Фреймворк кибербезопасности NIST

Введение

Ушли те дни, когда бизнесу приходилось думать только о приносе дохода. Несмотря на то, что рост всегда приветствуется, бизнесу также необходимо сосредоточиться на снижении прерываний. От простоя систем до потери критически важных данных, нарушения кибербезопасности не только прерывают обычные операции, но и влияют на репутацию бренда и доверие клиентов в долгосрочной перспективе. Разработанная Национальным институтом стандартов и технологий, Фреймворк кибербезопасности NIST теперь широко признается золотым стандартом кибербезопасности. При использовании вместе с оценками риска, анализом затрат и выгод, а также непрерывным мониторингом, NIST предлагает инструменты для предотвращения неожиданных прерываний бизнеса и снижения финансовых потерь.

Questions and answers

Can you provide a real-world example of a company that successfully used the NIST Cybersecurity Framework to prevent a major cybersecurity breach?

View answer

While the content does not provide a specific example of a company that used the NIST Cybersecurity Framework to prevent a major cybersecurity breach, it's known that many organizations across various sectors have successfully implemented this framework. For instance, JPMorgan Chase & Co., a leading global financial services firm, has publicly stated that they use the NIST framework to manage their cybersecurity risks. However, due to the sensitive nature of cybersecurity, most companies do not publicly share specific instances where a breach was prevented.

What are some alternative strategies to the NIST Cybersecurity Framework in the field of cybersecurity?

View answer

There are several alternative strategies to the NIST Cybersecurity Framework in the field of cybersecurity. These include the ISO 27001, which is an international standard for information security management systems, and the CIS Critical Security Controls, which is a prioritized set of actions to protect organizations and data from known cyber attack vectors. Other alternatives include the COBIT (Control Objectives for Information and Related Technologies) framework, which provides guidance for IT governance and management, and the PCI DSS (Payment Card Industry Data Security Standard), which is a set of security standards designed to ensure that all companies that accept, process, store or transmit credit card information maintain a secure environment.

View all questions

Ask follow up

download Download this presentation in

English (US) expand_more

• English (US)
• English (UK)
• Español

Get 8 out of 24 slides

PowerPoint

View all formats chevron_right

Microsoft Powerpoint

View all formats chevron_right

Microsoft Powerpoint

View all formats chevron_right

Download and customize this and hundreds of business presentation templates for free

Sign up

OR

Start for free ⬇️

Voila! You can now download this presentation

Download

Обзор инструментов кибербезопасности NIST

Исследования показывают, что 65% потребителей теряют доверие к компании после утечки данных, а цены на акции могут упасть на 5% в день раскрытия информации об утечке. На создание социальной репутации бизнеса уходят годы, а иногда и десятилетия, и все это может быть уничтожено всего за несколько дней.

Questions and answers

How does the flexibility and adaptability of the NIST cybersecurity framework impact its sustainability in the face of evolving cybersecurity threats?

View answer

The flexibility and adaptability of the NIST cybersecurity framework significantly contribute to its sustainability in the face of evolving cybersecurity threats. This is because the framework is not rigid; it allows organizations to tailor their cybersecurity programs according to their specific needs while still aligning with regulatory requirements. This means that as cybersecurity threats evolve, the framework can be adapted to meet these new challenges without requiring a complete overhaul. This adaptability ensures that the framework remains relevant and effective, regardless of the changing cybersecurity landscape.

What are some alternative cybersecurity strategies that companies can consider alongside the NIST cybersecurity framework?

View answer

Alongside the NIST cybersecurity framework, companies can consider strategies such as adopting the ISO 27001 standard, which provides a systematic approach to managing sensitive company information. They can also consider the CIS Critical Security Controls, a prioritized set of actions that protect critical systems and data from the most pervasive cyber attacks. Another strategy is to implement a Zero Trust security model, which assumes that threats exist both inside and outside the network and therefore verifies every request as though it originates from an open network. Lastly, companies can consider regular penetration testing and vulnerability assessments to identify and address security weaknesses.

View all questions

Ask follow up

Взаимосвязь современного бизнес-экосистемы доказывает, что усилия по кибербезопасности не должны ограничиваться работой одного отдела. Рамка кибербезопасности NIST особенно полезна для преодоления разрыва между техническими и бизнес-заинтересованными сторонами.Как общий язык и методология для обсуждения рисков кибербезопасности и стратегий, рамки позволяют лучше общаться, принимать решения и согласовывать с более широкими бизнес-целями. Эта особенность отличает его от других рамок, которые могут сосредоточиться исключительно на технических аспектах. Кроме того, гибкость и адаптивность рамки привлекательны для организаций всех размеров. Это позволяет компаниям адаптировать свои программы кибербезопасности для своих конкретных потребностей, оставаясь в соответствии с регуляторными требованиями.

Ask follow up

Столпы NIST

Давайте начнем со столпов NIST CSF, поскольку они обеспечивают основу, которая указывает, как организация в конечном итоге выбирает проектирование и внедрение своей программы кибербезопасности. В настоящее время рамка состоит из шести ключевых функциональных областей: Управление, Идентификация, Защита, Обнаружение, Реагирование и Восстановление.

Questions and answers

How might the addition of the 'Govern' pillar in the NIST CSF impact the future trends in cybersecurity for organizations across various sectors?

View answer

The addition of the 'Govern' pillar in the NIST CSF emphasizes the importance of governance and enterprise-level support in cybersecurity programs. This could lead to a trend where organizations across various sectors start to prioritize governance in their cybersecurity strategies. It might also encourage organizations to invest more in training and resources to ensure that their governance structures are robust and effective in managing cybersecurity risks. Furthermore, it could lead to a shift in the way organizations approach cybersecurity, from being a purely technical issue to being a strategic issue that involves the entire organization.

What are some other key pillars of the NIST Cybersecurity Framework, and how do they contribute to the overall cybersecurity program?

View answer

The NIST Cybersecurity Framework is built around five core functions: Identify, Protect, Detect, Respond, and Recover. Each function contributes to the overall cybersecurity program in a unique way. 'Identify' involves understanding the business context, resources, and risks. 'Protect' involves implementing safeguards to ensure delivery of critical services. 'Detect' involves identifying the occurrence of a cybersecurity event. 'Respond' involves taking action regarding a detected cybersecurity event. 'Recover' involves maintaining plans for resilience and restoring any capabilities or services that were impaired due to a cybersecurity event. The addition of 'Govern' in the latest version emphasizes the role of governance and enterprise-level support in cybersecurity programs.

View all questions

Ask follow up

• В функциональной области "Управление", цель состоит в том, чтобы установить и поддерживать управление для эффективного управления рисками кибербезопасности. Цель состоит в том, чтобы определить четкие роли, согласованные цели и надежные стратегии риска.
• Фокус функции "Идентификация" - понимание рисков для критически важных активов и приоритизация уязвимостей и угроз для обоснованных решений о рисках.
• "Защита" включает разработку защитных мер для обеспечения целостности систем и данных с целью улучшения общей позиции по безопасности.
• "Обнаружение" направлено на своевременное идентификацию событий кибербезопасности посредством мониторинга процессов. Это должно позволить быстро обнаруживать инциденты.
• "Реагирование" включает в себя разработку планов реагирования для эффективного локализации и смягчения последствий киберинцидентов. Здесь цель - своевременное и эффективное реагирование.
• Наконец, функция "Восстановление" сосредоточена на планах восстановления для восстановления возможностей после инцидента. В тех несчастных случаях, когда кибератаки все же происходили, надежный план восстановления позволяет быстро восстановить систему и услуги для непрерывности бизнеса.

С учетом все более сложных кибератак, скорее всего, NIST CSF будет обновляться со временем. Версия 2.0 была выпущена в феврале этого года, чтобы расширить ее применение на все организации, а не только на те, которые находятся в критически важных секторах. Обратите внимание, что один из шести основных столпов, которые мы упоминали ранее, Управление, был новым добавлением в последней версии. Это подчеркивает роль управления и поддержки на уровне предприятия в вопросах кибербезопасности.

Questions and answers

How does the strategic importance of cybersecurity investments impact the overall business success of companies like Tesla and Nvidia?

View answer

The strategic importance of cybersecurity investments significantly impacts the overall business success of companies like Tesla and Nvidia. These companies operate in sectors where data security and integrity are paramount. Cybersecurity investments help protect their intellectual property, customer data, and operational systems from cyber threats. A robust cybersecurity framework can prevent disruptions, maintain customer trust, and protect the brand reputation. Furthermore, it can also provide a competitive advantage in the market. Therefore, cybersecurity is not just a defensive measure but also a strategic initiative that can contribute to the business growth and sustainability.

What are some alternative strategies to the NIST Cybersecurity Framework that other organizations might use?

View answer

There are several alternative strategies to the NIST Cybersecurity Framework that organizations can use. These include the ISO 27001, which is an international standard for information security management systems, and the CIS Critical Security Controls, which is a prioritized set of actions to protect organizations and data from known cyber attack vectors. Other alternatives include the COBIT (Control Objectives for Information and Related Technologies) framework, which helps organizations meet their information needs, and the PCI DSS (Payment Card Industry Data Security Standard), which is a set of security standards designed to ensure that all companies that accept, process, store or transmit credit card information maintain a secure environment.

View all questions

Ask follow up

download Download this presentation in

English (US) expand_more

• English (US)
• English (UK)
• Español

Get 8 out of 24 slides

PowerPoint

View all formats chevron_right

Microsoft Powerpoint

View all formats chevron_right

Microsoft Powerpoint

View all formats chevron_right

Download and customize this and hundreds of business presentation templates for free

Sign up

OR

Start for free ⬇️

Voila! You can now download this presentation

Download

Визуализатор снижения риска

Теперь, когда мы определили параметры NIST, пришло время представить некоторые инструменты, которые можно использовать для реализации упомянутых ранее областей функций. Анализ рисков предлагает проактивный подход. Когда он представлен руководству и заинтересованным сторонам, возможность рисков вызывает обоснованные решения и эффективное распределение ресурсов в качестве профилактических мер.

Ask follow up

Когда дело доходит до оценки текущего состояния мер по кибербезопасности организации, большая часть этой работы напоминает анализ пробелов. На этом визуализаторе, например, точки данных отображают как текущий уровень безопасности, так и ожидаемый уровень безопасности. В этом случае ось Y представляет собой деловую ценность проекта, что подразумевает стратегическую важность инвестиций в кибербезопасность и критическую связь между мерами безопасности и общим успехом бизнеса. На оси X стоимость проекта иллюстрирует финансовые последствия решений по кибербезопасности. В целом, такой визуализатор снижения риска помогает организациям принимать обоснованные решения по кибербезопасности, которые соответствуют их бюджетным ограничениям.

Questions and answers

Can you provide real-world examples of organizations that have successfully used the NIST Cybersecurity Framework to mitigate cyber risks and fortify their defenses?

View answer

While specific company names are not disclosed due to privacy and security reasons, many organizations across various sectors have successfully implemented the NIST Cybersecurity Framework. These include businesses in the financial services, healthcare, and energy sectors. They have used the framework to identify their cybersecurity strengths and weaknesses, and prioritize investments and initiatives to strengthen their defenses and mitigate cyber risks. The framework has helped them align their cybersecurity measures with industry best practices and benchmark their cybersecurity maturity against industry standards.

What are some alternative strategies or methods that can be used to bolster security resilience apart from the NIST Cybersecurity Framework?

View answer

Apart from the NIST Cybersecurity Framework, there are several other strategies and methods that can be used to bolster security resilience. These include the ISO 27001 Information Security Management System, the CIS Critical Security Controls, and the COBIT framework. These frameworks provide comprehensive guidelines for managing and improving the security of information assets. Additionally, organizations can also implement regular security audits, penetration testing, and vulnerability assessments to identify and address potential security weaknesses. Employee training and awareness programs can also play a crucial role in enhancing security resilience.

View all questions

Ask follow up

Уровень зрелости NIST

В рамках NIST CSF уровни зрелости играют ключевую роль в оценке кибербезопасности. Эти уровни зрелости, оцениваемые по шкале от 0 до 5, предлагают структурированный метод для оценки прогресса и эффективности различных компонентов NIST.

Эта радарная диаграмма показывает целевые оценки, оценки политики и оценки практики для каждого компонента NIST. Она показывает области, где меры кибербезопасности соответствуют лучшим практикам, и где требуются улучшения для усиления устойчивости к безопасности.Вместо того чтобы утопать в сложностях технических знаний, заинтересованные стороны и принимающие решения могут использовать эту визуализацию для легкого определения сильных и слабых сторон, а также областей для улучшения. Используя этот инструмент оценки, организации могут не только сравнить уровень своей кибербезопасности с отраслевыми стандартами, но и определить приоритеты в инвестициях и инициативах для укрепления своих защитных мер и снижения киберрисков.

Ask follow up

download Download this presentation in

English (US) expand_more

• English (US)
• English (UK)
• Español

Get 8 out of 24 slides

PowerPoint

View all formats chevron_right

Microsoft Powerpoint

View all formats chevron_right

Microsoft Powerpoint

View all formats chevron_right

Download and customize this and hundreds of business presentation templates for free

Sign up

OR

Start for free ⬇️

Voila! You can now download this presentation

Download

Анализ затрат и выгод

В июне 2017 года мир увидел самую разрушительную кибератаку в истории. Атака NotPetya оставила значительные следы на многих международных компаниях и глубоко нарушила глобальную цепочку поставок своим быстрым распространением по взаимосвязанным сетям. Общий ущерб от атаки превысил 10 миллиардов долларов. Это число в одиночку стерло годы роста бизнеса. В 2020 году атаки стоили правительствам и бизнесу 1 триллион долларов, что равно примерно 1% мирового ВВП. Для отдельных компаний средняя стоимость одного нарушения безопасности данных составляла 3,6 миллиона долларов.

Ask follow up

Хотя программы кибербезопасности традиционно не рассматриваются как явно "приносящие доход", они определенно предотвращают потерю дохода, в миллионах и миллиардах. Конечно, меры кибербезопасности могут показаться дорогостоящими для внедрения, поэтому здесь вступает в действие анализ затрат и выгод.

Правильные инвестиции в кибербезопасность могут минимизировать риски, связанные с доходами, репутацией и юридическими издержками, а также принести косвенные выгоды, такие как лучшее соответствие требованиям нормативных актов и повышение производительности. Сравнивая затраты на предотвращение с потенциальными убытками от кибератак, организации могут определить наиболее эффективный способ достижения желаемых результатов при управлении рисками в рамках своего уникального бизнес-контекста. В конечном итоге, лучший подход находит баланс между достаточными инвестициями для обеспечения защиты без перерасхода или недостаточного инвестирования.

Ask follow up

Мониторинг

Постоянный мониторинг является неотъемлемым шагом при понимании общей эффективности мер по кибербезопасности. Эти панели инструментов предоставляют визуальное представление ключевых показателей безопасности для выявления тенденций, аномалий и областей, требующих внимания.

Один из способов организации этой информации - категоризация производительности на основе шести столпов NIST. Например, этот инструментарий показывает столпы "Identify" и "Protect" и разбивает каждую подзадачу на "performed", "incompletely performed" и "not performed". В качестве альтернативы, панель инструментов с диаграммами может отслеживать области соблюдения NIST в течение времени.На более детальном уровне и для членов команды с более техническими ролями, мониторинг времени работы/простоя позволяет своевременно обнаруживать любые аномалии, прежде чем они приведут к более серьезным последствиям.

Ask follow up

Заключение

Пока организации преодолевают сложности кибербезопасности, комплексный подход рамки NIST - с управлением, идентификацией, защитой, обнаружением, реагированием и восстановлением - предлагает стратегический путь для улучшения устойчивости предприятия. С включением инструментов, таких как визуализаторы риска, оценки уровня зрелости, анализы затрат и выгод, а также непрерывный мониторинг, компании могут согласовать усилия по кибербезопасности с более широкими бизнес-целями, а не рассматривать их как отдельный отдел. С надежной крепостью NIST CSF компании не только удаются защитить свои деньги, но и долгосрочную репутацию.

Ask follow up