NIST Cybersecurity Framework 2.0: מדריך ליישום NIST בארגון ב־2026
ארגונים נדרשים לנהל סיכוני סייבר בסביבה עסקית מורכבת: מערכות ענן, עובדים מרחוק, ספקים חיצוניים, אפליקציות, מידע רגיש וכלי בינה מלאכותית פועלים יחד ומרחיבים את משטח החשיפה.
רכישת מוצרי אבטחה אינה מספיקה כדי לנהל את הסיכון. הארגון צריך להגדיר אחריות, לזהות נכסים ותהליכים קריטיים, לבחור בקרות מתאימות, לנטר אירועים, לתרגל תגובה ולבנות יכולת התאוששות.
NIST Cybersecurity Framework 2.0, המוכרת גם בשם NIST CSF 2.0 או NIST 2.0, מספקת לארגונים שפה ומבנה לניהול הפעילות הזו. המסגרת מאפשרת להבין את המצב הקיים, להגדיר מצב יעד, לזהות פערים ולבנות תוכנית עבודה שמתאימה לסיכונים ולמטרות העסקיות.
NIST פרסם את הגרסה הסופית של CSF 2.0 בפברואר 2024. נכון לשנת 2026, זו עדיין הגרסה המרכזית של המסגרת. המונח “NIST 2026” אינו שם של גרסת CSF חדשה, אלא מתייחס בעיקר למדריכים, לכלי יישום ולפרסומים משלימים ש־NIST ממשיך לפתח סביב CSF 2.0.
מהו NIST?
NIST הוא המכון הלאומי לתקנים וטכנולוגיה של ארצות הברית. הוא פועל במסגרת מחלקת המסחר האמריקאית ומפתח תקנים, הנחיות, מסגרות וכלים בתחומים כמו סייבר, אבטחת מידע, פרטיות, זהויות דיגיטליות ובינה מלאכותית.
אחד הפרסומים המזוהים ביותר עם NIST הוא ה-Cybersecurity Framework. הגרסה הראשונה פורסמה בשנת 2014, וגרסה 2.0 הרחיבה את המסגרת כך שתתאים באופן מפורש לארגונים מכל גודל, ענף ורמת בשלות.
NIST CSF אינה מוצר אבטחה ואינה תקן הסמכה. היא מסגרת גמישה שמסייעת לארגון להגדיר מה הוא רוצה להשיג בתחום ניהול סיכוני הסייבר, בלי להכתיב טכנולוגיה או ספק מסוימים.
מהו NIST Cybersecurity Framework 2.0?
NIST CSF 2.0 היא מסגרת לניהול ולהפחתת סיכוני סייבר. היא מציגה תוצאות רצויות שהארגון יכול להשתמש בהן כדי לבחון את פעילותו, לתכנן שיפור ולתקשר את מצב הסיכון להנהלה ולבעלי העניין.
המסגרת מסייעת לארגון לענות על שאלות כמו:
- מי אחראי על ניהול סיכוני הסייבר?
- אילו מערכות, נתונים ותהליכים קריטיים לפעילות?
- מהם הסיכונים המרכזיים?
- אילו בקרות כבר קיימות?
- מהו המצב הרצוי?
- אילו פערים דורשים טיפול?
- כיצד מתעדפים תקציבים ומשאבים?
- כיצד מודדים התקדמות?
- כיצד מנהלים ספקים ושרשרת אספקה?
- כיצד נערכים לאירוע ולהתאוששות?
המסגרת אינה מחייבת את הארגון ליישם את כל התוצאות באותה רמה. היא מאפשרת להתאים את היישום לענף, לגודל, לרגישות המידע, לדרישות החוזיות ולרמת הסיכון שההנהלה מוכנה לקבל.
מה השתנה ב-NIST CSF 2.0?
הוספת פונקציית Govern
השינוי הבולט ביותר בגרסה 2.0 הוא הוספת פונקציית Govern – ממשל.
בגרסאות הקודמות המסגרת כללה חמש פונקציות. NIST CSF 2.0 כוללת שש:
- Govern
- Identify
- Protect
- Detect
- Respond
- Recover
הוספת Govern מדגישה שאבטחת סייבר אינה אחריות בלעדית של צוותי IT ואבטחה. ההנהלה נדרשת להגדיר מדיניות, סמכויות, סדרי עדיפויות, דרישות, משאבים ורמת סיכון מקובלת.
התאמה לכל סוגי הארגונים
NIST CSF 2.0 נועדה לשמש ארגונים פרטיים וציבוריים, חברות קטנות וגדולות, ארגוני טכנולוגיה, גופים פיננסיים, מוסדות בריאות, תעשייה, שירותים ותשתיות.
עסק קטן יכול להשתמש במסגרת כדי לזהות כמה פעולות מרכזיות, בעוד ארגון בינלאומי יכול לבנות פרופילים שונים לפי יחידה, מדינה, מערכת או שירות.
חיזוק ניהול סיכוני ספקים
הגרסה החדשה נותנת משקל משמעותי יותר ל-Cybersecurity Supply Chain Risk Management.
ארגון נדרש לבחון לא רק את המערכות שבשליטתו, אלא גם ספקי ענן, בתי תוכנה, שירותי IT, קבלני משנה וגורמים שמקבלים גישה למידע או לתשתיות.
חיבור לניהול הסיכונים הארגוני
CSF 2.0 מחברת את סיכוני הסייבר לתהליך ניהול הסיכונים הכללי של הארגון. הסייבר צריך להופיע בדיוני הנהלה, בתכנון תקציב, בבחירת ספקים, בהמשכיות עסקית ובניהול כוח האדם.
במרץ 2026 פרסם NIST את SP 1308, מדריך שמחבר בין CSF 2.0, ניהול סיכונים ארגוני וניהול כוח האדם. המדריך מסייע לארגונים לקשר בין הסיכונים שזוהו לבין התפקידים, הכישורים והמשאבים הדרושים לטיפול בהם.
שש הפונקציות של NIST CSF 2.0
Govern – ממשל
פונקציית Govern מגדירה כיצד הארגון מנהל את האחריות ואת קבלת ההחלטות בתחום הסייבר.
היא כוללת, בין היתר:
- אסטרטגיית סייבר.
- תיאבון וסבילות לסיכון.
- מדיניות ונהלים.
- תפקידים וסמכויות.
- פיקוח הנהלה.
- דרישות חוק, רגולציה וחוזים.
- ניהול סיכוני ספקים.
- הקצאת תקציב וכוח אדם.
Govern משפיעה על כל יתר הפונקציות. ללא אחריות ברורה ותהליך קבלת החלטות, קשה להפעיל תוכנית עקבית של הגנה, ניטור, תגובה והתאוששות.
Identify – זיהוי
פונקציית Identify עוסקת בהבנת הסביבה הארגונית והסיכונים שלה.
היא כוללת:
- מיפוי מערכות ונכסים.
- מיפוי מידע.
- זיהוי תהליכים עסקיים קריטיים.
- מיפוי ספקים ותלויות.
- הערכת סיכונים.
- זיהוי חולשות.
- תיעדוף נכסים.
- בחינת ההשפעה העסקית.
ארגון שאינו יודע אילו נכסים ותהליכים חיוניים לו אינו יכול לבחור בקרות מתאימות או לתכנן התאוששות.
Protect – הגנה
פונקציית Protect כוללת את הבקרות שמפחיתות את הסבירות לאירוע או את השפעתו.
לדוגמה:
- ניהול זהויות והרשאות.
- אימות רב־שלבי.
- הגנת מידע.
- הדרכות עובדים.
- ניהול תצורות.
- אבטחת תשתיות.
- תחזוקת מערכות.
- הפרדת סביבות.
- ניהול גיבויים.
- תכנון חוסן.
המטרה אינה ליישם כל בקרה אפשרית, אלא לבחור את הבקרות שמצמצמות את הסיכונים המשמעותיים ביותר.
Detect – זיהוי אירועים
פונקציית Detect עוסקת ביכולת לזהות פעילות חריגה ואירועי אבטחה.
היא כוללת:
- איסוף לוגים.
- ניטור מערכות ורשתות.
- זיהוי אנומליות.
- ניתוח התראות.
- הגדרת תרחישי זיהוי.
- סיווג אירועים.
- תהליך הסלמה.
- בדיקת אפקטיביות הניטור.
מערכת ניטור אינה מספיקה בפני עצמה. הארגון צריך להגדיר מי מקבל את ההתראה, מי חוקר אותה ומהו התהליך להפיכתה לאירוע מנוהל.
Respond – תגובה
פונקציית Respond מתייחסת לפעולות שהארגון מבצע לאחר זיהוי אירוע.
היא כוללת:
- הפעלת תוכנית תגובה.
- ניתוח והערכת האירוע.
- הכלה וצמצום הנזק.
- תיאום בין צוותים.
- תקשורת עם הנהלה ובעלי עניין.
- דיווח לגורמים נדרשים.
- תיעוד החלטות ופעולות.
- הפקת לקחים.
ארגון צריך לתרגל את תהליך התגובה מראש. בזמן אירוע אמיתי אין די זמן להתחיל להגדיר אחריות, ערוצי תקשורת וסמכויות.
Recover – התאוששות
פונקציית Recover עוסקת בשיקום השירותים, המערכות והמידע לאחר אירוע.
היא כוללת:
- שחזור מערכות ומידע.
- תיעדוף שירותים עסקיים.
- הפעלת תוכניות המשכיות.
- תקשורת עם לקוחות וספקים.
- חזרה מבוקרת לפעילות.
- בחינת פעולות השיקום.
- שיפור התוכניות בעקבות האירוע.
הארגון צריך לדעת מראש אילו מערכות הוא חייב לשקם תחילה, כמה זמן הוא יכול לפעול בלעדיהן ואילו ספקים דרושים לתהליך.
מהם המרכיבים המרכזיים של NIST CSF 2.0?
CSF Core
ה־CSF Core הוא מבנה של פונקציות, קטגוריות ותתי־קטגוריות שמתארות תוצאות רצויות.
NIST מפעיל Reference Tool שמאפשר לחפש, לסנן ולייצא את מרכיבי ה־Core, כולל פונקציות, קטגוריות, תתי־קטגוריות ודוגמאות יישום.
Organizational Profiles
פרופיל ארגוני מאפשר לתאר את אופן היישום של המסגרת בהקשר של ארגון מסוים.
מקובל לבנות שני פרופילים:
- Current Profile — המצב הנוכחי.
- Target Profile — המצב הרצוי.
ההשוואה בין הפרופילים מאפשרת לזהות פערים ולבנות תוכנית עבודה.
NIST מספק תבנית רשמית ליצירת Current Profile ו־Target Profile ולהצגת הפערים ביניהם.
Implementation Tiers
רמות היישום מתארות כיצד הארגון מנהל את סיכוני הסייבר ועד כמה התהליך עקבי, מתועד ומשולב בניהול הארגוני.
הרמות אינן ציון אבטחה ואינן תחליף לסקר סיכונים. הן מספקות הקשר לגבי הבשלות והעקביות של תהליך ניהול הסיכון.
NIST פרסם מדריך ייעודי שמסביר כיצד להשתמש ב־CSF Tiers יחד עם הפרופילים הארגוניים.
Informative References
Informative References מחברות בין תוצאות CSF 2.0 לבין תקנים, הנחיות וקטלוגים מפורטים יותר.
באמצעותן ניתן לקשר תוצאה מסוימת לבקרות ב־NIST SP 800-53, לדרישות ISO/IEC 27001 ולמקורות נוספים.
כך CSF מגדירה מה הארגון רוצה להשיג, והמסמכים המפורטים מסייעים להבין כיצד ניתן להשיג זאת.
NIST 2026: מה חדש בשנת 2026?
נכון ליולי 2026, NIST לא פרסם גרסה בשם NIST CSF 3.0 או “NIST CSF 2026”. הגרסה המרכזית נשארה CSF 2.0.
עם זאת, NIST ממשיך לפתח את סביבת היישום של המסגרת.
חיבור בין סייבר, ניהול סיכונים וכוח אדם
SP 1308, שפורסם במרץ 2026, מסייע לארגונים לקשר בין סיכוני סייבר, דרכי הטיפול בהם והחלטות לגבי כוח אדם.
המשמעות המעשית היא שתוכנית NIST אינה יכולה להסתיים ברשימת בקרות. הארגון צריך לבדוק אם קיימים בעלי תפקידים, כישורים, סמכויות וזמינות מספקת להפעלת הבקרות.
שימוש רחב יותר בפרופילים
NIST ממשיך לקדם שימוש ב־Organizational Profiles וב־Community Profiles כדי להתאים את CSF לענפים, קהילות וסוגי ארגונים שונים.
ארגון יכול להשתמש בפרופיל קיים כנקודת מוצא, אך עליו להתאים אותו לסיכונים, לדרישות ולפעילות שלו.
הרחבת כלי היישום
NIST ממשיך לעדכן כלים, מדריכי התחלה, תבניות ומיפויים שמסייעים לעבור מהמסגרת הכללית לתוכנית עבודה.
ספריית המשאבים של CSF 2.0 כוללת מדריכי התחלה מהירה, כלי מיפוי, דוגמאות יישום, שאלות נפוצות ומשאבים לעסקים קטנים.
מה הקשר בין NIST CSF 2.0 ל-NIST SP 800-171?
NIST CSF 2.0 ו־NIST SP 800-171 פורסמו על ידי אותו גוף, אך הם אינם אותו מסמך ואינם מיועדים לאותה מטרה.
NIST CSF 2.0 היא מסגרת רחבה לניהול סיכוני סייבר. היא מתאימה לארגונים מכל גודל וענף ומסייעת לנהל ממשל, זיהוי, הגנה, ניטור, תגובה והתאוששות.
NIST SP 800-171 מגדירה דרישות אבטחה להגנת Controlled Unclassified Information – מידע ממשלתי אמריקאי בלתי מסווג אך מבוקר, המכונה CUI – כאשר הוא נמצא במערכות של ארגונים שאינם גופים פדרליים. NIST פרסם את Revision 3 של SP 800-171 בשנת 2024.
ניתן לתמצת את ההבדל כך:
- NIST CSF 2.0: כיצד הארגון מנהל את תוכנית הסייבר הכוללת?
- NIST SP 800-171: אילו דרישות יש ליישם כדי להגן על CUI?
- NIST SP 800-171A: כיצד מעריכים את יישום הדרישות של 800-171?
ארגון שעובד מול הממשל הפדרלי בארצות הברית או כחלק משרשרת האספקה שלו עשוי להשתמש ב-CSF 2.0 כמסגרת־על לניהול הסיכונים, וב-SP 800-171 לצורך יישום והוכחת ההגנה הנדרשת על CUI.
שני המסמכים משלימים זה את זה, אך האחד אינו מחליף את האחר.
השוואה בין NIST CSF 2.0 ל־NIST SP 800-171
| נושא | NIST CSF 2.0 | NIST SP 800-171 |
|---|---|---|
| מטרה | ניהול כולל של סיכוני סייבר | הגנת CUI |
| קהל יעד | כל סוגי הארגונים | ארגונים לא־פדרליים שמחזיקים CUI |
| מבנה | פונקציות, קטגוריות ותוצאות | דרישות אבטחה |
| אופי היישום | גמיש ומבוסס סיכון | ממוקד בדרישות להגנת מידע |
| שימוש נפוץ | תוכנית סייבר, ממשל, בשלות ופערים | חוזים פדרליים ושרשרת אספקה אמריקאית |
| הערכה | פרופילים, פערים ומדדי התקדמות | מתודולוגיית הערכה ב-800-171A |
| הסמכה רשמית של NIST | אין | אין תעודת NIST רשמית |
ליווי ליישום NIST CSF ו-NIST 800-171 של אינפוגארד
שמחפשים ליווי מעשי עבור NIST CSF ו-NIST 800-171, השירות של המומחים שלנו באינפוגארד יכול לכלול
- מיפוי CUI.
- Gap Analysis.
- בניית תוכנית עבודה.
- הטמעת בקרות.
- איסוף Evidence.
- הכנה לדרישת לקוח, חוזה או ביקורת.
- ליווי ליישום NIST CSF2.
- ליווי לעמידה בדרישות SP 800-171.
עמוד השירות הקיים של אינפוגארד כבר מציג ליווי מקצה לקצה עבור ארגונים שפועלים מול השוק הפדרלי בארצות הברית או כחלק משרשרת אספקה אמריקאית.
ליווי ליישום NIST CSF ו-NIST 800-171
למי מתאימה NIST CSF 2.0?
המסגרת מתאימה למגוון רחב של ארגונים:
- חברות פרטיות.
- גופים ציבוריים.
- חברות טכנולוגיה ו־SaaS.
- מוסדות פיננסיים.
- ארגוני בריאות.
- תעשייה וייצור.
- חברות שפועלות במספר מדינות.
- ספקי שירות וענן.
- עסקים קטנים ובינוניים.
- ארגונים שמפעילים שירותים חיוניים.
- חברות שנדרשות להציג תוכנית סייבר ללקוחות.
המסגרת גמישה מספיק כדי לשמש ארגון קטן לבניית תוכנית ראשונית, וארגון גדול לבניית מערך ניהול רב־שנתי.
האם NIST CSF 2.0 הוא תקן מחייב?
NIST CSF 2.0 היא בדרך כלל מסגרת וולונטרית. היא הופכת לדרישה מעשית כאשר לקוח, רגולטור, מכרז, חוזה או גוף ממשלתי דורשים להשתמש בה.
המסגרת אינה תקן הסמכה כמו ISO/IEC 27001 NIST אינו מנפיק תעודת “NIST CSF 2.0 Certified”.
ארגון יכול לבצע סקר פערים, לבנות Current Profile ו־Target Profile, לתעד ראיות ולהציג את מצב היישום, אך עליו להימנע מהצגת התהליך כהסמכה רשמית של NIST.
מה ההבדל בין NIST CSF 2.0 ל־ISO/IEC 27001?
שתי המסגרות עוסקות בניהול אבטחת מידע וסיכונים, אך הן פועלות בצורה שונה.
NIST CSF 2.0
- מסגרת גמישה לניהול סיכוני סייבר.
- מבוססת על תוצאות רצויות.
- כוללת שש פונקציות.
- אינה מסגרת הסמכה.
- מתאימה לתכנון, תיעדוף ודיווח.
- ניתנת להתאמה לפי ארגון וסיכון.
ISO/IEC 27001
- תקן למערכת ניהול אבטחת מידע.
- כולל דרישות פורמליות.
- מאפשר הסמכה חיצונית.
- דורש בניית ISMS מתועד.
- מתאים לארגונים שמבקשים להוכיח עמידה בתקן בינלאומי.
ארגון יכול להשתמש בשתי המסגרות יחד. NIST CSF יכולה לשמש לניהול ולתיעדוף, ו־ISO 27001 לבניית מערכת ניהול פורמלית ולהסמכה.
מה ההבדל בין NIST CSF 2.0 ל־NIST SP 800-53?
NIST CSF 2.0 מציגה תוצאות ברמה גבוהה. NIST SP 800-53 מספקת קטלוג מפורט של בקרות אבטחה ופרטיות.
אפשר לתאר זאת כך:
- NIST CSF: מה הארגון צריך להשיג?
- NIST SP 800-53: אילו בקרות מפורטות עשויות לסייע לו להשיג זאת?
Informative References מאפשרות לחבר בין תוצאות CSF לבין בקרות מפורטות במסמכים כמו SP 800-53.
מה ההבדל בין NIST CSF לסקר סיכונים?
NIST CSF היא מסגרת לניהול תוכנית הסייבר לאורך זמן.
סקר סיכונים הוא תהליך ממוקד שמזהה תרחישים, מעריך סבירות והשפעה ומציג רמות סיכון.
סקר הסיכונים מספק מידע שמשמש את פונקציות Govern ו-Identify ואת בניית הפרופילים.
במילים פשוטות:
- NIST CSF: כיצד מנהלים את תוכנית הסייבר?
- סקר סיכונים: מהם הסיכונים ומהי רמתם?
- סקר פערים: אילו תוצאות או בקרות חסרות?
- תוכנית עבודה: מי מטפל, במה ומתי?
כיצד מיישמים NIST CSF 2.0 בארגון?
1. מגדירים מטרות
הארגון צריך להחליט מדוע הוא משתמש במסגרת.
מטרות אפשריות:
- בניית תוכנית סייבר.
- שיפור ממשל ואחריות.
- דיווח להנהלה.
- דרישת לקוח.
- ניהול ספקים.
- הכנה לביקורת.
- תכנון תקציב.
- שילוב בין יחידות.
- שיפור יכולת התגובה.
- בניית תוכנית רב־שנתית.
2. מגדירים היקף
יש לקבוע אם ההערכה כוללת:
- את כל הארגון.
- יחידה עסקית.
- מערכת או מוצר.
- סביבת ענן.
- חברה־בת.
- תהליך עסקי.
- פעילות במדינה מסוימת.
- סביבה שמעבדת CUI.
היקף ברור מונע הערכה כללית מדי ומאפשר לאסוף ראיות רלוונטיות.
3. ממפים את ההקשר הארגוני
בשלב זה מזהים:
- יעדים עסקיים.
- תהליכים קריטיים.
- מערכות ומידע.
- ספקים ותלויות.
- דרישות חוק וחוזים.
- בעלי תפקידים.
- סיכוני סייבר.
- משאבים וכוח אדם.
- רמת סיכון מקובלת.
4. מבצעים סקר סיכונים
הארגון מזהה תרחישים שעלולים לפגוע בפעילות, מעריך סבירות והשפעה ובודק את הבקרות הקיימות.
לאחר מכן הוא יכול לקשר את הסיכונים לתוצאות הרלוונטיות ב-CSF.
5. בונים Current Profile
ה-Current Profile מתאר את המצב הקיים.
יש לבחון ראיות ולא להסתפק בהצהרות. לדוגמה:
- מדיניות מאושרת.
- רשימות נכסים.
- דוחות הרשאות.
- הסכמי ספקים.
- תוצאות תרגילים.
- לוגים והתראות.
- תוכניות תגובה.
- דוחות שחזור.
- תיעוד הדרכות.
- פרוטוקולים של ועדות סיכון.
6. בונים Target Profile
ה-Target Profile מתאר את המצב שאליו הארגון רוצה להגיע.
מצב היעד צריך להתאים:
- לסיכונים המרכזיים.
- לצרכים העסקיים.
- לדרישות חוק וחוזים.
- ליכולת התקציבית.
- לכוח האדם.
- לרמת הבשלות.
- ללוח הזמנים.
7. מנתחים את הפערים
ההשוואה בין Current Profile ל-Target Profile עשויה לחשוף:
- אחריות לא ברורה.
- מדיניות חסרה.
- תהליכים שאינם עקביים.
- בקרות טכנולוגיות חסרות.
- מחסור בראיות.
- ספקים שאינם מפוקחים.
- יכולות ניטור חלקיות.
- תהליך תגובה שלא תורגל.
- חוסר בכוח אדם או בכישורים.
8. מתעדפים לפי סיכון
לא כל פער דורש טיפול מיידי.
יש לקשר כל פער לסיכון עסקי ולבחון:
- מה עלול לקרות?
- אילו שירותים ייפגעו?
- מהי הסבירות?
- מה תהיה ההשפעה?
- האם קיימת בקרה מפצה?
- מהו הסיכון השיורי?
- מהי עלות הטיפול?
9. בונים תוכנית עבודה
לכל משימה יש להגדיר:
- פעולה.
- בעל אחריות.
- מועד.
- תקציב.
- תלות במשימות אחרות.
- מדד הצלחה.
- ראיות נדרשות.
- הסיכון שהפעולה מצמצמת.
10. מדווחים להנהלה
דיווח אפקטיבי צריך להציג:
- הסיכונים המרכזיים.
- הפערים המהותיים.
- המצב הנוכחי.
- מצב היעד.
- תוכנית הטיפול.
- משאבים נדרשים.
- חסמים.
- החלטות שדורשות אישור.
- שינוי ברמת הסיכון.
11. בודקים ומעדכנים
יש לעדכן את הפרופילים לאחר:
- שינוי ארגוני.
- מעבר לענן.
- הכנסת ספק חדש.
- מיזוג או רכישה.
- אירוע סייבר.
- שינוי רגולטורי.
- הטמעת AI.
- שינוי במערכות.
- סיום תוכנית טיפול.
- קבלת CUI או התחייבות חוזית חדשה.
כיצד מבצעים סקר פערי NIST?
סקר פערים מול NIST CSF 2.0 בוחן את המצב הקיים מול תוצאות היעד שהארגון בחר.
התהליך כולל:
- הגדרת מטרות והיקף.
- בחירת תוצאות רלוונטיות.
- איסוף מסמכים וראיות.
- ראיונות עם בעלי תפקידים.
- בניית Current Profile.
- בניית Target Profile.
- זיהוי פערים.
- קישור הפערים לסיכונים.
- תיעדוף פעולות.
- בניית תוכנית עבודה.
- הצגת הממצאים להנהלה.
- מעקב אחר היישום.
סקר איכותי אינו מסתפק בסימון “מיושם” או “לא מיושם”. הוא בוחן אם התהליך פועל, מי אחראי עליו, האם קיימות ראיות והאם הארגון מודד את האפקטיביות.
יישום NIST CSF בחברות ישראליות
חברות בישראל משתמשות ב-NIST CSF כדי:
- לבנות תוכנית סייבר ארגונית.
- להציג ממשל ובשלות ללקוחות.
- לענות על שאלוני אבטחה.
- לנהל ספקים.
- להכין תוכנית עבודה רב־שנתית.
- לחבר בין אבטחה להמשכיות עסקית.
- להשוות בין יחידות.
- לתכנן תקציב.
- לשפר דיווח להנהלה.
- להתכונן לפעילות בשוק האמריקאי.
NIST CSF אינה מחליפה את הדין הישראלי. ארגון צריך למפות בנפרד את חוק הגנת הפרטיות, תקנות הגנת הפרטיות, דרישות ענפיות והתחייבויות חוזיות.
עם זאת, ניתן להשתמש ב-CSF כמסגרת־על שמארגנת את הסיכונים, הדרישות ותוכנית העבודה.
NIST CSF בארגונים בינלאומיים
חברה שפועלת במספר מדינות יכולה להשתמש במסגרת כדי ליצור שפה אחידה בין המטה, חברות־הבת והצוותים המקומיים.
הארגון יכול:
- להגדיר Target Profile גלובלי.
- לבצע התאמות מקומיות.
- להשוות בין יחידות ומדינות.
- לבנות מדדים אחידים.
- למפות דרישות רגולטוריות שונות.
- לנהל ספקים גלובליים.
- לתאם תהליכי תגובה.
- לדווח להנהלה במבנה עקבי.
המסגרת אינה מבטלת את הצורך לבחון את הדין בכל מדינה. היא מסייעת לאחד את התוצאות הרצויות ואת שיטת הניהול.
טעויות נפוצות ביישום NIST 2.0
מתייחסים למסגרת כאל Checklist
CSF אינה רשימת סימון אחידה. ארגון צריך להתאים את הפרופיל לסיכונים, לפעילות ולדרישות שלו.
מתחילים ממוצרי אבטחה
היישום צריך להתחיל ב־Govern וב־Identify: מטרות, אחריות, נכסים, תהליכים וסיכונים.
מנסים ליישם הכול
אין צורך להגיע מיד לרמה מלאה בכל תחום. יש להתמקד תחילה בסיכונים ובהשפעות החשובים ביותר.
אינם מגדירים Target Profile
ללא מצב יעד הארגון יודע היכן הוא נמצא, אך אינו יודע לאן הוא רוצה להגיע.
אינם דורשים Evidence
הצהרה שתהליך קיים אינה מוכיחה שהארגון מפעיל אותו. יש לבדוק מסמכים, תוצאות, לוגים, אישורים, תרגילים ומדדים.
אינם מחברים פערים לסיכון
פער ללא הקשר עסקי אינו מאפשר תיעדוף נכון.
משאירים את ההנהלה מחוץ לתהליך
פונקציית Govern מחייבת מעורבות הנהלה. צוות IT אינו יכול להחליט לבדו על קבלת סיכון, סדרי עדיפויות ותקציב.
מתעלמים מכוח אדם
תוכנית סייבר דורשת תפקידים, מיומנויות וזמינות. SP 1308 מחזק את הצורך לחבר את תוכנית הסייבר לתכנון כוח האדם.
מערבבים בין CSF ל-800-171
CSF היא מסגרת ניהולית רחבה. 800-171 מתמקדת בהגנת CUI. ערבוב ביניהן עלול ליצור היקף שגוי, ציפיות לא נכונות ותוכנית עבודה שאינה מתאימה לדרישה החוזית.
תוכנית פעולה ליישום NIST CSF 2.0
ארגון שמעוניין להתחיל יכול לפעול בעשרה שלבים:
- למנות גורם שמוביל את התהליך.
- להגדיר מטרות והיקף.
- למפות מערכות, מידע ותהליכים.
- לבצע סקר סיכונים.
- לבנות Current Profile.
- להגדיר Target Profile.
- לזהות ולדרג פערים.
- לבנות תוכנית עבודה.
- להציג אותה להנהלה.
- למדוד התקדמות ולעדכן את הפרופילים.
ארגון שמעבד CUI צריך להוסיף לתהליך גם מיפוי של המידע, תחולת SP 800-171, הערכת הדרישות ואיסוף ראיות מתאימות.
כיצד אינפוגארד מסייעת ביישום NIST CSF 2 ו-NIST 800-171?
אינפוגארד מסייעת לארגונים להפריד בין הדרישות, להגדיר את ההיקף הנכון ולהפוך את מסמכי NIST לתוכנית עבודה מעשית.
השירותים יכולים לכלול:
- סקר פערים מול NIST CSF 2.0.
- בניית Current Profile.
- בניית Target Profile.
- סקר סיכוני סייבר ואבטחת מידע.
- הערכת בשלות.
- מיפוי מערכות, תהליכים וספקים.
- מיפוי CUI.
- Gap Analysis מול NIST SP 800-171.
- בדיקת דרישות באמצעות 800-171A.
- בניית תוכנית טיפול.
- הטמעת בקרות ארגוניות וטכנולוגיות.
- איסוף וארגון Evidence.
- הכנה לביקורת או לדרישת לקוח.
- דיווח להנהלה.
- ליווי יישום שוטף.
- שירותי CISO במיקור חוץ.
המטרה אינה לסמן סעיפים ללא הקשר. המטרה היא להבין אילו דרישות חלות, מהם הסיכונים, אילו בקרות חסרות וכיצד הארגון יכול להוכיח שהן פועלות.
NIST CSF 2.0 הופכת את הסייבר לתהליך ניהולי
הערך המרכזי של NIST Cybersecurity Framework 2.0 אינו נמצא רק בשש הפונקציות. הוא נמצא ביכולת לחבר בין סיכונים, הנהלה, תהליכים, ספקים, כוח אדם ותוכנית עבודה.
Govern מגדירה אחריות. Identify מספקת תמונת מצב. Protect ו-Detect עוסקות בצמצום הסיכון ובזיהוי אירועים. Respond ו-Recover מסייעות לארגון לנהל את המשבר ולחזור לפעילות.
כאשר הארגון משלב Current Profile, Target Profile, סקר סיכונים ותוכנית טיפול, הוא הופך את המסגרת מכלי תיאורטי לתהליך עבודה מדיד.
עבור ארגונים שפועלים מול השוק הפדרלי בארצות הברית, נדרש להוסיף שכבה ממוקדת יותר: לזהות CUI, להבין את תחולת NIST SP 800-171, ליישם את הדרישות ולאסוף Evidence שמוכיח את היישום.
רוצים ליישם NIST CSF 2.0 או NIST SP 800-171 בארגון?
מומחי אינפוגארד יסייעו לכם להגדיר את ההיקף, לבצע סקר פערים, לבנות Current Profile ו־Target Profile, למפות CUI, לתעדף בקרות ולהכין תוכנית עבודה ותיק ראיות.
למידע על ליווי לעמידה ב-NIST CSF וב־NIST SP 800-171.
יצירת קשר עם מומחי אבטחת מידע של אינפוגארד
שאלות נפוצות על NIST CSF 2.0
מהו NIST Cybersecurity Framework 2.0?
זוהי מסגרת לניהול סיכוני סייבר באמצעות שש פונקציות: Govern, Identify, Protect, Detect, Respond ו־Recover.
מתי פורסמה NIST CSF 2.0?
NIST פרסם את הגרסה הסופית ב-26 בפברואר 2024.
האם קיימת גרסת NIST 2026?
נכון ליולי 2026, הגרסה המרכזית היא עדיין CSF 2.0. במהלך 2026 פורסמו משאבים ומדריכי יישום משלימים, אך לא CSF 3.0.
מהי פונקציית Govern?
Govern עוסקת באסטרטגיה, אחריות, מדיניות, פיקוח הנהלה, דרישות, סיכוני ספקים והקצאת משאבים.
האם NIST CSF היא חובה?
בדרך כלל לא. היא עשויה להפוך לדרישה כאשר לקוח, חוזה, רגולטור או מכרז מפנים אליה.
האם ניתן לקבל הסמכת NIST?
NIST אינו מנפיק הסמכת CSF 2.0 רשמית. ניתן לבצע סקר פערים ולהציג Evidence, אך לא נכון להציג זאת כתעודת NIST.
מה ההבדל בין NIST CSF ל־NIST 800-171?
CSF היא מסגרת רחבה לניהול סיכוני סייבר. 800-171 מגדירה דרישות להגנת CUI במערכות של ארגונים לא־פדרליים.
מהו NIST SP 800-171A?
זהו מסמך שמספק נהלי הערכה ומתודולוגיה לבדיקת דרישות האבטחה של SP 800-171.
האם NIST CSF מתאים לעסק קטן?
כן. NIST מספק משאבים ומדריכי התחלה שמאפשרים לעסקים קטנים להתאים את המסגרת להיקף ולסיכון שלהם.
מה ההבדל בין Current Profile ל־Target Profile?
Current Profile מתאר את המצב הקיים. Target Profile מתאר את המצב הרצוי. ההשוואה ביניהם משמשת לבניית תוכנית העבודה.
האם NIST CSF מחליפה סקר סיכונים?
לא. סקר הסיכונים מספק מידע על תרחישים, סבירות והשפעה. CSF מסייעת לנהל את התוכנית על בסיס המידע הזה.
האם אפשר לשלב NIST עם ISO 27001?
כן. ארגונים יכולים להשתמש ב־CSF לניהול ולתיעדוף וב־ISO 27001 לבניית מערכת ניהול פורמלית ולהסמכה.
המידע המוצג במאמר זה נועד למטרות מידע והעשרה בלבד ואינו מהווה ייעוץ מקצועי, רגולטורי, משפטי או טכנולוגי. כל ארגון נדרש לבחון את צרכיו, הסיכונים והדרישות החלות עליו באמצעות אנשי מקצוע מתאימים.
המאמר נכתב בשיתוף מומחי אבטחת המידע והסייבר של Infoguard מקבוצת IDOR, ונערך על ידי ROY KISCH, חובב אבטחת מידע, סייבר ומנהל השיווק של קבוצת חברות עידור (Messagent, Infoguard, Idornext).
