NIST อัปเดต cybersecurity Framework 2.0 เพื่อครอบคลุมองค์กรทุกประเภท

สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) ออกประกาศเอกสาร NIST’s cybersecurity framework (CSF) เวอร์ชัน 2.0 สำหรับการวางโครงสร้างองค์กรให้พร้อมรับมือภัยไซเบอร์ หลังจากออกเวอร์ชัน 1.0 มาตั้งแต่ปี 2014  ในครั้งนี้จะครอบคลุมองค์กรทุกประเภท และทุกระดับความเสี่ยงภัยไซเบอร์ 

โดย NIST’s cybersecurity framework (CSF) เวอร์ชัน 2.0 นี้มีชุดเอกสาร CSF 2.0 ที่มาพร้อมกับตัวอย่างการ Implement ในองค์กร เช่น เอกสารแนะนำการเริ่มต้นใช้งาน การอ้างอิงถึงมาตรฐานอื่นๆ ของ NIST ที่เกี่ยวข้อง ฯลฯ

** กรณีสำหรับองค์กรธุรกิจขนาดเล็ก มีเอกสารประกอบสำหรับองค์กรธุรกิจขนาดเล็ก NIST-SP-1300 ที่ให้ผู้สนใจได้ศึกษาและปฏิบัติตาม**

ซึ่งเวอร์ชัน 2.0 มีการปรับปรุงฟังก์ชันหลักโดยเพิ่มหัวข้อ Govern เพื่อมุ่งเน้นไปยังความเสี่ยงขององค์กรด้านความปลอดภัยทางไซเบอร์ ที่ผู้นำระดับสูงควรนำไปพิจารณาควบคู่ไปกับปัจจัยอื่น ๆ เช่น การเงิน และชื่อเสียง ฯลฯ  โดยมีรายละเอียดดังนี้

NIST CSF 2.0 เวอร์ชันนี้มีอะไรใหม่บ้าง

• เน้นจัดการความเสี่ยง

ช่วยให้เข้าใจ วิเคราะห์ และจัดการความเสี่ยงทาง Cybersecurity ได้ดีขึ้น 

• แนวทางปฏิบัติใหม่

การใช้แนวทางปฏิบัติใหม่ๆ เข้ามาช่วย เช่น Zero Trust Security และ Cybersecurity Mesh

• ใช้งานง่ายขึ้น

มีโครงสร้างใหม่ที่แบ่งเป็น 6 ฟังก์ชันหลัก (Govern , Identify , Protect , Detect , Respond , Recover)

• รองรับ Cybersecurity แนวทางใหม่ ๆ 

มีการรองรับแนวทาง Cybersercurity รูปแบบต่างๆ เช่น Cloud Security และ Artifical Intelligence (AI) ฯลฯ

หลักการของ CSF 2.0 ประกอบไปด้วย 6 ส่วนหลัก ดังนี้

• การวางนโยบายควบคุม (Govern) การมองความเสี่ยงขององค์กร  ด้านผลกระทบหากเกิดภัยไซเบอร์และเป้าหมายของการรักษาความปลอดภัย ว่าควรทำอย่างไรให้สามารถควบคุมความเสี่ยงที่อาจจะเกิดขึ้นได้
• ระบุจุดเสี่ยง (Identify) มีการทำรายงานเกี่ยวกับ ซอฟต์แวร์  ฮาร์ดแวร์และอุปกรณ์ต่างๆ ที่เป็นความเสี่ยง เพื่อกำหนดมาตรการควบคุมให้เพียงพอแต่ละจุด โดยเพิ่มระบุชื่อผู้รับผิดชอบในแต่ละมาตรการนั้นด้วย
• วางมาตรการป้องกัน (Protect) กำหนดระดับข้อมูลที่พนักงานแต่ละคนมีสิทธิ์เข้าถึง โดยเป็นวางมาตรการควบคุมให้ปลอดภัย เช่น เปลี่ยนรหัสผ่านเริ่มต้นที่ได้รับมาจากการตั้งค่ารหัส default,  เปิดระบบ Login 2 ขั้นตอน, เข้ารหัสอุปกรณ์, สำรองข้อมูลและทดสอบข้อมูลสำรอง เป็นต้น
• ตรวจจับการโจมตี (Detect) เป็นการตรวจสอบพฤติกรรมของระบบภายในและบริการภายนอก, ตรวจจับความพยายาม Login ระบบ รวมถึงมีการติดตามเมื่อมีอีเมลส่งคืน (bounced) แต่องค์กรไม่ได้ส่งออกไป
• ตอบสนองต่อการโจมตี (Response) ต้องวางแผนว่าจะรับมืออย่างไรเมื่อเกิดการโจมตี เช่น ทำรายชื่อติดต่อบุคคลต่างๆ ที่เกี่ยวข้อง, วางแผนการทำตามกฎหมายที่กำหนดเมื่อเกิดเหตุภัยไซเบอร์
• กู้คืนระบบ (Recover) จำเป็นต้องมีกระบวนการกู้คืนระบบหากถูกโจมตี, เอกสารกระบวนการกู้คืน และบุคคลต่างๆ ที่เกี่ยวข้อง, รวมถึงแผนการสื่อสารเมื่อเกิดการโจมตี

สรุป

NIST’s cybersecurity framework (CSF) Version 2.0 นั้นเป็นกรอบการทำงานด้านความมั่นคงปลอดภัยไซเบอร์ ที่ช่วยให้องค์กรสามารถวางแผนป้องกัน ตรวจจับ และตอบสนองต่อภัยคุกคามได้อย่างรวดเร็วและเป็นระบบ โดยที่ธุรกิจยังคงดำเนินต่อไปได้อย่างเนื่อง หากหน่วยงานที่สนใจสามารถอ่านละเอียดข้อมูลได้ที่ nist.gov

 

ที่มา: blognone , nist