Wie können Sie Ihre Cyberrisiken mit dem Nist-Rahmen verwalten?

Das NIST Cybersecurity Framework: Was ist das?

Das NIST CyberSecurity Framework (CSF) ist ein methodisches Framework zur Unterstützung der Verwaltung Onlinesicherheit.

Eine Definition

Das NIST Cybersecurity Framework wurde in den Vereinigten Staaten geschaffen. NIST ist der Nationales Institut für Standards und Technologie vom US-Handelsministerium. Es ist „Rahmen für Cybersicherheit“ ist definiert als eine Reihe von Standards, Richtlinien und bewährten Verfahren zum Umgang mit Risiken im Bereich der Informationstechnologie.

Unternehmen können sich zwar dafür entscheiden, diesen methodischen Rahmen zu befolgen, es besteht jedoch keine gesetzliche Verpflichtung dazu. Es wird verwendet, um Sicherheitsverletzungen zu antizipieren, aber auch um identifizierte IT-Risiken zu verwalten und zu mindern.

Das NIST CSF wird oft mit nationalen und internationalen Vorschriften verglichen, und der Ansatz ähnelt den Anforderungen der ISO 27001-Zertifizierung, das sich mit der Sicherheit von Informationssystemen (IS) befasst.

Wofür ist das NIST CSF?

Dieser Rahmen sollte öffentlichen und privaten Organisationen dabei helfen, eine detaillierte Liste ihrer Cybersicherheitsziele zu erstellen und bestimmte Verfahren zu ihrer Erreichung zu entwickeln. Das bedeutet, dass die Prozesse zur Risikoidentifizierung, zum Schutz vor Cyberkriminellen, zur Erkennung und Bewältigung von Cybersicherheitsverletzungen sowie zur Behebung von Cybersicherheitsverletzungen überwacht werden müssen. Das NIST CSF sollte auch dazu beitragen, Verbesserungsvorschläge zu priorisieren und die Fortschritte des Unternehmens im Bereich Cybersicherheit zu bewerten.

Im Detail bietet das NIST CSF Informationen zu allen folgenden Aktionen:

• Schaffung der Grundlage für eine Cybersicherheitsstrategie durch Analyse von Cyberrisiken ;
• Bewertung der Wirksamkeit der bestehenden IT-Sicherheitspraktiken;
• Schätzung des potenziellen Schweregrads der Risiken, denen die Organisation ausgesetzt ist;
• Verbesserung des Prozesses des Managements von Cybersicherheitsverletzungen;
• Sensibilisierung der Mitarbeiter;
• Optimierung der Kommunikation zur Cybersicherheit mit Interessenträgern.

Für wen ist das gedacht?

Als das National Institute of Standards and Technology dieses Cybersicherheitsframework ursprünglich entwarf, sollte es das Cyberrisikomanagement in den Vereinigten Staaten verbessern. Es zielte in erster Linie auf „kritische Infrastrukturen“ ab, die für das Funktionieren der amerikanischen Gesellschaft und Wirtschaft unerlässlich sind.

Jetzt, da Wirtschaftsakteure aus allen Sektoren von Cyberrisiken betroffen sind, nutzen Strukturen sowohl des öffentlichen als auch des privaten Sektors diese auf der ganzen Welt, um ihre Cybersicherheitsmanagementstrategie zu entwickeln. Es ist auch die Cybersicherheitsmethode der Wahl großer Banken- und Industriekonzerne.

‍

Wie funktioniert das NIST CSF?

Das NIST-Framework besteht aus drei Komponenten, wie in der folgenden Abbildung dargestellt: Framework-Kern, Implementierungsstufen und Framework-Profil. Jede Komponente muss die Bewertung der Auswirkungen des Cybersicherheitsrisikomanagements auf die betriebliche und finanzielle Leistungsfähigkeit der Struktur unterstützen.

‍

1/Kern

Die Kernkomponente strukturiert die Organisationsstrategie des Risikomanagements um fünf „Funktionen“: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Diese Funktionen sind wiederum in Kategorien, Unterkategorien und „Informationsquellen“ oder „Dokumentationsressourcen“ unterteilt.

2/Implementierungsstufen

Die Implementierungsebenen ermöglichen es dem Unternehmen, den bereits eingerichteten Cyberrisikomanagementprozess zu bewerten. Diese Stufen unterstützen die Bewertung des Reifegrads der Struktur in diesem Bereich. Dies sollte zu einer Diagnose führen, die sich auf vier Reifegrade stützt: partiell, risikoorientiert, wiederholbar oder adaptiv.

3/Profil

Das Profil gibt an, wie eine Organisation mit Cyberrisiken im Hinblick auf ihre strategischen Ziele umgeht. Der Vergleich zwischen dem „aktuellen Profil“ und dem „Zielprofil“ sollte es dem Unternehmen ermöglichen, die Maßnahmen zu identifizieren, die es zuerst ergreifen sollte.

‍

Was sind die Vorteile der Verwendung des NIST Frameworks?

Das NIST CSF ist eine detaillierte und umfassende Methode, die zu einer Referenz im Bereich der Cybersicherheit geworden ist. Wie viele Theorien zum Cyberrisikomanagement weist es jedoch immer noch einige Mängel auf, insbesondere bei der Identifizierung von Risiken.

‍

Vorteile des NIST Cybersecurity Framework

Das NIST CSF hat den Vorteil, dass es das Risikomanagement umfassend unterstützt. Viele Organisationen haben bereits von der ordnungsgemäßen Anwendung des NIST-CSF profitiert, da es ihnen geholfen hat, das Bewusstsein für ihre Schwächen in Bezug auf Cyberrisikomanagement. Es ist auch eine effiziente Methode, um zu bewerten, welche Schutzmaßnahmen ergriffen werden sollten.

Das NIST Cybersecurity Framework stellt auch eine der wichtigsten weltweiten Referenzen im IT-Risikomanagement dar und hat sogar Einfluss auf die neuesten Cyberrisikovorschriften.

‍

Einschränkungen des NIST-Cyber-Frameworks

Das NIST-Framework dreht sich um verschiedene Kategorien und Unterkategorien von Informationen, die einige Strukturen aufgrund ihres schwierigen Charakters nur schwer umsetzen können. Außerdem ist seine korrekte Anwendung keine Selbstverständlichkeit. Tatsächlich hängt die Anwendung von einem Selbstbewertungsverfahren ab, das von keiner externen Stelle validiert wird. Der reibungslose Ablauf dieser Methode der Risikoanalyse und der Antizipation von Cybersicherheitsverletzungen hängt daher vom Reifegrad der Organisation in diesem Bereich ab.

Das NIST-Framework wird auch häufig dafür kritisiert, dass es zu stark von den Standards anderer Risikomanagementmethoden abweicht, was es für Teams schwieriger macht, den Ansatz nahtlos zu integrieren. Die Schulung des vorhandenen Personals in dieser Methode erfordert daher mehr Zeit und Ressourcen.

Das NIST Cybersecurity Framework weist auch die gleichen Schwierigkeiten auf wie andere Methoden wie ISO27001, wenn es um die Messung oder Schätzung von Cyberrisiken geht. Im Rahmen von NIST ist diese Analyse Teil einer qualitativen Risikobewertung, die auf einer rein subjektiven Eintrittswahrscheinlichkeit basiert. Dies führt manchmal zu unrealistischen Risikoklassifizierungen.

Die einzige Lösung für diese Art von Problem besteht darin, sich von der subjektivistischen Risikoanalyse zu verabschieden und statistische Methoden zu nutzen, was das Hauptziel von FAIR™ -Analyse (Faktorenanalyse des Informationsrisikos). Dieser Standard ist heute die internationale Referenz für die Quantifizierung von Cyberrisiken. Ziel ist es, diese Risiken mathematisch zu messen, um sie in Finanzdaten umzusetzen. Darüber hinaus wird es von NIST in referenziert UNISTIR 8286, ein 2020 veröffentlichtes Dokument, und in einem“Erfolgsgeschichte“ veröffentlicht im Jahr 2019. Zum Abschnitt zitieren 3.3.1 Arten der Risikoanalyse:“Qualitative Methoden sind zwar weit verbreitet, aber der Praktiker kann davon profitieren, eine quantitative Methode mit einem wissenschaftlicheren Ansatz zur Schätzung der Wahrscheinlichkeit und der Auswirkungen von Folgen in Betracht zu ziehen, sofern die Daten für diese Art von Analyse verfügbar sind. Dies kann dazu beitragen, Risiken besser zu priorisieren oder genauere Prognosen zur Risikoexposition zu erstellen.“

‍

So verwenden Sie das NIST CSF richtig

Das NIST Framework ist eine Methode, die in viele Schritte unterteilt ist. Der Erfolg der Selbsteinschätzung von Cyberrisiken hängt von der Fähigkeit des Unternehmens ab, sie ordnungsgemäß umzusetzen. Sie finden die vollständiges Cyber-Framework, detailliert auf der NIST-Website.

Erläuterung der 5 Funktionen des Kerns

Der erste Schritt der NIST-Analyse besteht darin, das Management von Cyberrisiken anhand von fünf Funktionen zu strukturieren:

1/ Identifizieren die kritischen Vermögenswerte des Unternehmens, um die Maßnahmen zu priorisieren. Diese Identifizierung muss sich auf Prozesse, Systeme und wertvolle Ressourcen beziehen. NIST Version 1.1 bedeutet auch, die Lieferkette und die Interessengruppen zu durchforsten.

2/ Schützend die Struktur vor Cyberbedrohungen. Dieser Ansatz umfasst die Sensibilisierung und die Durchführung von Schulungen, aber auch die Implementierung von Software und Schutztechnologien, um Risiken für Systeme, die sensible Daten enthalten, zu mindern oder zu verhindern.

3/ Erkennen verdächtige Aktivitäten, bevor sie negative Auswirkungen haben. Diese Funktion stützt sich auf die Überwachungshebel, die das Unternehmen eingerichtet hat.

4/ Reagieren zu Cybersicherheitsereignissen anhand eines Leitfadens, der im Vorfeld des Auftretens von Risiken erstellt wurde. Diese Strategie sollte es dem Unternehmen ermöglichen, die Bedrohung abzuwehren, bevor sie entsteht, und umfasst Planungs-, Kommunikations- und Minderungsmaßnahmen.

5/ Erholen nach einem Cyberangriff: Wiederherstellung des ursprünglichen Zustands der Informationssysteme und Umsetzung von Maßnahmen, um ein erneutes Auftreten des Risikos zu verhindern.

Die 4 Reifegrade des NIST-Frameworks

Dank der vom NIST vorgesehenen Implementierungsebenen können Sie beurteilen, wie gut Ihr Unternehmen mit seinen Risiken umgeht, und die Methode in Ihrem eigenen Tempo anwenden, wobei Ihre individuellen Anforderungen berücksichtigt werden:

• Stufe 1: Teilweise

Diese Stufe betrifft die Strukturen, die eher auf Risiken reagieren als präventiv gegen sie vorgehen. Ein hohes Maß an Sensibilisierung und interne Kommunikationsprozesse zu diesem Thema wurden noch nicht erreicht.

• Stufe 2: Risikoinformiert

Hier ist das Cyberrisikomanagement stärker fokussiert. Die Mitarbeiter verfügen über die Tools, um Cybersicherheitsprozesse zu implementieren, und beginnen, sich der Risiken bewusst zu werden. Dem Unternehmen fehlen jedoch immer noch sichere Kommunikationskanäle mit externen Akteuren.

• Stufe 3: Wiederholbar

Die Cyberrisikomanagementstrategie ist sowohl formalisiert als auch priorisiert. Die Mitarbeiter sind sich der Risiken bewusst und verfügen über die Tools für eine sichere Zusammenarbeit mit externen Quellen.

• Stufe 4: Adaptiv

Dies ist die höchste Stufe des Cybersicherheitsrisikomanagements. Das Unternehmen ist in der Lage, sich vor Gefahren zu schützen und sie zu antizipieren. Die Mitarbeiter verfügen über ein hohes Maß an Cybersicherheitskompetenzen.

‍