एनआईएसटी साइबर सुरक्षा फ्रेमवर्क 2.0: आरंभ करने के लिए 4 चरण

यूएस नेशनल इंस्टीट्यूट ऑफ स्टैंडर्ड्स एंड टेक्नोलॉजी (एनआईएसटी) ने जारी किया है इसके सुप्रसिद्ध साइबर सुरक्षा फ्रेमवर्क (सीएसएफ) का नवीनतम मसौदा इस सप्ताह, कंपनियों को इस बात पर विचार करने के लिए छोड़ दिया गया है कि दस्तावेज़ में कुछ महत्वपूर्ण परिवर्तन उनके साइबर सुरक्षा कार्यक्रमों को कैसे प्रभावित करते हैं।

वरिष्ठ साइबर सुरक्षा सलाहकार रिचर्ड कैराली का कहना है कि साइबर सुरक्षा की अधिक कार्यकारी और बोर्ड निगरानी को शामिल करने और महत्वपूर्ण उद्योगों से परे सर्वोत्तम प्रथाओं के विस्तार के लिए नए "गवर्नमेंट" फ़ंक्शन के बीच, साइबर सुरक्षा टीमों को उनके लिए अपना काम करना होगा। एक्सियो, एक आईटी और परिचालन प्रौद्योगिकी (ओटी) खतरा प्रबंधन फर्म।

"कई मामलों में, इसका मतलब यह होगा कि संगठनों को ढांचे में बदलाव के प्रभाव को निर्धारित करने के लिए मौजूदा आकलन, पहचाने गए अंतराल और सुधारात्मक गतिविधियों पर कड़ी नजर रखनी होगी," वे कहते हैं, "नए कार्यक्रम अंतराल उभरेंगे जो पहले हो सकते हैं विशेष रूप से साइबर सुरक्षा प्रशासन और आपूर्ति श्रृंखला जोखिम प्रबंधन के संबंध में मौजूद नहीं रहे हैं।''

मूल सीएसएफ, जिसे आखिरी बार 10 साल पहले अद्यतन किया गया था, का उद्देश्य साइबर सुरक्षा मार्गदर्शन प्रदान करना था राष्ट्रीय और आर्थिक सुरक्षा के लिए महत्वपूर्ण उद्योग। नवीनतम संस्करण अपनी साइबर सुरक्षा परिपक्वता और स्थिति में सुधार करने का इरादा रखने वाले किसी भी संगठन के लिए एक रूपरेखा तैयार करने के लिए उस दृष्टिकोण का काफी विस्तार किया गया है। इसके अलावा, तीसरे पक्ष के भागीदार और आपूर्तिकर्ता अब सीएसएफ 2.0 में विचार करने के लिए एक महत्वपूर्ण कारक हैं।

एक्सोनियस के वरिष्ठ साइबर सुरक्षा रणनीतिकार केटी टीटलर-सैंटुलो ने एक बयान में कहा, संगठनों को नियमों का पालन करने और दस्तावेज़ से सर्वोत्तम प्रथाओं को लागू करने के लिए साइबर सुरक्षा पर अधिक व्यवस्थित रूप से ध्यान देने की आवश्यकता है।

उन्होंने कहा, "इस मार्गदर्शन को क्रियान्वित करने के लिए व्यवसायों को स्व-प्रेरित प्रयास करने की आवश्यकता होगी।" “मार्गदर्शन केवल मार्गदर्शन है, जब तक कि वह कानून न बन जाए। शीर्ष प्रदर्शन करने वाले संगठन साइबर-जोखिम के प्रति अधिक व्यवसाय-केंद्रित दृष्टिकोण की ओर बढ़ने का दायित्व लेंगे।"

एनआईएसटी साइबर सुरक्षा फ्रेमवर्क के नवीनतम संस्करण के संचालन के लिए यहां चार युक्तियां दी गई हैं।

1. सभी एनआईएसटी संसाधनों का उपयोग करें

एनआईएसटी सीएसएफ सिर्फ एक दस्तावेज नहीं है बल्कि संसाधनों का एक संग्रह है जिसका उपयोग कंपनियां अपने विशिष्ट वातावरण और आवश्यकताओं के लिए ढांचे को लागू करने के लिए कर सकती हैं। उदाहरण के लिए, संगठनात्मक और सामुदायिक प्रोफ़ाइल, कंपनियों को उनकी साइबर सुरक्षा आवश्यकताओं, परिसंपत्तियों और नियंत्रणों का आकलन - या पुनर्मूल्यांकन करने के लिए आधार प्रदान करते हैं। प्रक्रिया को शुरू करना आसान बनाने के लिए, एनआईएसटी ने विशिष्ट उद्योग क्षेत्रों, जैसे छोटे व्यवसाय, और साइबर सुरक्षा आपूर्ति श्रृंखला जोखिम प्रबंधन (सी-एससीआरएम) जैसे विशिष्ट कार्यों के लिए क्विकस्टार्ट गाइड भी प्रकाशित किए हैं। 

आईटी परामर्श फर्म प्रोटिविटी के प्रबंध निदेशक निक पुएट्ज़ कहते हैं, एनआईएसटी संसाधन टीमों को बदलावों को समझने में मदद कर सकते हैं।

"ये अत्यधिक मूल्यवान उपकरण हो सकते हैं जो सभी आकार की कंपनियों की मदद कर सकते हैं लेकिन विशेष रूप से छोटे संगठनों के लिए उपयोगी हैं," वे कहते हैं, टीमों को "यह सुनिश्चित करना चाहिए कि आपकी वरिष्ठ नेतृत्व टीम - और यहां तक ​​​​कि आपके निदेशक मंडल - समझें कि इससे कैसे लाभ होगा" कार्यक्रम [लेकिन] अल्पावधि में कुछ परिपक्वता स्कोरिंग [या] बेंचमार्किंग विसंगतियां पैदा कर सकता है।"

2. नेतृत्व के साथ "शासन" कार्य के प्रभाव पर चर्चा करें

NIST CSF 2.0 एक पूरी तरह से नया मुख्य फ़ंक्शन जोड़ता है: गवर्न। नया फ़ंक्शन एक मान्यता है कि साइबर सुरक्षा के लिए समग्र संगठनात्मक दृष्टिकोण को व्यवसाय की रणनीति से मेल खाना चाहिए, संचालन द्वारा मापा जाता है, और निदेशक मंडल सहित सुरक्षा अधिकारियों द्वारा प्रबंधित किया जाता है।

सुरक्षा टीमों को कंपनी के व्यवसाय के महत्वपूर्ण घटकों में दृश्यता प्रदान करने के लिए संपत्ति की खोज और पहचान प्रबंधन पर ध्यान देना चाहिए और कर्मचारी और कार्यभार उन संपत्तियों के साथ कैसे बातचीत करते हैं। उसके कारण, गवर्नेंस फ़ंक्शन सीएसएफ के अन्य पहलुओं पर बहुत अधिक निर्भर करता है - विशेष रूप से, "पहचानें" फ़ंक्शन। और कई घटक, जैसे "व्यावसायिक वातावरण" और "जोखिम प्रबंधन रणनीति", को पहचान से शासन में स्थानांतरित कर दिया जाएगा, एक्सियो के कैरली का कहना है।

“यह नया फ़ंक्शन विकसित नियामक आवश्यकताओं का समर्थन करता है, जैसे कि एसईसी [डेटा-उल्लंघन प्रकटीकरण] नियम, जो दिसंबर 2023 में प्रभावी हुआ, संभवतः अतिरिक्त नियामक कार्रवाइयों की संभावना का संकेत है,'' वे कहते हैं। "और यह साइबर सुरक्षा जोखिम प्रबंधन प्रक्रिया में नेतृत्व द्वारा निभाई जाने वाली प्रत्ययी भूमिका पर प्रकाश डालता है।"

3. अपनी आपूर्ति श्रृंखला सुरक्षा पर विचार करें

सीएसएफ 2.0 में आपूर्ति श्रृंखला जोखिम को अधिक प्रमुखता मिलती है। संगठन आम तौर पर जोखिम स्वीकार कर सकते हैं, उससे बच सकते हैं, जोखिम को कम करने का प्रयास कर सकते हैं, जोखिम साझा कर सकते हैं, या मुद्दे को किसी अन्य संगठन को स्थानांतरित कर सकते हैं। उदाहरण के लिए, आधुनिक निर्माता आम तौर पर अपने खरीदारों को साइबर-जोखिम हस्तांतरित करते हैं, जिसका अर्थ है कि आपूर्तिकर्ता पर साइबर हमले के कारण होने वाला व्यवधान आपकी कंपनी को भी प्रभावित कर सकता है, सरकारी प्रवर्तन में जांच के भागीदार और सह-अध्यक्ष आलोक चक्रवर्ती कहते हैं। और लॉ फर्म स्नेल एंड विल्मर में सफेदपोश संरक्षण अभ्यास समूह।

चक्रवर्ती का कहना है कि सुरक्षा टीमों को आपूर्तिकर्ताओं की साइबर सुरक्षा स्थिति का मूल्यांकन करने, संभावित शोषण योग्य कमजोरियों की पहचान करने और यह सत्यापित करने के लिए एक प्रणाली बनानी चाहिए कि आपूर्तिकर्ता का जोखिम उनके खरीदारों को स्थानांतरित नहीं किया जा रहा है। 

"क्योंकि विक्रेता सुरक्षा अब स्पष्ट रूप से उजागर हो गई है, कई विक्रेता खुद को अनुरूप प्रथाओं के रूप में प्रचारित कर सकते हैं, लेकिन कंपनियां इन अभ्यावेदनों की जांच और दबाव-परीक्षण करने के लिए अच्छा काम करेंगी," वे कहते हैं। "इन साइबर सुरक्षा अभ्यावेदन के आसपास अतिरिक्त ऑडिट रिपोर्टिंग और नीतियों की मांग इस विकसित बाजार का हिस्सा बन सकती है।"

4. पुष्टि करें कि आपके विक्रेता सीएसएफ 2.0 का समर्थन करते हैं

नवीनतम सीएसएफ का समर्थन करने के लिए परामर्श सेवाओं और साइबर सुरक्षा स्थिति प्रबंधन उत्पादों सहित अन्य का पुनर्मूल्यांकन और अद्यतन करने की आवश्यकता होगी। उदाहरण के लिए, पारंपरिक प्रशासन, जोखिम और अनुपालन (जीआरसी) उपकरणों की एनआईएसटी द्वारा सरकारी कार्यों पर दिए गए बढ़ते जोर के आलोक में फिर से जांच की जानी चाहिए, एक्सियो के कैरली का कहना है।

कैराली का कहना है कि इसके अलावा, सीएसएफ 2.0 अपने तीसरे पक्ष के जोखिमों को बेहतर ढंग से पहचानने और नियंत्रित करने के लिए आपूर्ति श्रृंखला प्रबंधन उत्पाद और सेवाओं पर अतिरिक्त दबाव डालता है।

वह आगे कहते हैं: "संभावना है कि मौजूदा उपकरण और तरीकों को विस्तारित अभ्यास सेट के साथ बेहतर तालमेल बिठाने के लिए अपने उत्पादों और सेवा की पेशकशों को बेहतर बनाने के लिए फ्रेमवर्क अपडेट में अवसर दिखाई देंगे।"

• एसईओ संचालित सामग्री और पीआर वितरण। आज ही प्रवर्धित हो जाओ।
• प्लेटोडेटा.नेटवर्क वर्टिकल जेनरेटिव एआई। स्वयं को शक्तिवान बनाएं। यहां पहुंचें।
• प्लेटोआईस्ट्रीम। Web3 इंटेलिजेंस। ज्ञान प्रवर्धित। यहां पहुंचें।
• प्लेटोईएसजी. कार्बन, क्लीनटेक, ऊर्जा, पर्यावरण, सौर, कचरा प्रबंधन। यहां पहुंचें।
• प्लेटोहेल्थ। बायोटेक और क्लिनिकल परीक्षण इंटेलिजेंस। यहां पहुंचें।
• स्रोत: https://www.darkreading.com/ics-ot-security/nist-cybersecurity-framework-2-0-4-steps-get-started