NIST เปิดตัว Cybersecurity Framework Version 2.0

The National Institute of Standards and Technology (NIST) ออกอัปเดต Cybersecurity Framework (CSF) Version 2.0 หลังจากที่ Cybersecurity Framework (CSF) Version 1.0 ได้ถูกใช้มาอย่างยาวนาน ทั้งนี้ CSF Version 2.0 ได้รับการออกแบบมาเพื่อองค์กรทุกระดับ ทุกภาคอุตสาหกรรม ตั้งแต่ระดับโรงเรียน และองค์กรไม่แสวงผลกำไรขนาดเล็ก ไปจนถึงเอเจนซี่ และบริษัทที่ใหญ่ที่สุด โดยไม่คำนึงถึงระดับความซับซ้อนด้านความปลอดภัยทางไซเบอร์

CSF Version 2.0 ถูกออกแบบมาเพื่อตอบสนองต่อความคิดเห็นที่ NIST ได้รับเกี่ยวกับ CSF draft version โดย NIST ได้เพิ่มเติมคำแนะนำหลักของ CSF และพัฒนาแหล่งข้อมูลที่เกี่ยวข้อง เพื่อช่วยให้ผู้ใช้ได้รับประโยชน์สูงสุดจาก Cybersecurity Framework ซึ่งแหล่งข้อมูลเหล่านี้ได้รับการออกแบบมาเพื่อให้องค์กรที่มีความแตกต่างกัน มีเส้นทางสำหรับ CSF ที่ได้รับการปรับแต่ง และทำให้ Framework ง่ายต่อการใช้งานมากขึ้น

Cybersecurity Framework (CSF) Version 2.0 ถูกอัปเดตตาม National Cybersecurity Strategy ที่ขยายขอบเขตออกไปนอกเหนือจาก critical infrastructure เช่น โรงพยาบาล และโรงไฟฟ้า โดยได้ขยายให้กับองค์กรในทุกภาคส่วน รวมถึงยังได้มุ่งเน้นไปยัง governance ซึ่งครอบคลุมวิธีที่องค์กรต่าง ๆ ตัดสินใจ และดำเนินการตัดสินใจโดยใช้ข้อมูลรอบด้านที่เกี่ยวกับ cybersecurity strategy

ซึ่งองค์ประกอบของ CSF ในส่วน governance ได้มุ่งเน้นไปยังความเสี่ยงขององค์กรด้านความปลอดภัยทางไซเบอร์ ที่ผู้นำระดับสูงควรนำไปพิจารณาควบคู่ไปกับปัจจัยอื่น ๆ เช่น การเงิน และชื่อเสียง

NIST ได้เผยแพร่ cybersecurity framework (CSF) เป็นครั้งแรกในปี 2014 ตามคำสั่งของประธานาธิบดี ซึ่งมีวัตถุประสงค์เพื่อช่วยให้องค์กรต่าง ๆ มีความเข้าใจ ลดความเสี่ยง และสามารถสื่อสารด้านความปลอดภัยทางไซเบอร์ ปัจจุบันแกนหลักของ cybersecurity framework ประกอบไปด้วยฟังก์ชันหลัก 6 ฟังก์ชัน ได้แก่ Identify, Protect, Detect, Respond และ Recover พร้อมด้วยฟังก์ชัน Govern ที่เพิ่มเข้ามาใน CSF Version 2.0 ซึ่งฟังก์ชันเหล่านี้จะให้มุมมองที่ครอบคลุมเกี่ยวกับ life cycle ในการจัดการความเสี่ยงด้านความปลอดภัยทางไซเบอร์

โดย CSF Version 2.0 ที่ได้รับการอัปเดต จะเข้ามาช่วยสนับสนุนความต้องการ และระดับประสบการณ์ที่แตกต่างกันในการใช้เครื่องมือรักษาความปลอดภัยทางไซเบอร์ของผู้ใช้รายใหม่ ๆ

ซึ่งผู้ที่สนใจสามารถเรียนรู้ได้จากหัวข้อ Success Stories และเลือกหัวข้อที่สนใจจาก implementation examples และคู่มือ quick-start guide ที่ออกแบบมาสำหรับผู้ใช้เฉพาะบางประเภท เช่น ธุรกิจขนาดเล็ก, ผู้จัดการด้าน enterprise risk และองค์กรที่ต้องการรักษาความปลอดภัยด้าน supply chain

CSF 2.0 Reference Tool ตัวใหม่ ช่วยให้องค์กรต่าง ๆ สามารถใช้งาน CSF ได้ง่ายขึ้น ช่วยให้ผู้ใช้สามารถเรียกดู ค้นหา และส่งออกข้อมูล และรายละเอียดจากคำแนะนำหลักของ CSF ในรูปแบบ human-consumable และ machine-readable format

นอกจากนี้ CSF Version 2.0 ยังได้นำเสนอ searchable catalog ซึ่งมี informative references ที่สามารถค้นหาได้ ช่วยให้องค์กรสามารถอ้างอิงคำแนะนำของ CSF กับเอกสารความปลอดภัยทางไซเบอร์อื่น ๆ มากกว่า 50 รายการ รวมถึงเอกสารอื่นๆ จาก NIST เช่น SP 800-53 Rev. 5 ซึ่งเป็น atalog of tools (called controls) เพื่อให้บรรลุผลลัพธ์ด้านความปลอดภัยทางไซเบอร์เฉพาะทาง

รวมถึงองค์กรต่าง ๆ ยังสามารถดูคำแนะนำของ Cybersecurity and Privacy Reference Tool (CPRT) ซึ่งประกอบด้วยชุดเอกสารคำแนะนำ NIST ที่เกี่ยวข้องกัน ซึ่งสามารถเรียกดู และดาวน์โหลดได้ รวมถึง CSF ด้วยแหล่งข้อมูลยอดนิยมอื่น ๆ และ CPRT เพื่อสื่อสารแนวคิดเหล่านี้กับทั้งผู้เชี่ยวชาญด้านเทคนิค และผู้บริหารระดับสูง เพื่อให้องค์กรทุกระดับสามารถประสานงานด้านความปลอดภัยทางไซเบอร์ได้

ทั้งนี้ cybersecurity framework (CSF) ถูกใช้อย่างแพร่หลายในระดับสากล ทั้งใน Version 1.1 และ Version 1.0 โดยได้รับการแปลเป็น 13 ภาษา ซึ่งคาดว่า CSF Version 2.0 ก็จะได้รับการแปลโดยอาสาสมัครทั่วโลกเช่นกัน คำแปลเหล่านั้นจะถูกเพิ่มเข้าไปในแหล่งข้อมูลของ CSF resource ที่ได้รับการอัพเดทอย่างต่อเนื่องตลอด 11 ปีที่ผ่านมา

NIST ได้ร่วมทำงานกับ International Organization for Standardization (ISO) ร่วมกับ International Electrotechnical Commission (IEC) เพื่อจัดทำเอกสารความปลอดภัยทางไซเบอร์หลายฉบับ ปัจจุบันแหล่งข้อมูลของ ISO/IEC ช่วยให้องค์กรสามารถสร้าง cybersecurity frameworks และ organize control โดยใช้ฟังก์ชัน CSF ของ NIST ในการวางแผนที่จะทำงานร่วมกับ ISO/IEC เพื่อสร้างแนวทางระหว่างประเทศร่วมกัน

สรุป

  • NIST’s cybersecurity framework (CSF) Version 2.0 มีเป้าหมายในการช่วยเหลือองค์กรทุกระดับ นอกจากหน่วยงานโครงสร้างพื้นฐานที่สำคัญ และกลุ่มเป้าหมายเดิม เพื่อให้สามารถจัดการ และลดความเสี่ยงด้านไซเบอร์ได้
  • NIST’s cybersecurity framework (CSF) Version 2.0 มีการอัปเดตคำแนะนำ และแหล่งข้อมูล เพื่อช่วยให้ทุกองค์กรบรรลุเป้าหมายด้านความปลอดภัยทางไซเบอร์ โดยเน้นเพิ่มเติมเกี่ยวกับการกำกับดูแล และ supply chain
  • NIST’s cybersecurity framework (CSF) Version 2.0 เกิดจากการผลลัพธ์ของกระบวนการอภิปราย และความคิดเห็นสาธารณะเป็นเวลาหลายปีที่มีจุดมุ่งหมายเพื่อทำให้กรอบการทำงานมีประสิทธิภาพมากขึ้น

ที่มา : https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework