NIST CSF 2.0: Novità nel Framework per la Cybersecurity

Introduzione: Perché NIST CSF 2.0 è importante

Dal suo primo rilascio nel 2014, il NIST Cybersecurity Framework (CSF) è diventato lo standard d’oro per la gestione del rischio di cybersecurity. Le organizzazioni lo utilizzano per formulare i loro programmi di sicurezza, comunicare il rischio e allineare i controlli tecnici con gli obiettivi aziendali. Il 26 febbraio 2024, NIST ha rilasciato CSF 2.0, segnando il primo aggiornamento importante dalla versione 1.1 di aprile 2018. Questo aggiornamento riflette un cambiamento fondamentale nel modo in cui ci si aspetta che le organizzazioni affrontino la cybersecurity nell’attuale complesso ambiente digitale.

Perché questo è un aggiornamento importante

CSF 2.0 è plasmato da anni di utilizzo reale, minacce emergenti e realtà aziendali in evoluzione. Alcuni cambiamenti chiave includono:

• La governance è ora una funzione centrale, con enfasi sulla responsabilità della leadership e sulla cybersecurity come rischio aziendale, non solo una questione tecnica.
• L'applicabilità del framework si estende a organizzazioni di tutti i tipi e settori.
• La gestione del rischio nella catena di approvvigionamento è elevata a priorità strategica in mezzo a crescenti minacce legate a terze parti e fornitori.
• Sono state aggiunte nuove risorse per l'implementazione per aiutare le organizzazioni ad adottare il framework in modo più efficace.

Chi dovrebbe usare CSF 2.0

Mentre le versioni precedenti del framework affrontavano le infrastrutture critiche, CSF 2.0 è progettato per tutte le organizzazioni, dalle imprese globali alle piccole e medie imprese. Fornisce indicazioni per organizzazioni a diversi livelli di maturità della cybersecurity, aiutandole a dare priorità alle azioni basate su rischio, risorse e obiettivi aziendali. Che tu voglia costruire un programma di sicurezza da zero o migliorare uno esistente, CSF 2.0 offre una base solida e scalabile. Gli scenari di esempio includono:

• Una startup sanitaria che sta costruendo il suo primo programma di sicurezza.
• Un produttore che affronta nuovi requisiti di sicurezza della catena di approvvigionamento da parte dei clienti.
• Un CISO aziendale che allinea la strategia di sicurezza con le discussioni sui rischi a livello del consiglio.

Cos'è il Framework di Cybersecurity NIST?

Il NIST Cybersecurity Framework (CSF) è un insieme volontario di linee guida e best practice sviluppato dal National Institute of Standards and Technology per aiutare le organizzazioni a comprendere, gestire e ridurre il rischio informatico. Più specificamente, organizza le attività di cybersecurity attorno a sei Funzioni Core: Govern, Identify, Protect, Detect, Respond e Recover.

CSF è flessibile, basato sul rischio e può funzionare insieme ai programmi di sicurezza esistenti. Le organizzazioni possono adattarlo in base alle loro dimensioni, livello di maturità, settore, ambiente normativo e tolleranza al rischio. Il framework non prescrive strumenti o controlli specifici, ma fornisce un linguaggio comune e una struttura che i leader della sicurezza, IT e business possono utilizzare per allineare le priorità e prendere decisioni informate.

CSF vs. standard di conformità

CSF non è una lista di controllo per la conformità né una valutazione superata/non superata; è un framework di gestione del rischio. Mentre gli standard di conformità ti dicono cosa fare, CSF ti aiuta a capire perché è importante e come stabilire le priorità in base al rischio. Le organizzazioni usano CSF per:

• Valuta la loro attuale postura di cybersecurity e identifica le lacune.
• Definisci gli stati target, cioè stabilisci obiettivi misurabili su dove l'organizzazione deve trovarsi rispetto a ciascuna funzione di sicurezza, basandoti sulla tolleranza al rischio e sulle priorità aziendali.
• Comunica il rischio informatico ai dirigenti, al consiglio e ad altri stakeholder traducendo le questioni tecniche di sicurezza in un linguaggio aziendale che tutti comprendono.
• Supporta gli sforzi normativi e di conformità mappando i controlli CSF ai framework di conformità per evitare sforzi duplicati.

Componenti principali del framework

Il Framework di Cybersecurity NIST è costruito attorno a un insieme di componenti che aiutano le organizzazioni a strutturare, valutare e migliorare i loro programmi di cybersecurity. Questi componenti lavorano insieme per tradurre gli obiettivi di gestione del rischio di alto livello in risultati. Le organizzazioni possono utilizzare il Core per definire i risultati, i Profiles per valutare e pianificare, e i Tiers per comprendere il loro livello di gestione del rischio.

Il nucleo CSF

Il nucleo CSF definisce i risultati di cybersecurity che un'organizzazione dovrebbe cercare di raggiungere. Organizza questi risultati in:

Profili

I profili aiutano le organizzazioni a mappare le loro attività e obiettivi di cybersecurity al CSF Core in modo che rifletta la loro realtà attuale e i loro obiettivi futuri. Questi profili dovrebbero allinearsi ai requisiti aziendali dell'organizzazione, alla tolleranza al rischio, agli obblighi legali e normativi e alle risorse disponibili.

Confrontando i Profili Corrente e Obiettivo, le organizzazioni possono identificare le lacune, stabilire le priorità e sviluppare roadmap per rafforzare la loro postura di sicurezza.

Livelli

I livelli aiutano le organizzazioni a descrivere il rigore e la sofisticazione delle loro pratiche di gestione del rischio informatico. Non sono livelli di maturità e non ci si aspetta che le organizzazioni li attraversino. Invece, un'organizzazione dovrebbe selezionare il livello appropriato al proprio Profilo.

Principali cambiamenti in NIST CSF 2.0

Gli aggiornamenti introdotti in NIST CSF 2.0 riflettono come viene praticata la cybersecurity oggi. Questi cambiamenti rendono il framework più accessibile e rilevante per organizzazioni di tutte le dimensioni e settori.

Rinominato per una maggiore applicabilità

Uno dei cambiamenti più evidenti in CSF 2.0 è proprio il nome. NIST ha rimosso “for Improving Critical Infrastructure” dal nome. Ora è semplicemente il “Cybersecurity Framework” ed è intenzionale. Mentre CSF inizialmente era rivolto alle organizzazioni che gestiscono infrastrutture critiche, organizzazioni di tutte le dimensioni e settori lo utilizzano da anni. Il nuovo nome riflette questa realtà e rafforza l’intento di NIST che il framework sia adatto a tutte le organizzazioni.

Guida ampliata per piccole e medie imprese (PMI)

CSF 2.0 fornisce un maggiore supporto alle PMI che non dispongono di team di sicurezza dedicati e di budget estesi. Introduce guide rapide e esempi di implementazione su misura per PMI con maturità e risorse limitate in materia di cybersecurity. Questi aggiustamenti aiutano le PMI a concentrarsi su miglioramenti pratici basati sul rischio anziché tentare di implementare l'intero framework contemporaneamente, rendendo l'adozione facile e realizzabile.

Linguaggio più chiaro e terminologia aggiornata

NIST ha ascoltato i feedback e ha semplificato il linguaggio e la struttura del framework, rendendolo più chiaro e coerente. Le definizioni sono più chiare, il gergo è ridotto e la terminologia è aggiornata per riflettere le pratiche, le tecnologie e le strutture organizzative moderne della cybersecurity. Questo rende il framework più facile da comprendere e applicare, in particolare per gli stakeholder non tecnici come dirigenti, responsabili del rischio e membri del consiglio.

Nuove risorse per l'implementazione

CSF 2.0 offre risorse migliorate che aiutano le organizzazioni a tradurre i requisiti di alto livello in azioni concrete, rendendo l’implementazione meno impegnativa. Queste includono:

• Esempi di implementazione per ogni sottocategoria, con indicazioni su come raggiungere i risultati.
• Guide rapide personalizzate per diversi ruoli e tipi di organizzazione.
• Strumenti di riferimento che mappano i risultati CSF su altri framework che potresti già utilizzare.
• Profili della Comunità, che forniscono indicazioni specifiche per settore e fungono da punto di partenza per organizzazioni con ambienti di rischio simili.

La nuova funzione ‘Govern’

Se c’è un cambiamento che indica la direzione della cybersecurity, è questo: Govern è ora una Funzione autonoma. Nelle versioni precedenti del framework, le attività legate alla governance erano distribuite tra altre funzioni. Raggruppandole in una nuova Funzione, NIST sta facendo una dichiarazione chiara: la cybersecurity non è solo un problema IT, ma un rischio aziendale. Una cybersecurity efficace richiede il coinvolgimento della leadership, responsabilità e allineamento con gli obiettivi organizzativi. La leadership esecutiva e il consiglio hanno un ruolo definito nel definire la direzione, la tolleranza al rischio e nel supervisionare la strategia di cybersecurity.

Categorie all'interno di Govern

La funzione Govern del NIST CSF è composta da sei categorie che si concentrano sulla leadership, responsabilità e gestione del rischio a livello organizzativo.

Perché la governance ora?

Nel tempo, la cybersecurity è passata da una questione IT a una responsabilità a livello di consiglio di amministrazione. Diverse violazioni di alto profilo hanno dimostrato che una cattiva governance può portare a conseguenze finanziarie, operative e reputazionali. Gli sviluppi normativi, come le regole di divulgazione della cybersecurity della US SEC e la Direttiva NIS2 dell’UE, richiedono ora esplicitamente che la leadership senior e i consigli assumano un ruolo attivo nel supervisionare il rischio di cybersecurity. Elevando la governance a una Funzione Core, CSF 2.0 riconosce formalmente che una cybersecurity efficace dipende dal coinvolgimento della leadership, dalla responsabilità e dall’integrazione con la gestione del rischio d’impresa.

Aggiornamenti alle cinque funzioni originali

Mentre Govern cattura l'attenzione come nuova aggiunta, NIST ha anche perfezionato le cinque Funzioni originali in CSF 2.0 per migliorare chiarezza, usabilità e supporto alle pratiche moderne di cybersecurity.

Identificare (ID)

L'attenzione qui si sposta verso la comprensione del contesto organizzativo e del rischio informatico. Non si tratta solo di catalogare le risorse, ma di sapere perché sono importanti e quali rischi comportano. Le linee guida relative alla gestione delle risorse, all'ambiente aziendale e alla valutazione del rischio sono state perfezionate per essere più pratiche e supportare meglio le decisioni basate sul rischio.

Proteggere (PR)

Gli aggiornamenti alla funzione Protect chiariscono i controlli relativi a Identity Management e accesso, sicurezza dei dati e formazione sulla consapevolezza della sicurezza. Le linee guida sono rivolte ad ambienti moderni come infrastrutture cloud, sistemi ibridi, forza lavoro remota e crescente dipendenza da servizi di terze parti.

Rilevare (DE)

La funzione Detect include indicazioni migliorate sul monitoraggio continuo, il rilevamento delle anomalie e l'analisi degli eventi avversi. Sottolinea l'importanza della rilevazione tempestiva degli eventi di cybersecurity e della visibilità attraverso sistemi, reti e fonti di dati per ridurre l'impatto degli incidenti.

Rispondi (RS)

Nella funzione di risposta, CSF 2.0 fornisce risultati più concreti per le attività di risposta agli incidenti, inclusa la pianificazione della risposta, la gestione degli incidenti, l'analisi, la mitigazione e le comunicazioni interne ed esterne. Questo aiuta le organizzazioni a rispondere in modo più efficace quando si verificano incidenti di cybersecurity.

Recupera (RC)

Il recupero è più che semplicemente rimettere i sistemi online. CSF 2.0 amplia le linee guida sulla pianificazione del recupero, le attività di miglioramento, l'esecuzione fluida dei processi di recupero e il mantenimento di una comunicazione chiara durante tutto il periodo di recupero affinché le parti interessate sappiano qual è la situazione.

Guida ampliata su Profili e Livelli

CSF 2.0 approfondisce come le organizzazioni dovrebbero utilizzare Profili e Livelli di Implementazione come strumenti pratici, non solo concetti teorici.

Creazione di profili organizzativi

CSF 2.0 fornisce indicazioni più chiare e pratiche per sviluppare Profili Organizzativi che riflettano sia le capacità attuali sia gli obiettivi futuri. Si incoraggia le organizzazioni a:

• Valuta il loro Profilo Attuale mappando le pratiche esistenti rispetto ai risultati del CSF. Cosa stai già facendo bene? Dove sono le lacune?
• Definisci un Profilo Target basato sugli obiettivi aziendali, la tolleranza al rischio e i requisiti normativi.
• Eseguire un'analisi delle lacune per individuare le differenze tra i Profili Corrente e Obiettivo.
• Dai priorità agli sforzi di risoluzione in base al rischio, all'impatto e alle risorse.

Profili della community

I profili della comunità sono una novità in CSF 2.0 e rappresentano una svolta per le organizzazioni che non vogliono partire da zero. Questi profili sono sviluppati da gruppi industriali, agenzie governative e altre organizzazioni di settore (sanità, servizi finanziari, manifatturiero, ecc.) per fornire indicazioni su misura per specifici settori, tecnologie e casi d'uso. I profili della comunità fungono da punto di partenza pratico o benchmark, consentendo alle organizzazioni di beneficiare dell'esperienza condivisa e di affrontare i rischi comuni nel proprio settore.

Utilizzare efficacemente i livelli

CSF 2.0 ribadisce che i Livelli di Implementazione sono pensati per fornire contesto, non per classificare o valutare le organizzazioni. I livelli aiutano le organizzazioni a descrivere quanto efficacemente gestiscono il rischio informatico e a comunicare il loro livello agli stakeholder interni ed esterni, inclusi consigli di amministrazione, regolatori, clienti e partner.

Il framework chiarisce anche che non tutte le organizzazioni devono raggiungere il Tier 4. Una piccola organizzazione non profit e una banca multinazionale non dovrebbero puntare allo stesso Tier, ed è perfettamente normale. Il Tier giusto dipende da fattori come la propensione al rischio, il modello di business, gli obblighi normativi e le risorse.

Nuove aree di interesse in NIST CSF 2.0

L'aggiornamento del framework di cybersecurity NIST pone maggiore enfasi su aree diventate critiche a causa di minacce in evoluzione, ambienti complessi e aspettative normative.

Gestione del rischio della catena di approvvigionamento

I rischi della catena di approvvigionamento e dei terzi ricevono una notevole attenzione in CSF 2.0 e sono affrontati in tutto il framework. La nuova funzione Govern include categorie dedicate alla gestione dei rischi di terzi e fornitori, offrendo a stakeholder e dirigenti di livello C una maggiore supervisione di un incidente informatico. I team di sicurezza devono sapere chi ha accesso ai sistemi, come viene utilizzato tale accesso e come rispondere in caso di compromissione.

SolarWinds e incidenti simili hanno evidenziato come le vulnerabilità nei fornitori, nei provider di software e nei partner di servizi possano avere un impatto diffuso. Di conseguenza, CSF 2.0 incoraggia le organizzazioni a considerare il rischio della catena di fornitura come una preoccupazione strategica e a integrarlo nella governance complessiva e nella gestione del rischio.

Tecnologie emergenti

CSF 2.0 ha aggiornato le sue linee guida per riflettere meglio gli ambienti tecnologici moderni e affrontare le sfide di sicurezza attuali. Ciò include considerazioni per sistemi basati su cloud, modelli di lavoro remoto e ibrido, implementazioni di Internet of Things (IoT) e l'uso crescente di intelligenza artificiale e apprendimento automatico. Il framework fornisce indicazioni pratiche per proteggere queste tecnologie senza fingere che siano solo variazioni di vecchi problemi con nuovi nomi.

Integrazione della privacy

La cybersecurity e la privacy vanno di pari passo. Una violazione dei dati è sia un fallimento di sicurezza che una violazione della privacy. CSF 2.0 riconosce questa sovrapposizione e fornisce un allineamento più forte con il NIST Privacy Framework. Ciò consente alle organizzazioni di integrare le considerazioni sulla privacy nei loro programmi di cybersecurity, gestendo così entrambi i rischi in modo coordinato.

Allineamento agli standard internazionali

CSF 2.0 si allinea meglio con gli standard internazionali e di settore, facilitando alle organizzazioni la mappatura dei risultati CSF ai framework di controllo esistenti. Fornisce mappature aggiuntive e riferimenti informativi più chiari a standard come ISO/IEC 27001, CIS Controls e NIST SP 800-171, consentendo alle organizzazioni di dimostrare la conformità a più framework senza duplicare gli sforzi.

Implementazione di NIST CSF 2.0

Che tu stia migrando da CSF 1.1 o iniziando da zero, ecco come affrontare l'implementazione in modo pratico e gestibile.

Analisi delle lacune da CSF 1.1

Se stai già utilizzando CSF 1.1, la buona notizia è che CSF 2.0 si basa su ciò che conosci. Inizia conducendo un'analisi delle lacune rispetto a CSF 2.0. Il seguente approccio consente alle organizzazioni di identificare le lacune e le aree prioritarie mantenendo fluida la transizione.

1. Esamina la nuova funzione Govern valutando le pratiche di governance esistenti rispetto alle categorie GV, come la strategia di gestione del rischio, la supervisione e la gestione del rischio nella catena di approvvigionamento. Probabilmente stai già facendo parte di questo lavoro; ora si tratta di formalizzarlo.
2. Mappa i controlli esistenti alle categorie e sottocategorie aggiornate per capire dove le pratiche attuali sono già allineate.
3. Individua le lacune, con particolare attenzione alle aree che hanno ricevuto maggiore enfasi in CSF 2.0, come la gestione del rischio di terze parti e della catena di approvvigionamento.
4. Aggiorna i Profili Organizzativi per riflettere la struttura CSF 2.0. Il tuo Profilo Attuale dovrebbe considerare la nuova funzione Govern e il tuo Profilo Obiettivo dovrebbe riflettere dove vuoi essere nel quadro aggiornato.

Strategia di adozione graduale

Un approccio a fasi mantiene l'implementazione gestibile e costruisce slancio man mano che procedi.

Come Netwrix supporta l'implementazione di NIST CSF 2.0

Netwrix offre prodotti che supportano direttamente le funzioni chiave del CSF in ambito identità, dati, governance, monitoraggio e risposta. Aiuta le organizzazioni a ottenere visibilità, controllare gli accessi, rilevare minacce e consolidare le prove per dimostrare la conformità.

Identificare: Visibilità su asset e dati IT

Un programma di cybersecurity solido inizia con la conoscenza degli asset e dei dati che possiedi, dove risiedono e quali rischi comportano. Netwrix supporta la Funzione di Identificazione fornendo una profonda visibilità negli ambienti IT ibridi. Consente alle organizzazioni di scoprire gli asset, classificare i dati sensibili e comprendere dove risiede l'informazione critica e regolamentata su file server, database, SharePoint, Office 365 e archiviazione cloud.

• Netwrix Auditor fornisce visibilità su modifiche, configurazioni e accessi attraverso sistemi IT come Active Directory, server di file e Microsoft 365, consentendo alle organizzazioni di identificare le lacune di sicurezza e tracciare l’attività degli utenti.
• Netwrix Data Classification consente alle organizzazioni di scoprire e classificare informazioni sensibili, aiutandole a identificare dati insufficientemente protetti o regolamentati in repository on-premise e cloud.

Insieme, queste soluzioni forniscono una visibilità completa degli asset che supporta direttamente i requisiti della Funzione Identificare per la gestione degli asset e la valutazione del rischio.

Governare: controlli di accesso e applicazione delle policy

• Netwrix Privilege Secure fornisce Privileged Access Management (PAM), consentendo l’accesso just-in-time e riducendo i privilegi amministrativi permanenti. Offre inoltre il monitoraggio e la registrazione delle sessioni per la supervisione e la responsabilità delle attività privilegiate.
• Con capacità di risoluzione dei rischi basate sull'IA, la piattaforma Netwrix 1Secure non solo identifica i rischi per la sicurezza dei dati, ma fornisce anche passaggi di risoluzione personalizzati, con un focus sulle autorizzazioni ad alto rischio che potrebbero esporre i dati.

Queste capacità si collegano direttamente ai risultati di Govern relativi a ruoli, responsabilità, supervisione e controllo degli accessi di fornitori o terze parti.

Rilevare: Monitoraggio delle modifiche e rilevamento delle anomalie

Il monitoraggio continuo e il rilevamento precoce aiutano a limitare l'impatto degli incidenti informatici. Netwrix rafforza la Funzione Detect migliorando la visibilità delle attività sospette e dei cambiamenti imprevisti.

• Netwrix Auditor fornisce analisi di sicurezza per identificare le lacune di sicurezza, rilevare anomalie nel comportamento degli utenti e investigare i modelli di minaccia in tempo per rispondere a potenziali minacce.
• La piattaforma monitora in tempo reale le modifiche ai sistemi critici, incluse le modifiche di Active Directory, i modelli di accesso ai file, le modifiche di configurazione e l'attività degli utenti privilegiati. Avvisa inoltre i team di sicurezza quando rileva attività insolite o deviazioni dal comportamento normale.

Questo supporta i risultati di CSF Detect relativi al rilevamento di anomalie, al monitoraggio e all'analisi degli eventi avversi.

Recupera: Tracce di audit e report

Il recupero non si limita al ripristino dei sistemi; richiede responsabilità, prove forensi e comunicazione chiara. Netwrix supporta la funzione di recupero attraverso un recupero rapido, supporto per le verifiche e capacità di reporting.

• Netwrix Auditor mantiene registri dettagliati delle attività e delle cronologie delle modifiche che possono essere utilizzati per analisi forensi e indagini sugli incidenti, fornendo ai team di sicurezza le prove necessarie per capire cosa è successo, chi è stato coinvolto e come contenere i danni.
• Offre inoltre strumenti automatizzati per reportistica, allerta e indagine per supportare la conformità ai requisiti normativi e aiutare i team IT a gestire efficacemente le richieste di audit.
• I report predefiniti sono conformi ai requisiti di PCI DSS, HIPAA, SOX, GDPR e agli standard NIST, facilitando la dimostrazione dell’allineamento a CSF a consigli, revisori e regolatori durante le fasi di Risposta e Recupero.
• Netwrix Identity Recovery consente alle organizzazioni di recuperare rapidamente oggetti, attributi e persino intere foreste di Active Directory e Entra ID per ripristinare le operazioni con tempi di inattività minimi.

Queste capacità supportano una gestione efficace degli incidenti, l'analisi post-evento, la comunicazione per il recupero e la resilienza aziendale, che sono risultati chiave delle funzioni Respond e Recover in CSF 2.0.

Punti chiave per le organizzazioni

Le organizzazioni possono utilizzare CSF 2.0 per rafforzare i programmi di sicurezza, la governance, la resilienza e la comunicazione sui rischi. Quando si considera l’implementazione o l’aggiornamento a NIST CSF 2.0, ecco alcuni punti essenziali da tenere a mente.

1. La governance è centrale:
   Nel NIST CSF 2.0, la governance è centrale. La nuova funzione Govern formalizza ciò che molte organizzazioni hanno appreso dall’esperienza: la cybersecurity è un rischio aziendale che richiede responsabilità della leadership e supervisione a livello di consiglio, non solo controlli tecnici.
2. Accessibilità migliorata:
   CSF 2.0 è progettato esplicitamente per organizzazioni di tutte le dimensioni e settori. Nuove linee guida e risorse di implementazione rendono il framework più utilizzabile sia per le PMI che per le imprese mature. Non è più necessario un grande team di sicurezza per beneficiare del framework.
3. Focus sulla catena di approvvigionamento:
   La gestione del rischio di terze parti e fornitori è ora integrata in tutto il framework. Questo riflette il crescente impatto delle dipendenze dai fornitori e rafforza che i fornitori devono soddisfare le aspettative di cybersecurity.
4. Risorse pratiche:
   CSF 2.0 include esempi di implementazione, guide rapide e Profili della Community che ti danno un vantaggio iniziale. Queste risorse traducono concetti di alto livello in passaggi concreti, facilitando l’adozione.
5. Allineamento globale:
   CSF 2.0 include un miglioramento della mappatura verso framework come ISO/IEC 27001, CIS Controls e NIST SP 800-171. Le organizzazioni possono mappare i requisiti CSF agli obblighi di conformità invece di eseguire programmi di conformità completi separatamente.