תוכנת תאימות NIST SP 800-53

מהם היתרונות של NIST SP 800-53?

התקן מספק יותר מערכות מידע מאובטחות באמצעות משפחות בקרה. ארגונים פרטיים מצייתים ל-NIST SP 800-53 מכיוון ש-18 משפחות הבקרה שלו מסייעות להם לעמוד באתגר של בחירת בקרות אבטחה בסיסיות, מדיניות ונהלים.

הבטחת אבטחה ותאימות היא רק אחד מהיתרונות של תהליך ההתאמה האישית. עקביות ויישום חסכוני של בקרות על פני תשתית טכנולוגיית המידע שלך מקודמים על ידי זה. כדי להבטיח את הרלוונטיות שלו לתשתית ולסביבה שלך, הוא מעודד אותך לנתח כל בקרת אבטחה ופרטיות שתבחר.

בקרות אבטחה NIST 800-53

השפעת האירועים על נתונים שונים ו מערכות מידע דורשות הערכת סיכונים מדוקדקת. ל-NIST 800-53 יש קטלוג של בקרות אבטחה, פרטיות ובקרות הדרכה. יש לבחור בקרות על סמך דרישות ההגנה של התוכן.

משפחות אבטחה ובקרה

כפי שצוין קודם לכן, תקני עיבוד מידע פדרליים (FIPS) יכולים לעזור לבחור את הבקרות שהארגון שלך צריך מול שלוש רמות ההשפעה שנמצאות ב- FIPS.

רמות ההשפעה הללו הן:

• נמוך - כלומר לאובדן נתונים תהיה השפעה מזיקה מוגבלת.
• בינוני - כלומר לאובדן נתונים תהיה השפעה מזיקה מאוד.
• גבוה - כלומר לאובדן נתונים תהיה השפעה הרסנית.

בקרי NIST SP 800-53 מוקצים לחלקים הבאים:

באיזה עדכון של NIST SP 800-53 אנחנו?

עדכון ראשון

NIST SP 800-53 גרסה 1 שוחררה בדצמבר 2006 בשם "בקרות אבטחה מומלצות עבור מערכות מידע פדרליות."

עדכון שני

NIST SP 800-53 גרסה 2 שוחררה בדצמבר 2007 בשם "בקרות אבטחה מומלצות עבור מערכות מידע פדרליות."

גרסה שלישית

NIST SP 800-53 גרסה 3 שוחררה באוגוסט 2009 בשם "בקרות אבטחה מומלצות עבור מערכות מידע וארגונים פדרליים.". גרסה זו משלבת מספר המלצות מאנשים שהגיבו על גרסאות שפורסמו בעבר.

הומלץ להפחית במספר בקרות אבטחה עבור מערכות השפעה נמוכה. כמו כן, הצע קבוצה חדשה של בקרות ברמת האפליקציה וסמכויות גדולות יותר לארגונים לשדרג לאחור את הבקרה.

שינויים שהוכנסו על ידי גרסה 3:

• שישה שלבים מסגרת ניהול סיכונים.
• יותר בקרות אבטחה ושיפורים עבור איומי סייבר מתקדמים.
• המלצות לתעדוף בקרות אבטחה במהלך יישום או פריסה.
• מבנה בקרת אבטחה מתוקן עם הפניות חדשות.
• ביטול דרישות אבטחה מהדרכה משלימה.
• הדרכה לשימוש במסגרת ניהול הסיכונים עבור מערכות מידע מדור קודם.
• הדרכה לספקי שירותי מערכות מידע חיצוניים.
• עדכונים ל קווי בסיס בקרת אבטחה המבוססים על מידע עדכני ומתקפות סייבר.
• ברמת הארגון בקרות אבטחה לניהול מידע תוכניות אבטחה.
• הדרכה בנושא ניהול בקרות משותפות בארגונים.
• אסטרטגיה לתיאום תקני אבטחה והנחיות FISMA עם תקן ISO/IEC 27001.

עדכון רביעי

NIST SP 800-53 גרסה 4 שוחררה לראשונה בפברואר 2012 בשם "בקרות אבטחה ופרטיות עבור מערכות מידע וארגונים פדרליים".

גרסה 4 כללה עדכונים לבקרות האבטחה, הנחיות משלימות ושיפורי בקרה. הוא גם עדכן את הנחיית התפירה וההשלמה המהווים מרכיבים בתהליך בחירת הבקרה.

גרסה חמישית

NIST SP 800-53 גרסה 5 נידונה לראשונה באוגוסט 2017 והוסרה "פדרלי" החל מ- "בקרות אבטחה ופרטיות עבור מערכות מידע וארגונים פדרליים" לציין שניתן להחיל תקנות על כל הארגונים, ולא רק על ארגונים פדרליים. הגרסה הסופית של גרסה 5 שוחררה בספטמבר 2020.

כמה שינויים בגרסה זו כוללים:

• מבנה הבקרות שונה, מה שהפך את בקרות האבטחה והפרטיות למבוססות יותר על תוצאות.
• שילוב בקרות פרטיות בקטלוג בקרת האבטחה כדי ליצור מערך בקרה מאוחד ומאוחד עבור מערכות וארגונים.
• הפקדים יכולים לשמש קהילות עניין שונות, כולל מהנדסי מערכות, מפתחי תוכנה, ארכיטקטים ארגוניים ובעלי משימה/עסקים. זה הושג על ידי הפרדת תהליך בחירת הבקרה מהבקרות בפועל.
• המונח "אבטחת מידע" הוסר והוחלף ב"מערכת" הרלוונטי כל כך ניתן להחיל בקרות על כל סוג של מערכת.
• פחות דגש על מיקוד פדרלי לקידום שימוש רב יותר על ידי ארגונים לא פדרליים.
• קידום אינטגרציה עם אחרים אבטחת סייבר וגישות לניהול סיכונים.
• הבהרה נוספת על יחסי אבטחה ופרטיות כדי לשפר את בחירת הבקרות כדי להתמודד עם ההיקף המלא של סיכוני הפרטיות והאבטחה.

NIST SP 800-53A ו-NIST SP 800-53B

NIST SP 800-53A

NIST SP 800-53A מכיל קבוצה של נהלים לביצוע הערכות של בקרות אבטחה ובקרות פרטיות בתוך מערכות וארגונים פדרליים.

השמיים ניתן להתאים בקלות נהלים כדי לתת לארגונים את הגמישות לבצע הערכות בקרת אבטחה והערכות בקרת פרטיות בהתאם לסובלנות הסיכון המוצהרת של הארגון.

ניתנת הדרכה על ניתוח תוצאות הערכה, עם מידע על בניית תכניות אפקטיביות להערכת אבטחה ופרטיות.

NIST SP 800-53B

NIST SP 800-53B מספק בקרות אבטחה בסיסיות ובקרות פרטיות עבור מערכות מידע.

ניתנת הדרכה בנושא ניתוח תוצאות הערכה ומידע על בניית אבטחה יעילה תוכניות הערכה.

מי חייב לעמוד ב-NIST 800-53?

חובה למערכות מידע פדרליות להשתמש בתקן. כדי לשמור על הקשר, כל ארגון שעובד עם הממשל הפדרלי חייב לציית ל-NIST SP 800-53.

התקן מספק מסגרת לכל ארגון לפיתוח, תחזוקה ו לשפר את נוהלי אבטחת המידע שלהם, כולל ממשלות מדינה, מקומיות, שבטיות וחברות פרטיות.

סוכנויות פדרליות צריכות להיות תאימות לגרסה האחרונה של NIST SP 800-53 בתוך שנה אחת משחרור הגרסה החדשה, ומערכות חדשות צריכות להיות תואמות בזמן הפריסה.

איך NIST SP 800-53 קשור ל-FISMA?

NIST SP 800-53 מסייע לארגונים מכל הצורות והגדלים לציית לחוק המודרניזציה של אבטחת מידע הפדרלית (FISMA). קיים קטלוג נרחב של בקרות לחיזוק האבטחה.

מטרת ה-FISMA היא להגן מפני גישה לא מורשית, שימוש, חשיפה, שיבוש, שינוי והרס של הממשלה מידע ונכסים.

כיצד ISO 27001 יכול לעזור לך לעמוד בתקן NIST SP 800-53?

זוהי תפיסה שגויה נפוצה שארגון חייב לבחור בין NIST SP 800-53 או ISO 27001 ושאחד טוב יותר מהשני. שניהם יכולים לשמש בתוך ארגון ויש הרבה סינרגיות ביניהם. אבטחת מידע, הערכות סיכונים ותוכניות אבטחה הן תחת ההיקף של ISO 27001 ו-NIST SP 800-53.

השמיים מסגרות NIST נעשו בהתנדבות וגמישות. יש להם מספר עקרונות משותפים, כולל דרישה לתמיכת ההנהלה הבכירה, א תהליך שיפור מתמיד, וגישה מבוססת סיכונים, המאפשרת ליישם אותם בקלות בשילוב עם ISO 27001.

תהליך הערכת הסיכונים שצוין על ידי ISO 27001 נוקט בגישה דומה מאוד ל-NIST SP 800-53. בקרות המתאימות לסיכון, זיהוי סיכונים למידע של הארגון ומעקב אחר ביצועיהן נחוצים בשתיהן.

NIST לעומת ISO 27001: מה ההבדל?

כיצד יכול ISMS.Online לעזור לך להשיג תאימות ל-NIST 800-53?

ISMS.online מתפתח ללא הרף ל לענות על צורכי אבטחת המידע, הפרטיות וההמשכיות העסקית של ארגונים על פני הגלובוס. הפלטפורמה הפשוטה, המאובטחת ובת-הקיימא שלנו תומכת בהרבה יותר מסתם ISO/IEC 27001. כמו הפלטפורמה שלנו גדלה, כך גם רשימת התקנים והתקנות שאנו תומכים בהם.

בנוסף, הפלטפורמה שלנו מגיעה עם מסגרות שונות מובנות מראש שתוכלו לאמץ, להתאים או להוסיף אליהן בהתאם הצרכים הייחודיים של הארגון. לחלופין, אתה יכול בקלות לבנות משלך עבור פרויקטי תאימות מותאמים אישית.