Govern: определите ответственность
NIST CSF 2.0 объединяет результаты работы по кибербезопасности в шесть функций: Govern, Identify, Protect, Detect, Respond и Recover. Govern начинается с владельцев рисков, правил согласования изменений и контроля поставщиков. Определите приоритеты восстановления и порядок эскалации. Ниже приведены примеры применения, а не официальный сертификационный чек-лист.
Identify: учтите системы и зависимости
Составьте список сайтов, доменов, почты, хостинга, интеграций и владельцев. Отметьте данные и процессы, которые остановятся при потере аккаунта поставщика. Актуальная карта помогает понять, где искать причину сбоя и кто может разрешить изменение.
Protect: поддерживайте необходимые меры
Проверьте права, поддерживаемую MFA, обновления, копии и публичные настройки. Выбирайте меры для систем из вашего перечня и фиксируйте исключения. Название установленного продукта не заменяет подтверждение того, что он настроен и охватывает нужный объект.
Detect: определите, кто смотрит сигналы
Выберите нужные журналы и уведомления о сбоях копирования, доступах и недоступности. Назначьте получателя и порядок эскалации. Сбор журналов без просмотра может оставить событие незамеченным. Мониторинг и круглосуточная работа специалиста являются разными обязательствами.
Respond и Recover: подготовьтесь к нарушению работы
Сохраните контакты и способ связи вне скомпрометированного аккаунта. Определите, кто разрешает изоляцию и сохранение свидетельств. Проверьте восстановление важных данных и возврат к чистой среде. После учения или инцидента пересмотрите процесс по фактическим результатам.
Рамочная модель и сертификация различаются
CSF помогает структурировать результаты и ответственность. Cyber Essentials является отдельной британской схемой со своими требованиями к оценке. Сопровождение сайта и прохождение приведённых примеров не означают сертификацию компании. Условия формальной оценки нужно рассматривать отдельно.
Шесть функций NIST CSF 2.0 на языке бизнеса
Govern задаёт управление, роли и решения о риске. Identify помогает понять активы и зависимости. Protect относится к защитным мерам. Detect к обнаружению событий, Respond к действиям при них, Recover к восстановлению. Функции взаимосвязаны и не являются шестью шагами, после которых безопасность «закончена».
CSF описывает результаты управления риском и не назначает одну обязательную технологию каждой организации. Использование перечня не является сертификатом NIST или доказательством юридического соответствия. Текущий профиль и целевой профиль помогают определить разрыв с учётом контекста.
Пример профиля для сайта с заявками
Это иллюстрация применения функций, а не нормативный минимальный набор.
| Функция | Вопрос владельцу | Возможное свидетельство |
|---|---|---|
| Govern | Кто утверждает доступ и изменения? | Назначенная ответственность |
| Identify | Какие системы принимают заявку? | Карта сайта, почты и CRM |
| Protect | Как ограничены административные права? | Роли и MFA |
| Detect | Как узнаем о потере заявки? | Проверяемый сигнал или контрольный тест |
| Respond | Кто принимает решение при сбое? | Порядок связи и полномочия |
| Recover | Как вернуть приложение и данные? | Результат тестового восстановления |
Как перейти от таблицы к улучшениям
Запишите текущее состояние, желаемый результат, основание и ответственного. Если «копии создаются» известно только со слов поставщика, укажите это отдельно от проверенного запуска. В первую очередь определите меры для критичных функций и зависимости от третьих лиц.
Повторяйте оценку после существенных изменений, а не только по календарю. Консультант может помочь с технической частью; решения о допустимом риске и ответственности остаются у бизнеса. Не называйте частичную проверку сайта аудитом всей организации по NIST.
Иллюстрация Current Profile и Target Profile
Текущий профиль процесса заказа: сайт принимает заказ, но проверка уведомления и восстановления не документирована. Целевой профиль: назначен владелец, список зависимостей подтверждён, доступы согласованы, результат заказа проверяется, порядок инцидента доступен и тест восстановления записан. Это оригинальный пример, а не обязательная форма NIST. Для Govern важно назначить владельца каждого исключения, ответственность поставщика и дату пересмотра. Respond определяет решения и действия при событии; Recover возврат функции и подтверждение результата. NIST CSF и Cyber Essentials являются разными рамками; использование CSF не означает получение сертификата Cyber Essentials.
