Як обрати стандарт
Спершу те, що застосовується за законом, далі те, що вимагає ринок, і лише потім — рамки для внутрішнього управління.
Обов’язкове за законом
- Фінансовий сектор → DORA
- Критично важливі сектори → NIS2
- Виробники ПЗ і пристроїв для ринку ЄС → Cyber Resilience Act
Вимоги ринку та внутрішнє управління
- Тендери й договори → ISO/IEC 27001
- Звітність правлінню й донорам → NIST CSF 2.0
- Швидкий технічний старт → CIS Controls v8.1
- Кадри та освіта → CyBOK
Опитувальник для вибору
Кожна відповідь звужує перелік: документи, що не стосуються вашої ситуації, відпадають із поясненням.
Сектор діяльності
Головна мета
Розмір організації
Ринки та партнери
Що вам підходить
Поради щодо вибору
Шість правил, які скорочують шлях від переліку документів до рішення.
Починайте з зобов’язань, а не з бажань
Спершу перевірте, чи ваша галузь підпадає під обов’язкові вимоги. Добровільний стандарт не заміняє регуляторної норми, тоді як виконання норми часто вже покриває частину добровільних вимог.
Один основний документ, решта — допоміжні
Оберіть один стандарт як основу системи управління, а інші використовуйте як джерело конкретних заходів. Спроба впроваджувати два стандарти паралельно як рівноправні дає подвійну роботу.
Спочатку базова гігієна
Якщо в організації немає інвентаризації активів, оновлень і багатофакторної аутентифікації, будь-який стандарт почнеться саме з них. Має сенс закрити цей рівень до вибору сертифікації.
Сертифікація — це витрати на утримання
Сертифікат вимагає щорічного нагляду й повторного аудиту. Обирайте цей шлях, коли є зовнішня вимога: партнер, донор, ринок або регулятор.
Перевіряйте мапування, а не перекладайте двічі
Більшість документів мають готові таблиці відповідності між собою. Виконаний контроль ISO часто зараховується як виконана вимога NIST або CIS — це скорочує обсяг робіт.
Розмір організації змінює обсяг, не суть
Малій організації достатньо коротших політик і меншої кількості доказів, але перелік вимог залишається тим самим. Не пропускайте вимогу — спрощуйте її виконання.