Wanneer u op zoek bent naar manieren om uw organisatie te beschermen tegen cyberaanvallen, zult u merken dat er verschillende kaders zijn om dit te doen.
Dit kan een beetje overweldigend zijn en het is misschien niet meteen duidelijk welke het beste past bij de behoeften van je organisatie.
In dit artikel vergelijken we ISO 27001 en NIST Cybersecurity Framework (CSF) om u te helpen precies dat te bepalen.
Laten we beginnen met elk van de raamwerken afzonderlijk te bekijken.
Wat is het NIST Cybersecurity Framework?
Het National Institute of Standards and Technology (NIST) is een Amerikaans agentschap dat voorheen bekend stond als het National Bureau of Standards.
Op hun website biedt NIST een nuttige infographic die duidelijk het CSF (Cyber Security Framework) definieert, een vrijwillige standaard die organisaties kunnen gebruiken om hun cyberbeveiligingsrisico’s te beheren.
Als kritieke infrastructuursystemen ingewikkelder worden, worden ze ook kwetsbaarder.
Wanneer deze systemen gevaar lopen, kunnen ze niet alleen leiden tot financiële risico’s, maar ook tot reputatierisico’s voor organisaties, vooral beginnende organisaties die nog geen robuuste beveiligingsframeworks hebben.
Het NISC werd belast met het versterken van de veerkracht van de kritieke infrastructuur door de Cybersecurity Act van 2014.
Het CSF is het resultaat van de NIST-identificatie:
“[Een] geprioriteerde, flexibele, herhaalbare, prestatiegerichte en kosteneffectieve aanpak. Inclusief informatiebeveiligingsmaatregelen en -controles die eigenaars en exploitanten van kritieke infrastructuur vrijwillig kunnen invoeren om hen te helpen bij het identificeren, beoordelen en beheren van cyberrisico’s.”
Waarvoor wordt het NIST CSF gebruikt?
Het NIST CSF helpt bedrijven hun cyberbeveiligingsrisico’s beter te beheren. Het laat hen zien hoe ze de risico’s van de IT-infrastructuur kunnen beheren en verminderen door richtlijnen te geven voor het detecteren en voorkomen van en reageren op cyberaanvallen.
Omdat het KSF geen certificeerbaar raamwerk is zoals ISO 27001, kan het moeilijker zijn om aan klanten te bewijzen dat uw bedrijf maatregelen heeft genomen om hun gegevens te beschermen.
Vijf functies van NIST CSF
Volgens de officiële documentatie van het NIST biedt het raamwerk organisaties een manier om:
- Beschrijf hun huidige cyberbeveiligingshouding.
- Beschrijf hun doelstatus voor cyberbeveiliging.
- Identificeer en prioriteer mogelijkheden voor verbetering binnen de context van een continu en herhaalbaar proces.
- Beoordeel de voortgang naar de doelstatus.
- Communiceer onder interne en externe belanghebbenden over cyberbeveiligingsrisico’s.
Wat is ISO 27001?
ISO 27001 is een internationale norm voor informatiebeveiligingsbeheer. Het biedt een kader dat bedrijven kunnen volgen om ervoor te zorgen dat hun informatiebeveiligingssystemen effectief zijn. ISO 27001 bestaat uit 11 clausules, waarvan er 7 verplichte vereisten zijn.
Er zijn 14 domeinen van de ISO 27001 controles. Dit zijn:
- Beleid voor informatiebeveiliging
- Organisatie van informatiebeveiliging
- Beveiliging van de menselijke hulpbronnen
- Human Resources Security
- Vastgoedbeheer
- Toegangsbeheer
- Cryptografie
- Fysieke en milieuveiligheid
- Operationele beveiliging
- Communicatiebeveiliging
- Systeemverwerving, ontwikkeling en onderhoud
- Leveranciersrelaties
- Incidentenbeheer Informatiebeveiliging
- Informatiebeveiligingsaspecten van Business Continuity Management
- Compliance
Data Guard biedt een gedetailleerde gids voor ISO’s Annex A controles, een set van informatiebeveiligingscontroles waaruit u kunt kiezen afhankelijk van welke past bij het toepassingsgebied van uw organisatie.
Waarvoor wordt ISO 27001 gebruikt?
ISO 27001 biedt een raamwerk dat bedrijven kunnen volgen om ervoor te zorgen dat hun informatiebeveiligingssystemen (ISMS) effectief zijn.
Het is een vrijwillige standaard, maar veel bedrijven kiezen ervoor om deze aan te nemen om hun betrokkenheid bij informatiebeveiliging aan te tonen.
Bedrijven ontvangen een certificaat aan het einde van hun ISO 27001-traject, dat kan worden gebruikt om aan klanten te bewijzen dat hun gegevens veilig zijn.
Dit is een van de grootste verschillen tussen ISO 27001 en het NIST Cybersecurity Framework.
De overeenkomsten tussen ISO 27001 en het NIST Cybersecurity Framework
De doelen van ISO 27001 en NIST CSF zijn bijna identiek – vertrouwelijkheid, integriteit, beschikbaarheid en beveiliging garanderen.
Maar daar houden de overeenkomsten niet op.
De implementatie van een van deze risicogebaseerde raamwerken vereist de buy-in en steun van het senior management. Beide moeten ook worden onderhouden zodra ze zijn geïmplementeerd.
Het goede nieuws is dat ze gemakkelijk te integreren zijn, omdat ze verschillende principes gemeen hebben, zoals risico-identificatie, controle-implementatie en prestatiemonitoring.
De verschillen tussen ISO 27001 en NIST Cybersecurity Framework
In wezen is NIST CSF een vrijwillig, niet certificeerbaar beveiligingsraamwerk, terwijl ISO 27001, hoewel ook vrijwillig, een onafhankelijke audit vereist om naleving te garanderen en een certificering te verdienen.
Velen zeggen dat minder volwassen bedrijven, zoals start-ups, het NIST CSF kunnen gebruiken en later kunnen overstappen op ISO 27001, hoewel het mogelijk is om beide te implementeren. Deze tabel geeft een basisoverzicht van de verschillen tussen ISO 27001 en NIST CSF.
| NIST CSF | ISO 27001 | |
| Kader | 5 Functies 23 Categorieën | 11 Secties 1 Bijlage | Certificeerbaar | Nee | Yes |
| Verplichte documenten | Niet gespecificeerd | Officieel: – verplichte documenten voor ISO 27001. |
| Kosten | Gratis | Varieert. Vereist uitgaven voor sjablonen, documentatie, audits en certificering. +/- €50.000 |
Risico veiligheid
Volgens NIST wordt ‘risico’ gedefinieerd als:
“Een maatstaf voor de mate waarin een entiteit wordt bedreigd door een potentiële omstandigheid of gebeurtenis, en gewoonlijk een functie van: (i) de nadelige gevolgen die zouden optreden als de omstandigheid of gebeurtenis zich voordoet; en (ii) de waarschijnlijkheid dat deze zich voordoet.”
Risk security bestaat daarom uit alle maatregelen die worden genomen om deze bedreigingen tegen te gaan en het omvat ook risicomanagement.
Risicomanagement vormt de kern van zowel het NIST- als het ISO-raamwerk. Ze hebben elk hun eigen gemeenschappelijke taal die belanghebbenden in staat stelt om risico’s te begrijpen en te identificeren en hoe deze aan te pakken.
NIST is opgericht om Amerikaanse federale agentschappen te helpen hun risico’s te beheren, terwijl ISO internationaal wordt gebruikt om organisaties te begeleiden bij het opzetten en onderhouden van een ISMS (Information Security Management System).
Certificeringsproces
NIST heeft geen officieel certificaat, dus er is geen certificeringsproces.
NIST biedt volgens Babbage Simmel echter een richtlijn met zeven stappen voor het opzetten van nieuwe beveiligingsprogramma’s of het verbeteren van bestaande programma’s.
De zeven stappen zijn:
- Prioriteren en bereik
- Oriënt
- Een huidig profiel aanmaken
- Risicobeoordeling uitvoeren
- Een doelprofiel maken
- Bepaal, analyseer en prioriteer hiaten
- Actieplan uitvoeren
Het certificeringsproces voor ISO 27001 is iets ingewikkelder.
Volgens Kolide:
“ISO 27001-certificering is een proces dat uit meerdere stappen bestaat en veel werk vereist voordat een auditor erbij betrokken wordt.”
Ze gaan verder met deze vereenvoudigde infographic van het proces:
Hoe verhouden de kosten van Iso 27001 vs Nist cyberbeveiligingsraamwerk zich tot elkaar?
Omdat er geen kosten zijn verbonden aan NIST CSF, is het het beste voor startende bedrijven of bedrijven met een laag budget voor beveiliging.
Dankzij de evoluerende aard van cyberaanvallen, is het toewijzen van een budget aan de implementatie van een Information Security Management System zeker iets om te overwegen.
De werkelijke kosten zijn natuurlijk afhankelijk van hoe u de implementatie van ISO 27001 aanpakt. Er is sprake van een meerfasenproces en er zijn variabelen die verschillende hoeveelheden betrokkenheid van externe partijen toestaan, wat betekent dat de kosten aanzienlijk kunnen variëren.
Al met al kijk je naar €40.000 tot €60.000 voor het hele proces van voorbereiding tot onderhoud.
Is ISO beter dan NIST?
ISO is beter voor grotere organisaties, organisaties met een budget voor beveiligingsframeworks en/of organisaties die willen dat hun klanten hen serieuzer nemen als het gaat om gegevensbescherming en cyberbeveiliging.
NIST is voldoende voor degenen die beginnen en is een goede eerste stap in het begrijpen en implementeren van een beveiligingsraamwerk in uw bedrijf.
Iso 27001 vs Nist cybersecurity framework: Welke is het beste voor uw bedrijf?
Als uw bedrijf nieuw is of als u een laag budget hebt, dan is NIST waarschijnlijk nuttiger voor uw organisatie, maar als u groter bent geworden of een goed budget hebt voor cyberbeveiliging, dan verdient ISO 27001 zeker de voorkeur.
Een certificaat kunnen laten zien aan je stakeholders kan van onschatbare waarde zijn in pitches of bij het behouden van bestaande klanten.
Lean compliance: ISO 27001 vereenvoudigen
Kiezen voor ISO 27001 loont op de lange termijn.
Dit betekent niet dat uw beveiligingsproces ingewikkelder wordt. Sterker nog, ISO 27001 vereenvoudigen is wat we het beste kunnen bij Compleye. Ontdek hoe, door gebruik te maken van een lean compliance-aanpak voor ISO 27001, we compliance (bijna) leuk maken.
Als u trouwens meer wilt weten over hoe ISO 27001 zich verhoudt tot SOC 2, dan hebben we daar ook over geschreven.
