Viitekehyksiä parempiin tietoturvallisuuskäytäntöihin: Osa 4 – NIST Cybersecurity Framework

Kuva 1. Viitekehyksen ytimen rakenne
Lähde: https://nvlpubs.nist.gov/nistpubs/ CSWP/NIST.CSWP.04162018.pdf

Viitekehyksen ydin (kuva 1) on tarkoitettu johtoryhmän tekemäksi dokumentiksi, joka aloittaa kyberturvallisuusriskien minimointiin tähtäävät toimet. Riskien tunnistus (identify), suojautuminen (protect), havaitseminen (detect), vastaaminen (respond) ja palautuminen (recover) auttavat yritystä ilmaisemaan kyberturvallisuusriskiensä tarvitsemat hallinnointitoimet. Lopputuloksena syntyvän dokumentaation tulisi ottaa huomioon toimialakohtaiset kyberturvallisuusuhat ja priorisoida niihin vastaamisen. Ajan kuluessa tehtyjen toimien pohjalta mahdollistuu tehtävän turvatyön jatkuva kehittyminen.

Itse ajattelen viitekehyksen eri osien olevan itseään toistava looppi, jossa ensin organisaatio pyrkii tunnistamaan vaikkapa jonkin hyökkäysvektorin ja suojautumaan siltä sekä silti rakentamaan havainnointimekanismit, jos hyökkäys kuitenkin onnistuisi. Ja kun näin todennäköisesti väistämättä joskus tapahtuu, siihen löytyy myös vastaamistoimet ja palautumissuunnitelma. Palautumisesta saatu lisätieto auttaa yritystä jälleen tunnistamaan uuden hyökkäysvektorin ja looppi alkaa alusta.

Tämän kehitysprosessin olemassaolo todentaa konkreettisesti hyödyt kyberturvallisuuden investoinneille, sillä tehdyille toimille on aina uhista syntyvä tarve.

Implementaatiotasot: Partial, Risk informed, Repeatable, Adaptive

Implementaatiotasot tähtäävät mekanismiin visualisoida ja ymmärtää yrityksen näkemystä relevanteista kyberturvariskeistä sekä prosesseista näiden hallintaan. Voidaan puhua myös maturiteettitasoista.

Kuva 2. NIST Cybersecurity Framework -implementaatiotasot

Yrityksen tunnistaessa itsensä tasolle 1 on vahvasti suositeltavaa pyrkiä korkeammalle tasolle. Tasot voivat auttaa konkretisoimaan mitkä osat yrityksessä ovat lisäresurssien tarpeessa.

Profiilit: "Current" profile vs "Target" profile

Profiilit auttavat yritystä linjaamaan ja priorisoimaan tietoturvatoimensa yrityksen mission, tarpeiden, riskien sekä resurssien pohjalta.

”Current”-profiili kuvaa nykytilassa saavutettuja kyberturvallisuushyötyjä.

”Target”-profiili on saavutettavien hyötyjen kuvaus tulevien toimien pohjalta.

Tällä vastakkainasettelulla saadaan nostettua esiin nykytoimintatapojen aukot, joiden korjaamiseksi tehtävät toimet on helpompi määritellä.

NIST CSF vs muut esitellyt viitekehykset

Käytännössä NIST CFS on vaihtoehtoinen tapa kehittää kattava kyberturvallisuusohjelma yritykselle. Se linkittyy hyvin NIST:n omiin standardeihin, ISO27001:een ja muihin viitekehyksiin, kuten CIS Controls ja Control Objectives for Information and Related Technology (COBIT). ISO27001 verrattuna NIST CSF:n materiaalit ovat saatavilla ilmaiseksi ja käytänteiden rakennuksen voi aloittaa hyvinkin matalalla kynnyksellä.

USA-keskeisyyden viitekehyksessä näkisin kuitenkin jonkinlaisena heikkoutena suomalaisille yrityksille. Riskien trendit ovat globaalisti pääasiassa yhdensuuntaiset, mutta riskien erilaista painotusta voi ilmetä silti kansallisesti. Toisaalta on huomionarvoista, että liikenne- ja viestintävirasto Traficomin Kybermittari on ristiinkytkettävissä NIST CSF:n kanssa. CIS Controlsiin verrattuna käytännön tekniseen toteutukseen NIST CSF ei ota kantaa samalla tavalla.

Tähän päättyy tämä blogikirjoitusten sarja, toivottavasti lukijana sait ainakin jonkinlaisen kosketuspinnan erilaisiin vaihtoehtoihin, joista oman yrityksesi tietoturvakehittämiselle voisi saada rungon, jota lähteä sitten taivuttamaan oikeaan suuntaan yrityksen liiketoimintanäkökulmat huomioiden. En lähde suosittelemaan kategorisesti yhtä tiettyä vaihtoehtoa, ja olen sitä mieltä, että kaikissa esitellyissä vaihtoehdoissa on hyviä puolia, joita yhdistelemällä pääsee hyviin lopputuloksiin.

Post Scriptum

Tietoturvakehittämiseen löytyy toki näiden kolmen esitellyn viitekehyksen lisäksi muitakin, näistä voisin mainita lyhyesti seuraavat. Jos kysyntää löytyy, kukaties näitäkin voidaan tulevissa blogikirjoituksissa sivuta syvällisemmin.

Secure Software Development Framework eli SSDF on NIST:n ylläpitämä viitekehys turvallisen ohjelmistokehityksen tueksi. SSDF perustuu mm. OWASP-suosituksiin. SSDF on mahdollista leipoa organisaation ohjelmistokehityksen elinkaarenhallintaan (SDLC, software developlement life cycle), oli se sitten vesiputousmalli, agile, devops tai muu. Painoarvoa on erityisesti ns. shifting left -periaatteelle, jossa tietoturva huomioidaan elinkaaren mahdollisimman aikaisessa vaiheessa. Tyypillisesti tietoturvaan käytetty aika ja raha lopulta on pienempi, mitä aikaisemmassa vaiheessa se huomioidaan.

MITRE ATT&CK sen sijaan ei ole varsinainen teknisen tietoturvan kehittämisen viitekehys, vaan tietokanta, jossa erilaisia hyökkääjien käyttämiä taktiikoita ja tekniikoita, joihin on mahdollista suunnitella suojausmekanismeja. Näihin löytyy oma mitigations-listansa, jota voisi käyttää viitekehyksenä omien suojausten rakentamiselle. Soveltuu käytettäväksi esim. uhkamallinnuksen osana.

AICPA:n (Association of International Certified Professional Accountants) kehittämä palveluntarjoajille suunnattu arviointikriteeristö SOC 2, tarkoitettu arvioimaan palveluntarjoajan kykyä säilyttää asiakastietoa turvallisesti pilvipalvelussa. Tavoitteena minimoida asiakastietoon liittyviä riskejä ja tiedon paljastumista tahattomasti. SOC 2 on periaatteessa tekninen auditointi, mutta sisältää vaatimuksia tietoturvapolitiikoista ja -prosesseista.

Cloud Security Alliancen (CSA) Cloud Controls Matrix (CCM) koostuu tietoturvakontrolleista, jotka on jaoteltu 17 eri osa-alueeseen. Voidaan käyttää pilvipalveluiden implementoinin arvioinnissa ja pilvipalveluiden vastuunjaossa (mitä tulee tietoturvakontrolleihin).

Erityisesti viranomaissektorille Suomessa löytyy sekä KATAKRI että PITUKRI. Katakri on viranomaiskäyttöön tarkoitettu auditointityökalu tai -kriteeristö, joka erityisesti ottaa kantaa erilaisiin velvoitteisiin liittyviin vähimmäisvaatimuksiin tiedon luokittelun perusteella. Osa vaatimuksista on sellaisia, joista suurin osa organisaatioista hyötyisi, mutta näkökulma on kuitenkin vahvasti lainsäädäntöperustainen ja kansainvälisiin velvoitteisiin perustuva. Pitukri taas on pilvipalveluiden turvallisuuden arviointikriteeristö.