The revised NIST Cybersecurity Framework includes two key changes: expanded details on cyber supply chain risk management, and a new section on cybersecurity metrics and measurement. Tanium CSO David Damato explains why these updates matter for businesses, and where we see room for further improvement.
Das Cybersicherheits-Rahmenwerk des National Institute of Standards and Technology (NIST), das erstmals im Jahr 2014 veröffentlicht wurde, erfreut sich sowohl bei Unternehmen als auch bei Behörden großer Beliebtheit, was vor allem auf seinen freiwilligen, risikobasierten Charakter und den Verzicht auf eine Einheitslösung zurückzuführen ist. Im Jahr Januar 2017 erhielt das Rahmenwerk sein erstes bedeutendes – und dringend benötigtes – -Update, und . Stellungnahmen aus der Öffentlichkeit mussten bis zum 10. April eingereicht werden.
Laut 2020, werden 50 % aller US-amerikanischen Unternehmen das Framework nutzen, prognostiziert das Marktforschungsunternehmen Gartner. Unternehmen nutzen das Rahmenwerk, um ihre Cybersicherheitslage zu bewerten, Ziele festzulegen und ein Cybersicherheitsprogramm zu entwickeln, das auf ihre spezifischen Risiken und Geschäftsziele abgestimmt ist. Die überarbeitete Fassung enthält zwei wesentliche Änderungen: ausführlichere Angaben zum Risikomanagement in der Cyber-Lieferkette sowie einen neuen Abschnitt über Kennzahlen und Messverfahren im Bereich Cybersicherheit.
NIST-Rahmenwerk: Umgang mit Cybersicherheit im Lieferkettenmanagement
Angesichts der Vernetzung unserer Welt reicht es für Unternehmen nicht mehr aus, sich lediglich um ihre interne Sicherheit zu kümmern. Sie müssen sich der Sicherheitslage entlang ihrer gesamten Lieferkette bewusst sein, da jeder Partner unwissentlich einen Zugangspunkt zum Unternehmen darstellen könnte. Das aktualisierte Rahmenwerk bietet Organisationen ein einheitliches Vokabular, um Anforderungen an die Cybersicherheit gegenüber Käufern, Lieferanten und anderen Partnern zu kommunizieren. Sie können diese Anforderungen vertraglich festlegen und anschließend überprüfen, ob sie erfüllt wurden – und zwar auf der Grundlage eines gemeinsamen, risikobasierten Rahmens.
Die Bedeutung der Einbindung der Cybersicherheit in das Lieferkettenmanagement kann gar nicht hoch genug eingeschätzt werden. Viele Unternehmen und staatliche Organisationen arbeiten mit Dutzenden oder sogar Hunderten von Lieferanten zusammen, die häufig umfassenden Zugriff auf ihr Netzwerk haben. Eine Bundesbehörde, die ihre IT modernisieren möchte, oder ein Unternehmen, das einen Cloud-Anbieter sucht, kann nun seine Sicherheitsanforderungen in standardisierter Form darlegen. Das Rahmenwerk dient zudem als gemeinsame Grundlage für viele Aufsichtsbehörden; da es nun auch das Risikomanagement in der Lieferkette berücksichtigt, gewinnt es noch mehr an Wirksamkeit.
NIST-Rahmenwerk: Festlegung von Kennzahlen zur Cybersicherheit
Noch wichtiger ist der neue Abschnitt zur Messung der Cybersicherheit, der im ursprünglichen Entwurf auffällig fehlte. Wenn es richtig umgesetzt wird, ist die Messung der Cybersicherheit eine der aussagekräftigsten Maßnahmen, die wir ergreifen können, um die Cybersicherheit in großem Maßstab zu verbessern. Ein einheitlicher Satz von Kennzahlen würde es Unternehmen ermöglichen, auf gemeinsame, quantifizierbare Ziele hinzuarbeiten. Mit den richtigen Anreizen könnten solche Kennzahlen es ihnen schließlich ermöglichen, ihr Risiko im Vergleich zu ähnlichen Organisationen einzuschätzen. Dadurch würde die Cyberversicherung zu einer wesentlich effektiveren Option werden als bisher, da die Versicherer die Prämien vereinheitlichen könnten. Und dies würde der Regierung dabei helfen, wirksame Maßnahmen und Strategien zu entwickeln, die auf Daten aus der Praxis gestützt sind.
In diesem Entwurf werden Kennzahlen so definiert, dass sie „Umsetzungsstufen, Unterkategorien und Kategorien“ umfassen. Obwohl diese Komponenten des Rahmenwerks von Organisationen genutzt werden können, um fundierte Entscheidungen zu treffen, fehlen im Rahmenwerk nach wie vor Leitlinien dazu, wie die Leistung auf standardisierte Weise gemessen oder die Wirksamkeit von Cybersicherheitsmaßnahmen bewertet werden kann.
Auch wenn die Stärke des Rahmenwerks darin liegt, dass es kein Einheitsmodell ist, gibt es dennoch bestimmte Kernkennzahlen, die alle Organisationen kennen sollten – oder zumindest darauf hinarbeiten sollten –, sowohl für die interne Planung als auch für den Vergleich mit anderen Unternehmen der Branche. Nun ist es an der Zeit, dass das NIST gemeinsam mit der Industrie und den Regierungsbehörden diese Kernkennzahlen festlegt und veröffentlicht, sei es im Rahmen des Rahmenwerks oder in einem separaten Dokument.
Damit solche Kennzahlen aussagekräftig sind, müssen Unternehmen natürlich auf aktuelle Daten aus zuverlässigen und maßgeblichen Stammdatensystemen zurückgreifen. Dies stellt für viele Organisationen nach wie vor eine Herausforderung dar. Zwar erkennt das NIST an, dass „die Genauigkeit und Präzision der Messsysteme“ die Fähigkeit von Organisationen beeinträchtigt, Cybersicherheit mit Geschäftsergebnissen in Zusammenhang zu bringen, doch muss dieser Punkt besonders hervorgehoben werden. Ein präzises und zeitnahes Erfassungssystem bildet die Grundlage für jegliche Messbemühungen.
Das Rahmenwerk hat Organisationen bereits dabei geholfen, eine Grundlage für das Risikomanagement zu schaffen. Nun muss sich das Unternehmen darauf konzentrieren, bei der Risikobewertung dieselbe Sorgfalt walten zu lassen.
Lesen Sie mehr im Tanium-Führungskräfte-Blog:
- Warum die IT bei der Sicherheitshygiene versagt
- Die drei Phasen der Sicherheitshygiene: Bewertung
- Die drei Stufen der Sicherheitshygiene: Rahmenkonzept
Über den Autor: Als Chief Security Officer ist David Damato für die strategische Produktausrichtung bei der Modulentwicklung für die Tanium-Plattform verantwortlich und leitet das interne Sicherheitsprogramm des Unternehmens. David bringt umfangreiches Fachwissen im Bereich Sicherheit bei Tanium ein, das von der Reaktion auf Sicherheitsvorfälle und Forensik über Schwachstellenanalysen und die Entwicklung von Sicherheitsprogrammen bis hin zu Sicherheitsoperationen sowie Netzwerk- und Sicherheitsarchitektur reicht. Vor seiner Tätigkeit bei Tanium war David zuletzt als Geschäftsführer bei Mandiant, einem Unternehmen der FireEye-Gruppe, tätig, wo sein Team die Maßnahmen zur Reaktion auf Sicherheitsvorfälle und zur Behebung der Folgen von Sicherheitsverletzungen bei über 100 der 500 Fortune-Unternehmen leitete. Bei Mandiant war David zudem maßgeblich an der Entwicklung neuer Kompetenzen im Bereich der Incident-Response-Dienstleistungen sowie am Aufbau von Beratungsniederlassungen im In- und Ausland beteiligt. Vor seiner Tätigkeit bei Mandiant leitete David Sicherheitsberatungsteams bei PwC im Rahmen der „Washington Federal Practice“ und bekleidete IT-Positionen bei Raytheon, wobei sein Schwerpunkt auf der Verwaltung interner und staatlicher Netzwerke lag. David teilt sein Fachwissen und seine Erkenntnisse regelmäßig auf Branchenveranstaltungen und gegenüber den Medien.
