Quando cercate un modo per proteggere la vostra organizzazione dai cyberattacchi, scoprirete che ci sono vari schemi per farlo.
Questo può essere un po’ opprimente e potrebbe non essere chiaro subito quale sia il più adatto alle esigenze della vostra organizzazione.
In questo articolo confronteremo la ISO 27001 e il NIST Cybersecurity Framework (CSF) per aiutarvi a determinare proprio questo.
Iniziamo esaminando ciascuno dei framework singolarmente.
Che cos’è il NIST Cybersecurity Framework?
Il National Institute of Standards and Technology (NIST) è un’agenzia statunitense precedentemente nota come National Bureau of Standards.
Sul loro sito web, il NIST fornisce un’utile infografica che definisce chiaramente il CSF (Cyber Security Framework), uno standard volontario che le organizzazioni possono utilizzare per gestire i propri rischi di sicurezza informatica.
Quando i sistemi di infrastrutture critiche diventano più intricati, diventano anche più vulnerabili.
Quando sono a rischio, questi sistemi possono comportare non solo rischi finanziari, ma anche rischi reputazionali per le organizzazioni, soprattutto per le organizzazioni nascenti che non dispongono ancora di solidi quadri di sicurezza.
Il NISC è stato incaricato di rafforzare la resilienza delle infrastrutture critiche attraverso il Cybersecurity Act del 2014.
Il CSF è il risultato dell’identificazione del NIST:
“[Un] approccio prioritario, flessibile, ripetibile, basato sulle prestazioni ed efficace in termini di costi. Comprese le misure e i controlli di sicurezza dell’informazione che possono essere adottati volontariamente dai proprietari e dagli operatori delle infrastrutture critiche per aiutarli a identificare, valutare e gestire i rischi informatici”
A cosa serve il NIST CSF?
Il NIST CSF aiuta le aziende a gestire meglio il rischio di cybersecurity. Indica come gestire e ridurre i rischi dell’infrastruttura IT, fornendo linee guida su come rilevare, prevenire e rispondere ai cyberattacchi
Poiché il CSF non è un framework certificabile come l’ISO 27001, può essere più difficile dimostrare ai clienti che la vostra azienda ha adottato misure per proteggere i loro dati.
Cinque funzioni del NIST CSF
Secondo la documentazione ufficiale del NIST, il framework fornisce alle organizzazioni un modo per:
- Descrivere la loro attuale posizione in materia di cybersecurity.
- Descrivere il loro stato obiettivo per la cybersecurity.
- Identificare e dare priorità alle opportunità di miglioramento nel contesto di un processo continuo e ripetibile
- Valutare i progressi verso lo stato obiettivo.
- Valutare i progressi verso l’obiettivo
- Comunicare tra gli stakeholder interni ed esterni il rischio di cybersecurity.
Che cos’è la ISO 27001?
ISO 27001 è uno standard internazionale per la gestione della sicurezza delle informazioni. Fornisce alle aziende un quadro di riferimento per garantire l’efficacia dei loro sistemi di sicurezza delle informazioni. La ISO 27001 è composta da 11 clausole, 7 delle quali sono requisiti obbligatori.
Ci sono 14 domini dei controlli ISO 27001. Essi sono:
- Politiche di sicurezza delle informazioni
- Organizzazione della sicurezza delle informazioni Sicurezza delle risorse umane
- Gestione del patrimonio
- Controllo degli accessi
- Crittografia
- Sicurezza fisica e ambientale
- Sicurezza operativa
- Sicurezza delle comunicazioni
- Acquisizione, sviluppo e manutenzione dei sistemi
- Relazioni con i fornitori
- Gestione degli incidenti di sicurezza informatica
- Aspetti di sicurezza informatica della gestione della continuità operativa Compliance
Data Guard fornisce una dettagliata guida ai controlli ISO dell’Allegato A, un insieme di controlli per la sicurezza delle informazioni che è possibile selezionare a seconda dell’ambito di applicazione della propria organizzazione.
A cosa serve la ISO 27001?
La ISO 27001 fornisce alle aziende un quadro di riferimento per garantire l’efficacia dei loro sistemi di sicurezza delle informazioni (ISMS)
È uno standard volontario, ma molte aziende scelgono di adottarlo per dimostrare il loro impegno nella sicurezza delle informazioni.
Le aziende ricevono un certificato alla fine del loro percorso ISO 27001, che può essere utilizzato per dimostrare ai clienti che i loro dati sono sicuri e protetti.
Questo è uno dei maggiori elementi di differenziazione tra ISO 27001 e NIST Cybersecurity Framework.
Le somiglianze tra ISO 27001 e NIST Cybersecurity Framework
Gli obiettivi della ISO 27001 e del NIST CSF sono quasi identici: garantire la riservatezza, l’integrità, la disponibilità e la sicurezza
Ma le somiglianze non finiscono qui.
L’implementazione di uno di questi framework basati sul rischio richiede il consenso e il sostegno del senior management. Entrambi dovrebbero anche essere mantenuti una volta implementati.
La buona notizia è che sono facilmente integrabili, perché hanno diversi principi in comune, ad esempio l’identificazione dei rischi, l’implementazione dei controlli e il monitoraggio delle prestazioni.
Le differenze tra la ISO 27001 e il NIST Cybersecurity Framework
In sostanza, il NIST CSF è un framework di sicurezza volontario e non certificabile, mentre la ISO 27001, pur essendo anch’essa volontaria, richiede un audit indipendente per garantire la conformità e ottenere la certificazione.
Molti sostengono che le aziende meno mature, come le start-up, possono utilizzare il NIST CSF e successivamente passare all’ISO 27001, anche se è possibile implementarli entrambi. Questa tabella fornisce una panoramica di base delle differenze tra ISO 27001 e NIST CSF.
| NIST CSF | ISO 27001 | ||||||
| Framework | 5 Functions 23 Categories | 11 Sections 1 Allegato | |||||
| Certificabile | No | Sì | |||||
| Documenti obbligatori | Nessuno specificato | Non ufficialmente: – Campo di applicazione dell’ISMS – Politica e obiettivi di sicurezza delle informazioni – Metodologia di valutazione e trattamento dei rischi – Dichiarazione di applicabilità – Piano di trattamento dei rischi – Rapporto di valutazione dei rischi – Definizione dei ruoli e delle responsabilità in materia di sicurezza – Inventario degli asset – Documenti obbligatori | – Inventario degli asset | – Inventario degli asset | – Inventario degli asset | Inventario degli asset – Uso accettabile degli asset – Politica di controllo degli accessi – Procedure operative per la gestione dell’IT – Principi di ingegneria dei sistemi sicuri – Politica di sicurezza dei fornitori – Procedura di gestione degli incidenti – Procedure di continuità operativa – Requisiti di legge, normativi e contrattuali Vedi l’articolo che abbiamo scritto sul documenti obbligatori per la ISO 27001. | |
| Costo | Gratuito | Variabile. Richiede spese per modelli, documentazione, audit e certificazione. +/- € 50.000 |
Sicurezza del rischio
Secondo il NIST, il “rischio” è definito come:
“Una misura della misura in cui un’entità è minacciata da una circostanza o un evento potenziale, e tipicamente una funzione di: (i) gli impatti negativi che si verificherebbero se la circostanza o l’evento si verificasse; e (ii) la probabilità che si verifichi”
La sicurezza del rischio, quindi, consiste in tutte le misure adottate per contrastare queste minacce e comprende anche la gestione del rischio.
La gestione del rischio è al centro di entrambi i framework NIST e ISO. Ognuno di essi ha un proprio linguaggio comune che consente alle parti interessate di comprendere e identificare i rischi e come affrontarli.
Il NIST è stato creato per assistere le agenzie federali statunitensi nella gestione dei rischi, mentre l’ISO è utilizzato a livello internazionale per guidare le organizzazioni nella creazione e nel mantenimento di un ISMS (Information Security Management System).
Processo di certificazione
NIST non ha un certificato ufficiale, quindi non c’è un processo di certificazione.
Tuttavia, secondo Babbage Simmel, il NIST fornisce una linea guida in sette fasi per stabilire nuovi programmi di sicurezza o migliorare quelli esistenti.
Le sette fasi sono:
- Priorità e ambito
- Oriente
- Crea un profilo corrente
- Condurre una valutazione dei rischi
- Creare un profilo target
- Determinare, analizzare e dare priorità alle lacune
- Attuare il piano d’azione
Il processo di certificazione per la ISO 27001 è un po’ più complicato.
Secondo Kolide:
“La certificazione ISO 27001 è un processo in più fasi, che richiede una grande quantità di lavoro prima ancora che un auditor venga coinvolto.”
Prosegue fornendo un’infografica semplificata del processo:
Come si confrontano i costi di Iso 27001 vs Nist cybersecurity framework?
Non essendoci costi associati al NIST CSF, è la soluzione migliore per le start-up o per le aziende con un budget ridotto per la sicurezza
A causa della natura in evoluzione dei cyberattacchi, allocare un budget per l’implementazione di un sistema di gestione della sicurezza delle informazioni è sicuramente qualcosa da considerare.
Ovviamente, il costo effettivo dipende da come si affronta l’implementazione della ISO 27001. Si tratta di un processo a più fasi e ci sono variabili che consentono vari livelli di coinvolgimento di parti esterne, il che significa che i costi possono variare in modo significativo
In generale si parla di 40.000-60.000 euro per l’intero processo, dalla preparazione alla manutenzione.
L’ISO è meglio del NIST?
La ISO è migliore per le organizzazioni più grandi, per quelle che dispongono di un budget per i framework di sicurezza e/o per quelle che hanno bisogno che i loro clienti le prendano più sul serio quando si tratta di protezione dei dati e di cybersicurezza.
NIST è sufficiente per chi inizia ed è un buon primo passo per comprendere e implementare un quadro di sicurezza nella propria azienda.
Iso 27001 vs Nist cybersecurity framework: quale è il migliore per la vostra azienda?
Se la vostra azienda è nuova o se avete un budget basso, allora il NIST sarebbe probabilmente più utile per la vostra organizzazione, ma se siete cresciuti o avete un buon budget per la cybersecurity, allora l’ISO 27001 è certamente preferibile.
Poter esibire un certificato ai vostri interlocutori potrebbe rivelarsi prezioso nei colloqui o per mantenere i clienti esistenti.
Lean compliance: semplificare la ISO 27001
Scegliere la ISO 27001 varrà la pena nel lungo periodo.
Farlo non significa complicare il processo di sicurezza. Infatti, semplificare la ISO 27001 è ciò che ci riesce meglio in Compleye. Scopri come, utilizzando un approccio di conformità snello alla ISO 27001, stiamo rendendo la conformità (quasi) divertente.
A proposito, se siete interessati a saperne di più su come la ISO 27001 si confronta con il SOC 2, abbiamo scritto anche di questo.
