Risikomanagementprozesse NIST-Framework für langfristiges Risk Management

Anbieter zum Thema

cidaas by Widas ID GmbH

FTAPI Software GmbH

Das NIST Cybersecurity Framework (CSF) umfasst eine Reihe freiwilliger Richtlinien, die Unternehmen dabei helfen sollen, ihre IT-Security-Situation zu bewerten und zu optimieren. Damit werden Bereiche identifiziert, in denen bestehende Prozesse gestärkt oder neue Prozesse implementiert werden können.

Angesichts der sich schnell entwickelnden Bedrohungen durch Hacker und der exponentiell wachsenden Datenmengen haben viele Unternehmen Schwierigkeiten, eine angemessene IT-Security zu etablieren. Insbesondere eine fragmentierte IT-Security kann dazu führen, dass Budgets und wertvolle Arbeitszeit verschwendet werden. Das Cybersicherheits-Framework von NIST (National Institute of Standards and Technology) wurde zu dem Zweck entwickelt, um Organisationen und Unternehmen dabei zu helfen, ihre IT-Security-Maßnahmen zu optimieren. Dabei hat sich das CSF als flexibel genug erwiesen, auch außerhalb der USA und in nicht kritischen Infrastrukturen Mehrwerte zu erzielen.

Beliebig skalierbares Framework

Das Framework wurde im Wesentlichen für Branchen für kritische Infrastrukturen entwickelt. Wobei es flexibel genug ist, um von Unternehmen jeder Größe in jeder Branche verwendet zu werden. Da das Framework ergebnisorientiert aufgebaut ist und nicht vorschreibt, wie eine Organisation diese Ergebnisse erreichen muss, lässt es sich beliebig skalieren. Da heißt, ein kleines Unternehmen mit einem geringen Budget für IT-Security oder ein Konzern mit einem großen Budget können ihre Zielsetzungen völlig individuell angehen. So ist es gleichsam möglich, dass das Framework von Unternehmen genutzt werden kann, die gerade erst mit der Einrichtung eines IT-Security-Programms starten, als auch Unternehmen Mehrwerte versprechen, die bereits über ausgereifte Programme verfügen.

Vorteile des NIST-Frameworks

Das NIST-Framework bietet einen Maßnahmenkatalog für ein IT-Security-Risikomanagement, der an die Anforderungen jeder Organisation angepasst werden kann. In der Folge ein kurzer Überblick zu den wichtigsten Vorteilen:

• Ergänzende Richtlinien für implementierte IT-Security-Programme bzw. Risikomanagement-Strategien.

• Risikobasierter Ansatz zur Identifizierung von Sicherheitslücken.

• Systematische Methode zur Priorisierung und Kommunikation von kosteneffektiven Optimierungen.

• Langfristige Perspektive für IT-Security und Risikomanagement.

• Priorisierung der Aktivitäten, die am kritischsten sind.

• Evaluierung des ROI von IT-Security-Investitionen.

• Flexibilität und Anpassbarkeit des Frameworks.

• Überbrückung der Lücke zwischen technischen und nicht-technischen Stakeholdern.

• Leicht zu verstehen und einfach in der Handhabung.

Aufbau und Struktur des NIST-Frameworks

Das NIST-Framework umfasst folgende Komponenten:

Kernelemente

Festlegung von Oberzielen für die IT-Security, wobei eine nicht-technische Sprache verwendet wird, um die Kommunikation zwischen verschiedenen Teams zu erleichtern. Auf dieser höchsten Ebene sind fünf Funktionen zu nennen:

• Identifizieren: Bestimmung der IT-Security-Risiken für alle Unternehmenswerte, einschließlich Personal, Systeme und Informationen.

• Schützen: Implementierung von Systemen zum Schutz der wichtigsten Assets.

• Erkennen: Identifizierung aktiver IT-Security-Ereignisse, die eine Bedrohung für das Unternehmen darstellen könnten.

• Reagieren: Maßnahmen gegen Bedrohungen ergreifen, um Schäden zu verhindern oder zu mindern.

• Wiederherstellen: Rekonstruktion von Funktionen oder Services, die durch eine Bedrohung beschädigt wurden.

Jede Funktion ist in einzelne Kategorien unterteilt. Dazu sind insgesamt 23 NIST-CSF-Kategorien vorgesehen. Wobei jede Kategorie wiederum in Unterkategorien aufgeteilt wird. Dabei ist zu beachten, dass die Maßnahmen zum Erreichen jedes Ergebnisses nicht angegeben sind. Denn es liegt an der jeweiligen Organisation, individuelle Maßnahmen zu identifizieren bzw. zu entwickeln.

Implementierungsstufen

Das NIST-Framework hat vier Implementierungsstufen, die den Reifegrad der verschiedenen Aktivitäten des Risikomanagements beschreiben:

• Stufe 1: Informelle, nicht vorhandene oder unsystematische Methoden des Risikomanagements.

• Stufe 2: Risiken wurden erkannt, aber nur isoliert implementiert bzw. nur unvollständige Prozesse des Risikomanagements existent.

• Stufe 3: Formelle und strukturierte Richtlinien und Verfahren sowie solide Programme des Risikomanagements sind implementiert.

• Stufe 4: Responsive Programme des Risikomanagements, die kontinuierlich angepasst und verbessert werden können.

Es ist grundsätzlich nicht notwendig, jeden Bereich auf Stufe 4 zu bringen. Stattdessen sollte evaluiert werden, welche Bereiche für das Unternehmen am kritischsten sind. Das NIST-Framework schlägt vor, nur dann eine höhere Stufe in Angriff zu nehmen, wenn diese auch dazu beitragen könnte, das IT-Security-Risiko signifikant zu verringern und damit die Schutzfunktionen kostengünstiger zu gestalten.

Profile

Profile sind im Wesentlichen Darstellungen des IT-Security-Status eines Unternehmens zu einem bestimmten Zeitpunkt. Häufig existieren mehrere Profile, wie zum Beispiel ein Profil des Anfangszustands vor der Implementierung von Sicherheitsmaßnahmen und ein Profil des gewünschten Zielzustands. Diese Profile sollen den Anwender dabei unterstützen, eine Roadmap zur Reduzierung des IT-Security-Risikos zu erstellen und den Fortschritt zu messen.

Jedes Profil berücksichtigt sowohl die Kernelemente, die der Anwender für wichtig hält (Funktionen, Kategorien und Unterkategorien), als auch die Geschäftsanforderungen, die Risikobereitschaft und die Ressourcen des Unternehmens. Profile sollten jedoch nie als ein starres Gefüge behandelt werden. Möglicherweise muss der Anwender Kategorien und Unterkategorien hinzufügen oder entfernen oder seine Risikotoleranz bzw. Ressourcen in einer neuen Version eines Profils überarbeiten.

(ID:48796845)