O NIST Cyber Security Framework é um conjunto de diretrizes e padrões adotado por muitas empresas mundo afora ao lidarem com as questões relacionadas à segurança cibernética.
Os mesmos avanços tecnológicos que possibilitam a melhoria dos processos organizacionais e o atendimento às expectativas dos clientes também possibilitam os ataques cibernéticos.
Por essa razão, as empresas precisam promover uma cultura organizacional voltada para a cibersegurança e não apenas contratar uma solução específica de prevenção contra o roubo, o vazamento ou a perda de dados.
É alarmante o grande número de possibilidades de ciberataques que a sua empresa pode sofrer: phishing, spear phishing, sequestro de domínio, falsificação de e-mails, ransomware e violação de dados são apenas alguns exemplos.
Por outro lado, os avanços em termos de cibersegurança têm aumentado no sentido de combater os diversos tipos de danos causados pelos ataques.
Mas ainda que o assunto esteja em constante ascensão e os gestores estejam se tornando mais conscientes sobre sua importância, os investimentos em segurança digital ainda são desiguais.
Em outras palavras, as empresas se preocupam com a cibersegurança, mas cada uma delas lida a seu próprio modo com os riscos de ataques.
Com isso, não há uma padronização, por exemplo, na promoção da segurança na execução de processo e no controle de acessos com o objetivo de reduzir os riscos de ataques.
Nesse contexto, o NIST (National Institute of Standards and Technology ou Instituto Nacional de Padrões e Tecnologia), criado nos Estados Unidos, apresentou um framework de segurança cibernética como proposta para driblar a falta de padronização nas estratégias de cibersegurança.
Com o NIST Cyber Security Framework é possível padronizar os cuidados relativos à segurança dentro do seu negócio, promovendo as melhores práticas.
Ao longo dos próximos tópicos vamos esclarecer as principais dúvidas sobre esse grupo de diretrizes, a começar pela conceituação do NIST Cyber Security Framework.
Continue a leitura para saber também por que você deve implementar esse padrão em seu negócio e como colocar essa meta em prática.
O que é o NIST CyberSecurity Framework?
Para explicarmos o que é NIST Cyber Security Framework, vamos primeiro entender o que é o NIST.
Trata-se de uma sigla que, como vimos, significa National Institute of Standards and Technology ou Instituto Nacional de Padrões e Tecnologia e corresponde a uma agência governamental norte-americana que fornece orientações e padrões que podem ser seguidos pelas empresas.
Para empresas que prestam serviços para o governo dos Estados Unidos ou que lidam direta ou indiretamente com dados sigilosos do governo, seguir os padrões do NIST é uma obrigação.
O objetivo do NIST é o incentivo à inovação e à competitividade industrial, com ênfase nas áreas de ciência, tecnologia e engenharia.
Para isso, o instituto cria e publica documentos que correspondem a padrões. Eles nada mais são do que conjuntos de práticas recomendadas para as organizações de diferentes segmentos.
Esses padrões podem ser concebidos não como regras, mas como diretrizes que ajudam as empresas a melhorarem suas estratégias de segurança.
O NIST Cyber Security Framework é um desses padrões e tem ganhado destaque nos últimos anos por conta da necessidade das empresas de lidarem com o aumento dos ciberataques.
A criação deste documento ocorreu em virtude da demanda por uma melhoria na postura de segurança das agências governamentais estadunidenses e das empresas contratadas por elas.
Mas a versão atual do documento vem servindo como diretriz para empresas públicas e privadas do mundo inteiro.
Nesse sentido, as empresas que implementam o NIST Cyber Security Framework, ou seja, que estão em conformidade com o documento, ganham muito em termos de segurança interna e de reputação.
Isso sem falar que a adequação a outras estruturas de segurança torna-se mais fácil quando a empresa implementa essas diretrizes.
É o caso da Lei Geral de Proteção de Dados (LGPD) brasileira, por exemplo, já que o NIST Cyber Security Framework auxilia diretamente na proteção de dados contra os ataques cibernéticos.
Isso porque a proposta do documento é justamente garantir segurança para as infraestruturas críticas de TI.
Então, para conceituar de forma simples o NIST Cyber Security Framework, podemos dizer que ele é um documento elaborado pelo NIST e voltado para a promoção da segurança digital nas organizações.
Seu objetivo é que o tratamento dos riscos de cibersegurança passe a ser uma prioridade na gestão das empresas.
Para que isso ocorra, o documento defende que os riscos cibernéticos precisam ser tratados da mesma forma que os riscos financeiros e operacionais, por exemplo.
Outra ideia exposta no NIST Cyber Security Framework é a de que as discussões sobre os riscos de segurança cibernética devem estar presentes no dia a dia do negócio.
Nesse sentido, o NIST Cyber Security Framework ajuda a aumentar a segurança de dados nas empresas quando é implementado para:
- Determinar os níveis de medidas relacionadas à segurança cibernética já implementadas;
- Identificar potenciais novos padrões e políticas de segurança a serem implementados;
- Comunicar novos requisitos;
- Criar um novo programa de segurança cibernética para o negócio.
Por contar com uma abordagem flexível e personalizável, o NIST Cyber Security Framework pode ser utilizado em diversos tipos de negócios, desde as pequenas empresas até as grandes corporações.
Contudo, mesmo contando com essa possibilidade de alinhamento às especificidades das organizações, a implementação das diretrizes do documento possibilita a criação de uma postura de cibersegurança de padrão global.
Isso acontece por conta da proposta de estruturação baseada em funções principais, níveis de implementação e definição de perfis. Essa estrutura corresponde aos pilares do framework.
As funções principais são o conjunto de atividades de segurança cibernética, resultados desejados e referências aplicáveis. Elas são cinco:
- Identificar;
- Proteger;
- Detectar;
- Responder;
- Recuperar.
Os perfis são categorias e subcategorias das funções principais e, ao serem definidos como metas, funcionam como parâmetros para medir o progresso da empresa.
Já os níveis de implementação descrevem o grau em que as características definidas no perfil estão presentes nas rotinas de gerenciamento de riscos de cibersegurança na empresa.
Agora que você já sabe o que é NIST Cyber Security Framework, continue a leitura para conhecer os principais motivos para implementá-lo em sua empresa.
Por que implementar o NIST CyberSecurity Framework?
Como mencionamos anteriormente, a principal premissa do NIST Cyber Security Framework é auxiliar as empresas no gerenciamento e na redução dos riscos de segurança cibernética.
Esse auxílio é dado com base no seguimento de padrões e melhores práticas, com resultados promissores e esta é a principal razão para implementar as diretrizes do documento.
Mas ela tem seus desdobramentos, ou seja, diversos benefícios que podem ser alcançados a partir da atenção devida aos detalhes da proposta do framework.
Vamos abordar, em seguida, alguns desses benefícios.
Abordagem de longo prazo em relação à segurança cibernética
Como citamos, uma das principais ideias defendidas pelo NIST Cyber Security Framework é a de que as discussões sobre cibersegurança devem integrar as rotinas das empresas em seus diversos departamentos.
Um benefício que se evidencia quando as orientações do documento são implementadas é justamente a troca da cultura baseada em auditorias pontuais por uma postura de segurança cibernética adaptável, flexível e responsiva em relação às potenciais ameaças.
Por outro lado, a utilização de uma estrutura globalmente aceita transforma a forma como a organização lida com as questões da segurança cibernética.
Ou seja, há a criação de um estado contínuo de conformidade, fortalecendo a abordagem de proteção das informações adotada pelo negócio.
Alcance de um padrão global de segurança
O NIST Cyber Security é utilizado por instituições de grande relevância, como o governo dos Estados Unidos, sendo um padrão amplamente adotado e respeitado em organizações de todos os segmentos.
Além disso, o documento foi elaborado com base na experiência e no conhecimento de profissionais de segurança da informação altamente capacitados e oriundos de diversos países.
Ou seja, trata-se de um conjunto de diretrizes reconhecido em todo o mundo como a melhor prática para a área de segurança da informação.
Ele também é o conjunto de controles mais detalhado que você pode adotar e vai te ajudar a cobrir todos os pontos aos quais você pode não ter dado a devida atenção com a utilização de outras abordagens de segurança cibernética.
Aceleração do crescimento dos negócios
A adoção do NIST Cyber Security Framework pode fortalecer o seu relacionamento com clientes, fornecedores e parceiros.
Isso porque a segurança cibernética tem se tornado um ponto de venda muito relevante. Muitas vezes, a conformidade com este padrão é um fator decisivo para as escolhas dos clientes.
Sendo assim, podemos dizer que a implementação de um padrão de grande reconhecimento como o NIST Cyber Security Framework proporciona o crescimento dos negócios de forma mais ágil por conta da promoção de relações mais eficazes com as cadeias de suprimentos.
Suporte ao gerenciamento de riscos
O NIST Cyber Security Framework auxilia na orientação da gestão quanto aos pontos de decisão relacionados às atividades de gerenciamento de riscos em toda a organização.
A estrutura de segurança proporciona a identificação e a avaliação dos riscos e a determinação de quais ações são as mais importantes na prestação de serviços críticos.
Além disso, também é possível priorizar os investimentos mais necessários e garantir o melhor impacto para eles.
Melhoria da comunicação interna
A implementação do NIST Cyber Security Framework impulsiona a união e a interação entre as áreas técnicas e gerenciais.
A abordagem integrada do gerenciamento de segurança cibernética e do gerenciamento de riscos em geral torna os objetivos do negócio muito mais alinhados.
O resultado são diferentes departamentos trabalhando juntos para que as metas sejam definidas e devidamente cumpridas.
Dessa forma, a organização estará totalmente focada em atingir seus objetivos de segurança e de gerenciamento de riscos.
Flexibilidade do NIST Cyber Security Framework
A estrutura do NIST Cyber Security Framework é suficientemente flexível para ser adotada por empresas de qualquer porte e segmento.
As orientações são voltadas para os resultados sem definir como a organização deve chegar a esses resultados, permitindo a escalabilidade.
Ou seja, os resultados podem ser abordados de forma viável tanto para uma pequena empresa quanto para uma grande corporação.
A flexibilidade do NIST Cyber Security Framework também o torna útil para as empresas que já possuem um programa maduro de cibersegurança e para aquelas que estão começando a estabelecer o seu.
Diante de todos esses benefícios, é hora de entender como o NIST Cyber Security Framework pode ser implementado.
Como implementar o NIST CyberSecurity Framework?
Conforme foi exposto no tópico anterior, o NIST Cyber Security Framework pode ser usado tanto para aperfeiçoar um programa já existente quanto para criar um novo programa.
Vamos descrever agora as principais etapas a serem seguidas para sua implementação, válidas para os dois casos.
1ª Etapa: priorize e determine o escopo
Tudo começa com a identificação dos objetivos de negócios e das prioridades organizacionais.
Essas informações vão levar às decisões estratégicas quanto às implementações de segurança cibernética, além de ajudarem na determinação do escopo de sistemas e ativos que vão dar suporte ao processo ou linha de negócios selecionada.
Nesse sentido, o NIST Cyber Security Framework pode ser adaptado para dar conta das diferentes linhas de negócios ou processos, que podem remeter a diferentes necessidades e tolerância a riscos associados.
2ª Etapa: oriente
Após a definição do escopo do programa de segurança cibernética com base na linha de negócios ou processo, é hora de identificar sistemas e ativos relacionados, além dos requisitos regulatórios e a abordagem geral de risco.
Nesse momento, a empresa consulta fontes para a identificação de ameaças e vulnerabilidades aplicáveis aos sistemas e ativos em questão.
3ª Etapa: crie uma avaliação atual
Este é o momento de indicar quais são os resultados de categoria e subcategoria da estrutura básica que estão sendo alcançados atualmente.
Se, por exemplo, um resultado estiver sendo parcialmente alcançado, a compreensão deste fato irá ajudar nas próximas etapas fornecendo informações relevantes.
4ª Etapa: realize uma avaliação de risco
Você pode pautar sua avaliação de risco no processo geral de gerenciamento de riscos da empresa ou em atividades anteriores de avaliação de risco.
Nessa etapa, a organização faz uma análise do ambiente operacional a fim de identificar a possibilidade de uma ocorrência de cibersegurança e o seu potencial impacto.
A identificação dos riscos emergentes é fundamental e as informações de ameaças cibernéticas podem ser usadas para compreender melhor a probabilidade e o impacto de um possível incidente.
5ª Etapa: crie uma avaliação desejada
Essa avaliação deve se focar na avaliação das categorias e subcategorias do NIST Cyber Security Framework e descrever os resultados de cibersegurança que a empresa deseja obter.
A empresa também pode desenvolver categorias e subcategorias adicionais para atender a riscos específicos.
Também é possível considerar influências e requisitos, por exemplo, de entidades do setor, clientes e parceiros de negócios.
6ª Etapa: determine, analise e priorize as falhas
Esse é o momento de comparar a avaliação atual com a avaliação desejada para compreender as lacunas.
Em seguida, a organização deve criar um plano de ação para consertar essas lacunas no sentido de alcançar os resultados da avaliação desejada. O passo seguinte é a definição dos recursos necessários para resolver as lacunas.
Essa etapa vai possibilitar a tomada de decisões mais fundamentadas sobre as atividades de cibersegurança.
Além disso, ela dará suporte ao gerenciamento de riscos e permitirá a realização de aperfeiçoamentos com uma boa relação custo-benefício.
7ª Etapa: implemente o plano de ação
Agora é hora de definir quais ações serão colocadas em prática para resolver as lacunas encontradas.
Em seguida, a organização vai ajustar suas atuais práticas de cibersegurança para alcançar a avaliação desejada.
As sete etapas apresentadas aqui podem ser repetidas pela empresa conforme a necessidade para que haja uma avaliação e um aperfeiçoamento contínuos de sua estratégia de segurança cibernética. Agora que você já entende o que é NIST Cyber Security Framework, sua importância e como implementá-lo, que tal saber um pouco mais sobre governança de TI, que também se refere a uma série de práticas e normas relacionadas ao departamento de tecnologia da informação? Acesse nosso artigo sobre o assunto. Boa leitura!
