Comparativo entre o NIST Cybersecurity Framework 1.1 e o Cybersecurity Capability Maturity Model (C2M2) 1.1
Apresentamos os principais referenciais para avaliar o nível de maturidade atual de uma organização no que diz respeito à cibersegurança dos seus ambientes industriais e/ou infraestruturas críti...
É muito comum que uma das primeiras intervenções que uma organização preocupada em melhorar os níveis de segurança OT necessite seja realizar uma avaliação do seu nível de maturidade atual no que diz respeito à cibersegurança dos seus ambientes industriais e/ou infraestruturas críticas. Para tal, existem diferentes referenciais, melhores práticas, regulamentos e/ou normas que ajudam a realizar esta análise. Entre eles, podemos destacar os seguintes:
- C2M2 (Cybersecurity Capability Maturity Model)
- NIST Cybersecurity Framework 1.1
- DHS Catalog of Control Systems Security: Recommendations for Standards Developers
- NERC Critical Infrastructure Protection (CIP) Standards 002-009
- NIST Special Publication 800-82, Guide to Industrial Control Systems Security
- NIST Special Publication 800-53, Recommended Security Controls for Federal Information Systems
- NIST Cybersecurity Framework NRC Regulatory Guide 5.71 Cyber Security Programs for Nuclear Facilities
- Committee on National Security Systems Instruction (CNSSI) 1253
- INGAA Control Systems Cyber Security Guidelines for the Natural Gas Pipeline Industry
- NISTIR 7628 Guidelines for Smart Grid Cyber Security.
Como referimos no início, a maioria deles ajuda as organizações a avaliar o seu nível de maturidade relativamente à cibersegurança dos seus ambientes industriais, a estabelecer o nível objetivo que a organização pretende alcançar neste âmbito e a definir um conjunto de iniciativas e/ou projetos que permitam alcançar esse nível objetivo num tempo e recursos a determinar.
Neste whitepaper, esboçamos o alcance de dois referenciais amplamente utilizados: o Cybersecurity Framework v1.1, desenvolvido pelo NIST (National Institute of Standards and Technology) e o Cybersecurity Capability Maturity Model (C2M2) 1.1, desenvolvido pelo DHS (Department of Homeland Security) e, por sua vez, aprovado pelo NIST.
Além disso, propomos uma série de critérios que ajudarão as organizações a selecionar o referencial mais adequado, tendo em conta a sua idiossincrasia, bem como as suas restrições temporais e orçamentais.
