Як впровадити основні функції NIST CSF 2.0 за допомогою ШІ

Огляд

Ви дізнаєтесь, як впровадити кожну з шести основних функцій NIST CSF 2.0 — GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND та RECOVER — використовуючи ШІ для прискорення вибору контролю, розробки політик та досягнення результатів.

Для кого цей посібник

Цей посібник призначений для:

• Команд з кібербезпеки, які впроваджують окремі функції NIST CSF
• Фахівців з комплаєнсу, які транслюють результати CSF в операційні контролі
• ІТ-менеджерів, які впроваджують технології для досягнення підкатегорій CSF
• Менеджерів з ризиків, які узгоджують заходи з кібербезпеки з бізнес-цілями
• Консультантів, які надають клієнтам рекомендації щодо впровадження окремих функцій

Перш ніж розпочати

У вас має бути:

• Обліковий запис ISMS Copilot з робочим простором NIST CSF
• Завершені поточний та цільовий профілі NIST CSF
• Аналіз розривів, що визначає пріоритетні підкатегорії для впровадження
• Підтримка керівництва та виділення ресурсів для впровадження
• Розуміння пріоритетів ризиків та драйверів комплаєнсу вашої організації

Розуміння шести функцій

Як функції працюють разом

Шість функцій NIST CSF 2.0 формують інтегровану програму кібербезпеки:

• GOVERN: Основа, яка формує всі інші функції через стратегію, політику та управління ризиками
• IDENTIFY: Розуміння активів, ризиків та можливостей для покращення, що визначає пріоритети PROTECT
• PROTECT: Захисти, які запобігають або зменшують ймовірність та вплив несприятливих подій
• DETECT: Безперервний моніторинг, що виявляє атаки та компрометації
• RESPOND: Дії з управління інцидентами для локалізації та пом'якшення кібербезпекових подій
• RECOVER: Відновлення операцій та послуг після інцидентів

Впровадження GOVERN (GV): Створення управління кібербезпекою

Огляд функції GOVERN

Нова у CSF 2.0, функція GOVERN забезпечує інтеграцію управління ризиками кібербезпеки з управлінням корпоративними ризиками (ERM) та бізнес-цілями. Вона включає шість категорій:

• GV.OC: Організаційний контекст
• GV.RM: Стратегія управління ризиками
• GV.RR: Ролі, обов'язки та повноваження
• GV.PO: Політика
• GV.OV: Нагляд
• GV.SC: Управління ризиками кібербезпеки в ланцюгу постачання

Ключові кроки впровадження для GOVERN

1. Визначення організаційного контексту (GV.OC):

   У вашому робочому просторі NIST CSF запитайте:

   "Допоможи мені впровадити NIST CSF GV.OC (Організаційний контекст). Створи документацію для: GV.OC-01 (місія та цілі), GV.OC-02 (внутрішній/зовнішній контекст), GV.OC-03 (юридичні та регуляторні вимоги), GV.OC-04 (критичні цілі та діяльність), GV.OC-05 (результати та продуктивність). Наша організація — [опис]."

2. Розробка стратегії управління ризиками (GV.RM):

   "Створи документ зі стратегією управління ризиками кібербезпеки, узгоджений з NIST CSF GV.RM. Включи: GV.RM-01 (цілі управління ризиками), GV.RM-02 (апетит до ризику та толерантність), GV.RM-03 (визначення та пріоритизація ризиків), GV.RM-04 (узгодження з ERM), GV.RM-05 (комунікація стратегії), GV.RM-06 (стратегічне планування для нових ризиків). Адаптуй до [контексту організації]."

3. Визначення ролей та обов'язків (GV.RR):

   "Визнач ролі, обов'язки та повноваження у сфері кібербезпеки відповідно до NIST CSF GV.RR. Включи: GV.RR-01 (обов'язки керівництва організації), GV.RR-02 (ролі та обов'язки визначені та доведені до відома), GV.RR-03 (достатні ресурси), GV.RR-04 (кібербезпека інтегрована в практики HR). Створи матрицю RACI для ключових заходів з безпеки."

4. Створення політик (GV.PO):

   "Створи рамки політики інформаційної безпеки, що відповідають NIST CSF GV.PO. Охоплюй: GV.PO-01 (створення та комунікація політики), GV.PO-02 (підкріплення політики процедурами). Включи політику високого рівня з інформаційної безпеки та підтримувальні процедурні документи для контролю доступу, захисту даних, реагування на інциденти, прийнятного використання."

5. Впровадження нагляду (GV.OV):

   "Розроби механізми нагляду за кібербезпекою відповідно до NIST CSF GV.OV. Включи: GV.OV-01 (комунікація результатів кібербезпеки керівництву), GV.OV-02 (керівництво моніторить та спрямовує кіберризики), GV.OV-03 (нагляд узгоджений зі стратегією ризиків). Створи шаблони дашбордів, порядки денні для управлінських оглядів та формати звітності для ради директорів."

6. Створення управління ризиками ланцюга постачання (GV.SC):

   "Впровадь управління ризиками кібербезпеки в ланцюгу постачання відповідно до NIST CSF GV.SC. Охоплюй: GV.SC-01 (стратегія управління ризиками ланцюга постачання), GV.SC-02 (постачальники відомі та пріоритизовані), GV.SC-03 (контракти з вимогами безпеки), GV.SC-04 (постачальники моніторяться), GV.SC-05 (реагування на інциденти в ланцюгу постачання), GV.SC-06 (практики безпеки ланцюга постачання), GV.SC-07 (стійкість ланцюга постачання), GV.SC-08 (обмін відповідними даними), GV.SC-09 (механізми прозорості ланцюга постачання)."

Впровадження IDENTIFY (ID): Розуміння ваших ризиків кібербезпеки

Огляд функції IDENTIFY

Функція IDENTIFY зосереджена на розумінні організаційних активів, вразливостей та ризиків. Вона включає три категорії:

• ID.AM: Управління активами
• ID.RA: Оцінка ризиків
• ID.IM: Покращення

Ключові кроки впровадження для IDENTIFY

1. Впровадження управління активами (ID.AM):

   "Допоможи мені впровадити NIST CSF ID.AM (Управління активами). Створи процеси для: ID.AM-01 (інвентаризація апаратного забезпечення), ID.AM-02 (інвентаризація програмного забезпечення), ID.AM-03 (дані та потоки даних картографовані), ID.AM-04 (зовнішні системи каталогізовані), ID.AM-05 (ресурси пріоритизовані), ID.AM-07 (інвентаризація підтримується та оновлюється), ID.AM-08 (системи виводяться з експлуатації безпечно). Рекомендуй інструменти для автоматизованого виявлення активів та управління інвентаризацією."

2. Проведення оцінок ризиків (ID.RA):

   "Розроби програму оцінки ризиків відповідно до NIST CSF ID.RA. Охоплюй: ID.RA-01 (вразливості виявлені та задокументовані), ID.RA-02 (отримання розвідданих про загрози), ID.RA-03 (внутрішні та зовнішні загрози виявлені), ID.RA-04 (вплив на надання послуг виявлений), ID.RA-05 (загрози та вразливості використовуються для визначення ризиків), ID.RA-06 (відповіді на ризики визначені та пріоритизовані), ID.RA-07 (зміни та винятки відстежуються). Створи методологію оцінки ризиків, шаблони та графік."

3. Створення процесів покращення (ID.IM):

   "Впровадь ідентифікацію та управління покращеннями відповідно до NIST CSF ID.IM. Включи: ID.IM-01 (покращення з оцінок ризиків, інцидентів та заходів), ID.IM-02 (плани реагування та відновлення тестуються), ID.IM-03 (уроки з реагування та відновлення), ID.IM-04 (політики, плани та процедури оновлюються). Розроби робочий процес безперервного покращення та механізм відстеження."

Впровадження PROTECT (PR): Розгортання захисних заходів кібербезпеки

Огляд функції PROTECT

Функція PROTECT впроваджує захисні заходи для управління ризиками кібербезпеки. Вона включає п'ять категорій:

• PR.AA: Управління ідентифікацією, автентифікація та контроль доступу
• PR.AT: Обізнаність та навчання
• PR.DS: Захист даних
• PR.IR: Безпека платформи (Інфраструктурна стійкість у CSF 1.1)
• PR.PS: Стійкість технологічної інфраструктури (Захисні технології у CSF 1.1)

Ключові кроки впровадження для PROTECT

1. Впровадження управління ідентифікацією та контролю доступу (PR.AA):

   "Допоможи мені впровадити NIST CSF PR.AA (Управління ідентифікацією, автентифікація та контроль доступу). Охоплюй: PR.AA-01 (управління ідентифікаціями та обліковими даними), PR.AA-02 (ідентифікації перевірені та прив'язані), PR.AA-03 (користувачі, сервіси та апаратне забезпечення автентифіковані), PR.AA-04 (заяви про ідентифікацію захищені), PR.AA-05 (управління дозволами на доступ), PR.AA-06 (автентифікація та авторизація на основі контексту). Рекомендуй рішення IAM (Okta, Azure AD, AWS IAM) та рекомендації щодо конфігурації."

2. Створення обізнаності та навчання (PR.AT):

   "Розроби програму з обізнаності та навчання з безпеки відповідно до NIST CSF PR.AT. Включи: PR.AT-01 (персонал поінформований та навчений), PR.AT-02 (навчання привілейованих користувачів). Створи навчальний план, що охоплює: обізнаність щодо фішингу, гігієну паролів, поводження з даними, звітування про інциденти, прийнятне використання. Включи навчання на основі ролей для адміністраторів, розробників, керівництва. Рекомендуй платформи та контент для навчання."

3. Впровадження захисту даних (PR.DS):

   "Впровадь заходи захисту даних відповідно до NIST CSF PR.DS. Охоплюй: PR.DS-01 (захист даних у стані спокою), PR.DS-02 (захист даних під час передачі), PR.DS-10 (захист даних під час використання), PR.DS-11 (захист резервних копій даних). Включи: стандарти шифрування (AES-256, TLS 1.3), управління ключами, класифікацію даних, інструменти DLP, процедури резервного копіювання. Зістав з технологіями, такими як BitLocker, AWS KMS, Veeam."

4. Забезпечення безпеки платформ (PR.IR):

   "Впровадь безпеку платформи відповідно до NIST CSF PR.IR. Охоплюй: PR.IR-01 (мережі та середовища захищені), PR.IR-02 (технології захищені), PR.IR-03 (базові конфігурації безпеки встановлені), PR.IR-04 (операційні технології захищені). Включи: сегментацію мережі, управління вразливостями, загартування конфігурацій (CIS Benchmarks), управління патчами, практики безпечної розробки."

5. Побудова стійкості технологій (PR.PS):

   "Впровадь стійкість технологічної інфраструктури відповідно до NIST CSF PR.PS. Включи: PR.PS-01 (забезпечення доступності), PR.PS-02 (події реєструються), PR.PS-03 (події корелюються), PR.PS-04 (технологічні активи розробляються безпечно). Розроби архітектуру високої доступності, стратегію ведення журналів (інтеграція з SIEM), процеси безпечної розробки SDLC. Рекомендуй технології, такі як балансувальники навантаження, Splunk, GitLab CI/CD security."

Впровадження DETECT (DE): Виявлення та аналіз кібербезпекових подій

Огляд функції DETECT

Функція DETECT забезпечує своєчасне виявлення та аналіз аномалій та інцидентів у сфері кібербезпеки. Вона включає дві категорії:

• DE.CM: Безперервний моніторинг
• DE.AE: Аналіз несприятливих подій

Ключові кроки впровадження для DETECT

1. Впровадження безперервного моніторингу (DE.CM):

   "Допоможи мені впровадити NIST CSF DE.CM (Безперервний моніторинг). Охоплюй: DE.CM-01 (моніторинг мереж та мережевих сервісів), DE.CM-02 (моніторинг фізичного середовища), DE.CM-03 (моніторинг активності персоналу), DE.CM-06 (моніторинг активності зовнішніх постачальників послуг), DE.CM-09 (моніторинг апаратного та програмного забезпечення). Розроби архітектуру моніторингу з: аналізом мережевого трафіку (Zeek, Suricata), SIEM (Splunk, Sentinel), виявленням на кінцевих точках (CrowdStrike, Microsoft Defender), моніторингом хмарних середовищ (CloudTrail, Azure Monitor)."

2. Створення аналізу несприятливих подій (DE.AE):

   "Впровадь аналіз несприятливих подій відповідно до NIST CSF DE.AE. Включи: DE.AE-02 (події аналізуються для розуміння цілей та методів), DE.AE-03 (дані про події агрегуються та корелюються), DE.AE-04 (визначається вплив події), DE.AE-06 (інформація про несприятливі події поширюється), DE.AE-07 (виявляються загрози та вразливості), DE.AE-08 (оголошуються інциденти). Створи процедури SOC, сценарії виявлення, робочі процеси тріажу сповіщень, критерії оголошення інцидентів."

3. Розробка сценаріїв виявлення:

   "Створи сценарії виявлення, зіставлені з нашою моделлю загроз [опиши ключові загрози]. Для кожної загрози (програми-вимагачі, внутрішні загрози, компрометація ланцюга постачання, витік даних) визнач: індикатори компрометації (IOC), логіку виявлення для SIEM, моделі базової поведінки, критерії серйозності сповіщень, пороги ескалації. Форматуй для впровадження в [платформі SIEM]."

Впровадження RESPOND (RS): Дії щодо кібербезпекових інцидентів

Огляд функції RESPOND

Функція RESPOND підтримує управління інцидентами та їх локалізацію. Вона включає п'ять категорій:

• RS.MA: Управління інцидентами
• RS.AN: Аналіз інцидентів
• RS.MI: Пом'якшення інцидентів
• RS.RP: Звітування про інциденти
• RS.CO: Комунікації щодо реагування на інциденти

Ключові кроки впровадження для RESPOND

1. Створення управління інцидентами (RS.MA):

   "Допоможи мені впровадити NIST CSF RS.MA (Управління інцидентами). Охоплюй: RS.MA-01 (виконання плану реагування на інциденти), RS.MA-02 (звіти про інциденти тріажуються та пріоритизуються), RS.MA-03 (інциденти категоризуються), RS.MA-04 (інциденти ескалуються або підвищуються), RS.MA-05 (план реагування оновлюється на основі уроків). Створи план реагування на інциденти, що включає: визначення інциденту, класифікацію за серйозністю, матрицю ескалації, ролі команди (RACI), сценарії для поширених ситуацій."

2. Розробка аналізу інцидентів (RS.AN):

   "Впровадь можливості аналізу інцидентів відповідно до NIST CSF RS.AN. Включи: RS.AN-03 (дані та метадані інциденту збираються та корелюються), RS.AN-04 (розуміється вплив та масштаб інциденту), RS.AN-06 (дії, виконані під час розслідування), RS.AN-07 (дані інциденту зберігаються), RS.AN-08 (дані інциденту аналізуються). Створи процедури форензики, контрольні списки збору доказів, форми ланцюга опіки, інструменти аналізу (SIFT, Autopsy)."

3. Впровадження можливостей пом'якшення (RS.MI):

   "Розроби процеси пом'якшення інцидентів відповідно до NIST CSF RS.MI. Охоплюй: RS.MI-01 (інциденти локалізуються), RS.MI-02 (інциденти усуваються). Створи сценарії локалізації для: програм-вимагачів (ізоляція мережі, блокування облікових записів), витоку даних (скасування доступу до даних, ротація облікових даних), DDoS (фільтрація трафіку, перемикання на резерв), внутрішніх загроз (припинення доступу, збереження доказів)."

4. Створення звітування (RS.RP):

   "Створи рамки звітування про інциденти відповідно до NIST CSF RS.RP. Включи: RS.RP-01 (вимоги до звітування зрозумілі). Задокументуй: регуляторні зобов'язання щодо звітування (закони про витік даних, галузеві нормативи), координацію з правоохоронними органами, вимоги до повідомлення клієнтів, внутрішнє звітування, часові вимоги. Створи шаблони звітів та дерева рішень."

5. Розробка комунікацій (RS.CO):

   "Впровадь комунікації щодо реагування на інциденти відповідно до NIST CSF RS.CO. Охоплюй: RS.CO-02 (внутрішні та зовнішні зацікавлені сторони інформовані), RS.CO-03 (інформація передається визначеним організаціям). Створи плани комунікацій для: керівництва, співробітників, клієнтів, регуляторів, правоохоронних органів, ЗМІ, страхових компаній. Включи шаблони для кожної аудиторії."

Впровадження RECOVER (RC): Відновлення операцій після інцидентів

Огляд функції RECOVER

Функція RECOVER підтримує відновлення операцій та послуг після кібербезпекових інцидентів. Вона включає три категорії:

• RC.RP: Виконання плану відновлення після інциденту
• RC.IM: Комунікації щодо відновлення після інциденту
• RC.CO: Комунікації щодо відновлення після інциденту (зовнішні)

Ключові кроки впровадження для RECOVER

1. Розробка планів відновлення (RC.RP):

   "Допоможи мені впровадити NIST CSF RC.RP (Виконання плану відновлення після інциденту). Охоплюй: RC.RP-01 (план відновлення виконується), RC.RP-03 (дії з відновлення комунікуються), RC.RP-05 (збої під час відновлення управляються), RC.RP-06 (дії з відновлення пріоритизуються). Створи плани відновлення для: програм-вимагачів (відновлення з резервних копій, перебудова систем), витоку даних (посилення безпеки, покращення моніторингу), збою інфраструктури (процедури перемикання на резерв, відновлення послуг). Включи цілі часу відновлення (RTO) та точки відновлення (RPO)."

2. Створення процесів покращення (RC.IM):

   "Впровадь процеси покращення відновлення відповідно до NIST CSF RC.IM. Включи: RC.IM-01 (реагування та відновлення оновлюються на основі уроків), RC.IM-02 (стратегії реагування та відновлення оновлюються). Розроби процес огляду після інциденту: часовий графік (протягом 7 днів після закриття), учасники (команда з інциденту, зацікавлені сторони), порядок денний (огляд хронології, що спрацювало/не спрацювало, рекомендації), документація (звіт після розбору), подальші дії (відстеження коригувальних заходів)."

3. Розробка комунікацій щодо відновлення (RC.CO):

   "Створи рамки комунікацій щодо відновлення відповідно до NIST CSF RC.CO. Охоплюй: RC.CO-03 (дії з відновлення комунікуються зацікавленим сторонам), RC.CO-04 (публічні оновлення щодо відновлення). Включи плани комунікацій для: оновлень про прогрес для керівництва, повідомлень про статус клієнтів, подальших дій з регуляторами, звітів про прозорість після інциденту. Створи шаблони та робочі процеси затвердження."

4. Тестування можливостей відновлення:

   "Розроби програму тестування відновлення. Включи: тести відновлення резервних копій (щомісяця), вправи з аварійного відновлення (щоквартально), тести безперервності бізнесу (щорічно), тренування з відновлення після програм-вимагачів. Для кожного типу тесту надай: цілі, обсяг, процедури, критерії успіху, вимоги до документації. Зістав з ID.IM-02 (плани реагування та відновлення тестуються)."

Створення дорожніх карт впровадження для окремих функцій

Пріоритизація впровадження функцій

Використовуй ШІ для послідовності впровадження функцій на основі твого профілю ризиків:

1. Пріоритизація на основі ризиків:

   "На основі наших основних ризиків у сфері кібербезпеки [перелічи ризики з рівнем серйозності] визнач пріоритети впровадження функцій NIST CSF. Для кожного ризику визнач: функції, найважливіші для пом'якшення, конкретні підкатегорії для пріоритизації, послідовність впровадження (які функції залежать від інших), швидкі перемоги (підкатегорії з високим впливом та низькими зусиллями)."

2. Дорожня карта з обмеженими ресурсами:

   "Створи 18-місячну дорожню карту впровадження NIST CSF з обмеженими ресурсами (бюджет: [сума], команда: [розмір]). Пріоритизуй: Фаза 1 (місяці 1-6): GOVERN + критичні IDENTIFY/PROTECT, Фаза 2 (місяці 7-12): DETECT + решта PROTECT, Фаза 3 (місяці 13-18): RESPOND + RECOVER + оптимізація. Включи цільові показники, розподіл ресурсів, залежності."

3. Впровадження на основі комплаєнсу:

   "Ми повинні продемонструвати відповідність NIST CSF для [федерального контракту / аудиту клієнта / регуляторної вимоги] протягом 9 місяців. Які функції та підкатегорії є обов'язковими для комплаєнсу? Створи прискорений план впровадження, зосереджуючись на обов'язкових результатах, відкладаючи бажані можливості на Фазу 2."

Вимірювання успіху впровадження функцій

Метрики для окремих функцій

Відстежуй прогрес та ефективність для кожної функції:

1. Розробка рамок вимірювання:

   "Створи рамки вимірювання для впровадження функцій NIST CSF. Для кожної функції (GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND, RECOVER) визнач: метрики впровадження (% досягнутих підкатегорій), метрики ефективності (реалізовані результати), провідні індикатори (прогрес до цілей), відстаючі індикатори (фактичні результати). Включи джерела даних та методи збору."

2. Ключові показники ефективності для окремих функцій:

   "Визнач ключові показники ефективності (KPI) для вимірювання ефективності NIST CSF. Приклади: GOVERN (прийняті рішення з управління ризиками, рівень дотримання політик), IDENTIFY (% інвентаризованих активів, завершені оцінки ризиків), PROTECT (% загартованих систем, завершення навчання), DETECT (середній час виявлення, рівень хибних спрацьовувань), RESPOND (середній час локалізації, точність ескалації), RECOVER (середній час відновлення, досягнення RTO/RPO)."

3. Дизайн дашборду:

   "Розроби виконавчий дашборд для відстеження прогресу впровадження NIST CSF. Включи: загальний статус впровадження (поточний vs цільовий профіль), стан окремих функцій (червоний/жовтий/зелений), ключові метрики за функціями, тенденцію ризиків, нещодавні інциденти та відновлення, майбутні віхи. Форматуй для щоквартальної звітності перед радою директорів."

Наступні кроки

Тепер ви отримали вичерпні рекомендації щодо впровадження функцій:

• ✓ Розуміння всіх шести функцій та їх призначення
• ✓ Впровадження GOVERN для створення основи управління кібербезпекою
• ✓ Впровадження IDENTIFY для розуміння активів та ризиків
• ✓ Впровадження PROTECT для розгортання захисних заходів
• ✓ Впровадження DETECT для безперервного моніторингу
• ✓ Впровадження RESPOND для управління інцидентами
• ✓ Впровадження RECOVER для відновлення операцій
• ✓ Рамки вимірювання для відстеження успіху

Продовжуй оптимізувати своє впровадження NIST CSF:

• [Як створити організаційні профілі NIST CSF за допомогою ШІ](/NIST CSF with AI) - Оновлюй профілі в міру впровадження
• [Як зіставити NIST CSF 2.0 з іншими фреймворками за допомогою ШІ](/NIST CSF with AI) - Інтегруй з іншими зусиллями щодо комплаєнсу
• Як проводити оцінку ризиків комплаєнсу за допомогою ISMS Copilot - Постійне управління ризиками

Отримання допомоги

• Приклади впровадження: Ознайомся з офіційними прикладами впровадження NIST для кожної підкатегорії
• Посібники для швидкого старту: Отримай посібники для окремих функцій Quick Start Guides від NIST
• Інформативні посилання: Переглянь зіставлення контролю, щоб знайти конкретні технології та практики для кожної підкатегорії
• Галузеві профілі: Ознайомся з галузевими профілями, що показують пріоритети функцій для твоєї галузі
• Запитай ISMS Copilot: Використовуй свій робочий простір для питань щодо впровадження окремих функцій та рекомендацій щодо контролю
• Перевіряй рекомендації: Завжди перевіряй плани впровадження, згенеровані ШІ, з офіційними ресурсами NIST