NIST Cybersecurity Framework: een praktische gids over CSF 2.0 voor IT-teams en MSP’s

NIST CSF 2.0 is het cyberbeveiligingsraamwerk dat steeds meer klanten gebruiken om hun beveiligingsprogramma’s te structureren en de beveiligingsstatus van de IT-teams en MSP’s waarmee ze samenwerken te beoordelen. Het heeft in februari 2024 CSF 1.1 vervangen en vormt daarmee de belangrijkste update sinds de oorspronkelijke introductie van het raamwerk in 2014. Voor elke organisatie die haar beveiligingsprogramma op basis van CSF 1.1 heeft opgezet, hebben de wijzigingen operationele gevolgen.

De belangrijkste verandering is de nieuwe zesde functie, ‘Govern’. Deze voegt zich bij de oorspronkelijke vijf (Identify, Protect, Detect, Respond, Recover) en vult aan wat in CSF 1.1 onvoldoende was gespecificeerd: wie verantwoordelijk is voor beslissingen op het gebied van cyberbeveiliging, hoe risicobeheer wordt geïntegreerd in de bredere bedrijfsvoering, en hoe risico’s in de toeleveringsketen worden beheerd. CSF 2.0 laat ook het oorspronkelijke kader van ‘kritieke infrastructuur’ achterwege en is nu expliciet ontworpen voor organisaties van elke omvang en uit elke sector. Dit is een belangrijk verschil voor kleinere IT-teams en MSP-klanten, die voorheen de terminologie rond kritieke infrastructuur naar hun eigen context moesten vertalen.

In deze handleiding wordt uitgelegd wat CSF 2.0 in de praktijk inhoudt. De zes functies en wat deze precies inhouden, hoe implementatieniveaus en profielen werken, hoe het raamwerk aansluit bij de andere normen waarmee u wellicht al werkt, en hoe MSP's CSF 2.0 kunnen gebruiken als een gestructureerde manier om beveiligingsadviesdiensten te leveren en aan te tonen. Voor de bredere reeks NIST-richtlijnen, waaronder de SP 800-serie en hoe deze zich verhoudt tot CSF, zie het bijbehorende artikel over wat NIST-compliance inhoudt en hoe u hiermee aan de slag kunt gaan.

Breng uw beveiligingsprogramma in overeenstemming met NIST CSF 2.0.

Compliance Manager GRC bevat een NIST CSF 2.0-beoordelingsworkflow met het bijhouden van het huidige en het beoogde profiel, en is geïntegreerd met het platform Kaseya 365 om automatisch technisch bewijsmateriaal op te halen.

Ontdek Compliance Manager GRC

Wat is het NIST-kader voor cyberbeveiliging?

Het NIST-kader voor cyberbeveiliging is een vrijwillig kader dat is ontwikkeld door het National Institute of Standards and Technology om organisaties te helpen bij het beheren van cyberbeveiligingsrisico’s. Het kader verdeelt cyberbeveiligingsactiviteiten in functies, categorieën en subcategorieën, waardoor organisaties op een gestructureerde manier inzicht kunnen krijgen in hun beveiligingsstatus, deze kunnen beoordelen en verbeteren, zonder dat daarbij precies wordt voorgeschreven hoe ze dat moeten doen.

Het raamwerk is bewust technologie-neutraal en resultaatgericht. Het beschrijft wat een organisatie zou moeten kunnen doen, niet met welk hulpmiddel dat moet gebeuren. Juist vanwege die flexibiliteit wordt het CSF zo vaak gecombineerd met meer prescriptieve normen. NIST SP 800-53 biedt een gedetailleerde catalogus van beheersmaatregelen waaraan de subcategorieën van het CSF zijn gekoppeld. CIS Controls v8.1 biedt een implementatiegids met prioriteiten. ISO 27001 biedt een controleerbare structuur voor een managementsysteem. CSF biedt het strategische kader, en de andere normen vullen de implementatiedetails in.

Voor aannemers van de Amerikaanse federale overheid wordt het naleven van de NIST-richtlijnen niet langer vrijwillig, maar verplicht. FISMA schrijft voor dat federale instanties de NIST-richtlijnen rechtstreeks moeten volgen. CMMC-niveau 2 komt overeen met NIST SP 800-171. Organisaties die federale contracten nastreven, of die leveren aan bedrijven die dergelijke contracten hebben, hebben baat bij afstemming op het CSF als strategische basis waarbinnen andere wettelijke vereisten vervolgens kunnen worden ingepast.

Wat is er veranderd in CSF 2.0?

Vier updates in CSF 2.0 zijn voor praktijkbeoefenaars het belangrijkst.

De eerste is de nieuwe Govern-functie. CSF 2.0 voegt een zesde functie toe die gericht is op de organisatorische context, risicobeheerstrategie, risico’s in de toeleveringsketen, rollen en verantwoordelijkheden, beleid en toezicht. Deze functie erkent dat cyberbeveiligingsgovernance – wie beslissingen neemt en wie verantwoording aflegt – net zo cruciaal is als de technische beveiligingsmaatregelen zelf. Organisaties die CSF 1.1-programma’s hebben uitgevoerd zonder een gedocumenteerde governance-laag, zullen dit als de belangrijkste lacune beschouwen die moet worden opgevuld.

Ten tweede is er de expliciete uitbreiding van het toepassingsgebied. CSF 1.1 was bedoeld voor kritieke infrastructuur. CSF 2.0 is expliciet bedoeld voor alle organisaties: kleine bedrijven, grote ondernemingen, overheidsinstanties, scholen, ziekenhuizen en MSP’s. In de documentatie van het raamwerk worden nu voorbeelden gebruikt die aansluiten bij deze bredere doelgroep, in plaats van de terminologie uit de energie-, transport- en watersector die in de oorspronkelijke versie werd gebruikt.

Het derde punt betreft de uitgebreide informatie over risicobeheer in de toeleveringsketen. Aanvallen via de toeleveringsketen zijn sinds de publicatie van CSF 1.1 in 2018 een dominante bedreigingsvector geworden, en CSF 2.0 breidt de richtlijnen voor het beoordelen, beheren en contracteren van cyberbeveiligingsrisico’s bij derden aanzienlijk uit. Voor MSP’s, die zelf deel uitmaken van de toeleveringsketen van hun klanten, is dit hoofdstuk verplichte lectuur.

Het vierde punt betreft de vernieuwde structuur van categorieën en subcategorieën. Het aantal subcategorieën is gewijzigd, sommige categorieën zijn herschikt en de richtlijnen sluiten explicieter aan bij actuele praktijkgebieden zoals de beveiliging van operationele technologie en cloudbeveiliging dan het geval was bij CSF 1.1. Organisaties die een update uitvoeren vanuit een CSF 1.1-programma, dienen hun bestaande beheersmaatregelen in kaart te brengen binnen de CSF 2.0-structuur, in plaats van ervan uit te gaan dat deze één-op-één kunnen worden overgenomen.

De zes functies

De zes functies in CSF 2.0 structureren de cyberbeveiligingsactiviteiten op het hoogste niveau. Elke functie is onderverdeeld in categorieën en vervolgens in subcategorieën die specifieke resultaten beschrijven.

Govern (GV). De nieuwe functie in CSF 2.0. Het opstellen en bewaken van de strategie, verwachtingen en het beleid van de organisatie op het gebied van cyberbeveiligingsrisicobeheer. Omvat de organisatorische context, de risicobeheerstrategie, rollen en verantwoordelijkheden op het gebied van cyberbeveiliging, beleid, toezicht en risicobeheer in de toeleveringsketen.

Identificeren (ID). Inzicht krijgen in de cyberbeveiligingsrisico’s voor de systemen, medewerkers, bedrijfsmiddelen, gegevens en capaciteiten van de organisatie. Hier komen bedrijfsmiddelenbeheer, risicobeoordeling en verbeteringsplanning aan bod.

Beschermen (PR). Implementeer de beveiligingsmaatregelen die ervoor zorgen dat kritieke diensten blijven functioneren. Identiteitsbeheer en toegangscontrole, bewustwording en opleiding, gegevensbeveiliging, platformbeveiliging en veerkracht van de technologische infrastructuur.

Detecteren (DE). Het vaststellen van het optreden van een cyberbeveiligingsincident op het moment dat het zich voordoet. Continue monitoring en analyse van incidenten.

Reageren (RS). Maatregelen nemen wanneer een cyberbeveiligingsincident wordt gedetecteerd. Incidentbeheer, incidentanalyse, rapportage van de reactie, beperking van de gevolgen en verbeteringen na het incident.

Herstel (RC). Het herstellen van functies of diensten die door een cyberincident zijn verstoord. Uitvoering van het herstelplan en communicatie rondom het herstel na een incident.

De meest voorkomende onevenwichtigheid in CSF-programma’s in de praktijk is een te grote nadruk op ‘Beschermen’ ten opzichte van ‘Detecteren’ en ‘Reageren’. Organisaties investeren veel in preventieve maatregelen en relatief weinig in detectie- en reactiecapaciteit, en zijn vervolgens verbaasd wanneer het onvermijdelijke incident meer tijd kost om te detecteren en in te dammen dan zou moeten. CSF 2.0 schrijft geen budgetverdeling voor, maar een geloofwaardig programma vertoont een min of meer evenredige mate van volwassenheid over de zes functies heen, en niet een hoge score voor ‘Beschermen’ naast een zwakke detectie- en reactiecapaciteit.

Niveaus en profielen

CSF 2.0 behoudt het model van implementatieniveaus en profielen dat al in CSF 1.1 bestond, met aangescherpte richtlijnen voor het gebruik ervan.

Implementatieniveaus beschrijven de strengheid en het ontwikkelingsniveau van de praktijken voor cyberbeveiligingsrisicobeheer van een organisatie, verdeeld over vier niveaus: Niveau 1 (Gedeeltelijk), Niveau 2 (Risicogebaseerd), Niveau 3 (Herhaalbaar) en Niveau 4 (Adaptief). Deze niveaus zijn geen nalevingsscores. Ze geven aan hoe de organisatie risico’s beheert en hoe volwassen haar praktijken zijn, niet of ze een lijst met vakjes heeft afgevinkt. De meeste kleine en middelgrote ondernemingen zullen voor het grootste deel van hun programma redelijkerwijs niveau 2 of niveau 3 als doel stellen, in plaats van over de hele linie naar niveau 4 te streven.

Profielen geven aan hoe een organisatie CSF afstemt op haar specifieke context. Een ‘huidig profiel’ beschrijft de resultaten op het gebied van cyberbeveiliging die de organisatie op dit moment behaalt. Een ‘doelprofiel’ beschrijft de resultaten die de organisatie wil behalen, rekening houdend met haar risicobereidheid, het regelgevingsklimaat en de bedrijfsdoelstellingen. De kloof tussen beide vormt het verbeteringsplan. Voor een MSP die beveiligingsadviesdiensten levert, is het opstellen van huidige en doelprofielen voor elke klant een van de duidelijkste manieren om het geleverde werk aan te tonen en een meerjarig traject in kaart te brengen.

Bekijk eens hoe dit in de praktijk uitpakt. Een klant uit de professionele dienstverlening met 120 gebruikers valt onder de reikwijdte van CSF 2.0, omdat zijn grootste klant (een federale aannemer) van zijn leveranciers eist dat zij aantonen dat ze hieraan voldoen. De MSP voert een ‘Current Profile’-beoordeling uit en constateert dat de klant zich op ongeveer niveau 2 bevindt voor ‘Identify’ en ‘Protect’, op niveau 1 voor ‘Detect’ en ‘Respond’, terwijl er helemaal geen gedocumenteerde ‘Govern’-functie is. Het ‘Target Profile’, afgestemd op de contractuele verplichtingen van de klant, is niveau 3 voor ‘Identify’, ‘Protect’, ‘Detect’, ‘Respond’ en ‘Recover’, en niveau 2 voor ‘Govern’. De kloof leidt tot een gestructureerd traject van 18 maanden: basiswerk voor ‘Govern’ in het eerste kwartaal, tooling en runbooks voor ‘Detect’ en ‘Respond’ in het tweede en derde kwartaal, en continue verbetering gedurende de rest van het programma. CSF maakt van wat een vage opdracht als ‘onze beveiliging verbeteren’ zou zijn geweest, een contractueel vastgelegde scope met meetbare voortgangsdoelen.

Hoe CSF 2.0 aansluit bij andere frameworks

CSF wordt zelden op zichzelf toegepast. De meeste organisaties die er gebruik van maken, streven er ook naar om aan andere raamwerkverplichtingen te voldoen, of voldoen daar al aan. Inzicht in de overlap voorkomt dubbel werk.

NIST SP 800-53 is de gedetailleerde catalogus van beveiligingsmaatregelen waaraan de subcategorieën van het CSF zijn gekoppeld. Organisaties die het CSF gebruiken voor strategische kadervorming en SP 800-53 voor implementatiedetails, krijgen zo een complementair beeld van hetzelfde beveiligingsprogramma op verschillende niveaus van specificiteit.

NIST SP 800-171 is de subset van de SP 800-53-maatregelen die van toepassing zijn op gecontroleerde, niet-geclassificeerde informatie die wordt bewaard in niet-federale systemen. CMMC-niveau 2 is gebaseerd op SP 800-171, dus een organisatie die zich aanpast aan het CSF en SP 800-171, heeft daarmee het grootste deel van het werk voor de CMMC-certificering al gedaan.

CIS Controls v8.1 sluit in grote mate aan bij de functies en categorieën van het CSF. Een organisatie die CIS Controls Implementation Group 2 implementeert, zal merken dat er een sterke afstemming op het CSF is, zonder dat dit veel extra inspanning vergt.

ISO 27001 sluit aan bij de risicogebaseerde en resultaatgerichte aanpak van CSF. Veel organisaties passen beide toe: CSF voor de strategische kadervorming en ISO 27001 voor het controleerbare managementsysteem. Certificering betekent niet automatisch dat er sprake is van afstemming op CSF, maar de onderliggende beheersmaatregelen zijn in hoge mate compatibel.

Implementatie van NIST CSF 2.0 voor MSP’s en IT-teams

Het praktische traject voor de implementatie van CSF 2.0 bestaat uit vijf fasen.

Begin met de ‘Govern’-functie. Dit is het gebied waarop CSF 1.1-programma’s doorgaans extra werk moeten verrichten, en het is ook het gebied waarop de verwachtingen van CSF 2.0 het meest expliciet zijn. Leg vast wie verantwoordelijk is voor cyberbeveiliging, wat de risicobereidheid van de organisatie is, hoe beslissingen over cyberbeveiliging worden geëscaleerd en hoe risico’s in de toeleveringsketen worden beheerd. De ‘Govern’-functie vormt het fundament waarop de technische functies rusten. Programma’s die deze functie overslaan, blijven vaak steken op niveau 2.

Voer een ‘Current Profile’-beoordeling uit. Neem de categorieën en subcategorieën een voor een door en leg vast welke resultaten er op dit moment daadwerkelijk worden behaald op het gebied van cyberbeveiliging. Dit is de maatregel die voor elke organisatie op korte termijn de meeste waarde oplevert, en de beoordeling zelf brengt vaak tekortkomingen in het beheer en blinde vlekken in de detectie aan het licht die nog niet eerder waren gesignaleerd. Voor MSP’s vormt het ‘Current Profile’ het uitgangspunt voor elk daaropvolgend gesprek.

Stel een haalbaar streefprofiel vast. Het streefprofiel moet een afspiegeling zijn van de regelgevingsomgeving, de contractuele verplichtingen en de risicobereidheid van de organisatie, en mag geen ambitieus maximum zijn. Een streefprofiel dat voor alle zes functies op niveau 4 mikt zonder dat daarvoor het benodigde budget beschikbaar is, leidt tot een rapport met permanente tekortkomingen in plaats van een uitvoerbaar stappenplan.

Geef prioriteit aan de lacunes met het hoogste risico. Voor de meeste organisaties ligt de grootste kloof op het gebied van Detect, Respond en Govern, en niet zozeer bij Protect. Continu monitoringvermogen, gedocumenteerde runbooks voor incidentrespons en formele verantwoordingsplicht op het gebied van governance zorgen voor een onevenredig grote risicoreductie per eenheid inspanning, in vergelijking met aanvullende preventieve maatregelen binnen een reeds volwassen Protect-functie.

Gebruik de tools van het platform om de technische subcategorieën te implementeren. Het Kaseya 365 sluit in de meeste subcategorieën direct aan op de CSF-implementatie. Kaseya VSA 10 en Datto RMM omvatten assetbeheer en patchbeheer (Identify, Protect). Datto EDR omvat detectie en respons op endpointsen (Detect, Respond). Datto BCDR omvat herstel (Recover). BullPhish ID bewustwordingstraining (Beschermen). Compliance Manager GRC governance, profieltracking en bewijsdocumentatie (Besturen). Compliance Manager GRC bevat een NIST CSF 2.0-beoordelingsworkflow met tracking van het huidige en beoogde profiel en haalt automatisch technisch bewijsmateriaal op uit de andere platformcomponenten. Dit is het verschil tussen het uitvoeren van een CSF-programma in een spreadsheet en het uitvoeren ervan als een operationele dienst.

De organisaties die het meeste uit CSF 2.0 halen, zijn niet de organisaties met de hoogste scores per niveau. Het zijn juist de organisaties die het raamwerk zien als een gestructureerde manier om moeilijke gesprekken te voeren. Over wie verantwoordelijk is voor beslissingen op het gebied van cyberbeveiliging, over waar het programma daadwerkelijk zwak is in plaats van waar het er op papier goed uitziet, over welke beveiligingsmaatregelen hun plaats verdienen en welke zijn aangeschaft zonder duidelijke functie. CSF 2.0 vertelt je niet wat je moet doen. Het vertelt je wat je zou moeten kunnen beantwoorden. De organisaties die hier duidelijk antwoord op kunnen geven, zijn de organisaties waarvan de klanten, auditors en verzekeraars geen vervolgvragen meer stellen.

Belangrijkste punten

• In NIST CSF 2.0 is een zesde functie, ‘Govern’, toegevoegd en is het toepassingsgebied uitgebreid van kritieke infrastructuur naar alle organisaties. Dit is de belangrijkste update van het raamwerk sinds de introductie ervan in 2014.
• De zes functies (Beheren, Identificeren, Beschermen, Detecteren, Reageren, Herstellen) bieden een volledig overzicht van de levenscyclus van cyberbeveiligingsrisicobeheer. Programma’s waarin te veel nadruk ligt op ‘Beschermen’ ten koste van ‘Detecteren’ en ‘Reageren’ vormen de meest voorkomende onevenwichtigheid.
• CSF-profielen (huidige en beoogde) bieden een gestructureerde manier om hiaten in kaart te brengen en verbeterplannen op te stellen. Voor MSP’s is het opstellen van profielen per klantomgeving een overzichtelijke manier om beveiligingsadvieswerk aan te tonen en de omvang ervan te bepalen.
• CSF sluit nauw aan bij de CIS Controls, ISO 27001, CMMC via SP 800-171 en SOC 2. Eén enkele controlearchitectuur moet geschikt zijn voor meerdere kaders, zonder dat er dubbel werk ontstaat.