NIST Siber Güvenlik Çerçevesi (CSF)

NIST Siber Güvenlik Çerçevesi (CSF) nedir?

NIST Siber Güvenlik Çerçevesi (Cybersecurity Framework, CSF), ABD Ulusal Standartlar ve Teknoloji Enstitüsü (NIST) tarafından yayımlanan, kuruluşların siber güvenlik risklerini anlamalarına, yönetmelerine ve iletişim kurmalarına yardımcı olan gönüllü bir çerçevedir. Sertifikasyon standardı değil, bir yol gösterici rehberdir. Boyutu ve sektörü fark etmeksizin her kuruluş kullanabilir.

Çerçeve belirli teknolojileri dayatmaz; hedeflenen sonuçları tanımlar. Bu sayede ISO 27001, CIS Kontrolleri gibi diğer standartlarla birlikte kullanılabilir.

Nasıl çalışır?

CSF’nin çekirdeği, güvenlik faaliyetlerini işlevler altında toplar. Güncel sürümde bu işlevler Yönet (Govern), Tanımla (Identify), Koru (Protect), Tespit Et (Detect), Müdahale Et (Respond) ve Kurtar (Recover) olarak sıralanır. Her işlev kategorilere ve alt kategorilere ayrılır; bunlar ulaşılmak istenen güvenlik sonuçlarını anlatır.

Kuruluşlar mevcut durumlarını gösteren bir profil ile hedef profili karşılaştırır; aradaki fark, iyileştirme planının temelini oluşturur. Uygulama kademeleri ise riskin yönetiminin ne kadar olgun yürütüldüğünü tanımlamaya yarar.

Sunucu ve hosting ortamında

Bir hosting ya da sunucu işletmesi CSF’yi kendi faaliyetlerini sınıflandırmak için kullanabilir: varlık envanteri ve risk değerlendirmesi (Tanımla), erişim kontrolü, yama ve yedekleme (Koru), günlük izleme ve saldırı tespiti (Tespit Et), olay müdahale planı (Müdahale Et) ve felaket kurtarma (Kurtar). Böylece teknik kontroller tek bir bütün içinde görünür hale gelir.

Nasıl uygulanır?

• Önce kapsamı ve kritik varlıkları belirleyin; hangi sistem ve verilerin korunacağını netleştirin.
• Mevcut kontrollerinizi altı işleve göre eşleyerek güncel profilinizi çıkarın.
• Risk iştahınıza uygun bir hedef profil belirleyin ve aradaki boşlukları önceliklendirin.
• Eylem planını sorumlu ve takvimle yürütün; ilerlemeyi düzenli gözden geçirin.
• Çerçeveyi bir kez uygulayıp bırakmayın; tehditler ve işiniz değiştikçe profilinizi güncelleyin.

Sık yapılan hatalar

• CSF’yi sertifika alınacak bir standart sanmak.
• Çerçeveyi bir kontrol listesi gibi işaretleyip risk temelli düşünmeyi atlamak.
• Yönetişim ve yönetim desteğini ihmal edip yalnızca teknik kontrollere odaklanmak.
• Hedef profili gerçekçi kaynaklarla eşleştirmemek.