إطار NIST للأمن السيبراني (CSF 2.0)

قليل جدًا من المؤسسات في المنطقة ملزمة باعتماد NIST CSF. وقيمته هنا مختلفة: فهو أداة فعّالة على نحو لافت للمواءمة بين المصطلحات.

تطبّق المؤسسة الخليجية عادةً مجموعة ضوابط وطنية، ومعيارًا دوليًا لنظام إدارة، وإطارًا قطاعيًا. وهذه الثلاثة تصف الممارسة نفسها بثلاث لغات اصطلاحية. ولأن NIST CSF قائم على النتائج لا على الضوابط، فإنه يرتبط بها جميعًا بسلاسة، ما يجعله محورًا مفيدًا لتحليل التغطية عبر المجموعة كلها.

وهو كذلك اللغة التي يُرجَّح أن يتحدث بها أصلًا مجلس إدارة دولي أو شركة أم أو شركة تأمين ضد المخاطر السيبرانية، ما يجعله وسيلة عملية لرفع التقارير عن برنامج خليجي إلى المستويات الأعلى دون إعادة شرح الإطار المحلي في كل مرة.

إطار NIST CSF 2.0 مخطط لإضافته إلى مكتبة TrustPoint، وليس متاحًا بعد.

وعند توفره، سيُقيَّم مثل أي إطار آخر في المنصة: متطلبًا تلو الآخر، مع أدلة من المستودع المُدار، وفجوات تُنقل إلى خارطة الطريق، ونتائج تُقرأ عبر قوالب التقارير حسب الفئة المستهدفة أو تغذية OData.

وبما أن الحوكمة أصبحت وظيفة صريحة في الإصدار 2.0، تغطي وحدة الحوكمة جزءًا أكبر من NIST CSF مقارنة بالإصدار 1.1. ويشكل الهيكل التنظيمي والنطاقات ودورة حياة السياسات وسجلات الإقرار أدلة مباشرة على جزء مهم من هذه الوظيفة.

كثيرًا ما يُستخدم NIST CSF لغةً اصطلاحية مشتركة بين ISO/IEC 27001 وNCA ECC وCBO CS&RF وPCI DSS. ولا تتضمن TrustPoint بعد مجموعات ربط بين NIST CSF وهذه الأطر.

وعند توفر مجموعات الربط، تُسجَّل كل علاقة (مطابقة أو أضيق أو أشمل أو متقاطعة أو ذات صلة) وتُعرض الاقتراحات للمراجعة بدل تطبيقها بصمت. وبطبيعة الحال لا يكون الربط بين إطار قائم على النتائج وآخر قائم على الضوابط مطابقًا دائمًا؛ وتجاهل ذلك هو ما يحوّل وفر الربط إلى ملاحظة تدقيق.