NIST CSF 2.0: O que há de novo no Framework de Cibersegurança

Introdução: Por que o NIST CSF 2.0 é importante

Desde seu primeiro lançamento em 2014, o NIST Cybersecurity Framework (CSF) tornou-se o padrão ouro para gerenciar riscos de cibersegurança. As organizações o utilizam para formular seus programas de segurança, comunicar riscos e alinhar controles técnicos com os objetivos de negócios. Em 26 de fevereiro de 2024, o NIST lançou o CSF 2.0, marcando a primeira grande atualização desde a versão 1.1 em abril de 2018. Esta atualização reflete uma mudança fundamental na forma como se espera que as organizações abordem a cibersegurança no complexo ambiente digital atual.

Por que esta é uma atualização importante

O CSF 2.0 é moldado por anos de uso no mundo real, ameaças emergentes e realidades empresariais em mudança. Algumas mudanças principais incluem:

• A governança é agora uma função central, com ênfase na responsabilidade da liderança e na cibersegurança como um risco de negócios, não apenas uma questão técnica.
• A aplicabilidade da estrutura é estendida a organizações de todos os tipos e setores.
• A gestão de riscos da cadeia de suprimentos é elevada a uma prioridade estratégica em meio ao aumento das ameaças relacionadas a terceiros e fornecedores.
• Novos recursos de implementação foram adicionados para ajudar as organizações a adotar o framework de forma mais eficaz.

Quem deve usar o CSF 2.0

Enquanto versões anteriores do framework abordavam infraestruturas críticas, o CSF 2.0 é projetado para todas as organizações, desde empresas globais até pequenas e médias empresas. Ele fornece orientações para organizações em diferentes níveis de maturidade em cibersegurança, ajudando-as a priorizar ações com base em risco, recursos e objetivos de negócios. Quer você queira construir um programa de segurança do zero ou melhorar um existente, o CSF 2.0 oferece uma base sólida e escalável. Exemplos de cenários incluem:

• Uma startup de saúde construindo seu primeiro programa de segurança.
• Um fabricante enfrentando novos requisitos de segurança da cadeia de suprimentos por parte dos clientes.
• Um CISO corporativo alinhando a estratégia de segurança com discussões de risco em nível de diretoria.

O que é o Framework de Cibersegurança NIST?

O NIST Cybersecurity Framework (CSF) é um conjunto voluntário de diretrizes e melhores práticas desenvolvido pelo National Institute of Standards and Technology para ajudar as organizações a entender, gerenciar e reduzir o risco de cibersegurança. Mais especificamente, organiza as atividades de cibersegurança em torno de seis Funções Principais: Govern, Identify, Protect, Detect, Respond e Recover.

O CSF é flexível, baseado em riscos e pode funcionar ao lado dos programas de segurança existentes. As organizações podem adaptá-lo para se adequar ao seu tamanho, nível de maturidade, setor, ambiente regulatório e tolerância ao risco. O framework não prescreve ferramentas ou controles específicos, mas fornece uma linguagem comum e uma estrutura que líderes de segurança, TI e negócios podem usar para alinhar prioridades e tomar decisões informadas.

CSF vs. padrões de conformidade

O CSF não é uma lista de verificação de conformidade nem uma avaliação de aprovado/reprovado; é uma estrutura de gerenciamento de riscos. Enquanto os padrões de conformidade dizem o que fazer, o CSF ajuda você a entender por que isso importa e como definir prioridades com base no risco. As organizações usam o CSF para:

• Avalie a postura atual de cibersegurança e identifique lacunas.
• Defina os estados-alvo, ou seja, estabeleça metas mensuráveis para onde a organização precisa estar em relação a cada função de segurança, com base na tolerância ao risco e nas prioridades de negócios.
• Comunique o risco de cibersegurança para executivos, o conselho e outras partes interessadas, traduzindo questões técnicas de segurança em uma linguagem empresarial que todos compreendam.
• Apoie os esforços regulatórios e de conformidade mapeando os controles CSF para frameworks de conformidade para evitar esforços duplicados.

Componentes principais do framework

O NIST Cybersecurity Framework é construído em torno de um conjunto de componentes que ajudam as organizações a estruturar, avaliar e melhorar seus programas de cibersegurança. Esses componentes trabalham juntos para traduzir metas de gerenciamento de risco de alto nível em resultados. As organizações podem usar o Core para definir resultados, os Profiles para avaliar e planejar, e os Tiers para entender seu nível de gerenciamento de risco.

O núcleo CSF

O núcleo do CSF define os resultados de cibersegurança que uma organização deve buscar alcançar. Ele organiza esses resultados em:

Perfis

Os perfis ajudam as organizações a mapear suas atividades e objetivos de cibersegurança para o CSF Core de uma forma que reflita sua realidade atual e metas futuras. Esses perfis devem estar alinhados com os requisitos comerciais da organização, tolerância ao risco, obrigações legais e regulatórias e recursos disponíveis.

Ao comparar os Perfis Atual e Alvo, as organizações podem identificar lacunas, definir prioridades e desenvolver roteiros para fortalecer sua postura de segurança.

Níveis

Os níveis ajudam as organizações a descrever o rigor e a sofisticação de suas práticas de gerenciamento de riscos cibernéticos. Eles não são níveis de maturidade e não se espera que as organizações progridam por eles. Em vez disso, uma organização deve selecionar o nível apropriado para seu Perfil.

Principais mudanças no NIST CSF 2.0

As atualizações lançadas no NIST CSF 2.0 refletem como a cibersegurança é praticada hoje. Essas mudanças tornam o framework mais acessível e relevante para organizações de todos os tamanhos e setores.

Renomeado para maior aplicabilidade

Uma das mudanças mais óbvias no CSF 2.0 é o próprio nome. O NIST removeu “for Improving Critical Infrastructure” do nome. Agora é apenas o “Cybersecurity Framework” e isso é intencional. Embora o CSF inicialmente tenha como alvo organizações que operam infraestrutura crítica, organizações de todos os tamanhos e setores também o utilizam há anos. O novo nome reflete essa realidade e reforça a intenção do NIST de que o framework seja adequado para todas as organizações.

Orientação ampliada para pequenas e médias empresas (PMEs)

O CSF 2.0 oferece maior suporte para PMEs que não possuem equipes de segurança dedicadas e orçamentos extensos. Ele introduz guias de início rápido e exemplos de implementação adaptados para PMEs com maturidade e recursos limitados em cibersegurança. Essas adições ajudam as PMEs a focar em melhorias práticas baseadas em riscos, em vez de tentar implementar todo o framework de uma vez, tornando a adoção fácil e alcançável.

Linguagem mais clara e terminologia atualizada

O NIST ouviu o feedback e simplificou a linguagem e a estrutura do framework, tornando-o mais claro e consistente. As definições estão mais claras, o jargão foi reduzido e a terminologia atualizada para refletir as práticas, tecnologias e estruturas organizacionais modernas de cibersegurança. Isso torna o framework mais fácil de entender e aplicar, especialmente para partes interessadas não técnicas, como executivos, gerentes de risco e membros do conselho.

Novos recursos de implementação

O CSF 2.0 vem com recursos aprimorados que ajudam as organizações a traduzir requisitos de alto nível em ações práticas, tornando a implementação menos assustadora. Estes incluem:

• Exemplos de implementação para cada subcategoria, com orientações sobre como os resultados podem ser alcançados.
• Guias de início rápido adaptados a diferentes funções e tipos de organização.
• Ferramentas de referência que mapeiam os resultados do CSF para outros frameworks que você já pode estar usando.
• Perfis Comunitários, que fornecem orientações específicas para o setor e servem como ponto de partida para organizações com ambientes de risco semelhantes.

A nova função ‘Govern’

Se há uma mudança que indica para onde a cibersegurança está indo, é esta: Govern agora é uma Função independente. Em versões anteriores do framework, as atividades relacionadas à governança estavam espalhadas por outras funções. Ao reuni-las em uma nova Função, o NIST está fazendo uma declaração clara: a cibersegurança não é apenas um problema de TI, mas um risco empresarial. A cibersegurança eficaz requer envolvimento da liderança, responsabilidade e alinhamento com os objetivos organizacionais. A liderança executiva e o conselho têm um papel definido na definição da direção, na definição da tolerância ao risco e na supervisão da estratégia de cibersegurança.

Categorias dentro de Govern

A função Govern do NIST CSF é composta por seis categorias que se concentram em liderança, responsabilidade e gestão de riscos no nível organizacional.

Por que governança agora?

Com o tempo, a cibersegurança passou de uma questão de TI para uma responsabilidade ao nível do conselho. Várias violações de alto perfil provaram que uma governança deficiente pode levar a consequências financeiras, operacionais e reputacionais. Desenvolvimentos regulatórios, como as regras de divulgação de cibersegurança da US SEC e a Diretiva NIS2 da UE, agora exigem explicitamente que a liderança sênior e os conselhos desempenhem um papel ativo na supervisão do risco de cibersegurança. Ao elevar a governança a uma Função Central, o CSF 2.0 reconhece formalmente que a cibersegurança eficaz depende do envolvimento da liderança, da responsabilidade e da integração com a gestão de riscos empresariais.

Atualizações das cinco funções originais

Embora Govern roube a cena como a nova adição, o NIST também refinou as cinco Funções originais no CSF 2.0 para melhorar a clareza, a usabilidade e o suporte às práticas modernas de cibersegurança.

Identificar (ID)

O foco aqui muda para entender o contexto organizacional e o risco de cibersegurança. Não se trata apenas de catalogar ativos, mas de saber por que eles são importantes e quais riscos eles trazem. As orientações relacionadas à gestão de ativos, ambiente de negócios e avaliação de riscos foram aprimoradas para serem mais práticas e apoiar melhor a tomada de decisão baseada em riscos.

Proteger (PR)

As atualizações da função Protect esclarecem os controles relacionados a Identity Management e acesso, segurança de dados e treinamento de conscientização de segurança. As orientações atendem a ambientes modernos, como infraestrutura em nuvem, sistemas híbridos, força de trabalho remota e maior dependência de serviços de terceiros.

Detectar (DE)

A função Detect inclui orientações aprimoradas sobre monitoramento contínuo, detecção de anomalias e análise de eventos adversos. Enfatiza a detecção oportuna de eventos de cibersegurança e a importância da visibilidade em sistemas, redes e fontes de dados para reduzir o impacto dos incidentes.

Responder (RS)

Na função de resposta, o CSF 2.0 oferece resultados mais acionáveis para atividades de resposta a incidentes, incluindo planejamento de resposta, gerenciamento de incidentes, análise, mitigação e comunicações internas e externas. Isso ajuda as organizações a responderem de forma mais eficaz quando ocorrem incidentes de cibersegurança.

Recuperar (RC)

A recuperação é mais do que apenas colocar os sistemas de volta online. O CSF 2.0 amplia as orientações sobre planejamento de recuperação, atividades de melhoria, execução suave dos processos de recuperação e manutenção de uma comunicação clara durante todo o período de recuperação para que as partes interessadas saibam como as coisas estão.

Orientação ampliada sobre Perfis e Níveis

CSF 2.0 amplia como as organizações devem usar Perfis e Níveis de Implementação como ferramentas práticas, não apenas conceitos teóricos.

Criação de perfis organizacionais

O CSF 2.0 fornece orientações mais claras e práticas para desenvolver Perfis Organizacionais que reflitam tanto as capacidades atuais quanto os objetivos futuros. As organizações são incentivadas a:

• Avalie o Perfil Atual deles mapeando as práticas existentes em relação aos resultados do CSF. O que você já está fazendo bem? Onde estão as lacunas?
• Defina um Perfil Alvo com base nos objetivos de negócios, tolerância ao risco e requisitos regulatórios.
• Realize uma análise de lacunas para identificar as diferenças entre os Perfis Atual e Alvo.
• Priorize os esforços de remediação com base no risco, impacto e recursos.

Perfis da comunidade

Os Perfis Comunitários são novidade no CSF 2.0 e representam uma mudança significativa para organizações que não querem começar do zero. Esses perfis são desenvolvidos por grupos da indústria, agências governamentais e outras organizações setoriais (saúde, serviços financeiros, manufatura, etc.) para fornecer orientações adaptadas a indústrias, tecnologias e casos de uso específicos. Os Perfis Comunitários servem como um ponto de partida prático ou referência, permitindo que as organizações se beneficiem do conhecimento compartilhado e enfrentem riscos comuns em seu setor.

Usando níveis de forma eficaz

O CSF 2.0 reforça que os Níveis de Implementação destinam-se a fornecer contexto, não a classificar ou pontuar organizações. Os níveis ajudam as organizações a descrever quão eficazmente gerenciam o risco cibernético e a comunicar seu nível para partes interessadas internas e externas, incluindo conselhos, reguladores, clientes e parceiros.

O framework também esclarece que nem toda organização precisa alcançar o Nível 4. Uma pequena organização sem fins lucrativos e um banco multinacional não devem almejar o mesmo Nível, e isso é perfeitamente aceitável. O Nível correto depende de fatores como apetite ao risco, modelo de negócio, obrigações regulatórias e recursos.

Novas áreas de foco no NIST CSF 2.0

A atualização do framework de cibersegurança NIST dá maior ênfase a áreas que se tornaram críticas devido a ameaças em evolução, ambientes complexos e expectativas regulatórias.

Gestão de risco da cadeia de suprimentos

Os riscos da cadeia de suprimentos e de terceiros recebem atenção significativa no CSF 2.0 e são abordados em todo o framework. A nova função Govern inclui categorias dedicadas à gestão de riscos de terceiros e fornecedores, proporcionando às partes interessadas e executivos de nível C maior supervisão de um incidente cibernético. As equipes de segurança precisam saber quem tem acesso aos sistemas, como esse acesso é usado e como responder se forem comprometidos.

SolarWinds e incidentes semelhantes destacaram como vulnerabilidades em fornecedores, provedores de software e parceiros de serviços podem ter um impacto generalizado. Como resultado, o CSF 2.0 incentiva as organizações a tratar o risco da cadeia de suprimentos como uma preocupação estratégica e integrá-lo na governança geral e na gestão de riscos.

Tecnologias emergentes

O CSF 2.0 atualizou suas diretrizes para refletir melhor os ambientes tecnológicos modernos e abordar os desafios atuais de segurança. Isso inclui considerações para sistemas baseados em nuvem, modelos de trabalho remoto e híbrido, implantações de Internet das Coisas (IoT) e o uso crescente de inteligência artificial e aprendizado de máquina. A estrutura fornece orientações práticas para proteger essas tecnologias sem fingir que são apenas variações de problemas antigos com novos nomes.

Integração de privacidade

Cibersegurança e privacidade andam de mãos dadas. Uma violação de dados é tanto uma falha de segurança quanto uma violação de privacidade. O CSF 2.0 reconhece essa sobreposição e proporciona um alinhamento mais forte com o NIST Privacy Framework. Isso permite que as organizações integrem considerações de privacidade em seus programas de cibersegurança, gerenciando assim ambos os riscos de forma coordenada.

Alinhamento com padrões internacionais

O CSF 2.0 está mais alinhado com padrões internacionais e do setor, facilitando para as organizações mapear os resultados do CSF para os frameworks de controle existentes. Ele fornece mapeamentos adicionais e referências informativas mais claras para padrões como ISO/IEC 27001, CIS Controls e NIST SP 800-171, permitindo que as organizações demonstrem conformidade com múltiplos frameworks sem duplicar esforços.

Implementação do NIST CSF 2.0

Quer você esteja migrando do CSF 1.1 ou começando do zero, aqui está como abordar a implementação de forma prática e gerenciável.

Análise de lacunas do CSF 1.1

Se você já está usando o CSF 1.1, a boa notícia é que o CSF 2.0 se baseia no que você conhece. Comece realizando uma análise de lacunas em relação ao CSF 2.0. A abordagem a seguir permite que as organizações identifiquem lacunas e áreas prioritárias, mantendo a transição suave.

1. Revise a nova função Govern avaliando as práticas de governança existentes em relação às categorias GV, como estratégia de gerenciamento de riscos, supervisão e gerenciamento de riscos da cadeia de suprimentos. Você provavelmente já está fazendo parte desse trabalho; agora é hora de formalizá-lo.
2. Mapeie os controles existentes para as Categorias e Subcategorias atualizadas para entender onde as práticas atuais já estão alinhadas.
3. Identifique lacunas, com atenção especial às áreas que receberam maior ênfase no CSF 2.0, como a gestão de riscos de terceiros e da cadeia de suprimentos.
4. Atualize os Perfis Organizacionais para refletir a estrutura do CSF 2.0. Seu Perfil Atual deve levar em conta a nova função Govern e seu Perfil Alvo deve refletir onde você deseja estar sob a estrutura atualizada.

Estratégia de adoção faseada

Uma abordagem faseada mantém a implementação gerenciável e cria impulso à medida que avança.

Como a Netwrix apoia a implementação do NIST CSF 2.0

Netwrix oferece produtos que suportam diretamente as principais funções do CSF em identidade, dados, governança, monitoramento e resposta. Ajuda as organizações a obter visibilidade, controlar o acesso, detectar ameaças e consolidar evidências para demonstrar conformidade.

Identificar: Visibilidade em ativos e dados de TI

Um programa forte de cibersegurança começa por saber quais ativos e dados você possui, onde eles estão e quais riscos eles apresentam. Netwrix apoia a Função de Identificação fornecendo visibilidade profunda em ambientes híbridos de TI. Ele permite que as organizações descubram ativos, classifiquem dados sensíveis e entendam onde informações críticas e regulamentadas residem em servidores de arquivos, bancos de dados, SharePoint, Office 365 e armazenamento em nuvem.

• Netwrix Auditor fornece visibilidade sobre alterações, configurações e acessos em sistemas de TI como Active Directory, servidores de arquivos e Microsoft 365, permitindo que as organizações identifiquem lacunas de segurança e acompanhem a atividade dos usuários.
• Netwrix Data Classification permite que as organizações descubram e classifiquem informações sensíveis, ajudando-as a identificar dados inadequadamente protegidos ou regulamentados em repositórios locais e na nuvem.

Juntas, essas soluções fornecem uma visibilidade abrangente dos ativos que apoia diretamente os requisitos da Função Identificar para gerenciamento de ativos e avaliação de riscos.

Governar: controles de acesso e aplicação de políticas

• Netwrix Privilege Secure fornece Privileged Access Management (PAM), permitindo acesso just-in-time e reduzindo privilégios administrativos permanentes. Também oferece monitoramento e gravação de sessões para supervisão e responsabilidade das atividades privilegiadas.
• Com capacidades de remediação de riscos impulsionadas por IA, a plataforma Netwrix 1Secure não apenas identifica riscos de segurança de dados, mas também fornece etapas de remediação personalizadas, com foco em permissões de alto risco que podem expor dados.

Essas capacidades correspondem diretamente aos resultados do Govern relacionados a papéis, responsabilidades, supervisão e controle de acesso de fornecedores ou terceiros.

Detectar: Rastreamento de alterações e detecção de anomalias

O monitoramento contínuo e a detecção precoce ajudam a limitar o impacto dos incidentes cibernéticos. Netwrix fortalece a Função Detect ao melhorar a visibilidade de atividades suspeitas e mudanças inesperadas.

• Netwrix Auditor fornece análises de segurança para identificar lacunas de segurança, detectar anomalias no comportamento do usuário e investigar padrões de ameaças a tempo para responder a ameaças potenciais.
• A plataforma monitora em tempo real as alterações em sistemas críticos, incluindo modificações no Active Directory, padrões de acesso a arquivos, alterações de configuração e atividade de usuários privilegiados. Também alerta as equipes de segurança quando detecta atividades incomuns ou desvios do comportamento normal.

Isso suporta os resultados do CSF Detect relacionados à detecção de anomalias, monitoramento e análise de eventos adversos.

Recuperar: Trilhas de auditoria e relatórios

A recuperação não se limita à restauração de sistemas; requer responsabilidade, evidências forenses e comunicação clara. Netwrix apoia a função de recuperação através de recuperação rápida, suporte a auditorias e capacidades de relatórios.

• Netwrix Auditor mantém registros detalhados de atividades e históricos de alterações que podem ser usados para análise forense e investigação de incidentes, fornecendo às equipes de segurança as evidências necessárias para entender o que aconteceu, quem esteve envolvido e como conter os danos.
• Também oferece ferramentas automatizadas de relatórios, alertas e investigação para apoiar a conformidade com os requisitos regulatórios e ajudar as equipes de TI a atender eficientemente às solicitações de auditoria.
• Relatórios pré-construídos alinham-se aos requisitos das normas PCI DSS, HIPAA, SOX, GDPR e NIST, facilitando a demonstração do alinhamento com o CSF para conselhos, auditores e reguladores durante as fases de Resposta e Recuperação.
• Netwrix Identity Recovery permite que as organizações recuperem rapidamente objetos, atributos e até florestas inteiras do Active Directory e Entra ID para restaurar as operações com tempo mínimo de inatividade.

Essas capacidades suportam a gestão eficaz de incidentes, análise pós-evento, comunicação de recuperação e resiliência empresarial, que são resultados-chave das funções Respond e Recover no CSF 2.0.

Principais conclusões para organizações

As organizações podem usar o CSF 2.0 para fortalecer programas de segurança, governança, resiliência e comunicação sobre riscos. Ao considerar implementar ou atualizar para o NIST CSF 2.0, aqui estão alguns pontos essenciais a ter em mente.

1. A governança é central:
   No NIST CSF 2.0, a governança é central. A nova função Govern formaliza o que muitas organizações aprenderam com a experiência: a cibersegurança é um risco empresarial que exige responsabilidade da liderança e supervisão ao nível do conselho, não apenas controles técnicos.
2. Acessibilidade aprimorada:
   O CSF 2.0 é explicitamente projetado para organizações de todos os tamanhos e setores. Novas orientações e recursos de implementação tornam a estrutura mais utilizável tanto para PMEs quanto para empresas maduras. Você não precisa mais de uma grande equipe de segurança para se beneficiar da estrutura.
3. Foco na cadeia de suprimentos:
   A gestão de riscos de terceiros e fornecedores agora está integrada em toda a estrutura. Isso reflete o impacto crescente das dependências dos fornecedores e reforça que os fornecedores devem atender às expectativas de cibersegurança.
4. Recursos práticos:
   O CSF 2.0 vem com exemplos de implementação, guias de início rápido e Perfis da Comunidade que lhe dão uma vantagem inicial. Esses recursos traduzem conceitos de alto nível em etapas práticas, facilitando a adoção.
5. Alinhamento global:
   O CSF 2.0 vem com um mapeamento aprimorado para frameworks como ISO/IEC 27001, CIS Controls e NIST SP 800-171. As organizações podem mapear os requisitos do CSF para obrigações de conformidade em vez de executar programas completos de conformidade separadamente.