NIST CSF
Introduktion
Ledningssystem för cybersäkerhet
NIST Cyber Security Framework är ett ramverk som hjälper en organisation att bättre förstå, hantera och minska sina säkerhetsrisker. Med hjälp av NIST-CSF får organisationen en tydlig bild över sin nuvarande cybersäkerhetsförmåga gentemot ett önskat läge.
Bakgrund
Vad är NIST?
NIST (National Institute of Standards and Technology) är en amerikansk federal myndighet som verkar under USA:s handelsdepartement. Dess huvudsakliga ansvar är att utveckla och främja standarder, riktlinjer och rekommendationer för olika områden inom teknik och informationssäkerhet.
Inom informationsteknologi har NIST spelat en viktig roll genom att publicera riktlinjer och standarder för att säkerställa säkerheten och skyddet av informationssystem. NIST ramverk som innehåller standarder och riktlinjer är brett erkända och används inte bara i USA utan också internationellt som en referens inom informationssäkerhet och IT.
Ramverket NIST CSF
Det är inte något lagstadgat krav att följa NIST-CSF, varken här i Sverige eller inom EU, och det finns ingen certifiering att få om man följer ramverket. I Sverige är det idag ISO 27001 certifiering som är det ledningssystem inom informationssäkerhet som ger ett certifikat. Med det sagt så finns det en ökad efterfrågan, främst från svenska bolag som är verksamma på den nordamerikanska marknaden, om att använda NIST-CSF. Detta efter uttryckliga krav från amerikanska kunder som vill att de ska tillämpa NIST-ramverket. Företag vars kunder är direkt eller indirekta leverantörer till amerikanska myndigheter kan behöva uppfylla specifika krav på cybersäkerhetsmognad enligt NIST-CSF. Det finns fyra olika mognadsnivåer, och det är kunden eller myndigheten som bestämmer vilken nivå som är tillämplig
Några av våra kunder
Så här fungerar det
Ramverket utgår ifrån fem steg för att säkerställa att ett skydd uppnås.
- Identifiera (identify)
Ger organisationen en förståelse för vilka risker som finns relaterat till cybersäkerheten för system, människor, tillgångar och datainformation. - Skydda (protect)
Utveckla och implementera lämpliga skyddsåtgärder för att säkerställa leverans av kritiska verksamhetsfunktioner. - Upptäcka (detect)
Utveckla och implementera lämpliga aktiviteter för att upptäcka cyberrelaterade hot. - Hantera (respond)
Utveckla och implementera lämpliga aktiviteter för att hantera och korrigera upptäckta cyberrelaterade hot. - Återställa (recover)
Utveckla och implementera lämpliga aktiviteter för att återställa kritiska verksamhetsfunktioner till normalläge efter cyberrelaterade angrepp.
