Die wachsende Beliebtheit des NIST-Cybersicherheitsrahmens

Das NIST-Rahmenwerk für Cybersicherheit

Im Jahr 2014 entwickelte das Nationale Institut für Standards und Technologie (NIST) des US-Handelsministeriums eine der wichtigsten Leitlinien im Bereich der Cybersicherheit, das sogenannte „ “ NIST Cybersecurity Framework. Dieses dient als gemeinsamer Maßstab für Unternehmen aller Branchen, um Risiken besser einzuschätzen und die Sicherheit sowie die Widerstandsfähigkeit kritischer Infrastrukturen zu verbessern. Das Rahmenwerk bietet Organisationen sowohl des privaten als auch des öffentlichen Sektors eine Reihe freiwilliger Branchenstandards und bewährter Verfahren, die beim Risikomanagement helfen sollen. In weniger als drei Jahren haben über 30 % aller US-amerikanischen Organisationen das Rahmenwerk oder Teile davon eingeführt. Bis zum Jahr 2020 wird erwartet, dass diese Zahl auf 50 % steigen wird.

Anfang dieses Monats hatte ich die Gelegenheit, auf dem „ “ Billington Cybersecurity Summit in Washington, D.C., gemeinsam mit einer beeindruckenden Gruppe von Branchenführern über das Rahmenwerk und bewährte Verfahren zu dessen Umsetzung zu diskutieren:

• Jeff Snyder, Vizepräsident für Cyber-Programme bei der Raytheon Corporation
• Konteradmiral (a. D.) Michael Brown, Vizepräsident und Geschäftsführer des Bereichs „Global Public Sector“ bei RSA
• Donna Dodson, Leitende Beraterin für Cybersicherheit beim NIST und Direktorin des NCCOE beim NIST
• Ryan Gillis, Vizepräsident für Cybersicherheitsstrategie und globale Politik bei Palo Alto Networks
• Terry Rice, Vizepräsident und CISO für Informationstechnologie bei Merck

Verbesserung der Cybersicherheit für das Land

Das NIST-Rahmenwerk entstand als Reaktion auf die von Präsident Barack Obama im Rahmen der „ “ erlassene Verordnung „ “, in der ein Rahmenwerk zur Verbesserung der Cybersicherheit der kritischen Infrastruktur unseres Landes gefordert wurde. Was ursprünglich für den öffentlichen Sektor gedacht war, hat sich zu einer umfassenderen Unternehmenslösung entwickelt, bei der jede Organisation das Framework nicht nur nutzen, sondern auch sinnvoll umsetzen kann. Die Einführung des Rahmenwerks war aus vier Gründen so erfolgreich:

• Es ist flexibel:. Das Rahmenwerk ist kein Modell, das für alle gleichermaßen geeignet ist. Unternehmen können es an ihre individuellen Bedürfnisse anpassen, in ihre bestehenden Cybersicherheitsrichtlinien integrieren und durch branchenspezifische Leitfäden ergänzen, wie beispielsweise den Leitfaden zur Umsetzung des Cybersicherheitsrahmens für den Gesundheitssektor.
• Es bietet eine gemeinsame Sprach. Endlich gibt es eine Möglichkeit für alle Mitarbeiter eines Unternehmens – vom Serverraum bis zur Vorstandsetage –, Risiken auf eine Weise klar zu kommunizieren, die für alle verständlich ist. Dies wiederum hilft Käufern und Lieferanten dabei, ihre aktuellen oder angestrebten Cybersicherheitsprozesse darzulegen.
• Es unterstützt Unternehmen dabei, ihre Investitionen in Cybersicherheit zu priorisieren. Indem das Rahmenwerk ermittelt, welche IT-Aktivitäten geschäftskritisch sind, kann es dabei helfen, die größten Bedrohungen gezielt zu identifizieren und so den Nutzen jedes in die IT investierten Dollars zu maximieren.
• Es ist realistisch:. Darin wird anerkannt, dass Sicherheitsverletzungen auftreten werden, und es werden Leitlinien für deren Erkennung, die Einleitung von Maßnahmen sowie eine möglichst schnelle Wiederherstellung bereitgestellt.

In diesem Monat veröffentlichte das NIST eine Ergänzung zu diesem Leitfaden, den „ “ Baldrige Cybersecurity Excellence Builder ( , BCEB) – ein Instrument zur Selbsteinschätzung, mit dem Organisationen ihre Maßnahmen im Bereich der Cybersicherheit effektiver bewerten können. Es ist wichtig zu beachten, dass die Übernahme des Rahmenwerks oder des BCEB nicht bedeutet, dass eine Organisation die Vorschriften auf Bundes-, Landes- oder Branchenebene einhält. Vielmehr handelt es sich bei diesen Dokumenten um freiwillige Leitlinien, die Organisationen übernehmen und an ihre individuellen Bedürfnisse anpassen können.

Das NIST hat seine Fähigkeit genutzt, Akteure aus Wirtschaft und Regierung zusammenzubringen und einen freiwilligen, flexiblen und risikobasierten Ansatz für die Cybersicherheit zu entwickeln. Um den Rahmen noch nützlicher zu gestalten, müssen wir in der Wirtschaft und in Sicherheitskreisen unsere gewonnenen Erkenntnisse untereinander sowie mit der Regierung austauschen. Falls Ihre Organisation das Rahmenwerk noch nicht einsetzt, seien Sie der Motor des Wandels, um 30 % dabei zu unterstützen, 50 % zu erreichen.

Über den Autor „“: Ralph Kahn ist Vizepräsident für den Bereich „Federal“ bei Tanium. In dieser Funktion trägt er dazu bei, den Bedarf der US-Regierung an einer umfassenden Lageerfassung in Echtzeit zu decken. Ralph verfügt über mehr als 25 Jahre Erfahrung in der Technologiebranche. Zuvor war Ralph als Vizepräsident für Intel und neue Technologien bei McAfee tätig, wo er die Leitung einer Gruppe für Spitzentechnologie innehatte, deren Aufgabe in der zukunftsorientierten Cyberforschung bestand. Unter seiner Leitung entdeckte diese Gruppe mehrere neue Angriffsvektoren und entwickelte ein Modell für den Informationsaustausch und die Interaktion zwischen Cybersicherheitssystemen, das als Kernkomponente der McAfee-Produkte zum Einsatz kommt und derzeit auf weitere Cybersicherheitsprodukte ausgeweitet wird.