Mye brukt sikkerhetsrammeverk er nå tilgjengelig på norsk

NIST Cybersecurity Framework (CSF), som er et sett med retningslinjer og kontroller for å redusere teknologiske og organisatoriske risikoer knyttet til cyber, personopplysninger og annen informasjon innen kritisk infrastruktur og private og offentlige virksomheter, er for første gang utgitt på norsk.

Rammeverket er utgitt av det amerikanske byrået US National Institute of Standards and Technology (NIST), som er underlagt USAs handelsdepartement. Det brukes av virksomheter og organisasjoner over hele verden som en taksonomi og en metodikk for å vurdere og administrere sikkerhetsarbeid. Det tilbyr også veiledninger om hvordan man administrerer, konfigurerer og operasjonaliserer sikkerhetsinnstillinger for beskyttelse av data i en cyber- og informasjonssikkerhetskontekst.

NIST CSF er oversatt til en rekke språk, men fram til nå ikke til norsk.

Den norske oversettelsen

Den norske oversettelsen er gjort av Tor-Ståle Hansen, som har nesten 30 års bakgrunn fra nasjonal og internasjonal IKT og industrielle kontrollsystemer. Ifølge Hansen dreier det seg om et hundre prosent privat initiativ som han så smått startet på for mer enn tre år siden. Dette er gjort med tillatelse fra NIST.

– Cybersikkerhet, informasjonssikkerhet og personopplysningsvern (CIP) handler om åpenhet, informasjonsdeling og tilgjengelighet. For mange handler det om at engelsk språk kan være utfordrende i seg selv, og for forvaltningen er den en mulig hindring, svarer Hansen på spørsmål om hvorfor han har tatt initiativ til oversettelsen.

Ifølge Hansen brukes NIST-rammeverket av alle store virksomheter globalt, men dette har ikke vært mulig i norsk, offentlig forvaltning fordi rammeverket ikke har vært tilgjengelig på norsk.

Den norske oversettelsen og tilretteleggingen av NIST CSF heter «NOR CSR (Norsk Cyber Sikkerhets Rammeverk) – Grunnleggende rammeverk for styrking av den digitale sikkerheten i kritisk infrastruktur». Denne ventes publisert av NIST på denne siden i løpet av de nærmeste ukene, og det vil være gratis å laste ned. Tor-Ståle Hansen har gitt Digi.no tillatelse til å gjøre oversettelsen tilgjengelig for nedlasting allerede nå.

Omfattende kontrollkatalog

I tillegg til det grunnleggende rammeverket, inngår i tillegg en rekke spesialpublikasjoner for alle kontrolltiltakene i NIST SP 800-53. Ifølge Hansen beskriver disse hvordan forsvarlig sikkerhet etableres og vedlikeholdes.

Den første norske versjonen av spesialpublikasjonene vil ifølge Hansen trolig bli utgitt senere i år. De vil på norsk hete «NOR SP (Norsk Spesial Publikasjon) 800-53, kontroller for styrking av digital sikkerhet i kritisk infrastruktur».

– Katalogen består av tusen enkeltkontroller, med individuelle utfallskontroller og kryssreferanser fordelt på 22 hovedkategorier og 98 underkategorier. Til sammenligning utgjør NSMs grunnprinsipper og veiledninger i overkant av hundre kontroller fordelt på fem kategorier, forteller Hansen.

Han viser til Sintef-rapporten «Grunnprinsipper for IKT-sikkerhet i industrielle IKT-systemer» fra 2021 hvor det skal fremkomme at nesten halvparten av NSMs grunnprinsipper for IKT-sikkerhet ikke dekker NISTs grunnleggende rammeverk for cybersikkerhet for kritisk infrastruktur, sett fra industrielle cyber- og informasjonssikkerhetsbehov.

Behov for mer tilpassing

Om den norske utgaven forteller Hansen at det dreier seg om en 1:1-oversettelse. Utgaven er foreløpig ikke justert og tilrettelagt for norske, rettslige bestemmelser. Til dette er det nødvendig med kompetanse utover den Hansen selv har. Han er derfor i dialog med ulike fagmiljøer, for å se på muligheten for å etablere en fagredaksjon for fremtidige versjoner og publikasjoner.

Hansen har også tatt kontakt med forlag i håp om at det kan få den profesjonelle redaksjonelle styringen som han mener prosjektet fortjener. Så langt har det ikke materialisert seg noe konkret ut av dette.