NIST SP 800-53 Rev. 5
NIST SP 800-53: o catálogo de controles de referência
Implementamos os controles de segurança e privacidade do NIST para que você cumpra requisitos do governo dos Estados Unidos e eleve sua maturidade.
O que é o NIST SP 800-53?
Mais de mil controles organizados em 20 famílias
A Special Publication 800-53 do NIST dos Estados Unidos é um catálogo de controles de segurança e privacidade para sistemas de informação e organizações.
É a base do FedRAMP para os serviços em nuvem do governo norte-americano e é usado junto com o NIST Cybersecurity Framework 2.0 e o Risk Management Framework.
A revisão 5 é neutra em relação à tecnologia e ao setor, por isso é adotada cada vez mais por bancos, seguradoras e empresas privadas.
Famílias de controles
Do acesso à cadeia de suprimentos
AU · Auditoria e responsabilização
CM · Gestão de configuração
IA · Identificação e autenticação
IR · Resposta a incidentes
RA · Avaliação de riscos
SC · Proteção de sistemas e comunicações
SR · Risco da cadeia de suprimentos
Fases
Como implementamos
- 1Categorização dos sistemas conforme seu impacto.
- 2Seleção da linha de base e adaptação dos controles.
- 3Implementação e documentação no plano de segurança do sistema (SSP).
- 4Avaliação dos controles com os procedimentos do SP 800-53A.
- 5Plano de ação e marcos (POA&M) para fechar lacunas.
- 6Monitoramento contínuo e preparação para o FedRAMP ou auditorias de clientes.
Linhas de base
Três níveis conforme o impacto
Baixa
Para sistemas cujo comprometimento teria um efeito limitado.
Moderada
Efeito grave. É a linha de base mais usada, inclusive no FedRAMP Moderate.
Alta
Efeito severo ou catastrófico sobre operações, ativos ou pessoas.
Também existe uma linha de base de privacidade, aplicada quando o sistema processa informações pessoais.
Por que NIST SP 800-53
Um marco que fala a língua dos seus clientes
Contratos com os Estados Unidos
Você cumpre os requisitos de agências e contratadas federais.
Caminho para o FedRAMP
Seu serviço em nuvem fica preparado para a autorização.
Mapeamento com a ISO 27001
O NIST publica a correspondência com outros marcos e você reaproveita seu trabalho.
Controles mensuráveis
Cada controle tem procedimentos de avaliação definidos.
A quem se aplica
Governo, contratadas e setores regulados
- Fornecedores do governo dos Estados Unidos
- Serviços em nuvem que buscam o FedRAMP
- Defesa e aeroespacial
- Bancos e seguradoras
- Infraestrutura crítica
- Empresas que buscam um catálogo de controles detalhado
Perguntas frequentes
O que mais nos perguntam
O que é o NIST SP 800-53?
É o catálogo de controles de segurança e privacidade do Instituto Nacional de Padrões e Tecnologia dos Estados Unidos, hoje na revisão 5.
É possível certificar?
Não é uma certificação: avalia-se o cumprimento dos controles. Para serviços em nuvem do governo, o FedRAMP concede autorizações baseadas no SP 800-53.
Qual a diferença em relação ao NIST Cybersecurity Framework?
O CSF define resultados de cibersegurança de alto nível; o SP 800-53 detalha os controles concretos para alcançá-los.
Serve se eu já tenho ISO 27001?
Sim. O NIST publica a correspondência entre os dois marcos: você reaproveita grande parte do trabalho e soma os controles que faltam.
Precisa demonstrar controles NIST?
Escolhemos a linha de base certa e levamos você a uma avaliação sem surpresas.