Wie Tanium Risk Bundesbehörden dabei hilft, die Anforderungen des Risikomanagement-Frameworks zu erfüllen

Seit 2010 verlangt die Regierung der Vereinigten Staaten, dass alle Informationssysteme auf Bundesebene dem „en Risikomanagement-Rahmenwerk (RMF)“ der Regierung entsprechen, einer Reihe von Sicherheitsstandards für die Architektur, Absicherung und Überwachung von IT-Systemen.

Die RMF-Standards, die nun vom National Institute of Standards and Technology (NIST) im Rahmen des Programms „ “ verwaltet werden (), bieten detaillierte bewährte Verfahren zur Verbesserung der IT-Sicherheit angesichts von Bedrohungen wie Datenpannen und Ransomware-Angriffen.

In diesem Blogbeitrag werde ich Ihnen einen Überblick über das NIST RMF geben und erläutern, wie Tanium Risk und andere Tanium-Produkte Behörden dabei unterstützen können, diese wichtigen Standards einzuhalten.

[Lesen Sie auch: Was ist Risikomanagement? [Ein vereinfachter Überblick]

NIST-Sicherheitsrahmenwerke für das Risikomanagement

Lassen Sie uns zunächst definieren, was wir eigentlich verwalten möchten.

Risiko, , ist laut NIST „ein Maß dafür, inwieweit eine Organisation durch einen potenziellen Umstand oder ein potenzielles Ereignis bedroht ist, und hängt in der Regel ab von: (i) den negativen Auswirkungen oder dem Ausmaß des Schadens, der entstehen würde, wenn der Umstand oder das Ereignis eintritt; und (ii) der Eintrittswahrscheinlichkeit.“ Um IT-Risiken zu verstehen, muss ein Unternehmen daher den Wert seiner IT-Ressourcen sowie den Schaden erfassen, der entstehen könnte, wenn diese Ressourcen gestört oder beschädigt würden.

Ein Unternehmen muss zudem die Wahrscheinlichkeit jeder potenziellen Bedrohung einschätzen können, damit es seine Investitionen und Maßnahmen zur Risikominderung angemessen priorisieren kann. Schließlich möchten Sie ja kein Geld in die Vermeidung eines Risikos mit einer Wahrscheinlichkeit von 0,01 % stecken, während Sie Risiken mit einer Wahrscheinlichkeit von 10 % vernachlässigen.

Die wichtigste NIST-Norm zur Festlegung des Sicherheits- und Risikomanagementrahmens der Bundesregierung ist „ “ (NIST SP 800-37 , Rev. 2). Diese Norm sieht „einen disziplinierten, strukturierten und flexiblen Prozess zum Management von Sicherheits- und Datenschutzrisiken vor, der die Kategorisierung der Informationssicherheit, die Auswahl, Umsetzung und Bewertung von Kontrollmaßnahmen, die Genehmigung von System- und allgemeinen Kontrollmaßnahmen sowie die kontinuierliche Überwachung umfasst.“

Bei diesen Bewertungen kommt es auf Genauigkeit und Pünktlichkeit an. NIST 800-37 fordert IT-Organisationen dazu auf, eine Überwachung in Echtzeit oder nahezu in Echtzeit durchzuführen und damit über die täglichen oder wöchentlichen Statusberichte hinauszugehen, auf die sich Sicherheitsteams in der Vergangenheit möglicherweise bei der Endpunktsicherheit verlassen haben. Im Gegensatz zur Verwendung periodischer Momentaufnahmen des Zustands kritischer Infrastrukturen fördert der RMF „ein Risikomanagement nahezu in Echtzeit sowie die fortlaufende Autorisierung von Informationssystemen und gemeinsamen Kontrollmaßnahmen durch die Umsetzung kontinuierlicher Überwachungsprozesse … [und] stellt Führungskräfte und leitende Angestellte mit den notwendigen Informationen bereit, um effiziente und kosteneffiziente Risikomanagemententscheidungen hinsichtlich der Systeme zu treffen, die ihre Aufgaben und Geschäftsfunktionen unterstützen.“

Durchführung von Risikobewertungen gemäß NIST SP 800-30

Gemäß NIST SP 800-39 umfassen Risikomanagementprozesse: (i) die Definition von Risiken; (ii)
die Bewertung von Risiken; (iii) die Reaktion auf Risiken; und (iv) die Überwachung von Risiken.

NIST SP 800-30: „ : Leitfaden zur Durchführung von Risikobewertungen“ () geht näher auf die Durchführung des zweiten in dieser Liste aufgeführten Prozesses ein, nämlich die Risikobewertung. NIST SP 800-30 : Ein Verfahren zur Festlegung des Umfangs, des Zwecks und weiterer Elemente der Bewertung. Anschließend wird beschrieben, wie die Bewertung selbst durchgeführt wird, und zwar anhand folgender Schritte:

• Bedrohungsquellen und -ereignisse identifizieren
• Ermitteln Sie Schwachstellen und prädisponierende Faktoren
• Ermitteln Sie die Eintrittswahrscheinlichkeit
• Ermitteln Sie das Ausmaß der Auswirkungen
• Risikobewertung

Mit dieser Bewertung ist die Arbeit noch nicht abgeschlossen. Die Ergebnisse der Bewertung müssen den Beteiligten mitgeteilt werden, und die Bewertung muss fortlaufend aktualisiert werden, wobei durch Überwachung „das spezifische Wissen über die Risiken, denen Organisationen ausgesetzt sind, auf dem neuesten Stand gehalten wird“.

Verfügt die Organisation über die erforderlichen Berichtswege, um Risikobewertungen an die Stakeholder aus den Bereichen Wirtschaft und IT weiterzugeben? Gibt es ein systematisches Verfahren zur Pflege der Bewertung, das beispielsweise sicherstellt, dass eine vor einer Woche vorgenommene Bewertung auch heute noch zutreffend ist? Dies sind Fragen, die IT- und Sicherheitsverantwortliche sich möglicherweise stellen, nachdem sie sich mit dem NIST SP 800-30 befasst haben.

Management von Informationssicherheitsrisiken gemäß NIST SP 800-39

Eine weitere Norm, NIST SP 800-39, „: Managing Information Security Risk“ (), enthält Leitlinien für „ein integriertes, organisationsweites Programm zum Management von Informationssicherheitsrisiken für den Organisationsbetrieb (d. h. Auftrag, Funktionen, Image und Ansehen), für Organisationsressourcen, Einzelpersonen, andere Organisationen und die Nation, die sich aus dem Betrieb und der Nutzung von Informationssystemen der Bundesbehörden ergeben“.

Die Norm schlägt einen dreistufigen Ansatz für das Risikomanagement vor: „(i) Organisationsebene; (ii) Aufgaben-/Geschäftsprozessebene; und (iii) Informationssystemebene.“ Ein wirksames Risikomanagement erfordert mit anderen Worten einen umfassenden Ansatz, der den Auftrag und die Strategien der Organisation, ihre Geschäftsprozesse sowie ihre einzelnen IT-Systeme einbezieht.

NIST 800-39 sieht vor, dass die Risikomanagementpraktiken der Organisation Folgendes umfassen:

• Entwicklung einer IT-Architektur, die auf die strategischen Ziele und Vorgaben von Organisationen, definierte Aufgabenbereiche bzw. Geschäftsfunktionen sowie die damit verbundenen Aufgaben- bzw. Geschäftsprozesse abgestimmt ist.
• Einführung einer Informationssicherheitsarchitektur, die die Anforderungen an die Informationssicherheit auf Architekturebene umsetzt.
• Die Umsetzung der Anforderungen an die Informationssicherheit aus der Architektur des „Segments“ oder des „Einsatzbereichs“ in konkrete Sicherheitsmaßnahmen für Informationssysteme bzw. Betriebsumgebungen als Teil der Lösungsarchitektur.
• Zuordnung von verwaltungstechnischen, betrieblichen und technischen Sicherheitskontrollen zu den Informationssystemen und Betriebsumgebungen gemäß der Definition in der Informationssicherheitsarchitektur.

Der erste Schritt besteht darin, potenzielle Risiken auf der Grundlage des Auftrags der Organisation und ihrer IT-Systeme zu ermitteln. Ermitteln Sie zunächst, welche Rolle bestimmte Systeme und Ressourcen bei der Umsetzung der Unternehmensstrategie und -mission spielen. Führen Sie anschließend ein Brainstorming durch, um alle wesentlichen Risiken für jedes dieser Systeme und jede dieser Ressourcen zu ermitteln.

Wenn beispielsweise der Auftrag der Organisation von einem Webserver abhängt, sollten Sie alle Bedrohungen – ob böswilliger Natur oder nicht – berücksichtigen, die diesen Webserver stören oder beschädigen könnten. Ihre Liste könnte unter anderem DDoS-Angriffe, Stromausfälle, Konfigurationsprobleme, Nutzungsspitzen und Ähnliches umfassen.

Anschließend erfolgt die Erfassung und Bewertung von Risiken auf der Grundlage eines Verständnisses dafür, inwiefern bestimmte IT-Systeme zum Gesamtziel der Organisation beitragen und wie hoch die Wahrscheinlichkeit ist, dass bestimmte Risiken diese Systeme beeinträchtigen.

Sobald Risiken identifiziert und nach ihrer Eintrittswahrscheinlichkeit eingestuft wurden, sollte das Unternehmen Maßnahmen zu deren Minderung ergreifen. Wenn beispielsweise nicht gepatchte Server als Risiko identifiziert werden, könnte das Unternehmen ein Patch-Management-System von einführen, um dieses Risiko zu mindern.

Die Ergebnisse dieser drei vorangegangenen Schritte sollten den Beteiligten mitgeteilt und überwacht werden, um festzustellen, ob sich der Status der Risiken geändert hat. Der Prozess endet mit der Governance. In diesem Schritt entscheiden IT- und Führungskräfte aus dem Geschäftsbereich, wo und wie investiert werden soll, um Risiken zu reduzieren und das Risikomanagement insgesamt zu optimieren.

Wie Tanium zur Unterstützung des Risikomanagement-Rahmenwerks beiträgt

Die Tanium-Plattform von bietet Sicherheits- und IT-Betriebsteams einen einheitlichen, umfassenden Echtzeit-Überblick über kritische Endpunktdaten, sodass Unternehmen fundierte Entscheidungen treffen und schnell handeln können, um Betriebsstörungen zu minimieren und Risiken zu reduzieren. Tanium-Module – Komponenten der Tanium-Plattform – erfüllen wesentliche Anforderungen des RMF.

Tanium-Module zur Risikoidentifizierung

Drei Tanium-Module liefern die Echtzeit-Endpunktinformationen, die Unternehmen benötigen, um einen Überblick darüber zu gewinnen, über welche IT-Systeme sie verfügen – sei es vor Ort, an entfernten Standorten oder in der Cloud – und wie diese Systeme zusammenwirken, um Betriebsabläufe und Prozesse zu unterstützen.

• Entdecken Sie „“ unter – Erfassen Sie die gesamte Umgebung über alle Endgeräte hinweg in wenigen Minuten. Durchsuchen Sie Netzwerke mit Hunderttausenden von Endpunkten, um nicht verwaltete Ressourcen zu identifizieren, damit Administratoren diese sperren oder in die Verwaltung einbinden können.
• Asset- – Erstellen und pflegen Sie schnell und präzise ein Bestandsverzeichnis Ihrer IT-Assets, damit Sie fundiertere Entscheidungen hinsichtlich des Risikomanagements und des betrieblichen Erfolgs treffen können.

Tanium-Module zur Risikomessung und -bewertung

Sobald Sie die Bedrohungen, Schwachstellen, Auswirkungen, Eintrittswahrscheinlichkeit und begünstigende Umstände ermittelt haben, können Sie die Risiken, denen sich Ihr Unternehmen stellen muss, mithilfe der folgenden Tanium-Module berechnen und priorisieren:

• Erfüllen Sie die Vorschriften: – Erkennen Sie Schwachstellen und Compliance-Lücken auf all Ihren Endgeräten innerhalb von Minuten statt Tagen oder Wochen.
• aufrufen – Finden Sie Änderungen an Feldern mit sensiblen Daten schnell und ergreifen Sie direkt am Endgerät entsprechende Maßnahmen.
• Impact – Identifizieren Sie schnell risikobehaftete Konten und Systeme, um Ihre Angriffsfläche zu verringern.
• Integrity Monitor – Überwachen Sie kontinuierlich kritische Low-Level-Dateien des Betriebssystems, von Anwendungen und der Registrierungsdatenbank und leiten Sie bei Auslösung von Warnmeldungen entsprechende Untersuchungen ein.
• Risiko- – Erhalten Sie die Echtzeitdaten, Automatisierungsfunktionen und Analysen, die Sie benötigen, um fundierte Entscheidungen schneller zu treffen – dank einer umfassenden Bewertung der Endpunkt-Risiken. Nutzen Sie diese Daten, um Maßnahmen mithilfe einer intelligenten Risikobewertung auf der Grundlage von Betriebs- und Sicherheitskennzahlen zu priorisieren.

Tanium-Module zur Risikominderung

Nehmen Sie als Nächstes Ihre nach Priorität geordnete Liste der Risiken zur Hand und überlegen Sie, wie Sie die Bedrohungen von der größten bis zur geringsten mindern können. Sie und Ihr Team könnten zu dem Schluss kommen, dass Risiken unterhalb eines bestimmten Niveaus nicht berücksichtigt werden sollten – entweder, weil die Wahrscheinlichkeit ihres Eintretens zu gering ist, oder weil Sie weitaus dringlichere Risiken identifiziert haben, auf die Sie sich in der ersten Amtszeit konzentrieren sollten. Das ist in Ordnung. Das Risikomanagement ist ein fortlaufender Prozess. Sollte ein Risiko tatsächlich von Bedeutung sein, werden Sie Gelegenheit haben, sich damit zu befassen, wenn Sie Ihren Risikoanalyseprozess wiederholen. Sollte die Wahrscheinlichkeit dieses Risikos plötzlich steigen, sind Sie bestens vorbereitet: Mit der Tanium-Risikomanagement-Software erhalten Sie Echtzeit-Einblicke in Risiken und verfügen über Echtzeit-Kontrollmaßnahmen zur Eindämmung und Minderung von Bedrohungen.

Die folgenden Tanium-Module können Ihnen bei der Risikominderung helfen.

• bereitstellen – Installieren, aktualisieren und entfernen Sie Software auf der Grundlage flexibler Zielcomputergruppen oder einzelner Rechner.
• Patch – Planen Sie Betriebssystem-Patches, um fehlende Patches auf allen Endgeräten innerhalb von Sekunden zu beheben.
• Durchsetzung von Richtlinien unter – Zentralisieren und setzen Sie die Richtlinienverwaltung system- und standortübergreifend durch.
• Threat Response – Proaktive Suche nach Angreifern mithilfe beliebiger Heuristiken.

Tanium-Module für die Risikoberichterstattung und -überwachung

Der RMF schreibt vor, dass Organisationen ein Verzeichnis bekannter Risiken führen und diese Risiken überwachen müssen, um die Einhaltung aller geltenden Richtlinien sicherzustellen.

• Trends – Verschaffen Sie sich einen Überblick über wichtige Sicherheitskennzahlen und den Betriebszustand, indem Sie Visualisierungen erstellen, die aktuelle und historische Daten von Endgeräten darstellen.
• Risiko – Erstellen Sie Berichte, um wichtige Trends, Verbesserungen und Branchen-Benchmarks für die Berichterstattung an die Geschäftsleitung und den Vorstand zu vermitteln. Durch den Einsatz von „Risk“ zur kontinuierlichen Überwachung von Endgeräten können Sie Ihre Compliance und Ihre Risikosituation verbessern.
• verbinden – Integrieren Sie Tanium problemlos in Lösungen von Drittanbietern und in das CDM-Dashboard der US-Bundesbehörden.

Lassen Sie sich von Tanium bei der Einhaltung der RMF-Vorgaben unterstützen

Tanium hat Bundesbehörden und anderen Organisationen dabei geholfen, einen proaktiven und effizienten Ansatz im Bereich Risiko und Compliance zu verfolgen. Durch die Kombination aus einem erweiterbaren Datenmodell, einem verteilten Kommunikationsprotokoll und einem schlanken Agenten ermöglicht die Tanium-Plattform den Kunden, Zeit zu sparen und die mit dem Risikomanagement verbundenen Kosten zu senken.

Die Tanium-Plattform:

• Bietet und gewährleistet innerhalb weniger Minuten statt Tage oder Wochen einen umfassenden Überblick nicht nur über Sicherheitslücken und Compliance-Lücken, sondern auch über das Gesamtrisiko auf allen Endgeräten.
• Bietet eine einheitliche, präzise und umfassende „Single Source of Truth“, die einen Konsens hinsichtlich der Priorisierung und Behebung von Problemen zwischen den Teams in den Bereichen IT-Betrieb, Sicherheit und Risikomanagement fördert.
• Teams die Möglichkeit zu geben, Probleme in ihren gesamten Umgebungen schnell zu beheben, ohne zwischen verschiedenen Tools wechseln zu müssen.
• Erspart den Unternehmen die Kosten und den Aufwand, ein weiteres Tool anzuschaffen und die dazugehörige Infrastruktur zu installieren.

Erfahren Sie in unserem aktuellen E-Book mehr über „ : Messung von Endpunkt-Risiken im öffentlichen Sektor“ ( ). Wenn Sie erfahren möchten, wie Tanium Ihrem Unternehmen dabei helfen kann, die RMF-Konformität zu erreichen, wenden Sie sich bitte an uns.