หน่วยงานราชการใดเป็นผู้กำหนดมาตรฐานเทคโนโลยีสารสนเทศและความปลอดภัยทางไซเบอร์ของรัฐบาลกลางสหรัฐอเมริกา
สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) เป็นหน่วยงานหลักที่รับผิดชอบในการพัฒนาและประกาศมาตรฐานเทคโนโลยีสารสนเทศและความปลอดภัยทางไซเบอร์สำหรับหน่วยงานราชการของสหรัฐอเมริกา NIST อยู่ภายใต้กระทรวงพาณิชย์ของสหรัฐอเมริกา และมีบทบาทสำคัญในการกำหนดแนวทางปฏิบัติที่ดีที่สุด (Best Practices) สำหรับการรักษาความปลอดภัยข้อมูลรัฐบาล
บทบาทและหน้าที่ของ NIST
NIST ไม่ได้เพียงแต่ประกาศมาตรฐานเท่านั้น แต่ยังดูแลให้มั่นใจว่ามาตรฐานเหล่านั้นได้รับการอัปเดตและพัฒนาอย่างต่อเนื่องเพื่อให้สอดคล้องกับภัยคุกคามทางไซเบอร์ที่เปลี่ยนแปลงไปเรื่อยๆ มาตรฐานที่ได้รับความนิยมและใช้งานอย่างแพร่หลายคือ NIST Cybersecurity Framework (CSF) และชุดมาตรฐาน NIST SP 800 Series ซึ่งครอบคลุมทุกด้านของความปลอดภัยข้อมูล ตั้งแต่การประเมินความเสี่ยง การควบคุมการเข้าถึง จนถึงการตอบสนองต่อเหตุการณ์ทางไซเบอร์
หน่วยงานอื่นที่เกี่ยวข้องกับความปลอดภัยทางไซเบอร์
- กระทรวงการต่างประเทศ (DHS) - ผ่าน CISA (Cybersecurity and Infrastructure Security Agency) รับผิดชอบด้านการปกป้องโครงสร้างพื้นฐานสำคัญของประเทศ
- กระทรวงกลาโหม (DoD) - จัดการด้านความปลอดภัยทางไซเบอร์ในมิติทหาร และรับรองว่าไซเบอร์สเปซเป็นโดเมนการรบที่ 5
- FBI - เป็นหน่วยงานบังคับใช้กฎหมายหลักในการสืบสวนอาชญากรรมทางไซเบอร์
มาตรฐานสำคัญของ NIST ที่ควรรู้จัก
- NIST SP 800-53 - มาตรฐานการควบคุมความปลอดภัยและความเป็นส่วนตัวสำหรับระบบข้อมูลของรัฐบาลกลาง
- NIST SP 800-171 - ข้อกำหนดสำหรับการปกป้องข้อมูลที่ควบคุมได้ (CUI) ในระบบที่ไม่ใช่ของรัฐบาล
- NIST CSF - เฟรมเวิร์กความปลอดภัยทางไซเบอร์ที่องค์กรทุกขนาดสามารถนำไปปรับใช้ได้
- NIST SP 800-37 - กระบวนการจัดการความเสี่ยง (Risk Management Framework - RMF)
ความสำคัญของมาตรฐาน NIST
มาตรฐานของ NIST ไม่ได้บังคับใช้กับหน่วยงานรัฐบาลอย่างเดียว แต่กลายเป็นมาตรฐานอุตสาหกรรมที่องค์กรเอกชน หลายแห่งนำไปใช้เป็นแนวทางในการสร้างระบบความปลอดภัยทางไซเบอร์ การปฏิบัติตามมาตรฐาน NIST ช่วยให้องค์กรสามารถแสดงให้เห็นถึงความพยายามในการปกป้องข้อมูล (Due Diligence) และสอดคล้องกับข้อกำหนดทางกฎหมายต่างๆ เช่น FISMA, HIPAA, และ CMMC
สรุป
คำตอบที่ชัดเจนคือ NIST (National Institute of Standards and Technology) เป็นหน่วยงานราชการของสหรัฐอเมริกาที่มีอำนาจและหน้าที่ประกาศมาตรฐานเทคโนโลยีสารสนเทศและความปลอดภัยทางไซเบอร์ของรัฐบาลกลาง โดยมาตรฐานเหล่านี้ได้รับการยอมรับและนำไปใช้ระดับสากล ทำให้องค์กรทั่วโลกให้ความสำคัญกับการนำมาตรฐานของ NIST ไปปฏิบัติจริง
