The NIST Cybersecurity Framework (CSF) 2.0

Повний, незрізаний офіційний український посібник, передмова, структура таксономії результатів, шість ключових функцій (включно з новою функцією GOVERN), 22 категорії, 106 підкатегорій Ядра (CSF Core), рівні зрілості (CSF Tiers) та інженерна інтеграція з CIS Benchmarks™.

Зміст стандарту NIST CSF 2.0

Фреймворк кібербезпеки NIST (Cybersecurity Framework, CSF) 2.0 розроблено для того, щоб допомогти організаціям будь-якого масштабу та з будь-яких секторів економіки — включно з комерційними підприємствами, урядовими установами, академічними закладами та некомерційними організаціями — ефективно управляти та зменшувати свої кіберризики. Він є однаково корисним незалежно від поточного рівня зрілості чи технічної складності існуючої програми безпеки.

CSF базується на загальновизнаних стандартах кібербезпеки, практиках і настановах. Першу версію фреймворку було опубліковано у 2014 році на виконання Указу Президента США № 13636 («Покращення кібербезпеки критичної інфраструктури») насамперед для операторів критичної інфраструктури. Редакція CSF 1.1 (2018 рік) розширила цей контекст. Проте версія CSF 2.0 офіційно поширює сферу дії на ВСІ організації без винятку — від малого бізнесу до транснаціональних корпорацій.

У версії CSF 2.0 збережено успішний консенсусний підхід попередніх версій, а також додано низку фундаментальних нововведень:

• Створення нової, шостої функції УПРАВЛІННЯ (GOVERN): виділення стратегічного рівня нагляду за ризиками, узгодження безпеки з цілями бізнесу та ланцюгами постачання.
• Розширення охоплення ланцюгів постачання (C-SCRM): окремі деталізовані вимоги щодо вибору, моніторингу та оцінки сторонніх постачальників послуг і технологій.
• Створення каталогу прикладів впровадження (Implementation Examples): понад 300 прикладів дій для кожної підкатегорії Ядра, доступних онлайн через платформу NIST CPRT.
• Універсальна інтеграція з іншими програмами ризиків (ERM, Privacy, AI): чіткі інструкції щодо інтеграції CSF у загальну систему управління ризиками підприємства.

Організаціям, які вже впровадили CSF 1.1, рекомендовано плавно перейти на CSF 2.0 за допомогою офіційних мапінгів та таблиць відповідності NIST, що зіставляють старі та нові категорії без порушення діючих операційних процесів.

▪ 1.1 Призначення та концепція CSF (CSF Purpose)

Кіберризики — це потенційні операційні, фінансові, репутаційні чи стратегічні втрати внаслідок несанкціонованого доступу, порушення цілісності, доступності чи конфіденційності інформації або систем. У сучасному світі кібербезпека є невід’ємною складовою загального ризик-профілю організації поряд із фінансовими, операційними чи юридичними ризиками.

Фреймворк кібербезпеки NIST (CSF) 2.0 являє собою загальну мову та структуру (таксономію) для розуміння та управління кіберризиками. CSF побудований на орієнтації на результати (outcome-driven), а не на жорстких приписах. Це означає, що фреймворк формулює що має бути досягнуто в термінах безпеки, але залишає організації свободу вибору інструментів, контролів і технологій для реалізації цих результатів з огляду на специфіку її бізнес-моделі та бюджету.

▪ 1.2 Три ключові компоненти CSF (CSF Components)

Фреймворк складається з трьох фундаментальних взаємопов’язаних компонентів:

CSF не є законодавчим актом або замкненою сертифікацією — це відкритий інженерний стандарт. Він розроблений для гармонізації з міжнародними стандартами (ISO/IEC 27001, COBIT, ISA 62443, NIST SP 800-53) та технічними бенчмарками налаштування конфігурацій (CIS Benchmarks).

Ядро CSF (Core) являє собою систематизований набір результатів кібербезпеки, що описують стан захищеності організації. Ядро організовано за трирівневою ієрархією: Функції → Категорії → Підкатегорії.

Рис. 1 (Fig. 1)

Структура Ядра CSF: Функції, Категорії та Підкатегорії (CSF Core Structure)

Ієрархічна структура Ядра показує взаємозв’язок між найвищим концептуальним рівнем (Функції), операційними групами завдань (Категорії) та технічними/управлінськими результатами (Підкатегорії).

Кожна Функція позначається активним дієсловом, яке узагальнює її зміст. Шість функцій CSF 2.0 діють одночасно та безперервно:

Рис. 2 (Fig. 2)

Шість взаємодоповнюючих Функцій Ядра CSF 2.0 (CSF Functions Wheel)

Функція GOVERN (Управління) охоплює всі інші п’ять функцій (Identify, Protect, Detect, Respond, Recover), визначаючи контекст, стратегію та нагляд для їх паралельної реалізації.

Функції діють паралельно, а не лінійно. Наприклад, дії з УПРАВЛІННЯ визначають вимоги для ЗАХИСТУ; водночас результати ВИЯВЛЕННЯ викликають заходи РЕАГУВАННЯ, а досвід ВІДНОВЛЕННЯ безпосередньо покращує практики ІДЕНТИФІКАЦІЇ та коригує політики УПРАВЛІННЯ.

Таблиця 1. Офіційний огляд 6 функцій та 22 категорій Ядра CSF 2.0

У цьому розділі визначено концепції Профілів (Profiles) та Рівнів реалізації (Tiers) фреймворку CSF 2.0.

▪ 3.1 Організаційні профілі CSF (CSF Profiles)

Організаційний профіль CSF описує поточний та/або цільовий стан кібербезпеки організації в термінах результатів Ядра (CSF Core). Організаційні профілі використовуються для того, щоб краще розуміти, адаптувати, оцінювати, пріоритизувати та комунікувати результати Ядра з урахуванням місії організації, очікувань стейкхолдерів, ландшафту загроз і нормативних вимог. Організація може встановлювати власні пріоритети та оцінювати прогрес у досягненні цілей за допомогою Профілів.

Організаційні профілі зазвичай мають два взаємопов’язані стани:

• Поточний профіль (Current Profile): фіксує результати Ядра, яких організація досягає на даний момент (стан «як є», As-Is), а також документує наявні обмеження чи прогалини.
• Цільовий профіль (Target Profile): визначає результати Ядра, яких організація прагне досягти для забезпечення прийнятного для неї рівня кіберризиків (стан «як має бути», To-Be).

Профілі спільноти (Community Profiles) — це базові конфігурації результатів CSF, розроблені та опубліковані галузевими асоціаціями, урядовими агенціями або експертними коаліціями для вирішення спільних проблем сектора кібербезпеки. Вони слугують готовим шаблоном або основою для побудови цільових профілів окремих підприємств.

Рис. 3 (Fig. 3)

Створення та використання Організаційних профілів CSF (Creating and Using Profiles)

П’ять послідовних кроків розробки Організаційного профілю (від визначення меж до впровадження плану дій) та безперервне циклічне вдосконалення.

П’ять офіційних кроків створення та використання Організаційного профілю (Creating and Using Profiles):

1. 1. Визначити сферу охоплення Організаційного профілю (Scope the Organizational Profile): Задокументуйте загальні факти та припущення, на яких базуватиметься Профіль, щоб чітко визначити його межі. Організація може створювати стільки Організаційних профілів, скільки необхідно, кожен із власною сферою охоплення. Наприклад, Профіль може охоплювати всю організацію загалом, бути обмеженим фінансовими системами організації або фокусуватися виключно на протидії атакам програм-вимагачів (ransomware) та реагуванні на інциденти, пов’язані з цими фінансовими системами.
2. 2. Зібрати інформацію, необхідну для підготовки Організаційного профілю (Gather the information needed to prepare the Organizational Profile): Приклади необхідної інформації включають організаційні політики, пріоритети управління ризиками та виділені ресурси, профілі корпоративних ризиків підприємства (ERM), реєстри аналізу впливу на бізнес (Business Impact Analysis, BIA), вимоги законодавства та регуляторні стандарти, яких дотримується організація, діючі практики й інструменти (процедури та засоби захисту), а також робочі ролі персоналу.
3. 3. Створити Організаційний профіль (Create the Organizational Profile): Визначте, які типи інформації має містити Профіль для обраних результатів CSF, та задокументуйте відповідні відомості. Враховуйте вплив ризиків, виявлених у Поточному профілі, для формування планування та визначення пріоритетів Цільового профілю. Також рекомендується розглянути використання Профілю спільноти (Community Profile) як основи для розробки Цільового профілю.
4. 4. Проаналізувати прогалини між Поточним і Цільовим профілями та створити план дій (Analyze the gaps between Current and Target Profiles, and create an action plan): Проведіть аналіз розривів (gap analysis) для виявлення й оцінки відмінностей між Поточним і Цільовим профілями. Сформуйте пріоритизований план дій (наприклад, реєстр ризиків, деталізований звіт про ризики, План дій та контрольних точок [POA&M — Plan of Action and Milestones]) для системного усунення виявлених розривів.
5. 5. Впровадити план дій та оновлювати Організаційний профіль (Implement the action plan, and update the Organizational Profile): Дотримуйтесь плану дій для подолання прогалин і поступового переведення організації до стану Цільового профілю. План дій може мати фіксований кінцевий термін або реалізовуватися на постійній, безперервній основі.

Зважаючи на критичну важливість безперервного вдосконалення, організація може повторювати ці кроки настільки часто, наскільки це необхідно.

▪ 3.2 Рівні реалізації CSF (CSF Tiers) (CSF Tiers)

Організація може вирішити використовувати Рівні (Tiers) для інформаційного наповнення своїх Поточного та Цільового профілів. Рівні характеризують строгість і зрілість практик корпоративного управління та менеджменту кіберризиків організації. Вони надають контекст щодо того, як організація розглядає кіберризики та які процеси функціонують для управління цими ризиками.

Рівні, показані на Рис. 4 та концептуально проілюстровані у Додатку B, відображають практики організації з управління кіберризиками як:

• Рівень 1: Частковий (Tier 1: Partial)
• Рівень 2: З урахуванням ризиків (Tier 2: Risk Informed)
• Рівень 3: Повторюваний (Tier 3: Repeatable)
• Рівень 4: Адаптивний (Tier 4: Adaptive)

Рис. 4 (Fig. 4)

Рівні реалізації CSF (CSF Tiers) (CSF Tiers for Governance and Management)

Рівні реалізації CSF для корпоративного управління та ризик-менеджменту: Tier 1 (Частковий) → Tier 2 (З урахуванням ризиків) → Tier 3 (Повторюваний) → Tier 4 (Адаптивний).

Рівні описують прогрес від неформальних, ad hoc дій до підходів, що є гнучкими, керованими на основі оцінки ризиків і постійно вдосконалюваними. Вибір Рівнів допомагає встановити загальний вектор того, як саме організація управлятиме власними кіберризиками.

Рівні реалізації повинні доповнювати діючу методологію управління кіберризиками підприємства, а не замінювати її. Наприклад, організація може використовувати Рівні для внутрішньої комунікації як орієнтир для загальнокорпоративного підходу до кіберризиків. Перехід на вищі Рівні рекомендується та заохочується тоді, коли аналіз витрат і вигод (cost-benefit analysis) вказує на досяжне, економічно обґрунтоване зменшення негативних наслідків кіберризиків.

NIST разом із глобальною безпековою спільнотою створив розгалужену цифрову екосистему відкритих матеріалів, розміщених на платформі NIST CPRT (Cybersecurity and Privacy Reference Tool):

Будь-яка організація може запропонувати власні мапінги та інформативні посилання до публічного репозиторію через Національну програму онлайн-каталогів інформативних посилань (OLIR) за адресою [email protected].

▪ 5.1 Покращення комунікації між трьома рівнями організації (Risk Communication)

Управління кіберризиками вимагає злагодженої взаємодії на всіх щаблях корпоративної структури. CSF забезпечує єдиний зрозумілий словник для комунікації між трьома основними рівнями:

Рис. 5 (Fig. 5)

Використання CSF для покращення комунікації з управління ризиками (Risk Communication via CSF)

CSF виступає єдиним комунікаційним мостом між вищим керівництвом (Executives), керівниками бізнес-процесів (Business Process/Managers) та операційними фахівцями (Practitioners).

▪ 5.2 Інтеграція з ERM, приватністю та ланцюгами постачання (Integration with ERM, Privacy & Supply Chain)

Кібербезпека не повинна функціонувати як ізольований «силос». CSF 2.0 розроблено для повної інтеграції з чотирма спорідненими напрямами корпоративного управління:

1. Інтеграція з управлінням ризиками підприємства (ERM)

Організації використовують підходи ERM для збалансованого портфельного управління всіма видами ризиків. NIST рекомендує комплекс нормативних документів серії NIST IR 8286 та SP 800-221:

• NIST IR 8286: Інтеграція кібербезпеки в корпоративне управління ризиками (ERM).
• NIST IR 8286A: Ідентифікація та оцінка кіберризиків для ERM.
• NIST IR 8286B: Пріоритезація кіберризиків для ERM.
• NIST IR 8286C: Етапне представлення кіберризиків для корпоративного нагляду.
• NIST IR 8286D: Використання аналізу впливу на бізнес (BIA) для інформування пріоритетів ризиків.
• NIST SP 800-221 / SP 800-221A: Вплив ризиків ІКТ на підприємство та портфельне управління.

2. Взаємозв’язок із захистом конфіденційності (Privacy Framework)

Кібербезпека та захист персональних даних — взаємопов’язані, але самостійні дисципліни. Кібербезпека відповідає за захист від несанкціонованого доступу, витоків чи пошкодження даних. Проте навіть повністю захищена система може порушувати права на приватність (наприклад, через надмірний збір даних або непрозоре профілювання). CSF тісно синхронізовано з NIST Privacy Framework.

Рис. 6 (Fig. 6)

Взаємозв’язок між ризиками кібербезпеки та конфіденційності (Cybersecurity & Privacy Relationship)

Перетин між кібербезпекою та приватністю: обробка персональних даних створює ризики конфіденційності, які частково усуваються заходами захисту даних кібербезпеки.

3. Управління кіберризиками ланцюга постачання (C-SCRM)

Сучасні організації залежать від сотень зовнішніх вендорів, хмарних провайдерів (SaaS/IaaS) та сторонніх бібліотек відкритого коду. CSF 2.0 приділяє безпрецедентну увагу C-SCRM у категорії GV.SC, спираючись на спеціалізований стандарт NIST SP 800-161 Rev. 1.

4. Ризики нових технологій та штучного інтелекту (AI)

Поява великих мовних моделей (LLM), автономних агентів та хмарних генеративних систем створює нові вектори загроз (ін’єкції промптів, отруєння навчальних даних, витік конфіденційних даних через запити). CSF 2.0 діє в синергії з NIST AI Risk Management Framework (AI RMF 1.0), надаючи фундамент для безпечного впровадження штучного інтелекту в корпоративну інфраструктуру.

Управління (GOVERN) — GOVERN (GV)

Встановлення, комунікація та моніторинг стратегії, очікувань та політик управління кіберризиками організації.

Ідентифікація (IDENTIFY) — IDENTIFY (ID)

Визначення поточних кіберризиків організації для розуміння активів, постачальників та векторів загроз.

Захист (PROTECT) — PROTECT (PR)

Застосування технічних та організаційних заходів безпеки для запобігання або зменшення наслідків кібератак.

Виявлення (DETECT) — DETECT (DE)

Своєчасне виявлення потенційних атак, аномалій та несприятливих подій кібербезпеки в інфраструктурі.

Реагування (RESPOND) — RESPOND (RS)

Дії щодо локалізації, нейтралізації та ліквідації підтверджених інцидентів кібербезпеки.

Відновлення (RECOVER) — RECOVER (RC)

Відновлення нормального функціонування скомпрометованих систем, даних та операцій організації.

Офіційні посилання, правила цитування та правова інформація (Стор. 32)

Як цитувати цю публікацію серії NIST Technical Series:

National Institute of Standards and Technology (2024) The NIST Cybersecurity Framework (CSF) 2.0. (National Institute of Standards and Technology, Gaithersburg, MD), NIST Cybersecurity White Paper (CSWP) NIST CSWP 29. https://doi.org/10.6028/NIST.CSWP.29


Політика щодо торговельних марок та комерційного ПЗ: Будь-яка згадка комерційних продуктів, комерційного ПЗ чи матеріалів наведена виключно з метою точного опису процедур і не означає схвалення чи рекомендації з боку NIST.

Контактна інформація авторів NIST: National Institute of Standards and Technology, Attn: Applied Cybersecurity Division, Information Technology Laboratory, 100 Bureau Drive (Mail Stop 2000), Gaithersburg, MD 20899. Email: [email protected].

NIST CSF 2.0 відповідає на запитання «ЩО має бути досягнуто?», встановлюючи високорівневі результати. Водночас технічні стандарти CIS Benchmarks™ відповідають на запитання «ЯК САМЕ налаштувати операційну систему чи хмару?», надаючи покрокові перевірки реєстру, групові політики або налаштування Microsoft Intune Settings Catalog.

У нашому повному посібнику CIS Microsoft Intune для Windows 11 Benchmark кожна вимога співставлена з категоріями Ядра CSF 2.0: