NIST SP 800-53
O NIST SP 800-53 Rev. 5 é o catálogo de controles de segurança e privacidade do qual os sistemas federais dos EUA, e muitas das organizações que os atendem, selecionam seus controles, e a Release 5.2.0 é a atual. O Complyanz ajuda você a selecionar, ajustar, implementar e documentar seus controles: propõe a linha de base baixa, moderada ou alta a partir da sua categorização FIPS 199, acrescenta a linha de base de privacidade quando você precisa dela, registra cada decisão de ajuste com sua justificativa e mantém em um só lugar os valores dos parâmetros, as declarações de implementação e o plano de ação e marcos (POA&M).
Um só catálogo, da linha de base ao POA&M
Qual linha de base se aplica e o que ela contém
O FIPS 200 seleciona a linha de base a partir do nível de impacto mais alto para confidencialidade, integridade e disponibilidade no seu sistema e nos tipos de informação dele. O Complyanz sugere a linha de base, você a confirma, e cada controle é marcado como aplicável ou não, com o motivo escrito ao lado. Uma decisão tomada por você manualmente nunca é sobrescrita.
| Linha de base | Quando se aplica | Itens |
|---|---|---|
| Baixa | Sistemas em que uma perda de confidencialidade, integridade ou disponibilidade teria um efeito adverso limitado | 149 |
| Moderada | Sistemas em que essa perda teria um efeito adverso grave | 287 |
| Alta | Sistemas em que essa perda teria um efeito adverso severo ou catastrófico | 370 |
| Privacidade | Acrescentada a qualquer linha de base de segurança quando o sistema trata dados pessoais | 96 |
As linhas de base são cumulativas: tudo o que está na baixa está na moderada, e tudo o que está na moderada está na alta. A participação é por item, portanto um aprimoramento nunca fica implícito no item principal. Os controles de gestão do programa não estão em nenhuma linha de base de segurança porque são implantados em toda a organização; ative-os no seu perfil para incluí-los. Os 591 itens fora de qualquer linha de base continuam disponíveis para adição por meio do ajuste.
Selecione, ajuste, implemente e documente
O que está incluído e o que não está
Fonte: NIST SP 800-53 Rev. 5 (Release 5.2.0), https://doi.org/10.6028/NIST.SP.800-53r5
Comece por qualquer framework e adicione os outros depois
O SP 800-53 tem pontos em comum com a ISO/IEC 27001 em controle de acesso, registro de logs, resposta a incidentes e risco de fornecedores. O mapeamento do próprio NIST mostra quais controles da ISO se relacionam com cada controle do 800-53, de modo que o trabalho registrado uma vez fica visível nos dois programas.
Incluído no plano Completo ou como adicional
O módulo NIST SP 800-53 está incluído no plano Completo e pode ser adicionado a qualquer outro plano, com preço pelo número de pessoas no escopo, como os próprios planos.
Perguntas frequentes sobre o NIST SP 800-53
De qual linha de base precisamos?
Ela segue a sua categorização FIPS 199. Você classifica o impacto de uma perda de confidencialidade, integridade e disponibilidade para o sistema e para cada tipo de informação que ele trata, e a classificação mais alta seleciona baixa, moderada ou alta. O Complyanz sugere essa linha de base e recusa uma menor; você pode escolher uma maior. Acrescente a linha de base de privacidade quando o sistema tratar dados pessoais.
Isto é FedRAMP?
Não. O módulo cobre as linhas de base baixa, moderada, alta e de privacidade do próprio NIST, definidas no SP 800-53B. As linhas de base, os valores de parâmetros e os modelos do FedRAMP não estão incluídos, e o relatório no estilo SSP e a exportação do POA&M não são documentos do FedRAMP.
O Complyanz concede uma autorização para operar?
Não. Só a sua autoridade de autorização pode autorizar a operação de um sistema (ATO), depois que os controles dele forem avaliados. O Complyanz registra a aprovação da linha de base ajustada por essa autoridade e a aceitação do risco nos itens do POA&M. Ele não avalia controles nem prevê essa decisão.
As declarações dos controles são traduzidas?
Não. As declarações dos controles são exibidas no texto oficial em inglês do NIST SP 800-53 Rev. 5 (Release 5.2.0). O NIST não publica tradução para o português nem para o espanhol. A interface, os títulos dos controles, os documentos e os cenários de risco são traduzidos, e os títulos traduzidos são marcados como tradução não oficial.
Podemos ajustar a linha de base?
Sim. Você pode excluir um controle do escopo, com uma consideração de escopo, como tecnologia ou acesso público, e uma justificativa por escrito, indicar controles compensatórios ou complementar a linha de base com qualquer outro controle. Cada decisão é guardada com sua justificativa para o relatório no estilo SSP, e qualquer alteração limpa a aprovação da linha de base ajustada até que sua autoridade de autorização a aprove de novo.
Como isso se relaciona com a ISO 27001 e o CSF?
O NIST publica um mapeamento do SP 800-53 para a ISO/IEC 27001:2022 e outro do CSF 2.0 para o SP 800-53. O Complyanz usa os dois como o NIST os publica: o mapeamento com a ISO liga controles relacionados sem afirmar que são equivalentes, e sete itens acrescentados em versões posteriores ainda não têm mapeamento com a ISO. O CSF 2.0 aparece como referências em cada controle e como cobertura por função no hub.
Escolha a sua linha de base do NIST SP 800-53
Crie uma organização, registre a categorização FIPS 199 do seu sistema e veja quais controles se aplicam a você, e por quê.