.10 | Acceptable use of information and other associated assets | PR.DS-01PR.DS-02PR.DS-10 | Совпадает только CSF PR.DS-01, PR.DS-02, PR.DS-10: связь косвенная, это не сопоставление | |
| A.5.17 | Authentication information | PR.AA-03PR.AA-05 | Совпадает только CSF PR.AA-03, PR.AA-05: связь косвенная, это не сопоставление | |
| A.5.32 | Intellectual property rights | GV.PO-02 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| A.5.33 | Protection of records | PR.DS-01 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.5.34 | Privacy and protection of PII | GV.PO-02 | Совпадает только CSF GV.PO-02: связь косвенная, это не сопоставление | |
| A.5.35 | Independent review of information security | GV.OV-02 | Совпадает только CSF GV.OV-02: связь косвенная, это не сопоставление | |
| A.6 People controls · 3 | ||||
| A.6.2 | Terms and conditions of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Совпадает только CSF GV.PO-01, GV.RR-04, PR.DS-01: связь косвенная, это не сопоставление | |
| A.6.5 | Responsibilities after termination or change of employment | GV.PO-01GV.RR-04PR.DS-01+2 | Совпадает только CSF GV.PO-01, GV.RR-04, PR.DS-01: связь косвенная, это не сопоставление | |
| A.6.6 | Confidentiality or non-disclosure agreements | GV.RR-03GV.RR-04 | Совпадает только CSF GV.RR-03, GV.RR-04: связь косвенная, это не сопоставление | |
| A.7 Physical controls · 4 | ||||
| A.7.7 | Clear desk and clear screen | PR.DS-01PR.IR-02 | Совпадает только CSF PR.DS-01, PR.IR-02: связь косвенная, это не сопоставление | |
| A.7.9 | Security of assets off-premises | PR.DS-01 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.7.10 | Storage media | ID.AM-08PR.DS-01 | Совпадает только CSF ID.AM-08, PR.DS-01: связь косвенная, это не сопоставление | |
| A.7.13 | Equipment maintenance | ID.AM-08PR.IR-02 | Совпадает только CSF ID.AM-08, PR.IR-02: связь косвенная, это не сопоставление | |
| A.8 Technological controls · 9 | ||||
| A.8.4 | Access to source code | PR.AA-05PR.DS-01PR.DS-02+1 | Совпадает только CSF PR.AA-05, PR.DS-01, PR.DS-02: связь косвенная, это не сопоставление | |
| A.8.6 | Capacity management | DE.CM-09PR.IR-04 | Совпадает только CSF DE.CM-09, PR.IR-04: связь косвенная, это не сопоставление | |
| A.8.23 | Web filtering | PR.IR-01 | Совпадает только CSF PR.IR-01: связь косвенная, это не сопоставление | |
| A.8.27 | Secure system architecture and engineering principles | PR.IR-03 | Совпадает только CSF PR.IR-03: связь косвенная, это не сопоставление | |
| A.8.30 | Outsourced development | GV.OV-03 | Совпадает только CSF GV.OV-03: связь косвенная, это не сопоставление | |
| A.8.31 | Separation of development, test and production environments | PR.PS-06 | Совпадает только CSF PR.PS-06: связь косвенная, это не сопоставление | |
| A.8.32 | Change management | GV.OV-03ID.RA-07 | Совпадает только CSF GV.OV-03, ID.RA-07: связь косвенная, это не сопоставление | |
| A.8.33 | Test information | PR.DS-01 | Совпадает только CSF PR.DS-01: связь косвенная, это не сопоставление | |
| A.8.34 | Protection of information systems during audit testing | GV.OV-03 | Совпадает только CSF GV.OV-03: связь косвенная, это не сопоставление | |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.4 | Information security management system | GV.OC-02 | Совпадает только CSF GV.OC-02: связь косвенная, это не сопоставление | |
| Clause 5.3 | Organizational roles, responsibilities and authorities | GV.SC-02 | Совпадает только CSF GV.SC-02: связь косвенная, это не сопоставление | |
| Clause 7.1 | Resources | GV.RR-03 | Совпадает только CSF GV.RR-03: связь косвенная, это не сопоставление | |
| Clause 7.2 | Competence | GV.RR-01GV.RR-02GV.RR-03 | Совпадает только CSF GV.RR-01, GV.RR-02, GV.RR-03: связь косвенная, это не сопоставление | |
| Clause 8.1 | Operational planning and control | GV.OC-01GV.OC-02GV.SC-01+2 | Совпадает только CSF GV.OC-01, GV.OC-02, GV.SC-01: связь косвенная, это не сопоставление | |
| Clause 8.2 | Information security risk assessment | GV.OC-01GV.OC-02 | Совпадает только CSF GV.OC-01, GV.OC-02: связь косвенная, это не сопоставление | |
| Clause 8.3 | Information security risk treatment | GV.OC-01GV.OC-02 | Совпадает только CSF GV.OC-01, GV.OC-02: связь косвенная, это не сопоставление | |
| Clause 9.3.1 | General | PR.PS-01 | Совпадает только CSF PR.PS-01: связь косвенная, это не сопоставление | |
| Clause 9.3.2 | Management review inputs | PR.PS-01 | Совпадает только CSF PR.PS-01: связь косвенная, это не сопоставление | |
| Clause 9.3.3 | Management review results | PR.PS-01 | Совпадает только CSF PR.PS-01: связь косвенная, это не сопоставление | |
Сопоставлено (79)
| ISO 27001 | Требование | Совпадение | NIST CSF 2.0 | Доказательства |
|---|---|---|---|---|
| A.5 Organizational controls · 29 | ||||
| A.5.1 | Policies for information security | Соответствия | GV.PO-01GV.PO-02 | Та же тема: Политика управления |
| A.5.2 | Information security roles and responsibilities | Соответствия | GV.RR-01GV.RR-02GV.RR-03 | Та же тема: Роли и обязанности |
| A.5.4 | Management responsibilities | Соответствия | GV.RR-01GV.RR-02GV.RR-03 | Та же тема: Роли и обязанности |
| A.5.5 | Contact with authorities | Соответствия | RS.CO-02 | Та же тема: Отчётность |
| A.5.6 | Contact with special interest groups | Редакционные материалы | RS.CO-03 | Та же тема: Коммуникация (выбор редакции) |
| A.5.7 | Threat intelligence | Соответствия | DE.AE-07ID.RA-02ID.RA-03 | Та же тема: Разведка угроз |
| A.5.9 | Inventory of information and other associated assets | Соответствия | ID.AM-01ID.AM-02ID.AM-04+1 | Та же тема: Управление активами |
| A.5.11 | Return of assets | Соответствия | ID.AM-01ID.AM-02ID.AM-04+1 | Та же тема: Управление активами |
| A.5.12 | Classification of information | Соответствия | ID.AM-05ID.AM-07 | Та же тема: Классификация данных |
| A.5.13 | Labelling of information | Соответствия | ID.AM-05ID.AM-07 | Та же тема: Классификация данных |
| A.5.14 | Information transfer | Соответствия | DE.CM-09PR.DS-01PR.DS-02+1 | Та же тема: Безопасность электронной почты, Защита данных |
| A.5.15 | Access control | Соответствия | PR.AA-01PR.AA-03PR.AA-04+2 | Та же тема: Контроль доступа, Нулевое доверие |
| A.5.16 | Identity management | Соответствия | PR.AA-01PR.AA-05 | Та же тема: Контроль доступа |
| A.5.18 | Access rights | Соответствия | PR.AA-01PR.AA-05 | Та же тема: Контроль доступа |
| A.5.19 | Information security in supplier relationships | Соответствия | DE.CM-06GV.SC-01GV.SC-03+7 | Та же тема: Управление рисками поставщиков, Управление рисками цепочки поставок |
| A.5.20 | Addressing information security within supplier agreements | Соответствия | DE.CM-06GV.SC-04GV.SC-06+2 | Та же тема: Управление рисками поставщиков |
| A.5.21 | Managing information security in the ICT supply chain | Соответствия | GV.SC-01GV.SC-03GV.SC-05+2 | Та же тема: Управление рисками цепочки поставок |
| A.5.22 | Monitoring, review and change management of supplier services | Соответствия | DE.CM-06GV.SC-04GV.SC-06+2 | Та же тема: Управление рисками поставщиков |
| A.5.23 | Information security for use of cloud services | Соответствия | ID.AM-04PR.IR-01PR.PS-01 | Та же тема: Безопасность облачных сред |
| A.5.24 | Information security incident management planning and preparation | Соответствия | ID.IM-04RS.MA-01RS.MA-02+2 | Та же тема: Реагирование на инциденты |
| A.5.25 | Assessment and decision on information security events | Соответствия | DE.AE-03DE.AE-06DE.AE-08+5 | Та же тема: SIEM / SOC |
| A.5.26 | Response to information security incidents | Соответствия | ID.IM-04RC.CO-03RC.CO-04+7 | Та же тема: Реагирование на инциденты, Коммуникации и восстановление |
| A.5.27 | Learning from information security incidents | Соответствия | ID.IM-03RC.RP-06 | Та же тема: Извлечённые уроки |
| A.5.28 | Collection of evidence | Соответствия | RS.AN-03RS.AN-06RS.AN-07 | Та же тема: Криминалистический анализ |
| A.5.29 | Information security during disruption | Соответствия | GV.OC-04ID.IM-04PR.IR-03+3 | Та же тема: Непрерывность бизнеса, Планирование восстановления |
| A.5.30 | ICT readiness for business continuity | Соответствия | GV.OC-04ID.IM-04PR.IR-03+4 | Та же тема: Непрерывность бизнеса, Планирование восстановления, Аварийное восстановление |
| A.5.31 | Legal, statutory, regulatory and contractual requirements | Соответствия | GV.OC-03GV.OV-03 | Та же тема: Соответствие требованиям |
| A.5.36 | Compliance with policies, rules and standards for information security | Редакционные материалы | GV.OC-03GV.OV-03 | Та же тема: Соответствие требованиям (выбор редакции) |
| A.5.37 | Documented operating procedures | Соответствия | GV.PO-01GV.PO-02 | Та же тема: Политика управления |
| A.6 People controls · 5 | ||||
| A.6.1 | Screening | Соответствия | DE.CM-03GV.RR-04 | Та же тема: Внутренние угрозы |
| A.6.3 | Information security awareness, education and training | Соответствия | PR.AT-01PR.AT-02 | Та же тема: Осведомлённость и обучение |
| A.6.4 | Disciplinary process | Соответствия | DE.CM-03GV.RR-04 | Та же тема: Внутренние угрозы |
| A.6.7 | Remote working | Редакционные материалы | PR.AA-05PR.PS-01 | Та же тема: Безопасность мобильных устройств (выбор редакции) |
| A.6.8 | Information security event reporting | Соответствия | RS.CO-02 | Та же тема: Отчётность |
| A.7 Physical controls · 10 | ||||
| A.7.1 | Physical security perimeters | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| A.7.2 | Physical entry | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| A.7.3 | Securing offices, rooms and facilities | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| A.7.4 | Physical security monitoring | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| A.7.5 | Protecting against physical and environmental threats | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| A.7.6 | Working in secure areas | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| A.7.8 | Equipment siting and protection | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| A.7.11 | Supporting utilities | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| A.7.12 | Cabling security | Соответствия | DE.CM-02PR.AA-06PR.IR-02 | Та же тема: Физическая безопасность |
| A.7.14 | Secure disposal or re-use of equipment | Соответствия | ID.AM-01ID.AM-02ID.AM-04+1 | Та же тема: Управление активами |
| A.8 Technological controls · 25 | ||||
| A.8.1 | User endpoint devices | Соответствия | PR.AA-05PR.PS-01DE.CM-09+1 | Та же тема: Безопасность мобильных устройств, Защита конечных точек |
| A.8.2 | Privileged access rights | Соответствия | PR.AA-05 | Та же тема: Привилегированный доступ |
| A.8.3 | Information access restriction | Соответствия | PR.AA-01PR.AA-05 | Та же тема: Контроль доступа |
| A.8.5 | Secure authentication | Соответствия | PR.AA-03PR.AA-04PR.AA-05+2 | Та же тема: Многофакторная аутентификация, Нулевое доверие, Безопасность API |
| A.8.7 | Protection against malware | Редакционные материалы | DE.CM-09PR.PS-05 | Та же тема: Защита конечных точек (выбор редакции) |
| A.8.8 | Management of technical vulnerabilities | Соответствия | ID.RA-01ID.RA-08PR.PS-02 | Та же тема: Управление уязвимостями, Управление исправлениями |
| A.8.9 | Configuration management | Соответствия | PR.PS-01 | Та же тема: Безопасная конфигурация |
| A.8.10 | Information deletion | Соответствия | PR.DS-01PR.DS-02PR.DS-10 | Та же тема: Защита данных |
| A.8.11 | Data masking | Соответствия | PR.DS-01PR.DS-02PR.DS-10 | Та же тема: Защита данных |
| A.8.12 | Data leakage prevention | Соответствия | PR.DS-01PR.DS-02PR.DS-10 | Та же тема: DLP |
| A.8.13 | Information backup | Соответствия | PR.DS-11RC.RP-03 | Та же тема: Резервное копирование и восстановление |
| A.8.14 | Redundancy of information processing facilities | Соответствия | GV.OC-04PR.IR-03RC.RP-02+2 | Та же тема: Непрерывность бизнеса, Аварийное восстановление |
| A.8.15 | Logging | Соответствия | DE.AE-03PR.PS-04 | Та же тема: Логирование и аудит |
| A.8.16 | Monitoring activities | Соответствия | DE.AE-02DE.AE-03DE.AE-04+6 | Та же тема: Обнаружение вторжений, Обнаружение аномалий, SIEM / SOC |
| A.8.17 | Clock synchronization | Соответствия | DE.AE-03PR.PS-04 | Та же тема: Логирование и аудит |
| A.8.18 | Use of privileged utility programs | Соответствия | PR.AA-05 | Та же тема: Привилегированный доступ |
| A.8.19 | Installation of software on operational systems | Соответствия | DE.CM-09PR.PS-05 | Та же тема: Защита конечных точек |
| A.8.20 | Networks security | Соответствия | DE.CM-01ID.AM-03PR.IR-01 | Та же тема: Безопасность DNS, WAF, Межсетевой экран / сегментация сети |
| A.8.21 | Security of network services | Соответствия | DE.CM-01ID.AM-03PR.IR-01 | Та же тема: Безопасность DNS, Межсетевой экран / сегментация сети |
| A.8.22 | Segregation of networks | Соответствия | ID.AM-03PR.AA-03PR.AA-04+2 | Та же тема: Межсетевой экран / сегментация сети, Нулевое доверие |
| A.8.24 | Use of cryptography | Соответствия | PR.DS-01PR.DS-02 | Та же тема: Шифрование |
| A.8.25 | Secure development life cycle | Соответствия | PR.PS-06 | Та же тема: Безопасная разработка |
| A.8.26 | Application security requirements | Соответствия | PR.AA-03PR.IR-01PR.PS-06 | Та же тема: Безопасность API, Безопасность веб-приложений, Безопасная разработка |
| A.8.28 | Secure coding | Соответствия | PR.PS-06 | Та же тема: Безопасная разработка |
| A.8.29 | Security testing in development and acceptance | Соответствия | PR.PS-06 | Та же тема: Безопасная разработка |
| ISMS clauses 4–10 · 10 | ||||
| Clause 4.1 | Understanding the organization and its context | Соответствия | GV.OC-01GV.OC-04GV.OC-05 | Та же тема: Бизнес-среда |
| Clause 4.2 | Understanding the needs and expectations of interested parties | Соответствия | GV.OC-01GV.OC-04GV.OC-05 | Та же тема: Бизнес-среда |
| Clause 5.2 | Policy | Соответствия | GV.PO-01GV.PO-02 | Та же тема: Политика управления |
| Clause 6.1.1 | General | Соответствия | GV.RM-01GV.RM-02GV.RM-03+1 | Та же тема: Управление рисками |
| Clause 6.1.2 | Information security risk assessment | Соответствия | ID.RA-03ID.RA-04ID.RA-05+1 | Та же тема: Оценка рисков |
| Clause 6.1.3 | Information security risk treatment | Соответствия | GV.RM-01GV.RM-02GV.RM-03+5 | Та же тема: Управление рисками |
| Clause 7.3 | Awareness | Соответствия | PR.AT-01PR.AT-02 | Та же тема: Осведомлённость и обучение |
| Clause 7.4 | Communication | Соответствия | RC.CO-03RC.CO-04RC.RP-05+1 | Та же тема: Коммуникации и восстановление |
| Clause 9.1 | Monitoring, measurement, analysis and evaluation | Соответствия | GV.OC-03GV.OV-03 | Та же тема: Соответствие требованиям |
| Clause 10.1 | Continual improvement | Редакционные материалы | ID.IM-03RC.RP-06 | Та же тема: Извлечённые уроки (выбор редакции) |
Есть ISO 27001 → нужен NIST CSF 2.0
106 треб. сопоставлено: 89 · · 2 без сопоставления Открыть в представлении разрывов →Из 106 требований NIST Cybersecurity Framework 2.0 89 сопоставлены с чем-либо в ISO 27001, 15 связаны лишь косвенно, а для 2 в наших данных нет сопоставления.
Вероятно, новая работа: требования NIST CSF 2.0 без сопоставления с ISO 27001 (2)
| NIST CSF 2.0 | Требование | Совпадение | ISO 27001 | Доказательства |
|---|---|---|---|---|
| Identify (ID) · 2 | ||||
| ID.IM-01 | Improvements are identified from evaluations | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
| ID.IM-02 | Improvements are identified from security tests and exercises, including those done in coordination with suppliers and relevant third parties | Нет сопоставления в наших данных | — | В наших данных нет сопоставления с ISO 27001. |
Проверьте: связаны лишь косвенно (общий результат CSF, а не сопоставление) (15)
| NIST CSF 2.0 | Требование | Совпадение | ISO 27001 | Доказательства |
|---|---|---|---|---|
| Govern (GV) · 9 | ||||
| GV.OC-02 | Internal and external stakeholders are understood, and their needs and expectations regarding cybersecurity risk management are understood and considered | Clause 4.1Clause 4.2Clause 4.4+4 | Совпадает только CSF GV.OC-02: связь косвенная, это не сопоставление | |
| GV.OV-01 | Cybersecurity risk management strategy outcomes are reviewed to inform and adjust strategy and direction | A.5.1A.5.5A.5.6+3 | Совпадает только CSF GV.OV-01: связь косвенная, это не сопоставление | |
| GV.OV-02 | The cybersecurity risk management strategy is reviewed and adjusted to ensure coverage of organizational requirements and risks | A.5.1A.5.19A.5.27+3 | Совпадает только CSF GV.OV-02: связь косвенная, это не сопоставление | |
| GV.RM-04 | Strategic direction that describes appropriate risk response options is established and communicated | A.5.1Clause 6.1.3 | Совпадает только CSF GV.RM-04: связь косвенная, это не сопоставление | |
| GV.RM-05 | Lines of communication across the organization are established for cybersecurity risks, including risks from suppliers and other third parties | A.5.1A.5.19Clause 6.1.1+1 | Совпадает только CSF GV.RM-05: связь косвенная, это не сопоставление | |
| GV.RM-07 | Strategic opportunities (i.e., positive risks) are characterized and are included in organizational cybersecurity risk discussions | Clause 6.1.1 | Совпадает только CSF GV.RM-07: связь косвенная, это не сопоставление | |
| GV.SC-02 | Cybersecurity roles and responsibilities for suppliers, customers, and partners are established, communicated, and coordinated internally and externally | A.5.2A.5.4Clause 5.3 | Совпадает только CSF GV.SC-02: связь косвенная, это не сопоставление | |
| GV.SC-08 | Relevant suppliers and other third parties are included in incident planning, response, and recovery activities | A.5.26 | Совпадает только CSF GV.SC-08: связь косвенная, это не сопоставление | |
| GV.SC-10 | Cybersecurity supply chain risk management plans include provisions for activities that occur after the conclusion of a partnership or service agreement | A.5.19A.5.20A.5.21+4 | Совпадает только CSF GV.SC-10: связь косвенная, это не сопоставление | |
| Identify (ID) · 1 | ||||
| ID.RA-07 | Changes and exceptions are managed, assessed for risk impact, recorded, and tracked | A.8.32Clause 6.1.3 | Совпадает только CSF ID.RA-07: связь косвенная, это не сопоставление | |
| Protect (PR) · 3 | ||||
| PR.AA-02 | Identities are proofed and bound to credentials based on the context of interactions | A.8.2A.8.3A.8.5 | Совпадает только CSF PR.AA-02: связь косвенная, это не сопоставление | |
| PR.IR-04 | Adequate resource capacity to ensure availability is maintained | A.8.6 | Совпадает только CSF PR.IR-04: связь косвенная, это не сопоставление | |
| PR.PS-03 | Hardware is maintained, replaced, and removed commensurate with risk | A.5.9A.8.1 | Совпадает только CSF PR.PS-03: связь косвенная, это не сопоставление | |
| Respond (RS) · 2 | ||||
| RS.AN-08 | An incident's magnitude is estimated and validated | A.5.25 | Совпадает только CSF RS.AN-08: связь косвенная, это не сопоставление | |
| RS.MA-05 | The criteria for initiating incident recovery are applied | A.5.25 | Совпадает только CSF RS.MA-05: связь косвенная, это не сопоставление | |
Сопоставлено (89)
| NIST CSF 2.0 | Требование | Совпадение | ISO 27001 | Доказательства |
|---|---|---|---|---|
| Detect (DE) · 11 | ||||
| DE.AE-02 | Potentially adverse events are analyzed to better understand associated activities | Соответствия | A.8.16 | Та же тема: Обнаружение вторжений, Обнаружение аномалий |
| DE.AE-03 | Information is correlated from multiple sources | Соответствия | A.5.25A.8.15A.8.16+1 | Та же тема: SIEM / SOC, Логирование и аудит |
| DE.AE-04 | The estimated impact and scope of adverse events are understood | Соответствия | A.8.16 | Та же тема: Обнаружение аномалий |
| DE.AE-06 | Information on adverse events is provided to authorized staff and tools | Соответствия | A.5.25A.8.16 | Та же тема: SIEM / SOC |
| DE.AE-07 | Cyber threat intelligence and other contextual information are integrated into the analysis | Соответствия | A.5.7 | Та же тема: Разведка угроз |
| DE.AE-08 | Incidents are declared when adverse events meet the defined incident criteria | Соответствия | A.5.25A.8.16 | Та же тема: SIEM / SOC |
| DE.CM-01 | Networks and network services are monitored to find potentially adverse events | Соответствия | A.8.16A.8.20A.8.21 | Та же тема: Непрерывный мониторинг, Обнаружение вторжений, Безопасность DNS, WAF |
| DE.CM-02 | The physical environment is monitored to find potentially adverse events | Соответствия | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность |
| DE.CM-03 | Personnel activity and technology usage are monitored to find potentially adverse events | Соответствия | A.6.1A.6.4A.8.16 | Та же тема: Внутренние угрозы, Непрерывный мониторинг |
| DE.CM-06 | External service provider activities and services are monitored to find potentially adverse events | Соответствия | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков |
| DE.CM-09 | Computing hardware and software, runtime environments, and their data are monitored to find potentially adverse events | Соответствия | A.5.14A.8.16A.8.19+2 | Та же тема: Безопасность электронной почты, Непрерывный мониторинг, Обнаружение аномалий, Защита конечных точек |
| Govern (GV) · 22 | ||||
| GV.OC-01 | The organizational mission is understood and informs cybersecurity risk management | Соответствия | Clause 4.1Clause 4.2 | Та же тема: Бизнес-среда |
| GV.OC-03 | Legal, regulatory, and contractual requirements regarding cybersecurity - including privacy and civil liberties obligations - are understood and managed | Соответствия | A.5.31Clause 9.1A.5.36 | Та же тема: Соответствие требованиям |
| GV.OC-04 | Critical objectives, capabilities, and services that external stakeholders depend on or expect from the organization are understood and communicated | Соответствия | A.5.29A.5.30A.8.14+2 | Та же тема: Непрерывность бизнеса |
| GV.OC-05 | Outcomes, capabilities, and services that the organization depends on are understood and communicated | Соответствия | Clause 4.1Clause 4.2 | Та же тема: Бизнес-среда |
| GV.OV-03 | Organizational cybersecurity risk management performance is evaluated and reviewed for adjustments needed | Соответствия | A.5.31Clause 9.1A.5.36 | Та же тема: Соответствие требованиям |
| GV.PO-01 | Policy for managing cybersecurity risks is established based on organizational context, cybersecurity strategy, and priorities and is communicated and enforced | Соответствия | A.5.1A.5.37Clause 5.2 | Та же тема: Политика управления |
| GV.PO-02 | Policy for managing cybersecurity risks is reviewed, updated, communicated, and enforced to reflect changes in requirements, threats, technology, and organizational mission | Соответствия | A.5.1A.5.37Clause 5.2 | Та же тема: Политика управления |
| GV.RM-01 | Risk management objectives are established and agreed to by organizational stakeholders | Соответствия | Clause 6.1.1Clause 6.1.3 | Та же тема: Управление рисками |
| GV.RM-02 | Risk appetite and risk tolerance statements are established, communicated, and maintained | Соответствия | Clause 6.1.1Clause 6.1.3 | Та же тема: Управление рисками |
| GV.RM-03 | Cybersecurity risk management activities and outcomes are included in enterprise risk management processes | Соответствия | Clause 6.1.1Clause 6.1.3 | Та же тема: Управление рисками |
| GV.RM-06 | A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated | Соответствия | Clause 6.1.1Clause 6.1.3 | Та же тема: Управление рисками |
| GV.RR-01 | Organizational leadership is responsible and accountable for cybersecurity risk and fosters a culture that is risk-aware, ethical, and continually improving | Соответствия | A.5.2A.5.4 | Та же тема: Роли и обязанности |
| GV.RR-02 | Roles, responsibilities, and authorities related to cybersecurity risk management are established, communicated, understood, and enforced | Соответствия | A.5.2A.5.4 | Та же тема: Роли и обязанности |
| GV.RR-03 | Adequate resources are allocated commensurate with the cybersecurity risk strategy, roles, responsibilities, and policies | Соответствия | A.5.2A.5.4 | Та же тема: Роли и обязанности |
| GV.RR-04 | Cybersecurity is included in human resources practices | Соответствия | A.6.1A.6.4A.8.16 | Та же тема: Внутренние угрозы |
| GV.SC-01 | A cybersecurity supply chain risk management program, strategy, objectives, policies, and processes are established and agreed to by organizational stakeholders | Соответствия | A.5.19A.5.21 | Та же тема: Управление рисками цепочки поставок |
| GV.SC-03 | Cybersecurity supply chain risk management is integrated into cybersecurity and enterprise risk management, risk assessment, and improvement processes | Соответствия | A.5.19A.5.21 | Та же тема: Управление рисками цепочки поставок |
| GV.SC-04 | Suppliers are known and prioritized by criticality | Соответствия | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков |
| GV.SC-05 | Requirements to address cybersecurity risks in supply chains are established, prioritized, and integrated into contracts and other types of agreements with suppliers and other relevant third parties | Соответствия | A.5.19A.5.21 | Та же тема: Управление рисками цепочки поставок |
| GV.SC-06 | Planning and due diligence are performed to reduce risks before entering into formal supplier or other third-party relationships | Соответствия | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков |
| GV.SC-07 | The risks posed by a supplier, their products and services, and other third parties are understood, recorded, prioritized, assessed, responded to, and monitored over the course of the relationship | Соответствия | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков |
| GV.SC-09 | Supply chain security practices are integrated into cybersecurity and enterprise risk management programs, and their performance is monitored throughout the technology product and service life cycle | Соответствия | A.5.19A.5.21 | Та же тема: Управление рисками цепочки поставок |
| Identify (ID) · 18 | ||||
| ID.AM-01 | Inventories of hardware managed by the organization are maintained | Соответствия | A.5.9A.5.11A.7.14 | Та же тема: Управление активами |
| ID.AM-02 | Inventories of software, services, and systems managed by the organization are maintained | Соответствия | A.5.9A.5.11A.7.14 | Та же тема: Управление активами |
| ID.AM-03 | Representations of the organization's authorized network communication and internal and external network data flows are maintained | Соответствия | A.8.20A.8.21A.8.22 | Та же тема: Межсетевой экран / сегментация сети |
| ID.AM-04 | Inventories of services provided by suppliers are maintained | Соответствия | A.5.9A.5.11A.5.23+1 | Та же тема: Управление активами, Безопасность облачных сред |
| ID.AM-05 | Assets are prioritized based on classification, criticality, resources, and impact on the mission | Соответствия | A.5.12A.5.13 | Та же тема: Классификация данных |
| ID.AM-07 | Inventories of data and corresponding metadata for designated data types are maintained | Соответствия | A.5.12A.5.13 | Та же тема: Классификация данных |
| ID.AM-08 | Systems, hardware, software, services, and data are managed throughout their life cycles | Соответствия | A.5.9A.5.11A.7.14 | Та же тема: Управление активами |
| ID.IM-03 | Improvements are identified from execution of operational processes, procedures, and activities | Соответствия | A.5.27Clause 10.1 | Та же тема: Извлечённые уроки |
| ID.IM-04 | Incident response plans and other cybersecurity plans that affect operations are established, communicated, maintained, and improved | Соответствия | A.5.24A.5.25A.5.26+2 | Та же тема: Реагирование на инциденты |
| ID.RA-01 | Vulnerabilities in assets are identified, validated, and recorded | Соответствия | A.8.8 | Та же тема: Управление уязвимостями |
| ID.RA-02 | Cyber threat intelligence is received from information sharing forums and sources | Соответствия | A.5.7 | Та же тема: Разведка угроз |
| ID.RA-03 | Internal and external threats to the organization are identified and recorded | Соответствия | A.5.7Clause 6.1.2Clause 6.1.3 | Та же тема: Разведка угроз, Оценка рисков |
| ID.RA-04 | Potential impacts and likelihoods of threats exploiting vulnerabilities are identified and recorded | Соответствия | Clause 6.1.2Clause 6.1.3 | Та же тема: Оценка рисков |
| ID.RA-05 | Threats, vulnerabilities, likelihoods, and impacts are used to understand inherent risk and inform risk response prioritization | Соответствия | Clause 6.1.2Clause 6.1.3 | Та же тема: Оценка рисков |
| ID.RA-06 | Risk responses are chosen, prioritized, planned, tracked, and communicated | Соответствия | Clause 6.1.2Clause 6.1.3 | Та же тема: Оценка рисков |
| ID.RA-08 | Processes for receiving, analyzing, and responding to vulnerability disclosures are established | Соответствия | A.8.8 | Та же тема: Управление уязвимостями |
| ID.RA-09 | The authenticity and integrity of hardware and software are assessed prior to acquisition and use | Соответствия | A.5.19A.5.21 | Та же тема: Управление рисками цепочки поставок |
| ID.RA-10 | Critical suppliers are assessed prior to acquisition | Соответствия | A.5.19A.5.20A.5.22 | Та же тема: Управление рисками поставщиков |
| Protect (PR) · 19 | ||||
| PR.AA-01 | Identities and credentials for authorized users, services, and hardware are managed by the organization | Соответствия | A.5.15A.5.16A.5.18+1 | Та же тема: Контроль доступа |
| PR.AA-03 | Users, services, and hardware are authenticated | Соответствия | A.5.15A.8.5A.8.22+1 | Та же тема: Нулевое доверие, Многофакторная аутентификация, Безопасность API |
| PR.AA-04 | Identity assertions are protected, conveyed, and verified | Соответствия | A.5.15A.8.5A.8.22 | Та же тема: Нулевое доверие |
| PR.AA-05 | Access permissions, entitlements, and authorizations are defined in a policy, managed, enforced, and reviewed, and incorporate the principles of least privilege and separation of duties | Соответствия | A.5.15A.5.16A.5.18+7 | Та же тема: Контроль доступа, Нулевое доверие |
| PR.AA-06 | Physical access to assets is managed, monitored, and enforced commensurate with risk | Соответствия | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность |
| PR.AT-01 | Personnel are provided with awareness and training so that they possess the knowledge and skills to perform general tasks with cybersecurity risks in mind | Соответствия | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение |
| PR.AT-02 | Individuals in specialized roles are provided with awareness and training so that they possess the knowledge and skills to perform relevant tasks with cybersecurity risks in mind | Соответствия | A.6.3Clause 7.3 | Та же тема: Осведомлённость и обучение |
| PR.DS-01 | The confidentiality, integrity, and availability of data-at-rest are protected | Соответствия | A.5.14A.8.10A.8.11+2 | Та же тема: Защита данных |
| PR.DS-02 | The confidentiality, integrity, and availability of data-in-transit are protected | Соответствия | A.5.14A.8.10A.8.11+2 | Та же тема: Защита данных, Безопасность электронной почты |
| PR.DS-10 | The confidentiality, integrity, and availability of data-in-use are protected | Соответствия | A.5.14A.8.10A.8.11+1 | Та же тема: Защита данных |
| PR.DS-11 | Backups of data are created, protected, maintained, and tested | Соответствия | A.8.13 | Та же тема: Резервное копирование и восстановление |
| PR.IR-01 | Networks and environments are protected from unauthorized logical access and usage | Соответствия | A.5.15A.5.23A.8.5+4 | Та же тема: Нулевое доверие, Безопасность облачных сред, Безопасность API |
| PR.IR-02 | The organization's technology assets are protected from environmental threats | Соответствия | A.7.1A.7.2A.7.3+6 | Та же тема: Физическая безопасность |
| PR.IR-03 | Mechanisms are implemented to achieve resilience requirements in normal and adverse situations | Соответствия | A.5.29A.5.30A.8.14 | Та же тема: Непрерывность бизнеса, Аварийное восстановление |
| PR.PS-01 | Configuration management practices are established and applied | Соответствия | A.5.23A.8.1A.8.9+1 | Та же тема: Безопасность облачных сред, Безопасность мобильных устройств, Безопасная конфигурация |
| PR.PS-02 | Software is maintained, replaced, and removed commensurate with risk | Соответствия | A.8.8 | Та же тема: Управление исправлениями |
| PR.PS-04 | Log records are generated and made available for continuous monitoring | Соответствия | A.8.15A.8.17 | Та же тема: Логирование и аудит |
| PR.PS-05 | Installation and execution of unauthorized software are prevented | Соответствия | A.8.19A.8.1A.8.7 | Та же тема: Защита конечных точек |
| PR.PS-06 | Secure software development practices are integrated, and their performance is monitored throughout the software development life cycle | Соответствия | A.8.5A.8.25A.8.26+2 | Та же тема: Безопасность API, Безопасная разработка, Безопасность веб-приложений |
| Recover (RC) · 8 | ||||
| RC.CO-03 | Recovery activities and progress in restoring operational capabilities are communicated to designated internal and external stakeholders | Соответствия | A.5.26Clause 7.4 | Та же тема: Коммуникации и восстановление |
| RC.CO-04 | Public updates on incident recovery are shared using approved methods and messaging | Соответствия | A.5.26Clause 7.4 | Та же тема: Коммуникации и восстановление |
| RC.RP-01 | The recovery portion of the incident response plan is executed once initiated from the incident response process | Соответствия | A.5.29A.5.30 | Та же тема: Планирование восстановления |
| RC.RP-02 | Recovery actions are selected, scoped, prioritized, and performed | Соответствия | A.5.29A.5.30A.8.14 | Та же тема: Планирование восстановления, Аварийное восстановление |
| RC.RP-03 | The integrity of backups and other restoration assets is verified before using them for restoration | Соответствия | A.8.13 | Та же тема: Резервное копирование и восстановление |
| RC.RP-04 | Critical mission functions and cybersecurity risk management are considered to establish post-incident operational norms | Соответствия | A.5.29A.5.30A.8.14 | Та же тема: Непрерывность бизнеса |
| RC.RP-05 | The integrity of restored assets is verified, systems and services are restored, and normal operating status is confirmed | Соответствия | A.5.26A.5.30A.8.14+1 | Та же тема: Коммуникации и восстановление, Аварийное восстановление |
| RC.RP-06 | The end of incident recovery is declared based on criteria, and incident-related documentation is completed | Соответствия | A.5.27Clause 10.1 | Та же тема: Извлечённые уроки |
| Respond (RS) · 11 | ||||
| RS.AN-03 | Analysis is performed to establish what has taken place during an incident and the root cause of the incident | Соответствия | A.5.28 | Та же тема: Криминалистический анализ |
| RS.AN-06 | Actions performed during an investigation are recorded, and the records' integrity and provenance are preserved | Соответствия | A.5.28 | Та же тема: Криминалистический анализ |
| RS.AN-07 | Incident data and metadata are collected, and their integrity and provenance are preserved | Соответствия | A.5.28 | Та же тема: Криминалистический анализ |
| RS.CO-02 | Internal and external stakeholders are notified of incidents | Соответствия | A.5.5A.6.8 | Та же тема: Отчётность |
| RS.CO-03 | Information is shared with designated internal and external stakeholders | Соответствия | Clause 7.4A.5.6 | Та же тема: Коммуникация |
| RS.MA-01 | The incident response plan is executed in coordination with relevant third parties once an incident is declared | Соответствия | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты |
| RS.MA-02 | Incident reports are triaged and validated | Соответствия | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты |
| RS.MA-03 | Incidents are categorized and prioritized | Соответствия | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты |
| RS.MA-04 | Incidents are escalated or elevated as needed | Соответствия | A.5.24A.5.25A.5.26 | Та же тема: Реагирование на инциденты |
| RS.MI-01 | Incidents are contained | Соответствия | A.5.26 | Та же тема: Митигация |
| RS.MI-02 | Incidents are eradicated | Соответствия | A.5.26 | Та же тема: Митигация |
По темам
Охватывают оба (50):
Политика управленияОсведомлённость и обучениеУправление рискамиУправление рисками цепочки поставокРоли и обязанностиСоответствие требованиямУправление активамиОценка рисковБизнес-средаКлассификация данныхУправление уязвимостямиРазведка угрозКонтроль доступаМногофакторная аутентификацияШифрованиеЗащита данныхРезервное копирование и восстановлениеПривилегированный доступМежсетевой экран / сегментация сетиЗащита конечных точекУправление исправлениямиБезопасная конфигурацияБезопасная разработкаБезопасность электронной почтыБезопасность веб-приложенийНулевое довериеБезопасность мобильных устройствБезопасность облачных средБезопасность DNSWAFDLPНепрерывный мониторингЛогирование и аудитОбнаружение вторженийОбнаружение аномалийSIEM / SOCРеагирование на инцидентыКриминалистический анализКоммуникацияМитигацияОтчётностьПланирование восстановленияНепрерывность бизнесаИзвлечённые урокиКоммуникации и восстановлениеАварийное восстановлениеБезопасность APIВнутренние угрозыУправление рисками поставщиковФизическая безопасность
Вопросы
Можно ли получить сертификат по NIST CSF?
Нет. NIST не выдаёт сертификатов: организации проводят самооценку или заказывают независимую оценку. Сертифицируемый вариант — ISO 27001.
Проще ли NIST CSF, чем ISO 27001?
Он менее предписывающий и не предполагает аудита, поэтому начать с него проще. По существу он не легче: охватить все результаты CSF 2.0 можно только при зрелой программе.
Откуда берётся сопоставление?
Из собственных информативных ссылок NIST для CSF 2.0 и сопоставления NIST SP 800-53 → ISO 27001. См. методологию.
ISO 27001 строже, чем NIST CSF?
Строгость у них разная. ISO 27001 проверяется аудитом, допускает сертификацию и требует системы менеджмента; NIST CSF шире по охвату (особенно в части управления и рисков цепочки поставок начиная с версии 2.0), но аудита не предполагает. Строгость зависит от того, как каждый из стандартов внедрён.
Могут ли NIST CSF и ISO 27001 использовать одну оценку рисков?
Да. Оценка рисков, которая соответствует требованиям ISO 27001 к документированной методике, владельцам и критериям приемлемости, также поддерживает результаты CSF по управлению рисками.
Требует ли правительство США ISO 27001?
Как правило, нет. Федеральные системы США используют NIST SP 800-53 и Risk Management Framework; CSF широко применяется в частном секторе. ISO 27001 чаще требуют международные клиенты.
Нужно ли покупать ISO 27001, чтобы им пользоваться?
Да, стандарт продаётся через ISO и национальные органы по стандартизации. NIST CSF и его соответствия можно бесплатно скачать.
Что лучше для малого бизнеса?
NIST CSF бесплатен и проще для старта; ISO 27001 оправдан, когда клиенты или тендеры требуют сертификацию. Многие малые компании начинают с CSF и сертифицируются позже.
Идентификаторы и названия требований приведены так, как их публикует каждый фреймворк, на английском языке.
Соответствия связь установлена опубликованной таблицей соответствий (NIST, ENISA, CIS, PCI SSC) · Редакционные материалы Суждение ControlMapping там, где таблицы соответствий не существует; причина указана · есть только общий результат CSF 2.0: стоит проверить, но это не сопоставление · Нет сопоставления в наших данных в наших данных ничего не сопоставлено; часто это новая работа, но проверьте примечания о покрытии. Сопоставлено = собрано вместе в одной теме ControlMapping или связано напрямую. Таблицы соответствия не подтверждают соблюдение требований. Методология · Скачать данные · Сообщить об ошибке.