מהו NIST SP 800-160?
הנדסת NIST SP 800-160 מתארת עקרונות, מושגים, פעילויות ומשימות לבניית מערכות אמינות ומאובטחות באמצעות הנדסת אבטחת מערכות. המהדורה העדכנית, Volume 1 Revision 1, Engineering Trustworthy Secure Systems, פורסמה בנובמבר 2022. היא מתייחסת לאבטחה כתכונה הנדסית שנבנית לאורך מחזור החיים, ולא כאוסף בקרות שמתווסף לאחר התכנון.
הפרסום נשען על הנדסת מערכות רב-תחומית ומתאים למערכות מסוגים, גדלים ורמות מורכבות שונות. הוא עוסק בצורכי הגנה של בעלי עניין, דרישות, ארכיטקטורה, תכנון, אימות, תיקוף, הבטחה, חוסן ושיקולים בין חלופות. הוא משלים קטלוגי בקרות כמו NIST SP 800-53, אך אינו מחליף אותם ואינו מגדיר שיטת פיתוח או הסמכה אחת.
למה משמש NIST SP 800-160?
ארגונים משתמשים במסמך כדי לשלב אבטחה בגיבוש תפיסה, ניתוח דרישות, ארכיטקטורה, יישום, אינטגרציה, תפעול, תחזוקה והוצאה משימוש. הוא מסייע ליצור עקיבות בין צרכים עסקיים ומשימתיים לבין דרישות אבטחה, החלטות תכנון, ראיות אימות וסיכון שיורי מאושר.
עבור הנהלה, המסמך תומך בסקירות תכנון, ברכש, בהגדרת ציפיות מספקים, בהבטחת משימה ובתכנון חוסן למערכות מורכבות או בעלות השפעה גבוהה. שימוש יעיל דורש ממשל הנדסי, בעלות משותפת, ציפיות ראיה ברורות והתייחסות מפורשת לעלות, ביצועים, לוחות זמנים, בטיחות, פרטיות ומגבלות תפעוליות. הערך המעשי תלוי בשילוב מוקדם של הנדסה, אבטחה ותפעול, ובשמירת עקיבות בין החלטות, דרישות, בדיקות וסיכון מאושר.
