A Estrutura de Segurança Cibernética (CSF) 2.0 do NIST
A CSF é útil para profissionais de tecnologia, gerentes de risco, advogados, executivos, conselhos de administração e outros indivíduos envolvidos no gerenciamento de riscos de segurança cibernética.
Ela foi elaborada para ser adotada de forma voluntária, mas também pode ser implementada por meio de políticas e mandatos governamentais . A taxonomia da CSF não é específica de um país, e versões anteriores já foram usadas por diversos governos e organizações em todo o mundo.
A Estrutura de Segurança Cibernética (CSF) 2.0 do NIST, traduzida para o português, é um documento que fornece orientações para organizações, incluindo empresas, órgãos governamentais e outras entidades, gerenciarem seus riscos de segurança cibernética. O documento não prescreve como os resultados devem ser alcançados, mas sim oferece uma taxonomia de resultados de segurança cibernética que pode ser utilizada por qualquer organização, independentemente de seu tamanho, setor ou maturidade.
.
A estrutura é composta por três componentes principais:
-
CSF Core: uma taxonomia de resultados de segurança cibernética de alto nível organizada em seis funções (Governar, Identificar, Proteger, Detectar, Responder e Recuperar), que se dividem em categorias e subcategorias.
-
As funções são verbos que resumem seu conteúdo, e a função “Governar” está no centro da estrutura, pois orienta a implementação das outras cinco.
-
A CSF Core pode ser aplicada a todos os tipos de tecnologias, como TI, IoT e tecnologia operacional, e a ambientes tecnológicos como nuvem e sistemas de IA.
-
Perfis organizacionais da CSF: um mecanismo para descrever a postura de segurança cibernética atual e/ou desejada de uma organização, com base nos resultados da CSF Core.
-
Um perfil pode abranger a organização inteira ou ser focado em um escopo específico, como sistemas financeiros ou combate a ameaças de ransomware.
-
Os perfis são úteis para entender, adaptar, avaliar, priorizar e comunicar os resultados do Core, considerando os objetivos da missão, as expectativas das partes interessadas e o cenário de ameaças.
-
Níveis da CSF: caracterizam o rigor das práticas de governança e gerenciamento de riscos de segurança cibernética de uma organização.
-
Existem quatro níveis:
-
Parcial (Nível 1);
-
Risco informado (Nível 2);
-
Repetível (Nível 3);
-
e Adaptativo (Nível 4).
-
A seleção de um nível ajuda a definir a abordagem geral de uma organização para o gerenciamento de riscos cibernéticos.
-
O NIST oferece recursos online complementares, como Guias de Início Rápido, Exemplos de Implementação e Referências Informativas, para auxiliar as organizações a implementar a CSF e alcançar os resultados desejados.
O documento menciona que a tradução para o português foi realizada pela Taika Translations LLC sob contrato com o NIST e é uma tradução oficial do Governo dos EUA.
Este material é somente um guia de apoio para começar a entender as diversas formas de proteger e organizar uma empresa nas questões de segurança da informação.
