Explore

NIST 2.0 ietvars

⁠

PĀRVALDĪT (GV)

Organizācijas kiberdrošības riska pārvaldības stratēģija, prasības un politika tiek izstrādāta, komunicēta un uzraudzīta.

Organizācijas konteksts (GV.OC)

Tiek izprasti apstākļi, kas ietekmē organizācijas kiberdrošības riska pārvaldības lēmumus — tostarp misija, ieinteresēto pušu gaidas, atkarības, kā arī juridiskās, normatīvās un līgumiskās prasības.

GV.OC-01: Organizācijas misija ir skaidri izprasta un kalpo par pamatu kiberdrošības riska pārvaldības lēmumiem

GV.OC-02: Ir identificētas un izprastas iekšējās un ārējās ieinteresētās puses, kā arī to vajadzības un gaidas attiecībā uz kiberdrošību; šie aspekti tiek ņemti vērā riska pārvaldībā.

GV.OC-03: Juridiskās, normatīvās un līgumiskās prasības attiecībā uz kiberdrošību — ieskaitot privātuma un pilsonisko brīvību aizsardzības pienākumus — ir izprastas un tiek pienācīgi pārvaldītas.

GV.OC-04: Ir izprasti un komunicēti būtiskie mērķi, spējas un pakalpojumi, no kuriem ir atkarīgas vai kurus sagaida ārējās ieinteresētās puses.

GV.OC-05: Ir izprasti un komunicēti rezultāti, spējas un pakalpojumi, no kuriem pati organizācija ir atkarīga.

Riska pārvaldības stratēģija (GV.RM)

Organizācijas prioritātes, ierobežojumi, riska tolerance un riska apetītes paziņojumi, kā arī pieņēmumi tiek noteikti, komunicēti un izmantoti operatīvo riska vadības lēmumu atbalstam.

GV.RM-01: Riska pārvaldības mērķi ir definēti un saskaņoti ar organizācijas ieinteresētajām pusēm.

GV.RM-02: Riska apetītes un riska tolerances paziņojumi tiek izstrādāti, komunicēti un regulāri uzturēti.

GV.RM-03: Kiberdrošības riska pārvaldības aktivitātes un to rezultāti ir integrēti organizācijas kopējā risku pārvaldības sistēmā.

GV.RM-04: Ir noteikts un komunicēts stratēģisks virziens, kas nosaka atbilstošas riska reaģēšanas iespējas.

GV.RM-05: Organizācijā ir izveidoti saziņas kanāli kiberdrošības risku identificēšanai un apspriešanai, ieskaitot riskus, kas saistīti ar piegādātājiem un citiem trešajām pusēm.

GV.RM-06: Tiek ieviesta standartizēta metode kiberdrošības risku aprēķināšanai, dokumentēšanai, klasificēšanai un prioritizēšanai; šī metode ir izstrādāta un komunicēta.

GV.RM-07: Stratēģiskās iespējas (t.i., pozitīvie riski) tiek identificētas, raksturotas un integrētas organizācijas kiberdrošības riska apspriedēs.

Lomas, pienākumi un pilnvaras (GV.RR)

Kiberdrošības lomas, atbildības un pilnvaras tiek noteiktas un komunicētas, lai nodrošinātu atbildību, veiktspējas novērtējumu un nepārtrauktu uzlabošanu.

GV.RR-01: Organizācijas vadība ir atbildīga par kiberdrošības riskiem un veicina organizācijas kultūru, kas balstīta uz riska apzināšanos, ētiskumu un pastāvīgu pilnveidi.

GV.RR-02: Kiberdrošības riska pārvaldībā iesaistīto personu lomas, pienākumi un pilnvaras ir skaidri definēti, komunicēti, izprasti un tiek konsekventi ievēroti.

GV.RR-03: Atbilstoši organizācijas kiberdrošības stratēģijai, lomām, atbildībām un politikām tiek nodrošināti pietiekami resursi.

GV.RR-04: Kiberdrošības aspekti ir integrēti personāla vadības procesos (piemēram, atlase, apmācība, veiktspējas novērtēšana un izaugsmes plānošana).

Politika (GV.PO)

Organizācijas kiberdrošības politika tiek izstrādāta, komunicēta un īstenota.

GV.PO-01: Kiberdrošības riska pārvaldības politika tiek izstrādāta, balstoties uz organizācijas kontekstu, kiberdrošības stratēģiju un prioritātēm, un tiek komunicēta un īstenota.

GV.PO-02: Kiberdrošības riska pārvaldības politika tiek regulāri pārskatīta, atjaunināta, komunicēta un īstenota, ņemot vērā izmaiņas prasībās, apdraudējumos, tehnoloģijās un organizācijas misijā.

Uzraudzība (GV.OV)

Organizācijas līmeņa kiberdrošības riska pārvaldības aktivitāšu un snieguma rezultāti tiek izmantoti, lai informētu, uzlabotu un pielāgotu riska pārvaldības stratēģiju.

GV.OV-01: Kiberdrošības riska pārvaldības stratēģijas rezultāti tiek pārskatīti, lai pielāgotu esošo stratēģiju un virzību.

GV.OV-02: Kiberdrošības riska pārvaldības stratēģija tiek pārskatīta un pielāgota, lai nodrošinātu atbilstību organizācijas prasībām un risku profilam.

GV.OV-03: Organizācijas kiberdrošības riska pārvaldības sniegums tiek novērtēts un pārskatīts ar mērķi veikt nepieciešamās korekcijas.

Kiberdrošības piegādes ķēdes riska pārvaldība (GV.SC)

Kiberdrošības piegādes ķēdes riska pārvaldības procesi tiek identificēti, izstrādāti, ieviesti, pārvaldīti, uzraudzīti un uzlaboti ar organizācijas ieinteresēto pušu iesaisti.

GV.SC-01: Kiberdrošības piegādes ķēdes riska pārvaldības programma, stratēģija, mērķi, politikas un procesi ir noteikti un saskaņoti ar organizācijas ieinteresētajām pusēm.

GV.SC-02: Kiberdrošības lomas un atbildības piegādātājiem, klientiem un sadarbības partneriem ir noteiktas, komunicētas un saskaņotas gan organizācijas iekšienē, gan ārējā vidē.

GV.SC-03: Kiberdrošības piegādes ķēdes riska pārvaldība ir integrēta kiberdrošības un uzņēmuma kopējā riska pārvaldībā, riska novērtēšanā un uzlabošanas procesos.

GV.SC-04: Piegādātāji ir identificēti, un to nozīmīgums (kritiskums) tiek noteikts un ņemts vērā riska prioritizācijā.

GV.SC-05: Prasības kiberdrošības risku pārvaldībai piegādes ķēdēs tiek izstrādātas, prioritizētas un integrētas līgumos un citos sadarbības dokumentos ar piegādātājiem un citām atbilstošām trešajām pusēm.

GV.SC-06: Pirms formālu attiecību uzsākšanas ar piegādātājiem vai citām trešajām pusēm tiek veikta plānošana un pienācīga izpēte (due diligence), lai mazinātu iespējamos riskus.

GV.SC-07: Tiek izprasti, dokumentēti, prioritizēti, novērtēti, pārvaldīti un uzraudzīti riski, kas saistīti ar piegādātājiem, to produktiem, pakalpojumiem un citām trešajām pusēm visa sadarbības cikla laikā.

GV.SC-08: Atbilstoši piegādātāji un citas trešās puses tiek iesaistītas incidentu plānošanas, reaģēšanas un atjaunošanās procesos.

GV.SC-09: Piegādes ķēdes drošības prakses tiek integrētas kiberdrošības un uzņēmuma kopējās riska pārvaldības programmās, un to efektivitāte tiek uzraudzīta visa tehnoloģisko produktu un pakalpojumu dzīves cikla laikā.

GV.SC-10: Kiberdrošības piegādes ķēdes riska pārvaldības plāni ietver noteikumus attiecībā uz darbībām, kas notiek pēc partnerības vai pakalpojuma līguma beigām.

⁠

IDENTIFICĒT (ID)

Organizācija apzinās un izprot pašreizējos kiberdrošības riskus.

Aktīvu pārvaldība (ID.AM)

Aktīvi (piemēram, dati, aparatūra, programmatūra, sistēmas, telpas, pakalpojumi, personāls), kas nodrošina organizācijas spēju sasniegt tās darbības mērķus, tiek identificēti un pārvaldīti atbilstoši to nozīmei organizācijas mērķu sasniegšanā un saskaņā ar riska pārvaldības stratēģiju.

ID.AM-01: Tiek uzturēti organizācijas pārvaldīto aparatūras līdzekļu (hardware) inventāra saraksti.

ID.AM-02: Tiek uzturēti organizācijas pārvaldīto programmatūras, pakalpojumu un sistēmu inventāra saraksti.

ID.AM-03: Tiek uzturēti organizācijas autorizētās tīkla komunikācijas un iekšējo/ārējo datu plūsmu apraksti.

ID.AM-04: Tiek uzturēti piegādātāju nodrošināto pakalpojumu inventāra saraksti.

ID.AM-05: Aktīvi tiek prioritizēti, ņemot vērā to klasifikāciju, kritiskumu, nepieciešamos resursus un to ietekmi uz organizācijas misiju.

ID.AM-07: Tiek uzturēti datu inventāri un atbilstošā metadatu informācija noteiktiem datu veidiem.

ID.AM-08: Sistēmas, aparatūra, programmatūra, pakalpojumi un dati tiek pārvaldīti visā to dzīves cikla laikā.

Riska novērtējums (ID.RA)

Organizācija izprot kiberdrošības riskus, kas saistīti ar tās darbību, aktīviem un indivīdiem.

ID.RA-01: Aktīvos esošās ievainojamības tiek identificētas, validētas un reģistrētas.

ID.RA-02: Kiberdraudu izlūkinformācija tiek saņemta no informācijas apmaiņas forumiem un avotiem.

ID.RA-03: Iekšējie un ārējie draudi organizācijai tiek identificēti un dokumentēti.

ID.RA-04: Potenciālā draudu ietekme un iespējamība izmantot ievainojamības tiek identificēta un reģistrēta.

ID.RA-05: Draudi, ievainojamības, to iespējamība un ietekme tiek analizēti, lai noteiktu iekšējo risku un prioritizētu atbildes pasākumus.

ID.RA-06: Riska pārvaldības pasākumi tiek izvēlēti, prioritizēti, plānoti, uzraudzīti un komunicēti.

ID.RA-07: Izmaiņas un izņēmumi tiek pārvaldīti, izvērtēti attiecībā uz riska ietekmi, reģistrēti un izsekoti.

ID.RA-08: Ir ieviesti procesi ievainojamību atklāšanas paziņojumu saņemšanai, analīzei un reaģēšanai.

ID.RA-09: Aparatūras un programmatūras autentiskums un integritāte tiek novērtēta pirms iegādes un izmantošanas.

ID.RA-10: Kritiskie piegādātāji tiek izvērtēti pirms iegādes.

Uzlabojumi (ID.IM)

Uzlabojumi kiberdrošības risku pārvaldības procesos, procedūrās un aktivitātēs tiek identificēti visās CSF funkcijās.

ID.IM-01: Uzlabojumi tiek identificēti, pamatojoties uz izvērtējumu rezultātiem.

ID.IM-02: Uzlabojumi tiek identificēti no drošības testiem un mācībām, tostarp tām, kas veiktas sadarbībā ar piegādātājiem un attiecīgajām trešajām pusēm.

ID.IM-03: Uzlabojumi tiek identificēti, pamatojoties uz operatīvo procesu, procedūru un darbību izpildi.

ID.IM-04: Incidentu reaģēšanas plāni un citi kiberdrošības plāni, kas ietekmē operācijas, tiek izstrādāti, komunicēti, uzturēti un pilnveidoti.

⁠

AIZSARGĀT (PR)

Tiek ieviesti aizsardzības pasākumi, lai pārvaldītu organizācijas kiberdrošības riskus.

Identitātes pārvaldība, autentifikācija un piekļuves kontrole (PR.AA)

Piekļuve fiziskajiem un loģiskajiem resursiem tiek ierobežota tikai pilnvarotiem lietotājiem, servisiem un aparatūrai, un tiek pārvaldīta atbilstoši novērtētajam neatļautas piekļuves riskam.

PR.AA-01: Organizācija pārvalda identitātes un akreditācijas datus pilnvarotajiem lietotājiem, servisiem un aparatūrai.

PR.AA-02: Identitātes tiek pārbaudītas un sasaistītas ar akreditācijas datiem, ņemot vērā mijiedarbības kontekstu.

PR.AA-03: Lietotāji, servisi un aparatūra tiek autentificēti.

PR.AA-04: Identitātes apliecinājumi tiek aizsargāti, pārsūtīti un verificēti.

PR.AA-05: Piekļuves atļaujas, tiesības un pilnvarojumi ir definēti politikā, tiek pārvaldīti, ieviesti un regulāri pārskatīti, ievērojot minimālās nepieciešamības un funkciju nodalīšanas principus.

PR.AA-06: Fiziskā piekļuve aktīviem tiek pārvaldīta, uzraudzīta un ieviesta atbilstoši riska līmenim.

Informētība un apmācības (PR.AT)

Organizācijas personālam tiek nodrošināta kiberdrošības informētība un apmācība, lai viņi spētu veikt ar kiberdrošību saistītus pienākumus.

PR.AT-01: Personālam tiek nodrošināta apmācība un informētība, lai viņi spētu veikt vispārējos uzdevumus, ņemot vērā ar kiberdrošību saistītos riskus.

PR.AT-02: Personām specializētās lomās tiek nodrošināta mērķēta apmācība, lai tās varētu kvalitatīvi veikt savus uzdevumus ar izpratni par kiberdrošības riskiem.

Datu drošība (PR.DS)

Datu pārvaldība tiek veikta saskaņā ar organizācijas riska stratēģiju, lai aizsargātu to konfidencialitāti, integritāti un pieejamību.

PR.DS-01: Aizsargāta datu-atpūtā (data-at-rest) konfidencialitāte, integritāte un pieejamība.

PR.DS-02: Aizsargāta datu-pārvietošanā (data-in-transit) konfidencialitāte, integritāte un pieejamība.

PR.DS-10: Aizsargāta datu-lietošanā (data-in-use) konfidencialitāte, integritāte un pieejamība.

PR.DS-11: Datu rezerves kopijas tiek izveidotas, aizsargātas, uzturētas un pārbaudītas.

Platformu drošība (PR.PS)

Fizisko un virtuālo platformu aparatūra, programmatūra un pakalpojumi tiek pārvaldīti atbilstoši organizācijas riska stratēģijai.

PR.PS-01: Ir izveidota un tiek īstenota konfigurācijas pārvaldība.

PR.PS-02: Programmatūra tiek uzturēta, aizstāta un noņemta atbilstoši riskiem.

PR.PS-03: Aparatūra tiek uzturēta, aizstāta un noņemta atbilstoši riskiem.

PR.PS-04: Žurnālu ieraksti tiek ģenerēti un padarīti pieejami nepārtrauktai uzraudzībai.

PR.PS-05: Neautorizētas programmatūras instalācija un izpilde tiek novērsta.

PR.PS-06: Drošas programmatūras izstrādes prakse tiek integrēta un uzraudzīta visā izstrādes dzīves ciklā.

Tehnoloģiskās infrastruktūras noturība (PR.IR)

Drošības arhitektūra tiek pārvaldīta saskaņā ar riska stratēģiju, lai nodrošinātu aktīvu aizsardzību un organizācijas noturību.

PR.IR-01: Tīkli un vidi tiek aizsargāti pret neautorizētu loģisko piekļuvi un izmantošanu.

PR.IR-02: Organizācijas tehnoloģiskie aktīvi tiek aizsargāti pret vides apdraudējumiem.

PR.IR-03: Ir ieviesti mehānismi, lai nodrošinātu noturības prasības gan normālās, gan ārkārtas situācijās.

PR.IR-04: Tiek uzturēta pietiekama resursu jauda, lai nodrošinātu pieejamību.

⁠

ATKLĀT (DE)

Iespējamie kiberdrošības uzbrukumi un kompromitācijas tiek atklāti un analizēti.

Nepārtraukta uzraudzība (DE.CM)

Aktīvi tiek uzraudzīti, lai konstatētu anomālijas, kompromitācijas pazīmes un citus potenciāli nelabvēlīgus notikumus.

DE.CM-01: Tīkli un tīkla pakalpojumi tiek uzraudzīti, lai konstatētu potenciāli nelabvēlīgus notikumus.

DE.CM-02: Fiziskā vide tiek uzraudzīta, lai konstatētu potenciāli nelabvēlīgus notikumus.

DE.CM-03: Personāla aktivitātes un tehnoloģiju lietojums tiek uzraudzīts, lai konstatētu potenciāli nelabvēlīgus notikumus.

DE.CM-06: Ārējo pakalpojumu sniedzēju darbība un pakalpojumi tiek uzraudzīti, lai konstatētu potenciāli nelabvēlīgus notikumus.

DE.CM-09: Datoru aparatūra, programmatūra, izpildes vides un to dati tiek uzraudzīti, lai konstatētu potenciāli nelabvēlīgus notikumus.

Nelabvēlīgu notikumu analīze (DE.AE)

Anomālijas, kompromitācijas indikatori un citi potenciāli nelabvēlīgi notikumi tiek analizēti, lai noteiktu to raksturu un konstatētu kiberdrošības incidentus.

DE.AE-02: Potenciāli nelabvēlīgi notikumi tiek analizēti, lai labāk izprastu saistītās aktivitātes.

DE.AE-03: Informācija tiek korelēta no vairākiem avotiem.

DE.AE-04: Tiek noteikta notikumu iespējamā ietekme un apjoms.

DE.AE-06: Informācija par nelabvēlīgiem notikumiem tiek nodota pilnvarotam personālam un rīkiem.

DE.AE-07: Kiberdraudu izlūkinformācija un cita kontekstuāla informācija tiek integrēta analīzē.

DE.AE-08: Incidenti tiek pasludināti, kad nelabvēlīgi notikumi atbilst noteiktajiem incidentu kritērijiem.

⁠

REAĢĒT (RS)

Tiek veiktas darbības, reaģējot uz atklātu kiberdrošības incidentu.

Incidentu pārvaldība (RS.MA)

Reakcijas uz konstatētajiem kiberdrošības incidentiem tiek pārvaldītas.

RS.MA-01: Incidentu reaģēšanas plāns tiek aktivizēts sadarbībā ar iesaistītajām trešajām pusēm, kad incidents tiek pasludināts.

RS.MA-02: Incidentu ziņojumi tiek triēti un validēti.

RS.MA-03: Incidenti tiek kategorizēti un prioritizēti.

RS.MA-04: Incidenti tiek eskalēti vai pārcelti atbilstoši nepieciešamībai.

RS.MA-05: Tiek piemēroti kritēriji incidenta atjaunošanas uzsākšanai.

Incidentu analīze (RS.AN)

Tiek veikta izmeklēšana, lai nodrošinātu efektīvu reaģēšanu un atbalstītu tiesu ekspertīzi un atjaunošanu.

RS.AN-03: Tiek veikta analīze, lai noteiktu notikušā būtību un incidenta pamatcēloni.

RS.AN-06: Izmeklēšanas laikā veiktās darbības tiek dokumentētas, nodrošinot to integritāti un izcelsmi.

RS.AN-07: Incidentu dati un metadati tiek savākti, saglabājot to integritāti un izcelsmi.

RS.AN-08: Incidenta apjoms tiek novērtēts un apstiprināts.

Incidentu ziņošana un komunikācija (RS.CO)

Reaģēšanas aktivitātes tiek koordinētas ar iekšējiem un ārējiem iesaistītajiem atbilstoši normatīvajiem aktiem vai politikas prasībām.

RS.CO-02: Incidenti tiek paziņoti iekšējiem un ārējiem iesaistītajiem.

RS.CO-03: Informācija tiek koplietota ar norādītajām iesaistītajām pusēm.

Incidentu mazināšana (RS.MI)

Tiek veiktas darbības, lai novērstu incidenta izplatīšanos un mazinātu tā ietekmi.

RS.MI-01: Incidenti tiek lokalizēti (contained).

RS.MI-02: Incidenti tiek izskausti (eradicated).

⁠

ATJAUNOT (RC)

Aktīvi un to darbība, kuru ietekmējis kiberdrošības incidents, tiek atjaunota.

Incidentu atjaunošanas plāna izpilde (RC.RP)

Tiek veiktas atjaunošanas darbības, lai nodrošinātu sistēmu un pakalpojumu darbspēju pēc kiberdrošības incidentiem.

RC.RP-01: Incidentu reakcijas plāna atjaunošanas daļa tiek izpildīta pēc tās aktivizēšanas incidentu reakcijas procesā.

RC.RP-02: Atjaunošanas darbības tiek izvēlētas, noteikts to apjoms, prioritāte un tās tiek izpildītas.

RC.RP-03: Pirms izmantošanas atjaunošanai tiek pārbaudīta rezerves kopiju un citu atjaunošanas resursu integritāte.

RC.RP-04: Kritiskas funkcijas un kiberdrošības riska pārvaldība tiek ņemta vērā, lai noteiktu darbības normalitātes atjaunošanu pēc incidenta.

RC.RP-05: Tiek pārbaudīta atjaunoto resursu integritāte, sistēmas un pakalpojumi tiek atjaunoti un apstiprināts normāls darbības statuss.

RC.RP-06: Incidenta atjaunošanas beigas tiek formāli pasludinātas atbilstoši noteiktiem kritērijiem, un incidenta dokumentācija tiek pabeigta.

Incidentu atjaunošanas komunikācija (RC.CO)

RC.CO-03: Atjaunošanas darbības un progresu sistēmu darbības atjaunošanā komunicē norādītajām iekšējām un ārējām pusēm.

RC.CO-04: Sabiedrībai paredzētie atjaunošanas atjauninājumi tiek izplatīti, izmantojot apstiprinātas metodes un ziņojumus.

Want to print your doc?
This is not the way.

Try clicking the ··· in the right corner or using a keyboard shortcut (

CtrlP

) instead.