Порівняння стандартів
Порівнюйте застосування стандартів, вимоги до сертифікації та аудиту.
| Документ | Обов’язковість | Підтвердження | Хто перевіряє | Кому застосовувати | Країна |
|---|---|---|---|---|---|
| CyBOK v1.1 | Добровільний збірник знань | Немає | — | Розроблення програм і професійне навчання | Велика Британія |
| DORA | Обов’язковий у визначеній сфері; нагляд за критичними ІКТ-постачальниками | Наглядові перевірки | Регулятор + TLPT | Стійкість фінансових послуг і керування ІКТ-залежностями | ЄС |
| ENISA Guidelines | Рекомендації; правові вимоги перевіряють окремо | Немає | — | Вибір заходів, розвиток команди та перевірка готовності | ЄС |
| NIS2 | Обов’язкова в межах сфери дії та національного впровадження | Наглядові перевірки | Регулятор | Безперервність критичних послуг та виконання застосовних обов’язків | ЄС |
| ISO/IEC 27001 | Добровільний; конкретні зобов’язання можуть випливати із законодавства або договору | Сертифікація СУІБ організації третьою стороною | Внутрішні аудити; зовнішні — за програмою сертифікації | Керування інформаційними ризиками в організації | Міжнародний (ISO/IEC) |
| NIST CSF 2.0 | Переважно добровільний; окремі вимоги перевіряють за контекстом | Немає (самооцінка) | Внутрішня оцінка | Керування кіберризиками, пріоритети захисту та звітування | США |
| Cyber Resilience Act | Обов’язковий у сфері дії, з поетапним застосуванням | Оцінювання відповідності, CE | Внутрішній контроль або нотифікований орган залежно від категорії | Підготовка цифрового продукту до ринку ЄС і безпечної підтримки | ЄС |
| CIS Controls v8.1 | Добровільний; можливі договірні або місцеві вимоги | Самооцінка; окрема акредитація постачальників послуг | Оцінювання заходів за доказами | Пріоритезація, впровадження та перевірка кіберзахисту | США |
| ISO/IEC 27000:2018 | Оглядовий стандарт; не закон і не вимоги до сертифікації | — | — | Вступ до СУІБ та узгодження термінів | Міжнародний (ISO/IEC) |
| ECSF | Добровільна рамка професійних компетентностей | — | — | Планування кадрів, найм, освітні програми та розвиток кар’єри | ЄС |
| NICE Framework | Рамка опису роботи; застосування відповідно до контексту | — | — | Кадрове планування, навчання, профілі роботи | США |
| SFIA 9 | Добровільна рамка компетентностей; використання за ліцензією | — | — | Опис посад, розвиток команд і кар’єрне планування | Велика Британія |
| e-CF · EN 16234-1:2019 | Добровільний стандарт компетентностей | — | — | Профілі ІКТ-роботи, розвиток персоналу та освітні програми | ЄС |
| ESCO | Класифікація для узгодження термінів | — | — | Вакансії, навчальні програми та кар’єрне консультування | ЄС |
| EQF | Рекомендація; рамка кваліфікацій | — | — | Порівняння кваліфікацій, освітні програми, міжнародна мобільність | ЄС |
| UK Cyber Security Council | Професійні вимоги для реєстрації; окремі умови галузевих схем | — | — | Кар’єра, розвиток команди та професійне визнання | Велика Британія |
| ISACA | Довідкові матеріали; вимоги залежать від конкретного документа | — | — | Професійна термінологія, управління й аудит | США |
| ISC2 · CISSP Glossary | Довідковий навчальний матеріал | — | — | Навчання та узгодження професійної термінології | США |
| SANS / GIAC | Довідковий матеріал; не обов’язкова вимога | — | — | Розуміння термінів і підготовка зрозумілих технічних пояснень | США |
| EC-Council | Добровільні освітні програми й персональна сертифікація | — | — | Професійна підготовка та оцінювання навичок | Міжнародний |
| NCSC Glossary | Довідковий матеріал без самостійних обов’язкових вимог | — | — | Навчання, читання рекомендацій, узгодження робочої термінології | Велика Британія |
| CISA NICCS Glossary | Добровільний довідковий матеріал | — | — | Термінологія для навчання, комунікації та розвитку кадрів | США |
| Cyber Essentials v3.2 | Добровільна схема; може вимагатися конкретним контрактом | Cyber Essentials / Cyber Essentials Plus | Перевірена самооцінка; для Plus — технічні тести | Базовий захист ІТ та підтвердження вимог замовника | Велика Британія |
| MITRE ATT&CK | Добровільна технічна модель | Використання моделі не є сертифікацією | Перевірка конкретних можливостей захисту за доказами | Аналіз загроз, моніторинг і перевірка захисту | США |
| MITRE CWE | Добровільний технічний довідник | — | — | Аналіз причин дефектів і безпечне розроблення | США |
| MITRE CAPEC | Добровільна довідкова база знань | — | — | Моделювання загроз і перевірка захисних вимог | США |
| Cybersecurity Act · 2019/881 | Регламент ЄС; сертифікація добровільна, якщо закон не вимагає іншого | За конкретною ухваленою схемою | Оцінка відповідності за правилами схеми | Оцінювання доказів безпеки та вибір постачальників ІКТ | ЄС |
| GDPR | Обов’язковий у межах сфери застосування | — | — | Законна обробка даних, захист прав людей і керування ризиками приватності | ЄС |