Govern: מגדירים אחריות
מתעדים מי בעל הסיכון העסקי, מי מאשר שינויים ואילו ספקים מחזיקים מידע או גישה חשובים. מחליטים כיצד לתעדף שחזור תהליכים ומי מאשר החלטות דחופות. אלו החלטות ניהוליות ולא הגדרות שתוסף יכול לקבוע.
Identify: ממפים מערכות ותלויות
רושמים אתרים, דומיינים, דואר, אחסון, חיבורים ובעלים. מתעדים זרימת מידע ותהליכים שייעצרו אם חשבון ספק יאבד. מיפוי שימושי צריך להיות עדכני מספיק כדי לתמוך בתיקון אמיתי.
Protect: מתחזקים בסיס מוסכם
בודקים הרשאות, MFA נתמך, עדכונים, גיבויים והגדרות חשופות. בוחרים פעולות עבור המערכות שמופו ומתעדים חריגים וראיות לביצוע. שם של מוצר הגנה אינו תחליף לבדיקת שינוי.
Detect: קובעים מי בוחן אותות
בוחרים לוגים והתראות שימושיים לכשלי גיבוי, שינויי גישה והשבתות. מגדירים אחראי ודרך להעברת טיפול. שמירת לוגים ללא תהליך בדיקה עלולה להשאיר את העסק ללא מודעות לבעיה.
Respond ו-Recover: תגובה והתאוששות
Respond עוסקת בפעולה בעקבות אירוע: תיאום אחריות, בירור היקף, תקשורת וצמצום פגיעה. Recover עוסקת בחזרת המערכות והפעילות ובהפקת לקחים. אלו שתי פונקציות נפרדות מתוך השש. בעסק קטן אפשר להתחיל מרשימת אנשי קשר, ערוץ חלופי לדואר שנפגע וסדר שחזור לתהליכים חשובים. מתעדים מה נבדק בתרגול ומה נשאר בגדר יעד. החזרת דף הבית אינה בהכרח החזרת קופה, דואר או נתונים תקינים.
מסגרת עבודה והסמכה הן מטרות שונות
NIST CSF 2.0 מארגן תוצאות סייבר בשש פונקציות ואינו תוכנית הסמכה של NIST. הפעולות כאן הן דוגמאות יישום, ולא רשימת פעולות רשמית המחייבת כל עסק. Cyber Essentials היא תוכנית בריטית נפרדת הכוללת הערכה והסמכה. סקירת תחזוקת אתר אינה מחליפה את תהליך ההערכה שלה או מוכיחה שכל תוצאות CSF מומשו.
שש פונקציות, שש שאלות מעשיות
CSF 2.0 היא מסגרת לניהול סיכוני סייבר. הטבלה היא דרך עבודה מוצעת לעסק קטן ולא הערכת עמידה רשמית. האחריות והראיות נבחרות לפי ההקשר העסקי.
| פונקציה | יעד ומצב נצפה | פעולה וראיה לסגירה |
|---|---|---|
| Govern | אחריות ספק או חריג אינם מוגדרים | החלטה כתובה, אחראי ומועד בחינה חוזרת |
| Identify | אין מפת מערכות להזמנה | מיפוי נכסים ותלויות מאושר |
| Protect | גישה מיותרת לחשבון | צמצום מורשה ובדיקת כניסה |
| Detect | אין אדם הבוחן התראה | ניתוב לאחראי ובדיקת קליטה |
| Respond | לא ברור מי מחליט באירוע | מסלול דיווח והחלטות מתועד |
| Recover | יש עותק אך אין ראיית שחזור | תרגול מוסכם ותוצאת פעולה עסקית |
מצב נוכחי ויעד בתהליך אחד
Current Profile מתאר את המצב הנוכחי ביחס לתוצאות הנבחרות; Target Profile מתאר את היעד הרצוי. משווים ביניהם ומדרגים פעולות לפי צורך ומשאבים, בלי להציג רשימת סימון כהסמכה.
Govern ממשיך גם אחרי התיקון
מגדירים מי מאשר חריג, מה נשאר באחריות הספק ומתי בוחנים מחדש את ההחלטה. Cyber Essentials היא מסגרת אחרת; שימוש ברשימת עבודה המבוססת על CSF אינו הסמכה באחת המסגרות או הוכחה לשקילות ביניהן.
