referencial
NIST Cybersecurity Framework 2.0
O seu cliente ou segurador pergunta pelo NIST Cybersecurity Framework? O Complass guia-o pelo processo de perfis: do âmbito, passando pela situação atual e pelo objetivo, até ao plano de ação, com evidências que pode aproveitar da ISO 27001, da NIS2 ou da IEC 62443.
O que é NIST CSF 2.0?
O NIST Cybersecurity Framework (CSF) 2.0 é um quadro de referência voluntário do National Institute of Standards and Technology dos EUA. Descreve, em seis funções (Govern, Identify, Protect, Detect, Respond, Recover), 22 categorias e 106 subcategorias, os resultados que uma gestão eficaz dos riscos cibernéticos deve alcançar. É amplamente utilizado a nível mundial e pode ser aplicado independentemente do setor e da dimensão. Não existe certificado.
O Complass não tem qualquer ligação ao NIST. As formulações inglesas dos resultados provêm da NIST CSWP 29, uma obra do Governo federal dos EUA de utilização livre.
Atualidade dos conteúdos:
Aplica-se ao meu caso?
O CSF aplica-se a empresas cujos clientes, empresas-mãe ou seguradores de risco cibernético pretendem que a sua segurança da informação seja descrita na linguagem do CSF: fornecedores de grupos internacionais, fornecedores de software e serviços, operadores de instalações em rede e organizações que precisam de uma imagem coerente da sua situação.
O CSF não é obrigatório e não substitui obrigações legais como a NIS2. Complementa-as como linguagem comum; já alcançou muitos dos resultados se trabalhar segundo a ISO 27001 ou a NIS2.
Esta panorâmica não substitui aconselhamento jurídico. O texto legal ou normativo é o que faz fé; no Complass, verifica a aplicabilidade com orientações baseadas nas referências.
Fundamentos
- NIST CSWP 29The NIST Cybersecurity Framework (CSF) 2.0, publicado em 26/02/2024
Datas-chave
Não existem prazos legais para o CSF; o calendário é definido pelos seus clientes ou seguradores. O perfil é um documento vivo; recomendamos revê-lo em caso de alterações e, pelo menos, uma vez por ano.
Como o Complass ajuda
- 5fases
- 10passos guiados
- 3modelos de documento
- 106requisitos no catálogo
Processo de perfis em cinco fases
Âmbito, perfil atual, perfil-alvo com tier, análise de lacunas e plano de ação, implementação e atualização, com orientação passo a passo.
106 subcategorias com identificadores oficiais
Cada resultado com aplicabilidade, estado, fundamentação e evidência. Títulos e indicações em palavras próprias, com a formulação original do NIST ao lado.
Modelos
Perfil da organização para a situação atual e o objetivo, avaliação de tier e plano de ação.
Implementar uma vez, comprovar muitas vezes
O Complass propõe-lhe aproveitar para o CSF as medidas que já avaliou para a ISO 27001, a NIS2 ou a IEC 62443.
As fases no módulo
- Ponto de partida e âmbito
- Criar o perfil atual
- Definir o perfil-alvo e o tier
- Análise de lacunas e plano de medidas
- Implementar e manter atualizado
Catálogo: NIST CSF 2.0 Core – 106 subcategorias
Módulos adequados
Gestão da conformidade
Aplicar referenciais de forma guiada: fases, modelos, pirâmide documental, catálogos, análise de lacunas, objetivos e plano de ação até à auditoria no portal do auditor.
Saber maisGestão de riscos
Registo de riscos com avaliação qualitativa ou quantitativa, apetite pelo risco e plano de tratamento, ligado a ativos, vulnerabilidades e incidentes.
Saber maisGestão de ativos
Ativos de TI e de OT num só lugar, recolhidos sem agente, com SBOM, avisos dos fabricantes, fim de suporte, reconciliação de licenças, identidades, relações e zonas segundo a IEC 62443-3-2.
Saber maisPerguntas frequentes
Existe um certificado CSF?
Não. O CSF não é certificável. O Complass ajuda-o a descrever e a documentar a sua situação sob a forma de perfil; daí não resulta qualquer certificado ou selo.
O que é um tier?
Os quatro tiers (Partial, Risk Informed, Repeatable, Adaptive) indicam o grau de consolidação da sua governação e da sua gestão de riscos no seu conjunto. Regista o tier atual e o pretendido num modelo.
Já trabalhamos segundo a ISO 27001. Temos de registar tudo de novo?
Não. Através das medidas comuns, o Complass propõe aproveitar avaliações e evidências. Verifica tecnicamente cada proposta antes de a confirmar.
O CSF substitui a NIS2 ou a ISO 27001?
Não. Complementa-as como forma de apresentação perante clientes e seguradores. As obrigações legais mantêm-se.
Teste o Complass com os seus próprios dados
Crie o seu próprio acesso de teste, se quiser com um projeto de exemplo por referencial. Se preferir ver primeiro o Complass, peça uma demonstração.