Laten we het definiëren NIST Cyber Security Framework in het kort.
Het NIST Cyber Security Framework, beter bekend als NIST CSF, is een raamwerk voor cybersecuritybeoordeling, ontwikkeld door het NIST (National Institute of Standards and Technology). Het hoofddoel van het NIST CSF is het beschermen van de kritieke infrastructuur van het land met behulp van een reeks best practices en aanbevelingen voor cybersecurity. Het is een vrijwillig, risicogebaseerd en resultaatgericht cybersecurityraamwerk dat uw organisatie helpt haar beveiligingsactiviteiten te categoriseren rond vijf hoofdfuncties: 1) Identificeren, 2) Beschermen, 3) Detecteren, 4) Reageren en 5) Herstellen.
Laten we elke functie kort bekijken:
Identificeren – De functie Identificeren helpt u bij het ontwikkelen van een algemene aanpak van cybersecurityrisicomanagement voor systemen, mensen, activa, data en capaciteiten binnen de organisatie. Het helpt u bij het identificeren van de kritieke activa, de algehele bedrijfsomgeving, het governancemodel en de toeleveringsketen.
Protect – De Protect-functie helpt u bij het instellen van defensieve maatregelen op basis van de input van de Identificatiefunctie, zoals kritieke activa en risicotolerantie-/acceptatieniveaus. Het benadrukt ook het belang van toegangscontrole en identiteitsbeheer, gegevensbescherming en training en bewustwording van gebruikers.
Detecteren – Met de detectiefuncties kunt u afwijkingen, schadelijke activiteiten en andere gebeurtenissen effectief detecteren door middel van continue beveiligingsbewaking en met behulp van andere detectieprocessen en -procedures.
Reageren – Om de detectiefunctie te voltooien, helpt Reageren u om direct de juiste actie te ondernemen via incidentresponsplanning, mitigerende maatregelen voor gebeurtenissen, nauwkeurige analyse, communicatie met de aangewezen belanghebbenden en continue verbetering bij elke gebeurtenis.
Herstellen – Met de herstelfunctie kunt u terugkeren naar de toestand van vóór de aanval met behulp van herstelplanning, continue verbetering en communicatie met de aangewezen belanghebbenden.
Overzicht van het NIST Cyber Security Framework: kern, niveaus en profiel
Het NIST CSF bestaat uit drie secties:
Het kerngedeelte omvat cyberbeveiligingspraktijken, technische, operationele en procesbeveiligingscontroles en resultaten die de vijf risicomanagementfuncties ondersteunen, zoals identificeren, beschermen, detecteren, reageren en herstellen.
In het gedeelte over niveaus wordt de nadruk gelegd op de processen van de organisatie voor risicobeheer, waarbij de organisatie in lijn blijft met NIST CSF.
De profielen karakteriseren hoe effectief het cybersecurityprogramma van een organisatie haar risico's beheert. Ze geven ook de huidige en toekomstige cybersecuritypositie van een organisatie weer.
NIST Cyber Security Framework en AWS Cloud
Het AWS-team publiceerde eerder een handleiding over de implementatie van NIST CSF in een AWS-cloudomgeving. AWS raadt aan om NIST CSF te gebruiken als mechanisme voor basisbeveiliging die de cloudbeveiligingsdoelstellingen van een organisatie kan verbeteren. NIST CSF bevat een uitgebreide catalogus met controles, afgeleid van ISO/IEC 27001 (1), NIST SP 800-53 (2), COBIT (3), ANSI/ISA-62443 (4) en de Top 20 Critical Security Controls (CSC) (5).
Er is een lijst op de AWS-portal die de afstemming van NIST CSF op verschillende AWS-services specificeert, bekend als de "AWS Services and Customer Responsibility Matrix for Alignment to the CSF" (6). Dit is een uitgebreide lijst die klanten kunnen gebruiken om hun behoeften af te stemmen op de CSF in de AWS-cloud voor hun beveiligingsvereisten. Dit stelt de klant ook in staat om hun basisbeveiligingsvereisten te ontwerpen om aan hun beveiligingsdoelen te voldoen.
AWS Cloud-adoptieraamwerk
Voordat een baseline wordt opgezet, is het belangrijk dat een klant een duidelijk inzicht heeft in zijn zakelijke use cases en de verantwoordelijkheden van de klant voor "beveiliging in de AWS-cloud". De klant dient het "AWS Cloud Adoption Framework" (7) te raadplegen om het governancemodel te evalueren dat nodig is bij de implementatie van het NIST CSF in de AWS-cloudservices. Het AWS CAF (Cloud Adoption Framework) bevat richtlijnen, bekend als "CAF Perspectives", om hiaten in beveiligingsvaardigheden, -capaciteiten en cybersecurityprocessen te identificeren.
NIST CSF-functies en -verantwoordelijkheden (eigendom van de klant en eigendom van AWS)
Het AWS-team heeft het concept ontwikkeld van NIST CSF-functiecategorieën en -subcategorieën in 108 op resultaten gebaseerde beveiligingsactiviteiten. Elke functie beschrijft de verantwoordelijkheden van de klant en AWS, wat betekent dat de beveiliging van de cloud in handen is van AWS en de beveiliging in de cloud in handen is van de klant. Bedrijfseigenaren/belanghebbenden kunnen de AWS-link van "AWS Services and Customer Responsibility Matrix for Alignment to the CSF" gebruiken om hun behoeften af te stemmen op de niveaus en het profielniveau van de organisatie in de CSF.
De onderstaande afbeelding geeft de kernfuncties van CSF weer (identificeren, beschermen, detecteren, reageren en herstellen), met gedefinieerde categorieën en de categorieën die door AWS zijn omgezet in op 108 resultaten gebaseerde beveiligingsactiviteiten (8).
Tot nu toe hebben we de NIST CSF-afstemming met AWS Cloud Services besproken en hoe de klant CAF (Cloud Adoption Framework) kan gebruiken om de vaardigheidskloof, capaciteiten en cyberbeveiligingsprocessen te evalueren met behulp van de CAF-perspectieven.
Laten we bespreken hoe geschikte AWS-services kunnen worden ingezet om een effectieve beveiligingsarchitectuur op te zetten met behulp van het NIST Cyber Security Framework.
De onderstaande tabel biedt een samenvattend overzicht van AWS Cloud Services, gecategoriseerd in de NIST CSF Core Functions op basis van de aard van de service:
| # | Identificeren | Beschermen | Opsporen | Reageren | Herstellen |
|---|---|---|---|---|---|
| 1 | organisaties | Schild | Wachtdienst | CloudWatch | OpsWorks |
| 2 | Beveiligingshub | Certificate Manager | Macie | Lambda | Wolkenvorming |
| 3 | Config | KMS | Inspecteur | Detective | S3 Gletsjer |
| 4 | Vertrouwde adviseur | Netwerk Firewall | Beveiligingshub | CloudTrail | Momentopname |
| 5 | Systems Manager | WAF | Systems Manager | Archief | |
| 6 | Controle toren | Firewallbeheerder | Stap Functies | CloudEndure Disaster Recovery | |
| 7 | WolkHSM | ||||
| 8 | IAM | ||||
| 9 | Directe verbinding | ||||
| 10 | VPC | ||||
| 11 | Eenmalig inloggen |
Conclusie
Door de AWS Cloud Services af te stemmen op het NIST CSF, kan de klant zijn cloudbeveiliging verbeteren met passend risicomanagement en brancheconforme cloudservices. Encryption Consulting, een toonaangevend cybersecuritybedrijf, biedt diverse AWS- en NIST-gerelateerde cybersecurityadviesdiensten aan, waarbij klanten een risico- en beveiligingsvolwassenheidsbeoordeling krijgen op basis van de beschreven normen. Encryption Consulting helpt klanten vertrouwd te raken met de NIST CSF- en AWS-beveiligingstools en -documentatie en helpt hen bij het uitvoeren van een zinvolle en kwantificeerbare cybersecuritybeoordeling, zonder de bedrijfsdoelen van de organisatie uit het oog te verliezen.
Informatiebronnen
- ISO/IEC 27001:2013, Informatietechnologie – Beveiligingstechnieken – Informatiebeveiligingsmanagementsystemen – Vereisten. ISO. Geraadpleegd op 18 februari 2021 van: https://www.iso.org/standard/54534.html
- NIST Special Publication (SP) 800-53, Rev. 5, Beveiligings- en privacycontroles voor informatiesystemen en organisaties. National Institute for Standards and Technology. Geraadpleegd op 18 februari 2021, van: https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final
- Control Objectives for Information and Related Technology (COBIT), een ISACA-framework. Information Systems Audit and Control Association (ISACA). Geraadpleegd op 18 februari 2021 van: https://www.isaca.org/resources/cobit
- ANSI/ISA-62443-2-4-2018 / IEC 62443-2-4:2015+AMD1:2017 CSV, Beveiliging voor industriële automatiserings- en besturingssystemen. International Society of Automation (ISACA).
- De 20 CIS-controles en -bronnen. Center for Internet Security (CIS). Geraadpleegd op 18 februari 2021 van: https://www.cisecurity.org/controls/cis-controls-list/
- De AWS Services and Customer Responsibility Matrix voor afstemming op de CSF kan hier worden gedownload: https://aws.amazon.com/compliance/nist/
- Een overzicht van het AWS Cloud Adoption Framework (CAF), versie 2. Amazon Web Services, Inc.
- Een overzicht van de AWS-mogelijkheden die u met NIST CSF kunt benutten: https://d1.awsstatic.com/whitepapers/compliance/NIST_Cybersecurity_Framework_CSF.pdf
