A ISO 27001 e o NIST CSF 2.0 são duas diretrizes de cibersegurança com uma sobreposição significativa. Entenda como eles trabalham juntos para aumentar a segurança da informação.

Juntamente com o aumento dos riscos de segurança vêm as correspondentes leis e regulamentações necessárias para manter os dados da organização seguros. Duas salvaguardas comuns hoje são a ISO 27001 e o NIST CSF.

A ISO 27001 é uma norma internacional para melhorar os sistemas de gestão de segurança da informação de uma organização, enquanto o NIST CSF ajuda a gerenciar e reduzir os riscos de cibersegurança para suas redes e dados. Tanto a ISO 27001 quanto o NIST CSF contribuem efetivamente para uma postura de segurança mais forte. No entanto, a forma como cada um aborda a proteção de dados é distinta.

A seguir, comparamos as semelhanças e diferenças entre a ISO 27001 e o NIST CSF e como os dois padrões trabalham juntos para garantir a segurança da informação.

O que é a ISO 27001?

A ISO 27001 ou ISO/IEC 27001 foi criada pela Organização Internacional para Padronização (ISO) em parceria com a Comissão Eletrotécnica Internacional (IEC).

A norma é reconhecida internacionalmente como uma das maneiras mais eficazes de manter a segurança da informação. Ela detalha os requisitos para estabelecer, implementar, manter e melhorar continuamente o sistema de gestão de segurança da informação (SGSI) de uma organização.

Segundo a ISO 27001, a segurança da informação inclui três elementos principais:

• Confidencialidade: A informação é disponibilizada apenas para usuários autorizados.
• Integridade: A informação é precisa e completa.
• Disponibilidade: Usuários autorizados têm acesso à informação quando necessário.

As duas etapas na certificação ISO 27001

O processo de certificação ISO 27001 envolve duas etapas principais:

• Etapa 1: Revisão da documentação ou auditoria da documentação Um auditor externo revisará seus processos e políticas para verificar se estão em conformidade com os requisitos da ISO 27001 e se um SGSI foi implementado.
• Etapa 2: Auditoria de certificação Um auditor realizará uma avaliação detalhada no local para verificar se o SGSI da organização está em conformidade com a ISO 27001.

Se as organizações passarem na auditoria formal de conformidade, receberão sua certificação ISO 27001. As certificações ISO 27001 são válidas por três anos, durante os quais auditorias de vigilância anuais são realizadas nos dois primeiros anos e uma auditoria de recertificação é necessária no terceiro ano.

O que é o NIST CSF?

O Framework de Cibersegurança do Instituto Nacional de Padrões e Tecnologia (NIST CSF) é um conjunto de diretrizes para todas as organizações gerenciarem e reduzirem os riscos de cibersegurança.

O NIST CSF é um padrão voluntário que cobre metodologias de cibersegurança e ajuda a fomentar a comunicação de conformidade entre as partes interessadas internas e externas.

As 5 funções do NIST CSF 2.0 (Versão 2024)

O NIST CSF 2.0 está organizado em cinco funções principais, que servem como espinha dorsal do framework central:

1. Governar: Compreender do contexto organizacional; o estabelecimento da estratégia de cibersegurança e gestão de riscos da cadeia de suprimentos de cibersegurança; papéis, responsabilidades e autoridades; política; e a supervisão da estratégia de cibersegurança.

2. Identificar: Desenvolver uma compreensão de como a organização gerenciará os riscos de cibersegurança para sistemas, pessoas, ativos, dados e capacidades. Ver o contexto do negócio, recursos que suportam funções críticas e riscos de cibersegurança relacionados ajuda a focar e priorizar esforços de acordo com estratégias de gerenciamento de risco e necessidades do negócio.

3. Proteger: Estabelecer salvaguardas para garantir a entrega de serviços de infraestrutura crítica e limitar ou conter o impacto negativo de eventos de cibersegurança.

4. Detectar: Implementar atividades chave que ajudem a descobrir e identificar a ocorrência de eventos de cibersegurança em tempo hábil.

5. Responder: Planejar as atividades que devem ocorrer quando um incidente de cibersegurança é detectado, incluindo como conter o impacto negativo em toda a organização, notificar partes interessadas internas e externas e continuar as operações de negócios.

6. Recuperar: Identificar planos para recuperar e restaurar quaisquer funções afetadas por um incidente de cibersegurança e recomendar melhorias nas atividades de gestão de segurança existentes.

As funções devem ser abordadas simultaneamente. Ações que suportam GOVERNAR, IDENTIFICAR, PROTEGER e DETECTAR devem ocorrer continuamente, e as ações que suportam RESPONDER e RECUPERAR devem estar prontas o tempo todo e acontecer quando ocorrem incidentes de cibersegurança. Todas as funções têm papéis vitais relacionados a incidentes de cibersegurança.

Os resultados de GOVERNAR, IDENTIFICAR e PROTEGER ajudam a prevenir e preparar para incidentes, enquanto os resultados de GOVERNAR, DETECTAR, RESPONDER e RECUPERAR ajudam a descobrir e gerenciar incidentes

NIST CSF vs. NIST 800-53 SP (Special Publication)

O NIST CSF fornece um escopo de alto nível e um framework flexível que qualquer organização pode usar para construir um programa de segurança da informação. Em contraste, o NIST 800-53 é uma publicação especial projetada para ajudar a implementar o NIST CSF em empresas privadas que trabalham com o governo federal dos EUA.

Inclui tanto os requisitos do NIST CSF quanto da ISO 27002, bem como muitos outros, tornando o NIST 800-53 um dos frameworks de cibersegurança mais granulares disponíveis.

Por essa razão, agências governamentais como a Lei Federal de Gestão de Segurança da Informação (FISMA) e o Framework de Gestão de Risco de Garantia da Informação do Departamento de Defesa (DIARMF) dependem fortemente do framework NIST 800-53.

Semelhanças entre ISO 27001 e NIST CSF

ISO 27001 e NIST CSF são frameworks complementares baseados em processos semelhantes de gestão de risco:

• Identificar riscos para a informação da organização.
• Implementar controles apropriados ao risco.
• Monitorar seu desempenho.

Há muitos outros pontos de interseção entre os dois frameworks de segurança. Na verdade, uma organização que possui uma certificação ISO 27001 já cumpriu cerca de 85% dos requisitos do NIST CSF. Inversamente, uma organização em conformidade com o NIST CSF já está aproximadamente 60% do caminho para obter a certificação ISO 27001.

Diferenças entre ISO 27001 e NIST CSF

Apesar das muitas semelhanças entre a ISO 27001 e o NIST CSF, há algumas variações notáveis entre os dois padrões. Estas incluem:

• Jurisdicação coberta: A ISO 27001 é uma abordagem internacionalmente reconhecida para estabelecer e manter um SGSI, enquanto o NIST foi fundado para ajudar agências federais dos EUA e organizações a gerenciar melhor seus riscos.

• Número de requisitos: O Anexo A da ISO 27001 inclui 93 controles situados em quatro seções, enquanto os frameworks NIST possuem vários catálogos de controle e cinco funções para personalizar controles de cibersegurança.

• Estágio operacional e nível técnico: A ISO 27001 é comparativamente menos técnica, com mais ênfase na gestão baseada em risco e organizações que alcançaram maturidade operacional. O NIST CSF é mais técnico e mais adequado para os estágios iniciais de um programa de risco de cibersegurança ou ao tentar mitigar uma violação.

• Custos esperados: A ISO 27001 envolve uma série de auditorias e certificações que acarretam um maior custo dado a necessidade de contratar auditorias externas, entregues como serviço. O NIST CSF é voluntário, o que permite que as organizações implementem o padrão usando seu próprio ritmo e recursos.

Os frameworks NIST CSF e ISO 27001 podem trabalhar juntos

A ISO 27001 e o NIST CSF abordam a segurança da informação e a gestão de risco a partir de ângulos e escopos diferentes.

Como recomendação geral, organizações que estão começando a construir seu programa de cibersegurança podem começar com o NIST CSF. Isso ajuda a pintar um quadro claro do estado do seu programa de cibersegurança, após o qual podem desenvolver um processo mais seguro à medida que escalam e trabalham para a certificação ISO 27001.

Mais informações e recursos:

Download do NIST CSF 2.0 - https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf

Perguntas Frequentes