چارچوب امنیت سایبری NIST 2.0: تقویت دفاع سایبری

در این مقاله در ایران گواه به “چارچوب امنیت سایبری NIST 2.0: تقویت دفاع سایبری” خواهیم پرداخت. با توجه به اشتراک‌گذاری نفوذ فناوری به تقریباً همه ابعاد زندگی ما، امنیت سایبری به یک موضوع بزرگ جهانی تبدیل شده است.

با پیچیدگی تهدیدات سایبری، سازمان‌های مختلف در اندازه‌ها و صنایع متنوع نیاز به یک استراتژی قوی امنیت سایبری دارند تا از داده‌های خود در برابر این تهدیدات حفاظت کنند. به منظور مقابله با این چالش‌ها و ارائه راهنمایی به سازمان‌ها، موسسه ملی استاندارد و فناوری (NIST) چارچوب امنیت سایبری NIST 2.0 (CSF 2.0) را معرفی کرده است.

مرور کوتاهی بر چارچوب امنیت سایبری NIST 2.0

NIST Cybersecurity Framework 2.0 نمایانگر یک نسخه به‌روز و بهبود یافته از نسخه‌ی قبلی‌اش، یعنی CSF 1.1، است. این چارچوب به عنوان یک مجموعه جامع از دستورالعمل‌ها، بهترین روش‌ها و توصیه‌ها طراحی شده تا به سازمان‌ها در مدیریت بهتر و کاهش خطرات امنیت سایبری کمک کند.

چارچوب اصلی امنیت سایبری NIST در سال 2014 منتشر شد تا نیاز روزافزون به تدابیر استاندارد امنیت سایبری در صنایع مختلف را برطرف کند. این چارچوب به سازمان‌ها زبان مشترکی برای ارتباط در مورد مدیریت ریسک‌های امنیت سایبری ارائه داد. با توسعه سریع فناوری و ظهور تهدیدات جدید سایبری، نیاز به یک چارچوب به‌روز شده واضح شد که به ایجاد CSF 2.0 منجر شد.

CSF 2.0 نتیجه همکاری گسترده میان NIST و جامعه جهانی امنیت سایبری است. بازخورد و دیدگاه‌های کارشناسان، متخصصان و سازمان‌ها نقش مهمی در شکل‌دهی به چارچوب ایفا کرده‌اند.

تغییرات اصلی در چارچوب NIST چیست؟

استفاده گسترده تر از چارچوب:
یکی از اصلی‌ترین تغییرات در نامگذاری و دامنه چارچوب وجود دارد. به‌منظور تطابق بیشتر با پذیرش گسترده‌تر، عنوان آن به “چارچوب امنیت سایبری” ساده‌تر شده و از نام اصلی “چارچوب برای بهبود امنیت سایبری زیرساخت حیاتی” کاسته شده است.

علاوه بر این، دامنه چارچوب گسترش یافته و تمرکز آن از برنامه‌های زیرساختی حیاتی به همه سازمان‌ها تغییر کرده است. این تغییر نشان دهنده کاربرد جهانی این چارچوب در مدیریت خطرات امنیت سایبری برای صنایع و بخش‌های مختلف است و در سطح بین‌المللی تأکید می‌شود که امنیت سایبری یک نگرانی جهانی برای سازمان‌هاست.

ادغام با سایر چارچوب‌ها و منابع:
با توجه به ماهیت پویای چشم‌انداز امنیت سایبری، CSF 2.0 ارتباطات قوی‌تری با سایر چارچوب‌ها و منابع مرتبط برقرار می‌کند. NIST منابع مختلف را با دقت بررسی و آنها را در چارچوب جای داده است، از جمله اشاره به چارچوب حریم خصوصی NIST، چارچوب نیروی کار NICE برای امنیت سایبری، چارچوب توسعه نرم‌افزار امن، شیوه‌های مدیریت ریسک زنجیره تامین امنیت سایبری و موارد دیگر. این ادغام‌ها تضمین می‌کند که CSF یک ابزار یکپارچه و سازگار در اکوسیستم گسترده‌تر چارچوب امنیت سایبری باقی بماند.

راهنمای پیشرفته برای اجرا:
NIST Cybersecurity Framework 2.0 با معرفی مثال‌های پیاده‌سازی که راهنمایی‌های گام به گام عملی را برای وظایف خاص ارائه می‌دهد، پشتیبانی از اجرا را تقویت می‌کند. نمایه‌های چارچوب نیز بهبود یافته و گام‌ها و اهداف مشخصی برای تنظیم چارچوب ارائه می‌دهند. الگوهای مفهومی نقاط شروعی را برای ایجاد نمایه‌های چارچوب سفارشی و برنامه‌های اقدام ارائه می‌دهند. این تغییرات پیاده‌سازی و سازگاری را ساده‌تر می‌کنند.

تأکید بیشتر بر حاکمیت امنیت سایبری:
CSF 2.0 یک تابع جدید به نام “Govern” معرفی می‌کند که مواردی از جمله زمینه سازمانی، استراتژی مدیریت ریسک، مدیریت ریسک زنجیره تامین امنیت سایبری، نقش‌ها، مسئولیت‌ها، سیاست‌ها، فرآیندها، رویه‌ها و نظارت را در بر می‌گیرد. این تغییر نقش حیاتی توسعه نرم‌افزار ایمن و مدیریت ریسک زنجیره تامین را در حفظ انعطاف‌پذیری امنیت سایبری سازمان تأیید می‌کند. محتوا به دقت به‌روز شده تا آخرین دستورالعمل‌ها و شیوه‌های NIST در این حوزه را منعکس کند.

وضوح در سنجش و ارزیابی امنیت سایبری:
در CSF 2.0، درک سنجش و ارزیابی امنیت سایبری بهبود یافته و جامع‌تر شده است. با ارائه اطلاعات به‌روز در مورد ارزیابی امنیت سایبری به اشاره به NIST SP 800-55، این چارچوب ارزشیابی امنیت سایبری را بهبود داده است. مفهوم “Tiers” با تأکید بر حاکمیت امنیت سایبری، مدیریت ریسک و ملاحظات شخص ثالث تغییر کرده و اهمیت بهبود مستمر از طریق دسته‌ی جدیدی به نام “بهبود” در تابع “شناسایی” تأکید شده است.

مقایسه چارچوب‌های کلیدی امنیت سایبری: NIST، CMMC، و ISO/IEC 27032

علاوه بر چارچوب امنیت سایبری NIST، چارچوب‌های امنیت سایبری مهم دیگری نیز وجود دارد که در میان آنها گواهی‌نامه مدل بلوغ امنیت سایبری (CMMC) و ISO/IEC 27032، هر یک رویکرد منحصر به فردی را در افزایش امنیت سایبری سازمانی ارائه می‌دهند.

CMMC – تقویت امنیت سایبری دفاعی:
CMMC، تحت رهبری وزارت دفاع ایالات متحده، تضمین می‌کند که پیمانکارانی که اطلاعات طبقه بندی نشده کنترل شده (CUI) را مدیریت می‌کنند، استانداردهای امنیت سایبری را رعایت می‌کنند. مدل لایه‌ای آن، از سطح 1 تا 5، کنترل‌ها را برای افزایش بلوغ امنیت سایبری در زنجیره تامین دفاعی تشدید می‌کند. با ادغام جنبه‌های NIST CSF و ISO/IEC 27001، CMMC یک استاندارد یکپارچه برای افزایش آمادگی کلی امنیت سایبری در قراردادهای دفاعی ایجاد می‌کند.

ISO/IEC 27032 – ارتقاء امنیت سایبری مشارکتی:

ISO/IEC 27032 دستورالعمل‌هایی را برای تقویت امنیت سایبری از طریق همکاری جهانی ارائه می‌دهد که بر اشتراک‌گذاری اطلاعات و همکاری بین دولت‌ها، سازمان‌ها و افراد تأکید دارد. با پرداختن به چالش‌های سایبری مدرن، رویکرد جمعی برای پاسخ به ریسک را ترویج می‌کند و از چارچوب‌ها و سیاست‌های بین‌المللی برای حفاظت از محیط‌های دیجیتال در سراسر مرزهای به هم پیوسته دفاع می‌کند.