Wat is het NIST CyberSecurity Framework?

Van 2010 tot 2020 is de totale hoeveelheid gegevens die wereldwijd wordt gecreëerd, vastgelegd, gekopieerd en verbruikt volgens Statista met meer dan 62 zettabytes toegenomen. De komende tien jaar zal dat aantal naar verwachting verdrievoudigen. Dit is vooral belangrijk omdat naarmate het volume van de gegevens wereldwijd toeneemt, ook de waarde ervan toeneemt. Denk maar aan alle waardevolle informatie die nu in gevirtualiseerde omgevingen leeft: Medische dossiers, financiële overzichten, vertrouwelijke werknemersinformatie, geheime overheidsdocumenten, foto’s van huisdieren, enzovoort.

Een andere manier om dit te begrijpen is: Hoe meer gegevens we hebben, hoe meer we kunnen verliezen. Tegenwoordig is de pijn van het verlies van gegevens – door een menselijke fout, hardwarestoring, natuurramp of diefstal – bijna alomtegenwoordig. Zelfs mijn 85-jarige grootouders begrijpen (over het algemeen) het belang van een back-up van hun foto’s in de cloud. Terwijl het verlies van familiefoto’s frustrerend en zelfs triest kan zijn, kunnen de financiële, juridische en reputatierisico’s van gegevensverlies catastrofaal zijn voor bedrijven, overheden en andere grote organisaties.

En zo hebben we eindelijk het vlijmscherpe dieptepunt van onze logische kettingreactie bereikt. Helaas zullen, naarmate het volume en de waarde van onze gegevens blijft toenemen, ook de pogingen om ze te stelen en/of te compromitteren toenemen. Wie de recente krantenkoppen volgt, weet dat dit waar is.

In mei 2021 werd Colonial Pipeline Co, die het netwerk van 5.500 mijl pijpleidingen beheert dat verantwoordelijk is voor ongeveer 45 procent van de benzine en diesel die aan de Amerikaanse oostkust wordt verbruikt, gedwongen te sluiten na een ransomware-aanval. Het duurde vijf dagen voordat het bedrijf de activiteiten kon hervatten en zelfs toen was het herstel van de brandstofstroom niet onmiddellijk.

Het effect van de aanval werd in het hele land gevoeld, met een stormloop op brandstof die resulteerde in lange rijen en tekorten aan de oostkust en daarbuiten, stijgende gasprijzen en volatiliteit op de energiemarkt. Het leidde zelfs tot een noodreactie van de regering Biden, die de groeiende dreiging van ransomware bij naam noemde.

Dit is natuurlijk maar één spraakmakend voorbeeld in wat nu een wereldwijde crisis is. Vooral in de nasleep van de COVID-19 pandemie hebben organisaties een acute strijd geleverd om de beveiliging en bedrijfscontinuïteit te handhaven. Tussen 2019 en 2021 steeg het aantal bij de FBI gemelde ransomware-klachten met 82 procent. Nu miljoenen mensen meer vanuit huis werken, is het risico van cyberdreigingen en systeeminbreuken exponentieel toegenomen, en blijft het stijgen.

Volgens Cybersecurity Ventures zullen ransomware-aanvallen in 2031 naar verwachting elke twee seconden een bedrijf, consument of apparaat treffen, tegenover elke 11 seconden in 2021. In datzelfde tijdsbestek zullen de totale wereldwijde kosten van ransomware naar verwachting toenemen van 20 miljard dollar tot maar liefst 265 miljard dollar.

Volgens Cybersecurity Ventures zullen de totale kosten van cybercriminaliteit jaarlijks met 15 procent stijgen. Tegen 2025 zal de schade naar verwachting oplopen tot 15 biljoen dollar per jaar, tegen 3 biljoen dollar in 2015. Dat zou de grootste overdracht van economische rijkdom in de menselijke geschiedenis betekenen – exponentieel groter dan de kosten in verband met natuurrampen en winstgevender dan de wereldwijde verkoop van alle belangrijke illegale drugs samen.

Het NIST CyberSecurity Framework

Er is iets te zeggen voor het hebben van een plan – een heleboel dingen, in feite.

Als het gaat om planning van gegevensbeveiliging en -bescherming, zijn er maar een paar geaccepteerde, samenhangende kaders. Het kader dat wij hier zullen bespreken, is opgesteld en ingevoerd door het National Institute of Standards and Technology (NIST). Dit vrijwillige kader bestaat uit normen, richtlijnen en beste praktijken die zijn ontworpen om organisaties van elke omvang en sector te helpen de cyberbeveiliging, het risicobeheer en de veerkracht van hun systemen te verbeteren.

De oorsprong van het NIST CyberSecurity Framework (CSF) gaat terug tot februari 2013, toen president Barack Obama een decreet uitvaardigde waarin hij opriep tot het opzetten van een vrijwillig kader voor cyberbeveiliging en veerkracht. Naast dit uitvoeringsbevel heeft het Congres de “Cybersecurity Enhancement Act” in wetgeving omgezet, waardoor de oprichting van een dergelijk kader een extra geldigheid kreeg. Een jaar later publiceerde NIST het “Framework for Improving Critical Infrastructure Cybersecurity”.

Het was oorspronkelijk bedoeld voor kritieke infrastructuur, maar is tegenwoordig breder toepasbaar in alle soorten organisaties. Het NIST CSF wordt door overheden en organisaties steeds meer erkend als de aanbevolen gids voor beste praktijken om het risicobeheer en de veerkracht van hun systemen op het gebied van cyberbeveiliging te helpen verbeteren. Vanaf 2022 is het NIST Cybersecurity Framework meer dan 1,7 miljoen keer gedownload, en wordt het momenteel gebruikt door organisaties in allerlei sectoren, groottes en regio’s.

In het kort bestaat het NIST CSF uit vijf hoofdfuncties: Identificeren, Beschermen, Detecteren, Reageren en Herstellen. Volgens NIST zijn deze vijf functies gekozen omdat zij de vijf primaire pijlers vormen voor een succesvol en holistisch cyberbeveiligingsprogramma. Zij helpen organisaties om hun beheer van cyberbeveiligingsrisico’s eenvoudig op een hoog niveau uit te drukken, waardoor beslissingen inzake risicobeheer mogelijk worden en zij als ruggengraat fungeren waarrond alle andere raamwerkelementen zijn georganiseerd.

Hier volgt een kort overzicht van elke functie, rechtstreeks ontleend aan het CSF-overzicht op NIST.gov:

Identificeren:
De Identificatiefunctie helpt bij het ontwikkelen van een organisatorisch begrip voor het beheer van cyberbeveiligingsrisico’s voor systemen, mensen, activa, gegevens en capaciteiten. Inzicht in de bedrijfscontext, de middelen die kritieke functies ondersteunen en de bijbehorende risico’s op het gebied van cyberbeveiliging stelt een organisatie in staat haar inspanningen te richten en te prioriteren, in overeenstemming met haar risicobeheerstrategie en bedrijfsbehoeften.

Beschermen:
De beschermingsfunctie schetst passende waarborgen om de levering van kritieke infrastructuurdiensten te
garanderen. De beschermingsfunctie ondersteunt het vermogen om de gevolgen van een potentiële cyberbeveiligingsgebeurtenis te beperken of in te perken.

Detecteren:
De functie Detect definieert de passende activiteiten om het optreden van een cyberbeveiligingsgebeurtenis vast te stellen. De functie Detect maakt een tijdige ontdekking van cyberbeveiligingsgebeurtenissen mogelijk.

Reageren:
De Respond-functie omvat passende activiteiten om actie te ondernemen met betrekking tot een gedetecteerd cyberbeveiligingsincident. De responsfunctie ondersteunt het vermogen om de gevolgen van een potentieel cyberbeveiligingsincident in te dammen.

Herstellen:
De functie Herstellen identificeert passende activiteiten om de plannen voor veerkracht te handhaven en om mogelijkheden of diensten te herstellen die door een cyberbeveiligingsincident zijn aangetast. De herstelfunctie ondersteunt een tijdig herstel naar normale activiteiten om de gevolgen van een cyberbeveiligingsincident te beperken.