So sánh các khung an ninh mạng: NIST 800-53, NIST CSF, ISO 27001, CIS
Bài viết này giải thích sự khác biệt giữa các khung tiêu chuẩn an ninh thông tin phổ biến, giúp tổ chức lựa chọn mô hình phù hợp.
Khác biệt giữa NIST 800-53 và NIST CSF
NIST CSF là tập hợp con của NIST 800-53, bổ sung các kiểm soát từ ISO 27002. CSF chỉ bao gồm một phần các kiểm soát của ISO 27002 và NIST 800-53, không phải tất cả.
Khác biệt giữa NIST 800-53 và ISO 27001
NIST 800-53 tập trung vào kiểm soát an ninh kỹ thuật cho hệ thống thông tin chính phủ dựa trên thực hành tốt nhất liên bang. ISO 27001 ít kỹ thuật hơn, tập trung vào quản trị rủi ro, áp dụng cho tổ chức mọi quy mô.
Khác biệt giữa ISO và NIST
NIST CSF được tạo ra để hỗ trợ cơ quan liên bang Mỹ quản trị rủi ro hiệu quả. ISO 27001 tập trung vào quản trị dựa trên rủi ro và khuyến nghị thực hành tốt, không chỉ an ninh thông tin.
Mô hình an ninh NIST
Mô hình an ninh NIST mô tả các mối đe dọa và kiểm soát trong hệ thống. Khung an ninh mạng NIST cung cấp hướng dẫn phòng ngừa, phát hiện và phản ứng tấn công mạng. Các thực hành tốt nhất này dùng làm khung để bảo mật hệ thống mà không cần bắt đầu từ đầu.
Các kiểm soát NIST CSF
Khung an ninh mạng NIST giải quyết rủi ro từ nguồn nội bộ và bên ngoài, cung cấp các hoạt động quản trị rủi ro an ninh mạng tùy chỉnh cho nhu cầu tổ chức, dựa trên các tiêu chuẩn hiện có.
Số lượng kiểm soát NIST CSF
NIST SP 800-53 có rất nhiều kiểm soát an ninh. Phiên bản R4 có kiểm soát an ninh tương ứng với 18 họ kiểm soát (control families).
Khác biệt tiêu chuẩn NIST và ISO
Cả NIST và ISO đều không đi trước các mối quan tâm an ninh thông tin của doanh nghiệp. ISO 27001 ít kỹ thuật hơn, tập trung rủi ro, áp dụng cho tổ chức nhỏ và lớn.
Cách tuân thủ NIST CSF
- Bảo mật quy trình: Thực hiện mọi hoạt động tập trung vào an ninh dữ liệu.
- Phân tích: Nắm rõ hệ thống thu thập và sử dụng dữ liệu như thế nào.
- Triển khai biện pháp bảo vệ phù hợp cho cơ sở hạ tầng.
Khác biệt ISO 27001 và ISO 27701
ISO 27701 mở rộng ISO 27001, cung cấp tiêu chuẩn cho Quy định Bảo vệ Dữ liệu Chung (GDPR) về quyền riêng tư và an ninh thông tin. Triển khai ISO 27701 tạo ra Hệ thống Quản trị Thông tin Quyền riêng tư (PIMS).
Khác biệt NIST và CIS
CIS Controls và NIST CSF đều là khung an ninh mạnh mẽ, linh hoạt, cung cấp hướng dẫn mục tiêu cho chiến lược an ninh mạng. CIS thường quy định chi tiết hơn (prescriptive), NIST viết linh hoạt hơn. Chúng có nhiều điểm tương đồng hơn khác biệt.
ISO 27001 là khung hay tiêu chuẩn?
ISO 27001 là tiêu chuẩn trong loạt tiêu chuẩn an ninh thông tin ISO 27000, hỗ trợ tổ chức thiết lập, triển khai, vận hành, giám sát, xem xét, duy trì và cải tiến liên tục Hệ thống Quản trị An ninh Thông tin (ISMS).
NIST ISO là gì?
NIST được thành lập để giúp cơ quan/tổ chức quản trị rủi ro tốt hơn. ISO 27001 là tiêu chuẩn quốc tế công nhận để thiết lập và duy trì ISMS. Mỗi khung NIST có danh mục kiểm soát riêng. Theo Phụ lục A ISO 27001, có 114 kiểm soát cho 14 danh mục.
NIST có chứng chỉ ISO không?
Hệ thống chất lượng NIST cho dịch vụ đo lường dựa trên ISO 17025 (Yêu cầu chung cho năng lực phòng thử/hiệu chuẩn), bao gồm ISO 17044 (Nhà sản xuất vật liệu tham chiếu), hội thảo yếu tố con người và nhiều hướng dẫn khác.
GDPR, ISO và NIST
NIST đã cập nhật Khung cho tuân thủ GDPR để phù hợp với ISO 27001 và hỗ trợ yêu cầu quyền riêng tư dữ liệu người tiêu dùng mới của GDPR (hiệu lực 25/5/2018).
5 chức năng cốt lõi NIST CSF
Nhận diện (Identify), Bảo vệ (Protect), Phát hiện (Detect), Phản ứng (Respond), Phục hồi (Recover). Năm chức năng này hoạt động song song, liên tục, tạo nền tảng cho quản trị rủi ro cấp cao.
3 loại chính sách an ninh & Mô hình NIST
Kiểm soát an ninh thường phân thành 3 loại: Kiểm soát quản trị (quản lý tổ chức và vận hành), Kiểm soát kỹ thuật, Kiểm soát vật lý.