การนำ NIST Cybersecurity Framework ไปใช้

ระดับการนำไปใช้ช่วยให้องค์กรอธิบายได้ว่าโปรแกรมการจัดการ cybersecurity ของตนมีความพร้อมมากน้อยเพียงใด ระดับเหล่านี้ยังใช้เป็นเกณฑ์ภายในเพื่อสร้างมาตรฐานแนวทางด้าน cybersecurity ให้สอดคล้องกันทั้งองค์กรได้

ระดับเหล่านี้ไม่ใช่ระดับความก้าวหน้าแบบ maturity องค์กรควรขยับไปสู่ระดับที่สูงขึ้นเมื่อมีทรัพยากรและงบประมาณเพียงพอในการลดความเสี่ยงด้าน cybersecurity

• Tier 1: Partial

  แนวทางการจัดการความเสี่ยงที่ไม่สม่ำเสมอและเป็นแบบ reactive โดยมีความเข้าใจเกี่ยวกับความเสี่ยงด้าน cybersecurity อย่างจำกัด

• Tier 2: Risk informed

  มีความเข้าใจเกี่ยวกับความเสี่ยงด้าน cybersecurity อยู่บ้าง แต่ยังวางระบบโปรแกรมการจัดการความเสี่ยงในระดับองค์กรได้อย่างจำกัด

• Tier 3: Repeatable

  มีโปรแกรมการจัดการความเสี่ยงด้าน cybersecurity ที่สม่ำเสมอทั่วทั้งองค์กร พร้อมกระบวนการตอบสนองตามการเปลี่ยนแปลงของภูมิทัศน์ภัยคุกคาม

• Tier 4: Adaptive

  มีระบบตอบสนองขั้นสูงที่สามารถปรับปรุงโปรแกรมการจัดการความเสี่ยงได้อย่างมีประสิทธิภาพ โดยอ้างอิงจากเหตุการณ์ที่ผ่านมาและตัวชี้วัดเชิงคาดการณ์

Framework Profile ช่วยให้องค์กรเข้าใจ security posture ปัจจุบันของตนตามผลลัพธ์ที่ระบุไว้ใน Framework หลังจากประเมินโปรไฟล์ปัจจุบันแล้ว องค์กรสามารถสร้างโปรไฟล์เป้าหมายได้โดยเลือกผลลัพธ์สำคัญภายใต้ฟังก์ชันของ Framework ตามเป้าหมายทางธุรกิจ ระดับความเสี่ยงที่ยอมรับได้ และทรัพยากรที่มี

เมื่อสร้างโปรไฟล์ปัจจุบันและเปรียบเทียบกับโปรไฟล์เป้าหมาย องค์กรจะสามารถระบุโอกาสในการปรับปรุงโปรแกรม cybersecurity ได้ และสามารถวางแผนมาตรการปรับปรุง cybersecurity ตามลำดับความสำคัญและต้นทุนโดยประมาณของการแก้ไข