Managed SIEM/SOC in einem hybriden Modell – Teil 2 Planung und Umsetzung von Outsourcing

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

Unabhängig von der Entscheidung, ob IT-Security-Services intern oder extern erbracht werden, sollte bei deren Implementierung und Optimierung ein risikoorientierter Ansatz verfolgt werden. Dieser Teil der Serie zeigt die grundlegenden organisatorischen Maßnahmen, die nötig sind, wenn Unternehmen IT-Security-Services outsourcen wollen.

Abgeleitet von den individuellen Zielen und Strategien (z. B. Unternehmens- und IT-Strategie) der Organisation gilt es dabei, die Primary Assets (business-relevante Informationen und Prozesse) zu identifizieren und die Supporting Assets (Gebäudeinfrastruktur, Menschen, Services, Hardware, Software, Industrial Control Systems, Shopfloor-Systeme, IoT-Devices, …) abzuleiten. Greift die Organisation dabei auf Leistungen von Drittanbietern zurück, müssen die Third-Party-Risiken mit in den Risikomanagementprozess integriert werden. Risiken hängen direkt von Vulnerabilities (Verwundbarkeiten), Threats (Bedrohungen) und der Bewertung der zugrundeliegenden Assets ab. Alle diese Elemente müssen aktiv gemanged werden.

Details, die genauen Begriffsdefinitionen und entsprechende Beispiele finden sich in ISO/IEC 27000 bzw. Annex B der ISO/IEC 27005. In der dann folgenden Schutzbedarfsbestimmung sollten die ermittelten Risiken zumindest mit den drei Schutzzielen der ISO/IEC 27001 abgeglichen werden – ggf. ergänzt durch weitere individuelle (z. B. Nicht-Abstreitbarkeit) oder aufgrund regulatorischer Auflagen (z. B. Authentizität) auferlegter, weiterer Schutzziele. Die Schutzbedarfsbestimmung muss für Dritte nachvollziehbar, plausibel, dokumentiert sein und sollte turnusmäßig überprüft werden. Die risikobasierte Vorgehensweise impliziert die Einbeziehung des Top-Managements, das letztendlich die Verantwortung (je nach Unternehmensform z. B. auf Basis GmbH Gesetz §43 Abs. 1 und 2 bzw. Aktiengesetz §91 Abs. 2) für die Sicherstellung des Betriebes in der Organisation trägt. Auf Studien basierende Argumente und praktische Tipps zum Management von Cyber-Risiken bin hin zu Checklisten liefert ein Handbuch für Unternehmensvorstände und Aufsichtsräte. Auch vor dem Hintergrund möglicherweise bevorstehender M&A-Transaktionen, Fusionen/Kooperationen oder Carve-outs ist das Einbeziehen des Top-Managements unerlässlich. Die risikoorientierte Vorgehensweise stellt auch sicher, dass die Assets bzw. Bestandteile des Informationsverbundes klassifiziert und kategorisiert werden können. Die Asset- und Riskowner sind relevante Stakeholder, die in einem Projekt aktiv integriert werden müssen. Darüber hinaus müssen datenschutzrechtliche Aspekte beachtet werden und, wenn vorhanden, die Mitarbeitervertretung bzw. der Personalrat/Betriebsrat über das Vorgehen informiert gehalten werden bis hin zur aktiven Einbindung in das Projekt. Die Umsetzung entsprechender Maßnahmen hat nicht das Ziel die Performance der Mitarbeiter zu überwachen, sondern die Sicherstellung der Funktion unternehmenskritischer Prozesse bis hin zur Überlebensfähigkeit und Reputation der gesamten Organisation. Entsprechende Beispiele können als belastbare Argumentation im Business-Case des Projektes und der zu erwartenden Investitionen gegenübergestellt werden.

Frameworks und Best-Practices unterstützen

Generell wird dringend empfohlen, die Verwendung von Begriffen und Fachvokabular in der Kommunikation und die Implementierung der technisch-organisatorischen Maßnahmen an gängige Normen anzulehnen. Exakt für diesen Fall liefen die Inhalte der Normenreihe ISO/IEC 27000 eine international anerkannte Referenz. Aufgrund teilweise uneindeutiger Übersetzungen wird empfohlen, das englischsprachige Original zu verwenden. Es sollte darüber hinaus klar formuliert, und auf Seiten des Auftraggebers abgestimmt sein, welche konkreten IT-Security-Services vollständig oder teilweise ausgelagert werden. Eine Orientierungshilfe liefert MITRE in dem online verfügbaren Werk „Ten Strategies of a World-Class Cyber Security Operations Center“. Die Verantwortung für die Services liegt trotz Auslagerung in der Organisation des Auftraggebers. Dieser muss daher stets in der Lage sein, Umfang, Güte und Qualität der extern bezogenen und erbrachten Leistungen zu überwachen und zu bewerten. Die Erfahrung hat gezeigt, dass dies vielfach unterschätzt wird. Es ist also unabdingbar, entsprechende Fachkenntnisse und Fähigkeiten auch auf Seiten des Auftraggebers vorzuhalten, siehe ISO/IEC 27003, clause 7.2. Bei der Formulierung konkreter Fähigkeiten und Kompetenzen in Tätigkeitsprofilen und möglichen Stellenanzeigen kann auf Inhalte des SFIA-Frameworks zurückgegriffen werden. Clause 5.2 der ISO/IEC 27035-1 und Clause 11 der ISO/IEC 27035-2 unterstützen in Form von Checklisten für vorbereitende Tätigkeiten und beschreiben Maßnahmen zu Tests und zur regelmäßigen Überprüfung des Incident Response Managements. NIST stellt mit dem “Guide to Integrating Forensic Techniques into Incident Response“ den Leitfaden der digitalen Forensik schlechthin. Er enthält detaillierte Informationen zur Entwicklung von Richtlinien und Verfahren, sowie zur Anwendung forensischer Techniken.

Erste Schritte nach der Entscheidung

Ist die Entscheidung für das Outsourcing von entsprechenden Security-Services durch eine verantwortliche Instanz (z. B. durch das Steering-board in einem Projekt) getroffen werden, sollte in einer der ersten Folgetätigkeiten eine juristische Unterstützung hinzugezogen werden. Insbesondere in regulierten Umgebungen sind hier, je nach Grad bzw. Kategorie der Auslagerung, entsprechende Anzeigepflichten zu berücksichtigen. Darüber hinaus ist die Wahrscheinlichkeit sehr hoch, dass es im Verlauf des Auswahlprozesses entsprechende Unterstützung benötigt wird, z. B. bei der Prüfung der AGB möglicher Vertragspartner oder der Formulierung individueller Nebenabreden im weiteren Projektverlauf.

Insbesondere in größeren Organisationen sei an der Stelle empfohlen, die Auslagerung von Security-Services, aus Rücksicht auf interne Personalressourcen und Komplexität, möglichst sequentiell anzugehen. Dabei sollte sich die letztendliche Reihenfolge bzw. die Priorität von der Business-Relevanz oder strategischen Beweggründen abhängen (Stichwort: Risikoorientierung). Relativ rasch wird sich möglicherweise zeigen, dass die seit Jahren implementierten Security-Incident-Management-Prozesse einer grundlegen Überarbeitung unterzogen werden sollten. Die Herausforderungen liegen darin, dass gelebte, etablierte Vorgehensweisen („mal eben schnell“), „selbstverständlich bekannte“ Abläufe und Aufgaben zusammen mit einem MSSP überprüft, im Detail beschrieben und qualitätsgesichert werden müssen. Auch hier unterstützten entsprechende Frameworks, z. B. die ISO/IEC 27035 mit einem 5-Phasen-Modell und konkreten Beschreibungen in Anlehnung an den Deming-Cycle.

Querschnittsdienste und Konkretisierung

Auch das Vendormanagement sollte auf Seiten des Auftraggebers ab dieser frühen Phase bereits aktiv eingebunden werden, da zu diesem Zeitpunkt im Projekt bereits vertragsrelevante Inhalte erarbeitet werden können und die in Organisationen oft standardisierte Lieferantenprüfung im Hintergrund anlaufen kann. Sind Implementierung und Serviceerbringung vertraglich getrennt voneinander zu betrachten? Werden die Implementierungsleistungen durch einen Werksvertrag oder „Time and Material“ erbracht? Welche Vereinbarungen werden hinsichtlich Sonderkündigungsrechten für einzelne Services getroffen? Für den Fall, dass diese während der Vertragslaufzeit zur Anwendung kommen, sollten entsprechende Vereinbarungen für die restlichen Services erarbeitet werden. Welche Vorgehensweisen werden bei der Genehmigung unerwarteter Mehraufwände vereinbart? Entstehen die Lizenzkosten ab der Installation entsprechender Tools unmittelbar nach Installation oder erst mit Service-GoLive? Der mit dem MSSP ausgehandelte Vertrag sollte die unangemeldete Durchführung von Tätigkeiten zur Qualitätssicherung durch den Auftraggeber zulassen und entsprechende technische Möglichkeiten vorsehen - eine Möglichkeit, den Reifegrad der implementierten Maßnahmen objektiv ermitteln zu können und mit den definierten Zielen abzustimmen. Die Ausarbeitung einer „Exit-Strategie“ sollte auf Seiten des Auftraggebers aktiv angegangen werden, auch wenn die ausgelagerten Services nicht den Kategorien „wesentlich“ oder „unternehmenskritisch“ entsprechen.

Bevor im nächsten Teil des Beitrags ein Vorgehensmodell zur Auswahl von MSSP beschrieben wird, eine grundlegende Empfehlungen zum Vorgehen in Projekten der Informationssicherheit: Die Ausrichtung an etablierten Standards und Normen ist kein Muss, unterstützt aber bei der zielgerichteten Implementierung und Optimierung entsprechender Services, insbesondere in der Zusammenarbeit mit Dienstleistern, Beispiele sind die Belegung bzw. Uneindeutigkeit von Begriffen oder Abkürzungen.

Managed SIEM/SOC in einem hybriden Modell – Teil 1

Praxistips zum Outsourcing von Services in der Informationssicherheit

Managed SIEM/SOC in einem hybriden Modell – Teil 2

Planung und Umsetzung von Outsourcing

Managed SIEM/SOC in einem hybriden Modell – Teil 3

Den richtigen MSSP finden

Managed SIEM/SOC in einem hybriden Modell – Teil 4

Implementierung und GoLive eines Managed SIEM oder SOC

Über den Autor: Markus Thiel unterstützt Organisationen bei Fragenstellungen zu ISMS, SIEM/SOC, Incident Response Management und risiko-orientierten Awareness-Trainings.

(ID:47382342)