Når du undersøger, hvordan du kan beskytte din organisation mod cyberangreb, vil du opdage, at der er forskellige rammer for at gøre det.
Dette kan være lidt overvældende, og det er måske ikke klart lige med det samme, hvilken der passer bedst til din organisations behov.
I denne artikel sammenligner vi ISO 27001 og NIST Cybersecurity Framework (CSF) for at hjælpe dig med at afgøre netop det.
Lad os starte med at undersøge hver af rammerne individuelt.
Hvad er NIST Cybersecurity Framework?
L'Institut national des normes et de la technologie (NIST) er et amerikansk agentur, der tidligere var kendt som National Bureau of Standards.
På deres hjemmeside tilbyder NIST en nyttig infografik, som klart definerer CSF (Cyber Security Framework), en frivillig standard, som organisationer kan bruge til at styre deres cybersikkerhedsrisici.
Når kritiske infrastruktursystemer bliver mere indviklede, bliver de også mere sårbare.
Når disse systemer er i fare, kan det ikke kun resultere i økonomiske risici, men også i omdømmerisici for organisationer, især nystartede organisationer, der endnu ikke har robuste sikkerhedsrammer på plads.
NISC fik til opgave at styrke den kritiske infrastrukturs modstandsdygtighed gennem cybersikkerhedsloven fra 2014.
CSF’en er resultatet af NIST’s identifikation:
“[En] prioriteret, fleksibel, gentagelig, præstationsbaseret og omkostningseffektiv tilgang. Herunder informationssikkerhedsforanstaltninger og -kontroller, som frivilligt kan vedtages af ejere og operatører af kritisk infrastruktur for at hjælpe dem med at identificere, vurdere og håndtere cyberrisici.”
Hvad bruges NIST CSF til?
NIST CSF hjælper virksomheder med at styre deres cybersikkerhedsrisiko bedre. Den viser dem, hvordan de kan styre og reducere IT-infrastrukturrisici ved at give retningslinjer for, hvordan de kan opdage, forebygge og reagere på cyberangreb.
Da CSF ikke er en certificerbar ramme som ISO 27001, kan det være sværere at bevise over for kunderne, at din virksomhed har foranstaltninger på plads til at beskytte deres data.
Fem funktioner i NIST CSF
Ifølge NIST’s officielle dokumentation giver rammeværket organisationer mulighed for at:
- Beskriv deres nuværende cybersikkerhedsposition.
- Beskriv deres mål for cybersikkerhed.
- Identificere og prioritere muligheder for forbedring inden for rammerne af en kontinuerlig og gentagelig proces.
- Vurder fremskridt mod måltilstanden.
- Kommuniker blandt interne og eksterne interessenter om cybersikkerhedsrisici.
Hvad er ISO 27001?
ISO 27001 er en international standard for styring af informationssikkerhed. Den giver en ramme, som virksomheder kan følge for at sikre, at deres informationssikkerhedssystemer er effektive. ISO 27001 består af 11 klausuler, hvoraf 7 er obligatoriske krav.
Der er 14 domæner i ISO 27001-kontrollerne. De er:
- Informationssikkerhedspolitikker
- Organisation af informationssikkerhed
- Sikkerhed for menneskelige ressourcer
- Gestion des actifs
- Adgangskontrol
- Kryptografi
- Fysisk og miljømæssig sikkerhed
- Operationel sikkerhed
- Kommunikationssikkerhed
- Anskaffelse, udvikling og vedligeholdelse af systemer
- Leverandørforhold
- Håndtering af informationssikkerhedshændelser
- Informationssikkerhedsaspekter af Business Continuity Management
- Overensstemmelse
Data Guard giver en detaljeret vejledning til ISO’s Annex A-kontroller, et sæt informationssikkerhedskontroller, som du kan vælge imellem afhængigt af, hvad der passer til din organisations omfang.
Hvad bruges ISO 27001 til?
ISO 27001 giver en ramme, som virksomheder kan følge for at sikre, at deres informationssikkerhedssystemer (ISMS) er effektive.
Det er en frivillig standard, men mange virksomheder vælger at anvende den for at demonstrere deres engagement i informationssikkerhed.
Virksomheder modtager et certifikat ved afslutningen af deres ISO 27001-rejse, som kan bruges til at bevise over for kunderne, at deres data er sikre.
Dette er en af de største forskelle mellem ISO 27001 og NIST Cybersecurity Framework.
Dette er en af de største forskelle mellem ISO 27001 og NIST Cybersecurity Framework
Lighederne mellem ISO 27001 og NIST Cybersecurity Framework
Målene for ISO 27001 og NIST CSF er næsten identiske – at sikre fortrolighed, integritet, tilgængelighed og sikkerhed.
Men det er ikke der, lighederne slutter.
Implementeringen af en af disse risikobaserede rammer vil kræve opbakning og støtte fra den øverste ledelse. Begge skal også vedligeholdes, når de er implementeret.
Den gode nyhed er, at de er lette at integrere, fordi de har flere principper til fælles, f.eks. risikoidentifikation, kontrolimplementering og overvågning af performance.
Forskellene mellem ISO 27001 og NIST Cybersecurity Framework
I bund og grund er NIST CSF en frivillig, ikke-certificerbar sikkerhedsramme, mens ISO 27001, selvom den også er frivillig, kræver en uafhængig revision for at sikre overholdelse og opnå en certificering.
Mange siger, at mindre modne virksomheder som f.eks. nystartede virksomheder kan bruge NIST CSF og senere opgradere til ISO 27001, selvom det er muligt at implementere begge dele. Denne tabel giver et grundlæggende overblik over forskellene mellem ISO 27001 og NIST CSF.
| NIST CSF | ISO 27001 | |
| Le cadre | 5 Fonctions 23 Catégories | 11 Sections 1 Annexe |
| Certificerbar | Nej | Ja |
| Obligatoriske dokumenter | Ingen specificeret | Uofficielt: – Omfanget af ISMS – Informationssikkerhedspolitik og -mål – Risikovurdering og risikohåndteringsmetode – Erklæring om anvendelighed – Risikohåndteringsplan – Risikovurderingsrapport – Definition af sikkerhedsroller og -ansvar – Fortegnelse over aktiver – Acceptabel brug af aktiver – Politik for adgangskontrol – Driftsprocedurer for it-styring – Principper for sikker systemkonstruktion – Sikkerhedspolitik for leverandører – Procedure for hændelseshåndtering – Procedurer for forretningskontinuitet – Lovmæssige, regulatoriske og kontraktmæssige krav Se den artikel, vi skrev om obligatoriske dokumenter til ISO 27001. |
| Omkostninger | Gratis | Varierer. Kræver udgifter til skabeloner, dokumentation, revisioner og certificering. +/- €50.000 |
Risikosikkerhed
Ifølge NIST er ‘risiko’ defineret som:
“Et mål for, i hvilket omfang en enhed er truet af en potentiel omstændighed eller begivenhed, og typisk en funktion af: (i) de negative konsekvenser, der vil opstå, hvis omstændighederne eller hændelsen indtræffer, og (ii) sandsynligheden for, at de indtræffer.”
Risikosikkerhed består derfor af alle foranstaltninger, der træffes for at modvirke disse trusler, og det omfatter også risikostyring.
Risikostyring er kernen i både NIST- og ISO-frameworket. De har hver deres fælles sprog, som gør det muligt for interessenter at forstå og identificere risici, og hvordan de skal håndteres.
NIST blev oprettet for at hjælpe amerikanske føderale agenturer med at styre deres risici, mens ISO bruges internationalt til at vejlede organisationer i at etablere og vedligeholde et ISMS (Information Security Management System).
Processus de certification
NIST har ikke et officielt certifikat, så der er ingen certificeringsproces.
Ifølge Babbage Simmel giver NIST dog en syvtrins vejledning til etablering af nye sikkerhedsprogrammer eller forbedring af eksisterende.
De syv trin er:
- Prioritering og omfang
- Orient
- Opret en aktuel profil
- Udfør en risikovurdering
- Opret en målprofil
- Bestem, analyser og prioriter huller
- Implementer handlingsplan
Certificeringsprocessen for ISO 27001 er noget mere kompliceret.
Ifølge Kolide:
“ISO 27001-certificering er en proces i flere trin, der kræver meget arbejde, før en auditor overhovedet bliver involveret.”
De fortsætter med at give denne forenklede infografik af processen:
Hvordan sammenlignes omkostningerne ved Iso 27001 vs Nist cybersecurity framework?
Da der ikke er nogen omkostninger forbundet med NIST CSF, er det bedst for nystartede virksomheder eller virksomheder med lave sikkerhedsbudgetter.
På grund af cyberangrebenes skiftende karakter er det bestemt noget, man bør overveje at afsætte et budget til implementering af et information security management system
De faktiske omkostninger afhænger selvfølgelig af, hvordan du griber implementeringen af ISO 27001 an. Der er tale om en proces i flere trin, og der er variabler, der tillader forskellige grader af involvering fra eksterne parter, hvilket betyder, at omkostningerne kan variere ganske betydeligt
Overordnet set skal du regne med 40.000 til 60.000 euro for hele processen fra forberedelse til vedligeholdelse.
Er ISO bedre end NIST?
ISO er bedre for større organisationer, dem med et budget til sikkerhedsrammer og/eller dem, der har brug for, at deres kunder tager dem mere alvorligt, når det handler om databeskyttelse og cybersikkerhed.
NIST er tilstrækkelig for dem, der starter, og er et godt første skridt til at forstå og implementere en sikkerhedsramme i din virksomhed.
Iso 27001 vs Nist cybersecurity framework: Hvilken er bedst for din virksomhed?
Hvis din virksomhed er ny, eller hvis du har et lavt budget, så vil NIST sandsynligvis være mere nyttig for din organisation, men hvis du har opskaleret eller har et godt budget til cybersikkerhed, så er ISO 27001 helt sikkert at foretrække.
At kunne vise et certifikat til dine interessenter kan vise sig at være uvurderligt i pitches eller til at fastholde eksisterende kunder.
Lean compliance: forenkling af ISO 27001
Det kan betale sig at vælge ISO 27001 i det lange løb.
Det betyder ikke, at du komplicerer din sikkerhedsproces. Faktisk er det at forenkle ISO 27001 det, vi gør bedst hos Compleye. Find ud af, hvordan vi ved at bruge en lean compliance-tilgang til ISO 27001 gør compliance (næsten) sjov.
Forresten, hvis du er interesseret i at lære mere om hvordan ISO 27001 kan sammenlignes med SOC 2, har vi også skrevet om det.
