NIST SP 800-53
O NIST SP 800-53 Rev. 5 é o catálogo de controlos de segurança e privacidade a partir do qual os sistemas federais dos EUA, e muitas das organizações que lhes prestam serviços, selecionam os seus controlos, e a Release 5.2.0 é a atual. O Complyanz ajuda-o a selecionar, adaptar, implementar e documentar os seus controlos: propõe a linha de base de controlos baixa, moderada ou elevada a partir da sua categorização FIPS 199, acrescenta a linha de base de privacidade quando precisa dela, regista cada decisão de adaptação com a respetiva justificação e mantém num só local os valores dos parâmetros, as declarações de implementação e o plano de ação e marcos (POA&M).
Um só catálogo, da linha de base ao POA&M
Que linha de base se aplica e o que contém
O FIPS 200 seleciona a linha de base a partir do nível de impacto mais elevado para a confidencialidade, a integridade e a disponibilidade no seu sistema e nos respetivos tipos de informação. O Complyanz sugere-a, o utilizador confirma-a, e cada controlo é marcado como aplicável ou não, com o motivo escrito ao lado. Uma decisão tomada manualmente nunca é substituída.
| Linha de base | Quando se aplica | Itens |
|---|---|---|
| Baixa | Sistemas em que uma perda de confidencialidade, integridade ou disponibilidade teria um efeito adverso limitado | 149 |
| Moderada | Sistemas em que essa perda teria um efeito adverso grave | 287 |
| Elevada | Sistemas em que essa perda teria um efeito adverso severo ou catastrófico | 370 |
| Privacidade | Acrescentada a qualquer linha de base de segurança quando o sistema trata dados pessoais | 96 |
As linhas de base são cumulativas: tudo o que consta da baixa consta da moderada, e tudo o que consta da moderada consta da elevada. A pertença é por item, pelo que um reforço de controlo nunca fica implícito no item de que depende. Os controlos de gestão do programa não constam de nenhuma linha de base de segurança porque são aplicados à escala da organização; ative-os no seu perfil para os incluir. Os 591 itens que não integram nenhuma linha de base continuam disponíveis para adição através da adaptação.
Selecione, adapte, implemente e documente
O que está incluído e o que não está
Fonte: NIST SP 800-53 Rev. 5 (Release 5.2.0), https://doi.org/10.6028/NIST.SP.800-53r5
Comece por qualquer referencial e acrescente os restantes mais tarde
O SP 800-53 tem pontos em comum com a ISO/IEC 27001 no controlo de acessos, no registo de eventos, na resposta a incidentes e no risco de fornecedores. A correspondência do próprio NIST mostra que controlos da ISO se relacionam com cada controlo do 800-53, pelo que o trabalho registado uma só vez fica visível nos dois programas.
Incluído no plano Completo ou como adicional
O módulo NIST SP 800-53 está incluído no plano Completo e pode ser adicionado a qualquer outro plano, com preço definido pelo número de pessoas no âmbito, tal como os próprios planos.
Perguntas frequentes sobre o NIST SP 800-53
De que linha de base precisamos?
Depende da sua categorização FIPS 199. Classifica o impacto de uma perda de confidencialidade, integridade e disponibilidade para o sistema e para cada tipo de informação que este trata, e a classificação mais elevada seleciona a baixa, a moderada ou a elevada. O Complyanz sugere essa linha de base e recusa uma inferior; pode escolher uma superior. Acrescente a linha de base de privacidade quando o sistema trata dados pessoais.
Isto é FedRAMP?
Não. O módulo abrange as linhas de base de controlos baixa, moderada, elevada e de privacidade do próprio NIST, definidas no SP 800-53B. As linhas de base, os valores de parâmetros e os modelos do FedRAMP não estão incluídos, e o relatório ao estilo SSP e a exportação do POA&M não são documentos do FedRAMP.
O Complyanz concede uma autorização para operar?
Não. Só a sua autoridade de autorização pode autorizar a operação de um sistema (ATO), depois de os seus controlos terem sido avaliados. O Complyanz regista a aprovação da linha de base adaptada por essa autoridade e a aceitação do risco nos itens do POA&M. Não avalia controlos nem prevê essa decisão.
As declarações dos controlos são traduzidas?
Não. As declarações dos controlos são apresentadas no texto oficial em inglês do NIST SP 800-53 Rev. 5 (Release 5.2.0). O NIST não publica tradução para português nem para espanhol. A interface, os títulos dos controlos, os documentos e os cenários de risco estão traduzidos, e os títulos traduzidos estão assinalados como tradução não oficial.
Podemos adaptar a linha de base?
Sim. Pode retirar um controlo do âmbito, com uma consideração de âmbito, como a tecnologia ou o acesso público, e uma justificação escrita, indicar controlos compensatórios ou complementar a linha de base com qualquer outro controlo. Cada decisão fica guardada com a respetiva justificação para o relatório ao estilo SSP, e qualquer alteração anula a aprovação da linha de base adaptada até que a sua autoridade de autorização a volte a aprovar.
Como isso se relaciona com a ISO 27001 e o CSF?
O NIST publica uma correspondência do SP 800-53 com a ISO/IEC 27001:2022 e outra do CSF 2.0 com o SP 800-53. O Complyanz utiliza ambas tal como o NIST as publica: a correspondência com a ISO liga controlos relacionados sem afirmar que são equivalentes, e sete itens acrescentados em versões posteriores ainda não têm correspondência com a ISO. O CSF 2.0 surge como referências em cada controlo e como cobertura por função no hub.
Escolha a sua linha de base do NIST SP 800-53
Crie uma organização, registe a categorização FIPS 199 do seu sistema e veja que controlos se aplicam ao seu caso, e porquê.