NIST CSF 2.0: Novità nel Cybersecurity Framework

Introduzione: perché NIST CSF 2.0 è importante

Dalla sua prima versione nel 2014, il NIST Cybersecurity Framework (CSF) è diventato lo standard d’oro per la gestione del rischio informatico. Le organizzazioni lo utilizzano per formulare i loro programmi di sicurezza, comunicare il rischio e allineare i controlli tecnici con gli obiettivi aziendali. Il 26 febbraio 2024, NIST ha rilasciato CSF 2.0, segnando il primo aggiornamento importante dalla versione 1.1 di aprile 2018. Questo aggiornamento riflette un cambiamento fondamentale nel modo in cui ci si aspetta che le organizzazioni affrontino la cybersecurity nell’attuale complesso ambiente digitale.

Perché questo è un aggiornamento importante

CSF 2.0 è modellato da anni di utilizzo nel mondo reale, minacce emergenti e realtà aziendali in evoluzione. Alcuni cambiamenti chiave includono:

• La governance è ora una funzione centrale, con enfasi sulla responsabilità della leadership e sulla cybersecurity come rischio aziendale, non solo una questione tecnica.
• L'applicabilità del framework si estende a organizzazioni di tutti i tipi e settori.
• La gestione del rischio nella catena di approvvigionamento è elevata a priorità strategica in mezzo a crescenti minacce da terze parti e fornitori.
• Sono state aggiunte nuove risorse di implementazione per aiutare le organizzazioni ad adottare il framework in modo più efficace.

Chi dovrebbe usare CSF 2.0

Mentre le versioni precedenti del framework si concentravano sulle infrastrutture critiche, CSF 2.0 è progettato per tutte le organizzazioni, dalle imprese globali alle piccole e medie imprese. Fornisce indicazioni per organizzazioni con diversi livelli di maturità nella cybersecurity, aiutandole a dare priorità alle azioni basate su rischio, risorse e obiettivi aziendali. Che tu voglia costruire un programma di sicurezza da zero o migliorare uno esistente, CSF 2.0 offre una base solida e scalabile. Gli scenari di esempio includono:

• Una startup sanitaria che sta costruendo il suo primo programma di sicurezza.
• Un produttore che affronta nuovi requisiti di sicurezza della catena di approvvigionamento da parte dei clienti.
• Un CISO aziendale che allinea la strategia di sicurezza con le discussioni sui rischi a livello di consiglio.

Cos'è il Framework di Cybersecurity NIST?

Il NIST Cybersecurity Framework (CSF) è un insieme volontario di linee guida e best practice sviluppato dal National Institute of Standards and Technology per aiutare le organizzazioni a comprendere, gestire e ridurre il rischio informatico. Più specificamente, organizza le attività di cybersecurity attorno a sei Funzioni Core: Governare, Identificare, Proteggere, Rilevare, Rispondere e Recuperare.

CSF è flessibile, basato sul rischio e può lavorare insieme ai programmi di sicurezza esistenti. Le organizzazioni possono adattarlo per adattarsi alle loro dimensioni, livello di maturità, settore, ambiente normativo e tolleranza al rischio. Il framework non prescrive strumenti o controlli specifici, ma fornisce un linguaggio comune e una struttura che i leader della sicurezza, IT e aziendali possono utilizzare per allineare le priorità e prendere decisioni informate.

CSF vs. standard di conformità

CSF non è una lista di controllo per la conformità né una valutazione superata/non superata; è un framework di gestione del rischio. Mentre gli standard di conformità ti dicono cosa fare, CSF ti aiuta a capire perché è importante e come stabilire le priorità basate sul rischio. Le organizzazioni usano CSF per:

• Valuta la loro attuale postura di cybersecurity e identifica le lacune.
• Definisci gli stati target, cioè stabilisci obiettivi misurabili per la posizione in cui l'organizzazione deve trovarsi rispetto a ciascuna funzione di sicurezza, basandoti sulla tolleranza al rischio e sulle priorità aziendali.
• Comunicate il rischio informatico a dirigenti, al consiglio e ad altri stakeholder traducendo le problematiche tecniche di sicurezza in un linguaggio aziendale comprensibile a tutti.
• Supporta gli sforzi normativi e di conformità mappando i controlli CSF ai framework di conformità per evitare sforzi duplicati.

Componenti principali del framework

Il Framework di Cybersecurity NIST è costruito attorno a un insieme di componenti che aiutano le organizzazioni a strutturare, valutare e migliorare i loro programmi di cybersecurity. Questi componenti lavorano insieme per tradurre gli obiettivi di gestione del rischio di alto livello in risultati. Le organizzazioni possono usare il Core per definire i risultati, i Profiles per valutare e pianificare, e i Tiers per comprendere il loro livello di gestione del rischio.

Il nucleo del CSF

Il nucleo CSF definisce i risultati di cybersecurity che un'organizzazione dovrebbe cercare di raggiungere. Organizza questi risultati in:

Profili

I profili aiutano le organizzazioni a mappare le loro attività e obiettivi di cybersecurity al CSF Core in modo che rifletta la loro realtà attuale e i loro obiettivi futuri. Questi profili dovrebbero essere allineati con i requisiti aziendali dell'organizzazione, la tolleranza al rischio, gli obblighi legali e normativi e le risorse disponibili.

Confrontando i Profili Corrente e Obiettivo, le organizzazioni possono identificare le lacune, stabilire le priorità e sviluppare road map per rafforzare la loro postura di sicurezza.

Livelli

I livelli aiutano le organizzazioni a descrivere il rigore e la sofisticazione delle loro pratiche di gestione del rischio informatico. Non sono livelli di maturità e non ci si aspetta che le organizzazioni li attraversino. Invece, un’organizzazione dovrebbe selezionare il livello appropriato al proprio Profilo.

Principali cambiamenti in NIST CSF 2.0

Gli aggiornamenti introdotti in NIST CSF 2.0 riflettono come viene praticata la cybersecurity oggi. Questi cambiamenti rendono il framework più accessibile e rilevante per organizzazioni di tutte le dimensioni e settori.

Rinominato per una maggiore applicabilità

Uno dei cambiamenti più evidenti in CSF 2.0 è il nome stesso. NIST ha eliminato “for Improving Critical Infrastructure” dal nome. Ora è semplicemente il “Cybersecurity Framework” ed è intenzionale. Mentre CSF inizialmente era rivolto alle organizzazioni che gestiscono infrastrutture critiche, organizzazioni di tutte le dimensioni e settori lo utilizzavano da anni. Il nuovo nome riflette questa realtà e rafforza l'intento di NIST che il framework sia adatto a tutte le organizzazioni.

Guida ampliata per piccole e medie imprese (PMI)

CSF 2.0 offre un maggiore supporto alle PMI che non dispongono di team di sicurezza dedicati e di budget estesi. Introduce guide rapide e esempi di implementazione pensati per PMI con maturità e risorse limitate in materia di cybersecurity. Questi aggiustamenti aiutano le PMI a concentrarsi su miglioramenti pratici basati sul rischio anziché tentare di implementare l'intero framework in una volta sola, rendendo l'adozione semplice e realizzabile.

Linguaggio più chiaro e terminologia aggiornata

NIST ha ascoltato il feedback e ha semplificato il linguaggio e la struttura del framework, rendendolo più chiaro e coerente. Le definizioni sono più chiare, il gergo è ridotto e la terminologia è aggiornata per riflettere le pratiche, le tecnologie e le strutture organizzative moderne della cybersecurity. Questo rende il framework più facile da comprendere e applicare, in particolare per gli stakeholder non tecnici come dirigenti, responsabili del rischio e membri del consiglio.

Nuove risorse per l'implementazione

CSF 2.0 offre risorse potenziate che aiutano le organizzazioni a tradurre i requisiti di alto livello in azioni concrete, rendendo l'implementazione meno impegnativa. Questi includono:

• Esempi di implementazione per ogni Sottocategoria, con indicazioni su come ottenere i risultati.
• Guide rapide personalizzate per diversi ruoli e tipi di organizzazione.
• Strumenti di riferimento che mappano i risultati CSF su altri framework che potresti già utilizzare.
• Profili della comunità, che forniscono indicazioni specifiche per settore e fungono da punto di partenza per organizzazioni con ambienti di rischio simili.

La nuova funzione ‘Govern’

Se c'è un cambiamento che indica la direzione della cybersecurity, è questo: Govern è ora una Funzione autonoma. Nelle versioni precedenti del framework, le attività legate alla governance erano distribuite in altre funzioni. Raggruppandole in una nuova Funzione, NIST fa una dichiarazione chiara: la cybersecurity non è solo un problema IT, ma un rischio aziendale. Una cybersecurity efficace richiede il coinvolgimento della leadership, responsabilità e allineamento con gli obiettivi organizzativi. La leadership esecutiva e il consiglio hanno un ruolo definito nel definire la direzione, la tolleranza al rischio e nel supervisionare la strategia di cybersecurity.

Categorie all'interno di Govern

La funzione Govern del NIST CSF è composta da sei categorie che si concentrano sulla leadership, responsabilità e gestione del rischio a livello organizzativo.

Perché la governance ora?

Nel tempo, la cybersecurity è passata da una questione IT a una responsabilità a livello di consiglio di amministrazione. Diverse violazioni di alto profilo hanno dimostrato che una cattiva governance può portare a conseguenze finanziarie, operative e reputazionali. Gli sviluppi normativi, come le regole di divulgazione della cybersecurity della SEC degli Stati Uniti e la Direttiva NIS2 dell’UE, ora richiedono esplicitamente che la leadership senior e i consigli di amministrazione assumano un ruolo attivo nella supervisione del rischio di cybersecurity. Elevando la governance a una Funzione Core, CSF 2.0 riconosce formalmente che una cybersecurity efficace dipende dal coinvolgimento della leadership, dalla responsabilità e dall’integrazione con la gestione del rischio aziendale.

Aggiornamenti alle cinque funzioni originali

Mentre Govern cattura l'attenzione come nuova aggiunta, NIST ha anche perfezionato le cinque Funzioni originali in CSF 2.0 per migliorare chiarezza, usabilità e supporto alle pratiche moderne di cybersecurity.

Identificare (ID)

L'attenzione qui si sposta verso la comprensione del contesto organizzativo e del rischio informatico. Non si tratta solo di catalogare gli asset, ma di sapere perché sono importanti e quali rischi comportano. Le linee guida relative alla gestione degli asset, all'ambiente aziendale e alla valutazione del rischio sono state perfezionate per essere più pratiche e supportare meglio le decisioni basate sul rischio.

Proteggere (PR)

Gli aggiornamenti alla funzione Protect chiariscono i controlli relativi a Identity Management e Privileged Access Management, alla sicurezza dei dati e alla formazione sulla consapevolezza della sicurezza. Le linee guida sono rivolte ad ambienti moderni come infrastrutture cloud, sistemi ibridi, forza lavoro remota e crescente dipendenza da servizi di terze parti.

Rilevare (DE)

La funzione Detect include indicazioni migliorate sul monitoraggio continuo, il rilevamento delle anomalie e l'analisi degli eventi avversi. Sottolinea l'importanza della rilevazione tempestiva degli eventi di cybersecurity e della visibilità attraverso sistemi, reti e fonti di dati per ridurre l'impatto degli incidenti.

Rispondi (RS)

Nella Funzione di Risposta, CSF 2.0 fornisce risultati più concreti per le attività di risposta agli incidenti, inclusa la pianificazione della risposta, la gestione degli incidenti, l'analisi, la mitigazione e le comunicazioni interne ed esterne. Questo aiuta le organizzazioni a rispondere in modo più efficace quando si verificano incidenti di cybersecurity.

Recupera (RC)

Il recupero è più che semplicemente rimettere i sistemi online. CSF 2.0 amplia le linee guida sulla pianificazione del recupero, le attività di miglioramento, l’esecuzione fluida dei processi di recupero e il mantenimento di una comunicazione chiara durante tutto il periodo di recupero affinché gli stakeholder sappiano qual è la situazione.

Guida ampliata su Profili e Livelli

CSF 2.0 approfondisce come le organizzazioni dovrebbero utilizzare Profili e Livelli di Implementazione come strumenti pratici, non solo concetti teorici.

Creazione di profili organizzativi

CSF 2.0 fornisce indicazioni più chiare e pratiche per sviluppare Profili Organizzativi che riflettano sia le capacità attuali sia gli obiettivi futuri. Si incoraggia le organizzazioni a:

• Valuta il loro Profilo Attuale mappando le pratiche esistenti rispetto ai risultati del CSF. Cosa stai già facendo bene? Dove sono le lacune?
• Definisci un Profilo Target basato sugli obiettivi aziendali, la tolleranza al rischio e i requisiti normativi.
• Esegui un'analisi delle lacune per individuare le differenze tra i Profili Corrente e Obiettivo.
• Prioritizza gli sforzi di risoluzione in base al rischio, all'impatto e alle risorse.

Profili della comunità

I profili della community sono una novità in CSF 2.0 e rappresentano una svolta per le organizzazioni che non vogliono partire da zero. Si tratta di profili sviluppati da gruppi industriali, agenzie governative e altre organizzazioni di settore (sanità, servizi finanziari, manifatturiero, ecc.) per fornire indicazioni personalizzate per specifici settori, tecnologie e casi d’uso. I profili della community fungono da punto di partenza pratico o benchmark, permettendo alle organizzazioni di beneficiare della competenza condivisa e affrontare rischi comuni nel loro settore.

Utilizzo efficace dei livelli

CSF 2.0 ribadisce che i Livelli di Implementazione sono pensati per fornire contesto, non per classificare o valutare le organizzazioni. I livelli aiutano le organizzazioni a descrivere quanto efficacemente gestiscono il rischio di cybersecurity e a comunicare il loro livello agli stakeholder interni ed esterni, inclusi consigli, regolatori, clienti e partner.

Il framework chiarisce anche che non tutte le organizzazioni devono raggiungere il Livello 4. Una piccola organizzazione no-profit e una banca multinazionale non dovrebbero puntare allo stesso Livello, e va benissimo così. Il Livello giusto dipende da fattori come la propensione al rischio, il modello di business, gli obblighi normativi e le risorse.

Nuove aree di interesse in NIST CSF 2.0

L'aggiornamento del NIST Cybersecurity Framework pone maggiore enfasi su aree diventate critiche a causa delle minacce in evoluzione, degli ambienti complessi e delle aspettative normative.

Gestione del rischio della catena di fornitura

I rischi della catena di approvvigionamento e dei terzi ricevono un'attenzione significativa in CSF 2.0 e sono affrontati in tutto il framework. La nuova funzione Govern include categorie dedicate alla gestione dei rischi di terzi e fornitori, offrendo a stakeholder e dirigenti di livello C una maggiore supervisione di un incidente informatico. I team di sicurezza devono sapere chi ha accesso ai sistemi, come viene utilizzato tale accesso e come rispondere in caso di compromissione.

SolarWinds e incidenti simili hanno evidenziato come le vulnerabilità nei fornitori, nei provider di software e nei partner di servizi possano avere un impatto diffuso. Di conseguenza, CSF 2.0 incoraggia le organizzazioni a considerare il rischio della catena di fornitura come una preoccupazione strategica e a integrarlo nella governance complessiva e nella gestione del rischio.

Tecnologie emergenti

CSF 2.0 ha aggiornato le sue linee guida per riflettere meglio gli ambienti tecnologici moderni e affrontare le sfide di sicurezza attuali. Ciò include considerazioni per sistemi basati sul cloud, modelli di lavoro remoto e ibrido, implementazioni di Internet of Things (IoT) e l'uso crescente di intelligenza artificiale e apprendimento automatico. Il framework fornisce indicazioni pratiche per proteggere queste tecnologie senza fingere che siano solo variazioni di vecchi problemi con nuovi nomi.

Integrazione della privacy

La cybersecurity e la privacy vanno di pari passo. Una violazione dei dati è sia un fallimento della sicurezza sia una violazione della privacy. CSF 2.0 riconosce questa sovrapposizione e offre un allineamento più forte con il NIST Privacy Framework. Questo consente alle organizzazioni di integrare le considerazioni sulla privacy nei loro programmi di cybersecurity, gestendo così entrambi i rischi in modo coordinato.

Allineamento agli standard internazionali

CSF 2.0 si allinea meglio con gli standard internazionali e di settore, facilitando alle organizzazioni la mappatura dei risultati CSF con i framework di controllo esistenti. Fornisce mappature aggiuntive e riferimenti informativi più chiari a standard come ISO/IEC 27001, CIS Controls e NIST SP 800-171, consentendo alle organizzazioni di dimostrare la conformità a più framework senza duplicare gli sforzi.

Implementazione di NIST CSF 2.0

Che tu stia migrando da CSF 1.1 o iniziando da zero, ecco come affrontare l'implementazione in modo pratico e gestibile.

Analisi delle lacune dal CSF 1.1

Se stai già utilizzando CSF 1.1, la buona notizia è che CSF 2.0 si basa su ciò che conosci. Inizia conducendo un'analisi delle lacune rispetto a CSF 2.0. Il seguente approccio consente alle organizzazioni di identificare le lacune e le aree prioritarie mantenendo fluida la transizione.

1. Esamina la nuova funzione di Governance valutando le pratiche di governance esistenti rispetto alle categorie GV, come la strategia di gestione del rischio, la supervisione e la gestione del rischio della catena di fornitura. Probabilmente stai già facendo parte di questo lavoro; ora si tratta di formalizzarlo.
2. Mappa i controlli esistenti alle categorie e sottocategorie aggiornate per capire dove le pratiche attuali sono già allineate.
3. Individua le lacune, con particolare attenzione alle aree che hanno ricevuto maggiore enfasi in CSF 2.0, come la gestione del rischio di terze parti e della catena di approvvigionamento.
4. Aggiorna i Profili Organizzativi per riflettere la struttura CSF 2.0. Il tuo Profilo Attuale dovrebbe considerare la nuova funzione Govern e il tuo Profilo Obiettivo dovrebbe riflettere dove vuoi essere nel quadro aggiornato.

Strategia di adozione graduale

Un approccio a fasi mantiene l'implementazione gestibile e crea slancio man mano che procedi.

Come Netwrix supporta l'implementazione di NIST CSF 2.0

Netwrix offre prodotti che supportano direttamente le funzioni chiave del CSF in ambito identità, dati, governance, monitoraggio e risposta. Aiuta le organizzazioni a ottenere visibilità, controllare l'accesso, rilevare minacce e consolidare le prove per dimostrare la conformità.

Identificare: visibilità sugli asset e dati IT

Un solido programma di cybersecurity inizia con la conoscenza degli asset e dei dati che possiedi, dove si trovano e quali rischi comportano. Netwrix supporta la Funzione di Identificazione fornendo una profonda visibilità negli ambienti IT ibridi. Consente alle organizzazioni di scoprire gli asset, classificare i dati sensibili e comprendere dove risiede l'informazione critica e regolamentata su file server, database, SharePoint, Office 365 e archiviazione cloud.

• Netwrix Auditor fornisce visibilità su modifiche, configurazioni e accessi in sistemi IT come Active Directory, server di file e Microsoft 365, consentendo alle organizzazioni di identificare le lacune di sicurezza e tracciare l’attività degli utenti.
• Netwrix Data Classification consente alle organizzazioni di scoprire e classificare informazioni sensibili, aiutandole a identificare dati insufficientemente protetti o regolamentati in repository on-premise e cloud.

Insieme, queste soluzioni offrono una visibilità completa degli asset che supporta direttamente i requisiti della Funzione Identificare per la gestione degli asset e la valutazione del rischio.

Governare: controlli di accesso e applicazione delle policy

• Netwrix Privilege Secure fornisce Privileged Access Management (PAM), consentendo l’accesso just-in-time e riducendo i privilegi amministrativi permanenti. Offre inoltre il monitoraggio e la registrazione delle sessioni per la supervisione e la responsabilità delle attività privilegiate.
• Con capacità di risoluzione dei rischi basate sull'intelligenza artificiale, la piattaforma Netwrix 1Secure non solo identifica i rischi per la sicurezza dei dati, ma fornisce anche passaggi di risoluzione personalizzati, con un focus sulle autorizzazioni ad alto rischio che potrebbero esporre i dati.

Queste capacità si collegano direttamente ai risultati di Govern relativi a ruoli, responsabilità, supervisione e controllo degli accessi di fornitori o terze parti.

Rilevare: monitoraggio delle modifiche e rilevamento delle anomalie

Il monitoraggio continuo e il rilevamento precoce aiutano a limitare l'impatto degli incidenti informatici. Netwrix rafforza la funzione Detect migliorando la visibilità delle attività sospette e dei cambiamenti imprevisti.

• Netwrix Auditor fornisce analisi di sicurezza per identificare le lacune di sicurezza, rilevare anomalie nel comportamento degli utenti e indagare i modelli di minaccia in tempo per rispondere alle potenziali minacce.
• La piattaforma monitora in tempo reale le modifiche ai sistemi critici, incluse le modifiche di Active Directory, i modelli di accesso ai file, le modifiche di configurazione e l’attività degli utenti privilegiati. Avvisa inoltre i team di sicurezza quando rileva attività insolite o deviazioni dal comportamento normale.

Questo supporta i risultati di CSF Detect relativi al rilevamento delle anomalie, al monitoraggio e all'analisi degli eventi avversi.

Recupera: tracce di audit e report

Il recupero non si limita al ripristino dei sistemi; richiede responsabilità, prove forensi e comunicazione chiara. Netwrix supporta la funzione di recupero tramite recupero rapido, supporto alle verifiche e capacità di reporting.

• Netwrix Auditor mantiene registri dettagliati delle attività e delle cronologie delle modifiche che possono essere utilizzati per analisi forensi e indagini sugli incidenti, fornendo ai team di sicurezza le prove necessarie per comprendere cosa è successo, chi è stato coinvolto e come contenere i danni.
• It also offers automated reporting, alerting, and investigation tools to support compliance with regulatory requirements and help IT teams efficiently address audit requests.
• I report predefiniti sono conformi ai requisiti di PCI DSS, HIPAA, SOX, GDPR e agli standard NIST, facilitando la dimostrazione dell’allineamento a CSF a consigli, revisori e regolatori durante le fasi di Risposta e Recupero.
• Netwrix Identity Recovery consente alle organizzazioni di recuperare rapidamente oggetti, attributi e persino intere foreste di Active Directory e Entra ID per ripristinare le operazioni con tempi di inattività minimi.

Queste capacità supportano una gestione efficace degli incidenti, l'analisi post-evento, la comunicazione di recupero e la resilienza aziendale, che sono risultati chiave delle funzioni Respond e Recover in CSF 2.0.

Punti chiave per le organizzazioni

Le organizzazioni possono utilizzare CSF 2.0 per rafforzare i programmi di sicurezza, la governance, la resilienza e la comunicazione sul rischio. Quando si considera l’implementazione o l’aggiornamento a NIST CSF 2.0, ecco alcuni punti essenziali da tenere a mente.

1. La governance è centrale:
   In NIST CSF 2.0, la governance è centrale. La nuova funzione Govern formalizza ciò che molte organizzazioni hanno imparato dall’esperienza: la cybersecurity è un rischio aziendale che richiede responsabilità della leadership e supervisione a livello di consiglio, non solo controlli tecnici.
2. Accessibilità migliorata:
   CSF 2.0 è progettato esplicitamente per organizzazioni di tutte le dimensioni e settori. Nuove linee guida e risorse di implementazione rendono il framework più utilizzabile sia per le PMI che per le imprese mature. Non serve più un grande team di sicurezza per beneficiare del framework.
3. Focus sulla catena di approvvigionamento:
   La gestione del rischio di terze parti e fornitori è ora integrata in tutto il framework. Ciò riflette il crescente impatto delle dipendenze dai fornitori e rafforza che i fornitori devono soddisfare le aspettative di cybersecurity.
4. Risorse pratiche:
   CSF 2.0 include esempi di implementazione, guide rapide e Profili della Community che ti offrono un vantaggio iniziale. Queste risorse traducono concetti di alto livello in passaggi concreti, facilitando l’adozione.
5. Allineamento globale:
   CSF 2.0 offre un miglioramento nella mappatura a framework come ISO/IEC 27001, CIS Controls e NIST SP 800-171. Le organizzazioni possono mappare i requisiti CSF agli obblighi di conformità invece di gestire programmi di conformità completi separatamente.