Che cos'è il NIST SP 800-53? Include suggerimenti per la conformità

La pubblicazione speciale NIST 800-53, Recommended Security Controls for Federal Information Systems and Organizations (NIST SP 800-53 o NIST 800-53), stabilisce uno standard di sicurezza delle informazioni per il governo federale.

In particolare, il NIST 800-53 stabilisce controlli di sicurezza e controlli sulla privacy per i sistemi informativi federali e le organizzazioni, esclusi quelli coinvolti nella sicurezza nazionale.

L'obiettivo del NIST SP 800-53 è proteggere le operazioni, i beni, gli individui, le organizzazioni e gli Stati Uniti da una serie diversificata di minacce informatiche come attacchi ostili, errori umani e disastri naturali.

I controlli sono scritti per essere flessibili e personalizzabili per aiutare le organizzazioni nell'implementazione.

Perché il NIST SP 800-53 è importante?

NIST SP 500-53 è importante perché fornisce un framework unificato per la sicurezza delle informazioni. Ciò significa che il governo degli Stati Uniti dispone di un quadro comune ed efficace per la gestione del rischio (escluse le agenzie che si occupano di sicurezza nazionale).

Qual è lo scopo del NIST SP 800-53?

NIST SP 800-53 è stato creato per fornire linee guida che migliorano la posizione di sicurezza dei sistemi informativi utilizzati all'interno del governo federale.

A tale scopo, fornisce un catalogo di controlli che supportano lo sviluppo di sistemi informativi sicuri e resilienti. Questi controlli sono salvaguardie operative, tecniche e gestionali che, se utilizzate, mantengono la riservatezza, l'integrità e la disponibilità (triade CIA) dei sistemi informativi.

Le linee guida si applicano a qualsiasi componente di un sistema informativo che memorizza, elabora o trasmette informazioni federali.

NIST SP 800-53 fa parte della serie NIST Special Publications (SP) 800 che si basa sulla ricerca e sulle linee guida dell'Information Technology Laboratory (ITL).

La serie NIST 800 fornisce un approccio a più livelli alla gestione del rischio attraverso la conformità dei controlli. NIST SP 800-37 è stato sviluppato per fornire una guida sull'implementazione di programmi di gestione del rischio ed è progettato per funzionare insieme a NIST SP 800-53.

Insieme, la serie 800 fornisce alle agenzie federali e ai loro fornitori di terze parti standard minimi accettabili di sicurezza delle informazioni per la gestione dei dati sensibili della pubblica amministrazione.

Quali sono i vantaggi del NIST SP 800-53?

La conformità con NIST SP 800-53 e altre linee guida NIST è una parte importante della conformità FISMA e FedRAMP.

Consente inoltre di migliorare la valutazione della sicurezza dell'organizzazione fornendo una base sicura per i sistemi informativi.

Inoltre, la conformità al NIST SP 800-53 e ad altri migliori standard può aiutare le organizzazioni a migliorare la conformità ad altre leggi e regolamenti sulla protezione dei dati come SHIELD Act, LGPD, GDPR, CCPA, GLBA, PIPEDA, HIPAA, PCI DSS e 23 NYCRR 500.

Detto questo, NIST SP 800-53 non dovrebbe essere l'estensione del programma di sicurezza della tua organizzazione.

Quali sono le tre classi di sistemi informativi in NIST SP 800-53?

Il NIST SP 800-53 applica il metodo di categorizzazione del Federal Information Processing Standard (FIPS), suddividendo i sistemi informativi in tre classi:

Basso impatto
Impatto moderato
Ad alto impatto

NIST SP 800-53 introduce anche il concetto di baseline di controllo di sicurezza come punto di partenza per il processo di selezione del controllo di sicurezza in queste classi. Questo può aiutare con la definizione delle priorità e ha motivazioni simili ai controlli CIS.

Cosa sono i controlli NIST SP 800-53?

I controlli di sicurezza descritti nel NIST SP 800-53 sono organizzati in 20 famiglie. Ogni famiglia contiene controlli di sicurezza correlati all'argomento di sicurezza generale della famiglia. I controlli di sicurezza possono riguardare aspetti di politica, supervisione, supervisione, processi manuali, azioni da parte di individui o meccanismi automatizzati implementati da sistemi o dispositivi informativi.

Le 20 famiglie di controlli di sicurezza sono:

Controllo Accessi (AC)
Sensibilizzazione e formazione (AT)
Audit e responsabilità (AU)
Valutazione, autorizzazione e monitoraggio (CA)
Gestione della configurazione (CM)
Pianificazione di emergenza (CP)
Identificazione e autenticazione (IA)
Partecipazione individuale (IP)
Risposta agli incidenti (IR)
Manutenzione (MA)
Protezione dei supporti (MP)
Autorizzazione alla privacy (PA)
Protezione fisica e ambientale (PE)
Pianificazione (PL)
Gestione del programma (PM)
Sicurezza del personale (PS)
Valutazione del rischio (RA)
Acquisizione di sistemi e servizi (SA)
Protezione del sistema e delle comunicazioni (SC)
Integrità del sistema e delle informazioni (SI)

In che modo il NIST SP 800-53 si collega al FISMA?

Il Federal Information Security Management Act (FISMA) è una legge federale degli Stati Uniti che definisce un quadro completo per proteggere le informazioni, le operazioni e le risorse governative dalle minacce naturali e artificiali, compresi gli attacchi informatici.

La FISMA richiede alle agenzie governative federali, alle agenzie statali con programmi federali e alle aziende del settore privato che supportano, vendono o ricevono servizi dal governo di sviluppare, documentare e implementare controlli di sicurezza delle informazioni basati sul rischio basati sui controlli delineati nel NIST SP 800-53.

Una volta che le organizzazioni sono in grado di dimostrare un efficace programma di sicurezza delle informazioni con controlli di sicurezza e privacy stabiliti, viene loro assegnata un'Autorità di Operare (ATO).

L'ATO deve essere rivalutata su base annuale.

In che modo il NIST SP 800-53 si collega a FedRAMP?

Il Federal Risk and Authorization Management Program (FedRAMP) è progettato per facilitare la contrattazione tra le agenzie federali e i fornitori di servizi cloud.

Come FISMA, i controlli di FedRAMP si basano su NIST 800-53.

Il processo di certificazione FedRAMP richiede che un'organizzazione di valutazione di terze parti (3PAO) valuti i controlli di sicurezza del fornitore di servizi cloud.

Ciò avviene attraverso un piano di valutazione della sicurezza (SAP), l'esecuzione di valutazioni iniziali e periodiche dei controlli di sicurezza e la produzione di un rapporto di valutazione della sicurezza (SAR).

Questi beni vengono quindi sottoposti al Joint Authorization Board o a un'agenzia per la revisione.

Se autorizzati, i fornitori di servizi cloud ricevono un'autorizzazione a operare (ATO) e vengono inseriti nel marketplace FedRAMP per consentire ad altre agenzie di trovare servizi che soddisfino le loro esigenze e i requisiti di sicurezza.

L'ATO viene rivisto su base annuale dal 3PAO o più frequentemente in caso di richieste di deviazione o modifiche significative.

Chi pubblica NIST SP 800-53?

NIST SP 800-53 è pubblicato dal National Institute of Standards and Technology (NIST), un'agenzia non regolamentare del Dipartimento del Commercio.

Il NIST è stato istituito per incoraggiare e assistere l'innovazione e la scienza attraverso la promozione e il mantenimento di una serie di standard industriali, come il NIST Cybersecurity Framework.

NIST SP 800-53 è uno di quegli standard e linee guida progettati per aiutare le agenzie federali e gli appaltatori a soddisfare i requisiti stabiliti dal Federal Information Security Management Act (FISMA). L'altro mandato del NIST è quello di sviluppare gli standard federali per l'elaborazione delle informazioni (FIPS).

Quando è stato aggiornato l'ultima volta il NIST SP 800-53?

L'aggiornamento più recente è stata la Revisione 4 dell'aprile 2013 da parte del Joint Task Force Transformation Initiative Interagency Working Group, parte di una partnership in corso per la sicurezza delle informazioni tra il Dipartimento della Difesa, la Comunità dell'Intelligence, il Comitato per i Sistemi di Sicurezza Nazionale, la Sicurezza Nazionale e le agenzie civili federali.

Le linee guida sono state riviste per stare al passo con i cambiamenti in aree come il mobile, il cloud computing, le minacce interne, la sicurezza delle applicazioni e la gestione del rischio dei fornitori.

Quali sono le modifiche al NIST SP 800-53 Revisione 5?

La bozza finale del NIST SP 800-53 Revision 5, Security and Privacy Controls for Information Systems and Organizations, è stata rilasciata a dicembre 2018 con la data di pubblicazione finale fissata per marzo 2019.

Noterete che la Revisione 5 ha rimosso la parola "federale" dal titolo per indicare che le linee guida possono essere applicate a qualsiasi organizzazione.

Il NIST ritiene che questo cambiamento renderà il documento più accessibile alle organizzazioni non federali e private, incoraggiandole a utilizzare gli standard e le linee guida.

L'altro grande cambiamento che arriva con la Revisione 5 è un'attenzione molto maggiore alla privacy rispetto ai suoi predecessori. La revisione 4 mirava a portare la privacy in primo piano nella progettazione e nell'implementazione del sistema, tuttavia i controlli sulla privacy erano separati dai controlli di sicurezza.

La revisione 5 ha integrato i controlli della privacy nel catalogo dei controlli di sicurezza per creare un set unificato di controlli per sistemi e organizzazioni. Ciò è probabilmente dovuto alla crescente popolarità delle leggi extraterritoriali sulla protezione dei dati come GDPR, PIPEDA, SHIELD Act, LGPD e CCPA.

Altre importanti modifiche includono:

Rendere i controlli di sicurezza e privacy basati sui risultati modificando la struttura dei controlli
Separazione del processo di selezione dei controlli dai controlli effettivi, consentendo l'utilizzo dei controlli da parte di gruppi diversi come ingegneri di sistema, sviluppatori di software, architetti aziendali e proprietari di aziende
Eliminazione del termine sistema informativo, sostituendolo con il termine sistema in modo che i controlli possano essere applicati a qualsiasi tipo di sistema, inclusi i sistemi generici, i sistemi cyber-fisici, i sistemi di controllo industriale/di processo e i dispositivi IoT
Promozione dell'integrazione con diverse metodologie di gestione del rischio e approcci alla sicurezza informatica, compreso il NIST Cybersecurity Framework
Chiarimento del rapporto tra sicurezza e privacy per migliorare la selezione dei controlli necessari per affrontare l'intera portata dei rischi per la sicurezza e la privacy
Incorporazione di nuovi controlli all'avanguardia basati sull'intelligence sulle minacce e su dati empirici, compresi controlli per rafforzare la sicurezza informatica, la governance della privacy e la responsabilità

A partire da settembre 2019, la revisione 5 è stata ritardata a causa di un potenziale disaccordo tra l'Office of Information and Regulatory Affairs (OIRA) e altre agenzie statunitensi.

La tua azienda è a rischio di violazione dei dati?

Noi di UpGuard siamo in grado di proteggere la tua azienda dalle violazioni dei dati e di aiutarti a monitorare continuamente la posizione di sicurezza di tutti i tuoi fornitori.

CLICCA QUI per ottenere subito la tua valutazione di sicurezza GRATUITA!