Quando estiver a procurar formas de proteger a sua organização contra ciberataques, descobrirá que existem várias estruturas para o fazer.
Isto pode ser um pouco complicado e pode não ser claro, logo à partida, qual delas se adequa melhor às necessidades da sua organização.
Neste artigo vamos comparar a ISO 27001 e o NIST Cybersecurity Framework (CSF) para o ajudar a determinar exatamente isso.
Vamos começar examinando cada uma das estruturas individualmente.
O que é a estrutura de segurança cibernética do NIST?
O National Institute of Standards and Technology (NIST) é uma agência dos EUA anteriormente conhecida como National Bureau of Standards.
No seu sítio Web, o NIST disponibiliza um útil infográfico que define claramente o CSF (Cyber Security Framework), uma norma voluntária que as organizações podem utilizar para gerir os seus riscos de cibersegurança.
À medida que os sistemas de infra-estruturas críticas se tornam mais complexos, tornam-se também mais vulneráveis.
Quando em risco, esses sistemas podem resultar não apenas em riscos financeiros, mas também em riscos de reputação para organizações, especialmente organizações iniciantes que ainda não possuem estruturas de segurança robustas.
O NISC foi incumbido de reforçar a resiliência das infra-estruturas críticas através do Cybersecurity Act de 2014.
O CSF é o resultado da identificação do NIST:
“[Uma] abordagem prioritária, flexível, repetível, baseada no desempenho e económica. Incluindo medidas e controlos de segurança da informação que podem ser adoptados voluntariamente pelos proprietários e operadores de infra-estruturas críticas para os ajudar a identificar, avaliar e gerir os riscos cibernéticos.”
Para que é utilizado o NIST CSF?
O NIST CSF ajuda as empresas a gerir melhor os seus riscos de cibersegurança. Mostra-lhes como gerir e reduzir os riscos da infraestrutura de TI, fornecendo orientações sobre como detetar, prevenir e responder a ciberataques.
Porque o CSF não é uma estrutura certificável como a ISO 27001, pode ser mais difícil provar aos clientes que a sua empresa tem medidas em vigor para proteger os seus dados.
Cinco funções do NIST CSF
De acordo com a documentação oficial do NIST, a estrutura fornece uma forma de as organizações:
- Descreva a sua postura atual em matéria de cibersegurança.
- Descreva o seu estado-alvo para a cibersegurança.
- Identificar e dar prioridade a oportunidades de melhoria no contexto de um processo contínuo e repetível.
- Avaliar o progresso em direção ao estado alvo.
- Comunicar entre as partes interessadas internas e externas sobre o risco de cibersegurança.
O que é a ISO 27001?
ISO 27001 é uma norma internacional para a gestão da segurança da informação. Fornece uma estrutura para as empresas seguirem, a fim de garantir que os seus sistemas de segurança da informação são eficazes. A ISO 27001 é composta por 11 cláusulas, 7 das quais são requisitos obrigatórios.
Existem 14 domínios dos controlos da ISO 27001. São eles:
- Políticas de Segurança da Informação
- Organização da Segurança da Informação
- Segurança dos Recursos Humanos
- Gestão de activos
- Controlo de Acesso
- Criptografia
- Segurança Física e Ambiental
- Segurança operacional
- Segurança de Comunicações
- Aquisição, Desenvolvimento e Manutenção de Sistemas
- Relações com fornecedores
- Gestão de Incidentes de Segurança da Informação
- Aspectos da Segurança da Informação na Gestão da Continuidade do Negócio
- Conformidade
O Data Guard fornece um guia detalhado para os controlos do Anexo A da ISO, um conjunto de controlos de segurança da informação que pode selecionar, dependendo do que se adequa ao âmbito da sua organização.
Para que é que a ISO 27001 é utilizada?
A ISO 27001 fornece uma estrutura para as empresas seguirem, a fim de garantir que seus sistemas de segurança da informação (ISMS) sejam eficazes.
Trata-se de uma norma voluntária, mas muitas empresas optam por adoptá-la para demonstrar o seu compromisso com a segurança da informação.
As empresas recebem um certificado no final da sua jornada ISO 27001, que pode ser usado para provar aos clientes que os seus dados estão seguros e protegidos.
Este é um dos maiores diferenciais entre a ISO 27001 e o NIST Cybersecurity Framework.
As semelhanças entre a ISO 27001 e o NIST Cybersecurity Framework
Os objectivos da ISO 27001 e do NIST CSF são quase idênticos – assegurar a confidencialidade, integridade, disponibilidade e segurança.
Mas não é aí que as semelhanças terminam.
A implementação de qualquer uma dessas estruturas baseadas em risco precisaria da adesão e do apoio da alta administração. Ambas também devem ser mantidas após a implementação.
A boa notícia é que são facilmente integrados, porque têm vários princípios em comum, por exemplo, a identificação de riscos, a implementação de controlos e a monitorização do desempenho.
As diferenças entre a ISO 27001 e o NIST Cybersecurity Framework
Essencialmente, o NIST CSF é uma estrutura de segurança voluntária e não certificável, enquanto a ISO 27001, embora também voluntária, exige uma auditoria independente para garantir a conformidade e obter uma certificação.
Muitos dizem que as empresas menos maduras, como as start-ups, podem usar o NIST CSF e depois passar para a ISO 27001, embora seja possível implementar ambas. Esta tabela fornece uma visão geral básica das diferenças entre a ISO 27001 e o NIST CSF.
| NIST CSF | ISO 27001 | |
| Estrutura | 5 Funções 23 Categorias | 11 Secções 1 Anexo |
| Certificável | Não | Sim |
| Documentos obrigatórios | Nenhum especificado | Não oficial: – Scope of ISMS – Política e objectivos de segurança da informação – Metodologia de avaliação e tratamento de riscos – Declaração de aplicabilidade – Plano de tratamento de riscos – Relatório de avaliação de riscos – Definição de funções e responsabilidades de segurança – Inventário de activos – Utilização aceitável dos activos – Política de controlo de acessos – Procedimentos operacionais para a gestão das TI – Princípios de engenharia de sistemas seguros – Política de segurança dos fornecedores – Procedimento de gestão de incidentes – Procedimentos de continuidade das actividades – Requisitos estatutários, regulamentares e contratuais Veja o artigo que escrevemos sobre o documentos obrigatórios para a ISO 27001. |
| Custo | Gratuito | Variável. Requer despesas com modelos, documentação, auditorias e certificação. +/- €50.000 |
Segurança de risco
De acordo com o NIST, “risco” é definido como:
“Uma medida da extensão em que uma entidade é ameaçada por uma circunstância ou evento potencial, e tipicamente uma função de: (i) os impactos adversos que surgiriam se a circunstância ou evento ocorresse; e (ii) a probabilidade de ocorrência.”
A segurança contra riscos, portanto, consiste em quaisquer medidas tomadas para neutralizar essas ameaças e também engloba a gestão de riscos.
A gestão de riscos está no centro das estruturas do NIST e da ISO. Cada uma delas tem sua própria linguagem comum que permite que as partes interessadas entendam e identifiquem os riscos e como abordá-los.
O NIST foi criado para ajudar as agências federais dos EUA a gerir os seus riscos, enquanto a ISO é utilizada internacionalmente para orientar as organizações no estabelecimento e manutenção de um ISMS (Sistema de Gestão da Segurança da Informação).
Processo de certificação
O NIST não possui um certificado oficial, portanto não existe um processo de certificação.
No entanto, de acordo com Babbage Simmel, o NIST fornece uma diretriz de sete passos para estabelecer novos programas de segurança ou melhorar os existentes.
Os sete passos são:
- Prioridade e Âmbito
- Orient
- Criar um perfil atual
- Conduzir uma avaliação de risco
- Criar um perfil de alvo
- Determinar, analisar e priorizar lacunas
- Implementar Plano de Ação
O processo de certificação para a ISO 27001 é um pouco mais complicado.
De acordo com Kolide:
“A certificação ISO 27001 é um processo de várias etapas, exigindo muito trabalho antes mesmo de um auditor se envolver.”
Eles continuam a fornecer este infográfico simplificado do processo:
Como se comparam os custos da Iso 27001 vs Nist cybersecurity framework?
Como não há custos associados ao NIST CSF, ele é melhor para empresas iniciantes ou com baixo orçamento para segurança.
Devido à natureza evolutiva dos ciberataques, alocar um orçamento para a implementação de um Sistema de Gestão de Segurança da Informação é definitivamente algo a considerar.
É claro que o custo real depende da forma como se aborda a implementação da ISO 27001. Há um processo de várias etapas envolvido e há variáveis que permitem vários níveis de envolvimento de partes externas, o que significa que os custos podem variar de forma bastante significativa
No total, o custo de todo o processo, desde a preparação até à manutenção, é de 40.000 a 60.000 euros.
A ISO é melhor que o NIST?
A ISO é melhor para organizações maiores, para aquelas com um orçamento para estruturas de segurança e/ou para aquelas que precisam que os seus clientes as levem mais a sério quando se trata de proteção de dados e cibersegurança.
O NIST é suficiente para quem está a começar e é um bom primeiro passo para compreender e implementar uma estrutura de segurança na sua empresa.
Quadro de cibersegurança Iso 27001 vs Nist : Qual é o melhor para o seu negócio?
Se o seu negócio é novo ou se tem um orçamento baixo, então o NIST seria provavelmente mais útil para a sua organização, mas se já cresceu ou tem um bom orçamento para a cibersegurança, então a ISO 27001 é certamente preferível.
Ser capaz de mostrar um certificado às partes interessadas pode ser inestimável em apresentações ou na retenção de clientes existentes.
Conformidade enxuta: simplificando a ISO 27001
A escolha da ISO 27001 valerá a pena a longo prazo.
Fazer isso não significa que você estará complicando seu processo de segurança. Na verdade, simplificar a ISO 27001 é o que fazemos de melhor na Compleye. Descubra como, ao usar uma abordagem de conformidade enxuta para a ISO 27001, estamos tornando a conformidade (quase) divertida.
A propósito, se você estiver interessado em aprender mais sobre como a ISO 27001 se compara ao SOC 2, nós escrevemos sobre isso também.
