Analisando os novos elementos da próxima versão preliminar do NIST CSF 2.0

Chad DavisGerente Principal de Marketing da Indústria | F5

Em um cenário digital cada vez mais interconectado, a importância de medidas robustas de segurança cibernética é inegável. Reconhecendo essa realidade, o NIST Cybersecurity Framework (CSF) surgiu em 2014 como uma ferramenta fundamental para reduzir os riscos de segurança cibernética em diversos setores. Inúmeras organizações informaram ao NIST que o CSF 1.1 é um recurso eficaz para lidar com esses riscos. No entanto, há um consenso de que a evolução do Framework é essencial para enfrentar os desafios futuros de segurança cibernética e facilitar sua adoção pelas organizações. Em estreita colaboração com a comunidade, o NIST está desenvolvendo o CSF 2.0, uma visão que alia eficácia para o futuro à essência dos propósitos e objetivos originais do Framework.

O que exatamente é e o que não é o NIST Cybersecurity Framework 2.0

Em sua essência, o NIST Cybersecurity Framework 2.0 é uma ferramenta inestimável para organizações que buscam não apenas compreender seu cenário de segurança cibernética, mas também avaliar, priorizar e comunicar de forma eficaz suas iniciativas nessa área. Ao contrário de um manual rígido de diretrizes, o Framework não determina metodologias específicas para alcançar esses resultados. Em vez disso, atua como um elo estratégico, conectando as organizações a uma série de recursos que oferecem orientações complementares sobre práticas e controles recomendados.

Ao analisar mais a fundo os componentes da versão preliminar do Cybersecurity Framework 2.0, este blog explora algumas das mudanças propostas em relação à versão 1.1, esclarecendo sua abordagem multifacetada para fortalecer as defesas digitais.

O que (especificamente) está mudando

A seguir estão cinco das mudanças mais relevantes do NIST CSF 1.1 para o 2.0:

1. Evolução do título e do escopo do Framework de Segurança Cibernética – O renomado Framework de Segurança Cibernética passou por melhorias significativas, refletindo sua ampla aplicabilidade. A mudança do título de “Framework para Aprimorar a Segurança Cibernética de Infraestruturas Críticas” para “Framework de Segurança Cibernética” facilita seu reconhecimento. O escopo agora abrange todas as organizações, deixando de se concentrar apenas em infraestruturas críticas. Essa evolução reconhece a relevância global do Framework, transferindo a ênfase das infraestruturas críticas dos EUA para organizações do mundo todo. Essas alterações destacam a adaptabilidade do Framework e sua capacidade de atender a diversas necessidades de segurança cibernética, reafirmando sua posição como uma ferramenta dinâmica para organizações de diferentes portes e contextos.
   
   
2. Interconexão do CSF com novos recursos – A evolução do CSF vai além de seus próprios limites, estabelecendo conexões com outros frameworks e recursos essenciais. A análise minuciosa do NIST levou a revisões no NIST CSF, com a inclusão de referências a ferramentas atuais, como o NIST Privacy Framework, o NICE Workforce Framework for Cybersecurity, o Secure Software Development Framework, entre outras.
   
   
3. Aprimoramento do suporte à implementação do CSF – A evolução do CSF inclui um suporte mais robusto para uma implementação eficaz, como a introdução de exemplos de implementação que apresentam processos ilustrativos e orientados à ação para atender às subcategorias do CSF. Esses aprimoramentos estratégicos levam o CSF além de uma estrutura teórica, fornecendo ferramentas práticas que ampliam seu impacto no mundo real. Com orientações de implementação aprimoradas, o CSF consolida ainda mais seu papel como um recurso indispensável para navegar pelo complexo cenário da segurança cibernética.
   
   
4. Fortalecimento da governança de segurança cibernética: maior ênfase do Framework – A evolução do CSF ressalta o papel fundamental da governança de segurança cibernética. Com a introdução da nova função “Governar”, o CSF adota uma abordagem holística. Ela abrange diversos aspectos, incluindo o contexto organizacional, a estratégia de gestão de riscos, os riscos da cadeia de suprimentos de segurança cibernética, as funções e responsabilidades, as políticas, os processos e a supervisão.
   
   Ao orientar as organizações rumo a uma integração abrangente da segurança cibernética, o Framework agora oferece informações sobre o alinhamento com o NIST Privacy Framework e a integração com a gestão de riscos corporativos, conforme detalhado no NIST IR 8286. Cabe destacar que a ênfase em pessoas, processos e tecnologia foi ampliada em toda a implementação do Framework.
   
   Esse foco maior na governança reforça a importância do CSF no âmbito da segurança cibernética, consolidando sua posição como uma ferramenta versátil e abrangente para organizações que buscam fortalecer suas defesas digitais.
   
   
5. Fortalecendo a resiliência da cadeia de suprimentos de segurança cibernética – A evolução do CSF destaca a importância fundamental do gerenciamento de riscos de segurança cibernética na cadeia de suprimentos. Com a introdução de uma categoria específica na função “Governar”, o Framework adota uma postura firme.
   
   Essa atualização decorre do compromisso de alinhamento às orientações mais recentes do NIST e às melhores práticas atuais. Em especial, o CSF abrange o gerenciamento de riscos de segurança cibernética na cadeia de suprimentos e o desenvolvimento seguro de software, refletindo uma abordagem proativa para proteger os ecossistemas digitais.
   
   Essa ênfase voltada para o futuro reforça a capacidade do Framework de se adaptar ao cenário de ameaças em constante evolução, tornando-o uma ferramenta inestimável para organizações que buscam fortalecer sua postura de segurança cibernética e sua resiliência diante das complexas dinâmicas da cadeia de suprimentos.

Esta versão mais recente do rascunho do CSF representa um marco significativo, pois o NIST não publicará outra versão para comentários. Suas contribuições influenciarão diretamente a versão final do CSF 2.0, com lançamento previsto para o início de 2024. Envie seus comentários para cyberframework@nist.gov até sexta-feira, 4 de novembro de 2023.

Sobre o autor

Chad DavisGerente Principal de Marketing da Indústria | F5

Mais publicações de Chad Davis