Главная / Глоссарий / NIST Cybersecurity Framework (CSF)

NIST Cybersecurity Framework (CSF) — что это, 5 функций, применение

NIST Cybersecurity Framework (CSF) — это добровольный набор руководящих принципов, стандартов и лучших практик, созданный Национальным институтом стандартов и технологий США (NIST) для помощи организациям в управлении и снижении киберрисков. Он предоставляет общий язык, позволяющий бизнесу и техническим специалистам оценивать, приоритезировать и сообщать о своих усилиях в области безопасности.

Простыми словами: Это глобальный «золотой стандарт» кибербезопасности, который помогает любой организации понять, насколько она защищена от кибератак, и что нужно сделать, чтобы стать более устойчивой.

Содержание

Что такое NIST Cybersecurity Framework?

NIST CSF был разработан в ответ на указ президента США о повышении кибербезопасности критической инфраструктуры. Однако вскоре он стал общепризнанным мировым стандартом для организаций любого размера и сектора. Фреймворк состоит из трех основных компонентов: Ядро (Core), Уровни (Tiers) и Профили (Profiles).

В 2024 году была выпущена новая версия — NIST CSF 2.0, в которую была добавлена шестая функция «Govern» (Управление). Тем не менее, классическая версия с пятью функциями остается наиболее известной и широко применяемой.

📌 Важно: Несмотря на то, что NIST CSF — американский стандарт, его принципы универсальны и используются во всем мире, в том числе и в России, как основа для построения систем управления информационной безопасностью.

5 Функций NIST CSF (Структура ядра)

Ядро фреймворка состоит из пяти ключевых функций, которые описывают полный цикл управления кибербезопасностью. Эти функции должны реализовываться одновременно и непрерывно.

ФункцияОписаниеКлючевые вопросы
Идентификация (Identify) Понимание и управление киберрисками для систем, активов, данных и возможностей организации. Что мы защищаем? Каковы наши главные риски?
Защита (Protect) Внедрение соответствующих мер защиты для обеспечения бесперебойной работы критических сервисов. Какие меры защиты мы внедрили (контроль доступа, шифрование, обучение)?
Обнаружение (Detect) Идентификация факта возникновения инцидента кибербезопасности. Как мы узнаем об атаке? Есть ли у нас системы мониторинга?
Реагирование (Respond) Принятие немедленных действий для сдерживания и ликвидации последствий атаки. Что мы делаем при обнаружении атаки? Есть ли план реагирования?
Восстановление (Recover) Поддержание устойчивости и восстановление нарушенных сервисов и данных. Как мы восстановим данные и возобновим работу после атаки?

📌 Новое в версии 2.0: В NIST CSF 2.0 появилась функция «Govern» (Управление), которая фокусируется на управлении рисками, корпоративном управлении и согласованности стратегии кибербезопасности с бизнес-целями.

Инфографика: 5 функций NIST CSF
Identify, Protect, Detect, Respond, Recover.

Уровни внедрения (Implementation Tiers)

Уровни реализации помогают организации понять, насколько зрелым и формализованным является ее подход к кибербезопасности. Они варьируются от частичного до адаптивного.

Уровень (Tier)Описание
Tier 1: Частичный (Partial) Реактивный подход. Риски выявляются и управляются ad-hoc, без формальной политики.
Tier 2: Осознанный (Risk Informed) Риски осознаются, но подход к управлению ими не стандартизирован на уровне всей организации.
Tier 3: Повторяемый (Repeatable) Формальные политики и процедуры внедрены и регулярно применяются.
Tier 4: Адаптивный (Adaptive) Наивысший уровень. Организация проактивно адаптирует свою защиту на основе уроков из прошлых инцидентов и меняющегося ландшафта угроз.
Инфографика: Уровни внедрения NIST CSF
Partial -> Risk Informed -> Repeatable -> Adaptive.

Профили (Profiles)

Профиль — это «карта» текущего и желаемого состояния кибербезопасности организации.

  • Текущий профиль: Описывает существующие результаты и меры безопасности в организации.
  • Целевой профиль: Описывает желаемое состояние безопасности, которого организация хочет достичь.

Сравнивая текущий и целевой профили, организация может выявить пробелы в своей системе безопасности и разработать дорожную карту для их устранения. Это делает NIST CSF не просто теоретическим документом, а практическим инструментом для улучшения ИБ.

Сравнение NIST CSF и ISO 27001

Оба стандарта широко используются в мире, но имеют разные подходы и цели.

КритерийNIST CSFISO 27001
Тип Фреймворк (гибкий, адаптивный) Стандарт (сертифицируемый, строгий)
Фокус Управление киберрисками Управление информационной безопасностью (ISMS)
Сертификация Нет сертификации Возможна сертификация
Обязательность в РФ Рекомендательный Рекомендательный (но часто требуется для контрактов)
Структура Функции, Категории, Подкатегории Клаузы (пункты) и Приложение A (контроли)

На практике эти два стандарта часто дополняют друг друга. Многие компании используют NIST CSF как основу для построения стратегии, а затем сертифицируются по ISO 27001 для подтверждения своего уровня безопасности перед партнерами.

Часто задаваемые вопросы (FAQ)

Может ли российская компания использовать NIST CSF?
Да, может. NIST CSF — это открытый фреймворк, который можно адаптировать под любую организацию. В России он часто используется как дополнительный инструмент для совершенствования системы ИБ, наряду с обязательными требованиями ФСТЭК.
Что такое NIST CSF 2.0?
Это обновленная версия фреймворка, выпущенная в 2024 году. Ключевое нововведение — добавление шестой функции «Govern» (Управление), которая подчеркивает важность корпоративного управления в вопросах кибербезопасности.
Сколько времени занимает внедрение NIST CSF?
Это зависит от размера организации и зрелости ее ИБ-процессов. Первичная оценка и разработка целевого профиля может занять от нескольких недель до нескольких месяцев.
Кто использует NIST CSF?
Фреймворк используют компании из различных секторов: от финансов и здравоохранения до энергетики и производства. Также его активно используют государственные ведомства США.
Является ли NIST CSF заменой антивируса или брандмауэра?
Нет. NIST CSF — это стратегический документ, который определяет политику и процедуры. Антивирусы и брандмауэры — это тактические инструменты, которые являются частью реализации функций Protect и Detect.
Как NIST CSF связан с требованиями Банка России?
Прямой связи нет. Но многие финансовые организации используют NIST CSF для построения внутренней системы управления рисками, чтобы более эффективно выполнять требования ГОСТ Р 57580.1 и других регуляторных актов.

Связанные термины

Информационная безопасность (ИБ) Кибербезопасность Риск Информационная безопасность

Смотрите также

ФСТЭК России Информационная безопасность (ИБ)

Экспертная помощь по ИБ

Ответим на любые вопросы по защите информации и поможем выбрать решение

Или звоните: +7 (495) 777-75-77