Proteja a sua empresa com frameworks, funções e camadas

Os Estados Unidos (EUA) e outros governos oferecem orientações sobre cibersegurança que podem ser adaptadas para uso por qualquer tipo e dimensão de organização. Um dos melhores recursos que poderia utilizar na sua própria estratégia de segurança é o quadro de cibersegurança desenvolvido pelo Instituto Nacional de Padrões e Tecnologia (NIST). O NIST é uma agência dentro do Departamento de Comércio dos EUA, e a sua missão é "promover a inovação e competitividade industrial dos EUA." Pode obter mais detalhes sobre o propósito e operações do NIST aqui.

Alguns dos trabalhos mais importantes desenvolvidos pelo NIST são os quadros que orientam as organizações em vários aspetos da cibersegurança e gestão de riscos. A gestão de riscos, privacidade, inteligência artificial (IA) e software seguro são todos abordados em vários quadros. Neste post, vamos analisar o Quadro de Cibersegurança do NIST e como pode ajudar a defender a sua empresa.

NIST Cybersecurity Framework (CSF) e funções

O NIST CSF 1.0 foi lançado em 2014 e atualizado para CSF 1.1 em 2018. Quatro anos depois, o NIST iniciou a jornada para CSF 2.0.

Existem várias etapas para o desenvolvimento do quadro, incluindo o pedido de comentários públicos. Estas atualizações ao CSF reconhecem que a cibersegurança e o panorama das ameaças estão sempre a evoluir, e os padrões devem acompanhar.

O NIST CSF delineia as melhores práticas para ajudar as empresas a decidir onde focar o seu tempo e dinheiro em cibersegurança. De acordo com o NIST, o framework ajuda as empresas a "compreender, gerir e reduzir melhor o seu risco de cibersegurança e proteger as suas redes e dados." Os frameworks do NIST destinam-se a fornecer uma abordagem abrangente para gerir e reduzir o risco associado à área em questão. O CSF faz isto definindo seis funções, ou pilares, dentro do framework. Os termos 'pilar' e 'função' são usados de forma intercambiável, por isso não se surpreenda se os encontrar usados de forma inconsistente em várias fontes. O NIST usa o termo 'função', que é o que estamos a usar aqui.

1. Governar: Esta função foi adicionada no CSF 2.0 e foca-se na governação da cibersegurança e no alinhamento com os objetivos empresariais. Isto inclui coisas como contexto organizacional, gestão de risco da cadeia de fornecimento de cibersegurança, supervisão, entre outros. O CSF 2.0 mantém os cinco pilares anteriores e os objetivos de cibersegurança, mas amplia o âmbito do quadro. Também adiciona orientações sobre a integração com outros quadros, como privacidade e gestão de risco.
2. Identificar: Esta função estabelece as bases para uma estratégia de segurança abrangente, pois reconhece que não se pode proteger o que não se conhece. O panorama da cibersegurança e os riscos devem ser compreendidos antes de poderem ser geridos. Esta parte da estrutura está associada à gestão de ativos, análise do ambiente de negócios, governança, avaliação de riscos e estratégia de gestão de riscos.
3. Proteger: Esta parte do quadro ajuda as empresas a compreender como implementar as defesas para prevenir incidentes e assegurar a entrega de serviços críticos. Esta função envolve o controlo de acesso, sensibilização e formação, segurança de dados, processos e procedimentos de proteção de informação, manutenção e tecnologia de proteção. A mitigação de riscos é baseada nas linhas de base estabelecidas na função anterior.
4. Detetar: Esta função garante que os eventos de cibersegurança são descobertos e identificados de forma atempada. Estes eventos podem ser violações de dados, ataques maliciosos, falhas do sistema e erros de funcionários que se tornam ameaças internas. O trabalho aqui envolve a monitorização contínua de segurança, processos de deteção de eventos e a rápida identificação de anomalias e eventos de cibersegurança.
5. Responder: Esta função ajuda as empresas a construir planos de ação para resposta, mitigação e continuidade de negócios. A contenção e resolução rápidas são o foco aqui. Esta função envolve planeamento de resposta, comunicações, análise e mitigação. Estes planos de ação são avaliados regularmente e devem melhorar ao longo do tempo à medida que a experiência e novas informações são incorporadas no plano.
6. Recuperar: Esta é uma função tanto reativa como proativa. O foco aqui é geralmente restaurar as operações normais, garantir a continuidade do negócio e corrigir, atualizar ou de outra forma 'consertar as coisas'. A parte proativa envolve rever o incidente e incorporar as lições aprendidas na estratégia geral de segurança, quando apropriado. Esta parte pós-ação não é tão urgente quanto a recuperação, mas é igualmente importante. Esta informação ajudará a empresa a fechar lacunas de segurança e a fortalecer a sua resiliência contra ataques futuros.

níveis de função CSF

Cada uma destas funções tem quatro níveis de implementação que definem os níveis que uma organização pode alcançar nas seis funções do CSF. Estes níveis ajudam as empresas a avaliarem as suas práticas de cibersegurança e a definir objetivos de melhoria. Os níveis também abordam um dos objetivos principais do NIST, que é permitir que diferentes indústrias e organizações falem uma linguagem comum no que diz respeito a normas e medições. Neste caso, os níveis dentro de cada função do CSF podem ser utilizados para comunicar de forma mais precisa a postura de segurança de uma empresa a partes interessadas e outras partes conforme necessário.

Aqui está uma breve vista sobre os quatro níveis dentro de cada uma das seis funções:

• Nível 1: Abordagens parciais e ad-hoc que proporcionam uma compreensão e gestão básicas do risco de cibersegurança. Existem controlos e práticas de governação limitados, mas há uma consciencialização inicial sobre o risco de segurança da empresa.
• Nível 2: Práticas e controlos informados sobre riscos, mas inconsistentes. A empresa tem uma maior sensibilização e priorização do risco a este nível. A colaboração interna é inconsistente, mas as práticas de gestão de risco são aprovadas pela gestão.
• Nível 3: Processos repetíveis e definidos estão em vigor, e controlos normalizados são implementados e geridos. A empresa possui políticas formais em torno de cibersegurança que são regularmente avaliadas e atualizadas com base nas mudanças no panorama das ameaças. Existe uma comunicação consistente em torno de cibersegurança e gestão de risco.
• Nível 4: Práticas de segurança adaptativas e altamente integradas são implementadas em toda a empresa e são continuamente melhoradas através de ciclos de feedback. Este nível descreve uma empresa com uma cultura de sensibilização para a segurança que apoia uma abordagem proativa e colaborativa à gestão de riscos.

Vamos ilustrar as diferenças nestes níveis analisando as tecnologias de segurança de e-mail que pode encontrar em cada nível:

• Camada 1: Filtragem básica de spam que protege os utilizadores de mensagens que são claramente spam.
• Nível 2: Soluções anti-phishing que detetam ameaças de e-mail mais sofisticadas.
• Nível 3: Um gateway de e-mail seguro (SEG) que fornece proteção de e-mail abrangente.
• Nível 4: Soluções avançadas com inteligência artificial (IA) que defendem contra ameaças avançadas e emergentes.

Esse é um exemplo básico que mostra como as soluções e serviços de segurança progridem através dos níveis. A organização do Nível 4 é a mais proativa, adaptativa e orientada para a liderança na sua abordagem à cibersegurança.

CSF Tier 4 e Barracuda Managed XDR

Barracuda Managed XDR é uma solução escalável e económica que pode ajudá-lo a progredir para o Nível 4 em todas as seis funções do CSF 2.0. Esta é uma solução de deteção e resposta alargada que oferece múltiplas opções de cobertura e visibilidade, combinadas com um centro de operações de segurança (SOC) 24 horas por dia, 7 dias por semana, composto por especialistas em segurança. A tabela seguinte mostra como o Barracuda Managed XDR se alinha com o nível 4 (Adaptativo) do NIST CSF 2.0:

Fontes: NIST CSF 2.0 e Barracuda Managed XDR

Se gostaria de saber mais sobre Barracuda Managed XDR, pode visitar o site da Barracuda para descarregar o nosso novo e-book ou agendar uma demonstração. Também pode ver estes webinars gratuitos e sob demanda:

• Como Combater Eficazmente Ameaças Potenciadas por IA com XDR
• Nos bastidores de um SOC maduro
• EDR, MDR, XDR: O que são, como funcionam e como escolher