Die drei Phasen der Sicherheitshygiene: Framework

Im zweiten Teil unserer dreiteiligen Reihe „ “ erläutert David Damato, CSO bei Tanium, wie man mithilfe risikobasierter Rahmenkonzepte ein ausgereiftes und nachhaltiges Cybersicherheitsprogramm aufbaut.

Beim Aufbau eines Cybersicherheitsprogramms konzentrieren sich viele Organisationen ausschließlich auf die Prävention. Theoretisch klingt das großartig. Meiner Erfahrung nach erhöht jedoch die ausschließliche Konzentration auf Prävention sogar das Risiko eines schwerwiegenden Sicherheitsvorfalls, da jeder Angreifer, der in der Lage ist, die anfänglichen Präventionsmaßnahmen zu umgehen, völlig unkontrolliert agieren kann.

Wenn Sie also nicht ein Cybersicherheits-Framework einsetzen, um eine Reihe von Maßnahmen zur Sicherheitshygiene umzusetzen, , dann handeln Sie sich Ärger ein (öffnet in einem neuen Tab).

Im ersten Teil dieser Reihe „ “ ( ) habe ich erläutert, wie Ihnen das Verständnis des Zustands Ihrer aktuellen Umgebung dabei helfen kann, Lücken in wichtigen Sicherheitskontrollen zu identifizieren. Auf diese Weise lassen sich mit Ihren bestehenden Investitionen schnell Erfolge bei der Verbesserung der Sicherheitshygiene erzielen. Der nächste Schritt besteht darin, die Maßnahmen zur Cybersicherheit – einschließlich aller Bereiche der Sicherheitshygiene – umfassend anzugehen, indem ein führendes Cybersicherheits-Rahmenwerk eingeführt wird.

Die Verwendung eines Frameworks bietet zahlreiche Vorteile, darunter:

• Stellen Sie sicher, dass Ihre Maßnahmen ausgewogen auf alle relevanten Sicherheitsbereiche verteilt sind und sich nicht nur auf Prävention oder Erkennung beschränken;
• Bereitstellung einer flexiblen Struktur, die mit jeder Organisation mitwachsen und sich an sie anpassen kann;
• Erleichterung der Erfüllung verschiedener gesetzlicher und behördlicher Anforderungen; und
• Wir tragen dazu bei, eine gemeinsame Sprache zu definieren, damit Sie besser mit Kollegen kommunizieren können, die ähnliche Frameworks verwenden.

Es stehen zahlreiche Frameworks zur Auswahl. Zu den bekanntesten Beispielen zählen das „ “ (), das „NIST Cybersecurity Framework (CSF)“ (), „ “ (), die Norm ISO 27001 () sowie „ “ () und „COBIT“ ().

Einsatz eines Cybersicherheits-Rahmenwerks zur umfassenden Umsetzung von Grundsätzen der Cybersicherheit

Die führenden Rahmenwerke für Cybersicherheit decken ein breites Spektrum an Aktivitäten ab, die ein Informationssicherheitsprogramm ausmachen. Dazu gehören grundlegende Sicherheitsmaßnahmen wie die Führung eines Bestandsverzeichnisses der Systeme und der Software sowie die zeitnahe Installation von Patches auf den Systemen.

Zur Umsetzung eines Cybersicherheits-Rahmenwerks führen die meisten Organisationen eine Lückenanalyse, eine Risikobewertung und die Erstellung eines Umsetzungsplans durch. Eine Lückenanalyse dient dazu, den aktuellen Stand der Informationssicherheitsmaßnahmen anhand eines definierten Referenzrahmens zu erfassen. Falls Sie bereits eine Lückenanalyse anhand der „ “ () oder der „CIS Critical Security Controls“ () bzw. der „SANS Top 20“ () durchgeführt haben, werden Sie feststellen, dass ein Teil der Arbeit bereits erledigt ist. Das Ergebnis ist ein Überblick über den aktuellen Stand Ihres Informationssicherheitsprogramms sowie über wesentliche Schwachstellen oder Lücken im Hinblick auf das festgelegte Rahmenwerk. Der nächste Schritt besteht darin, eine Risikobewertung durchzuführen, um die Wahrscheinlichkeit und die Auswirkungen eines bestimmten Sicherheitsvorfalls zu ermitteln. Die Ergebnisse der Risikobewertung bestimmen, wie eine Organisation ihren Sollzustand definiert. Auf der Grundlage einer abgeschlossenen Lückenanalyse und Risikobewertung legt ein Umsetzungsplan fest, wie eine Organisation den Übergang vom Ist-Zustand zu einem Zielzustand bewerkstelligen will, der auf das definierte Risikoprofil abgestimmt ist.

Die drei Hauptkomponenten eines jeden Umsetzungsplans sind Mitarbeiter, Prozesse und Technologie. Sie benötigen die richtigen Mitarbeiter und Kompetenzen, um Ihren Zielzustand zu erreichen. Gut dokumentierte und in der Praxis bewährte Prozesse gewährleisten, dass die Aktivitäten wiederholbar sind und unter Berücksichtigung der Risiken durchgeführt werden. Doch erst die Technologie führt all dies zusammen, indem sie Menschen miteinander vernetzt und Prozesse durch die Automatisierung wichtiger Aufgaben unterstützt, wodurch effizientere Abläufe gefördert werden und Ihr Team wachsen kann.

Investitionen in die richtigen Technologien für Ihr Cybersicherheits-Framework

Bei neuen Investitionen in die Sicherheit haben die meisten Unternehmen Schwierigkeiten, Prioritäten zu setzen und die richtigen Technologien zur Erfüllung dieser Anforderungen auszuwählen.

Sie können Sicherheitsinvestitionen priorisieren, indem Sie die folgenden beiden Merkmale eines bestimmten Bedarfs berücksichtigen: Risiko und Abhängigkeiten. Behandeln Sie zunächst die Bedürfnisse mit hohem Risiko, wie sie sich aus der durchgeführten Risikobewertung ergeben. Wie die meisten Organisationen haben Sie jedoch wahrscheinlich viele Risiken der Stufe „Hoch“. Um bei Risiken der Kategorie „Hoch“ Prioritäten zu setzen, sollten Unternehmen abhängige oder vorausgesetzte Anforderungen berücksichtigen.

Eine Abhängigkeit ähnelt einer Bedürfnishierarchie und beschreibt die Fähigkeiten, die für die erfolgreiche Ausführung anderer, übergeordneter Fähigkeiten erforderlich sind. Nehmen wir beispielsweise an, Ihre Asset-Management-Datenbank und Ihr Programm zur Bedrohungssuche seien ineffektiv, was ein erhebliches Risiko für Ihr Unternehmen darstellt. In diesem Fall können Sie kein erfolgreiches Programm zur Bedrohungssuche entwickeln, solange Ihr Sicherheitsteam nicht versteht, welche Ressourcen es zu schützen hat.

Die zweite Herausforderung, vor der viele Entscheidungsträger stehen, besteht darin, die richtigen Technologien auszuwählen, um die erforderlichen Funktionen innerhalb eines vorgegebenen Rahmens zu realisieren. Über die Testanforderungen im Rahmen eines POC hinaus sollten Entscheidungsträger die bestehenden und vorgeschlagenen Technologien mit den einzelnen Funktionen des ausgewählten Frameworks abgleichen. Sie werden feststellen, dass einige Lösungen viele Komponenten eines Frameworks abdecken, während andere möglicherweise nur eine einzige Aktivität abdecken. Ihr Ziel sollte es sein, in möglichst wenige Lösungen zu investieren, die möglichst viele Anforderungen abdecken und Sie in die Lage versetzen, die erforderlichen Zielfähigkeiten zu erreichen.

Warum lege ich so großen Wert darauf, die Anzahl der Lösungen zu begrenzen? Es ist ganz einfach: Der Kauf zu vieler Lösungen ist kostspielig und führt zu Komplexität, insbesondere wenn sich die Funktionen und Merkmale Ihrer Tools erheblich überschneiden. Komplexität erhöht das Risiko, indem sie die Angriffsfläche vergrößert, Ihre Mitarbeiter belastet, die Supportkosten in die Höhe treibt und Datensilos schafft, die einer Integration bedürfen.

Wie unsere Kunden Tanium einsetzen, um Cybersicherheits-Rahmenwerke umzusetzen und die Sicherheitshygiene zu verbessern

Unsere Kunden nutzen Tanium, um viele der Anforderungen führender Rahmenwerke zu erfüllen – sogar über die Maßnahmen hinaus, die üblicherweise als Teil der Sicherheitshygiene angesehen werden. Insgesamt deckt Tanium die Anforderungen ab, die in allen fünf Funktionen erforderlich sind, die in den folgenden Dokumenten festgelegt sind: „ “ (), „NIST Framework Core“ (), „ “ und „ISO 27001“. Tanium kann Unternehmen dabei unterstützen, sich an den wesentlichen Komponenten führender Cybersicherheits-Frameworks zu orientieren, wie die folgenden Beispiele verdeutlichen:

• Ein großes Finanzinstitut setzte , , Tanium Discoversowie  ein, um die Genauigkeit seiner Bestandsaufnahme von Anlagen und Software deutlich zu verbessern.
• Ein Unterhaltungsunternehmen nutzte , , Tanium Complysowie  , um die Endpunktsicherheit zu verbessern, indem es Schwachstellen und Abweichungen anhand festgelegter Standards für Sicherheits-Baseline-Konfigurationen identifizierte und behob.
• Ein großer Krankenversicherer setzte Tanium Core ein, um Domänenkonten mit unangemessenen Berechtigungen auf Arbeitsstationen und Servern zu identifizieren und so das Risiko einer lateralen Bewegung durch Angreifer zu verringern.
• Ein großer Einzelhändler aus dem Bereich „ “ setzte Tanium Detect sowie Tanium Trace ein, um die Untersuchung und Behebung von Vorfällen zu beschleunigen, sodass die zuständigen Mitarbeiter in weniger als einer Stunde von der Erkennung bis zur Behebung eines Vorfalls gelangen konnten.
• Eine Regierungsbehörde nutzte , , Tanium Patchsowie  , um Zehntausende von Sicherheitslücken in einem globalen Netzwerk zu identifizieren und zügig zu beheben.

Der Aufbau eines nachhaltigen und ausgereiften Cybersicherheitsprogramms erfordert die Ausrichtung an einem branchenführenden Rahmenwerk. Tanium unterstützt seine Kunden mit einem stetig wachsenden Produktportfolio dabei, viele der in Cybersicherheits-Rahmenwerken definierten Maßnahmen umzusetzen und gleichzeitig die Komplexität und die Kosten für die Betreuung mehrerer Lösungen zu reduzieren.

Hoffentlich haben Sie Ihre Reise bereits begonnen, indem Sie die Schritte befolgt haben, die in den folgenden Artikeln dieser Reihe beschrieben sind: „ “ (), „Teil 1“ () und „ “, und prüfen Sie derzeit die Empfehlungen zur Ausrichtung von Investitionen auf ein Cybersicherheits-Framework, um die Sicherheitshygiene zu verbessern. In meinem nächsten Beitrag „ “ () sowie „“ ( ) werde ich untersuchen, wie sich die Wirksamkeit laufender Hygienemaßnahmen mithilfe aussagekräftiger und messbarer Leistungsindikatoren kontinuierlich überwachen lässt.

Über den Autor: Als Chief Security Officer ist David Damato für die strategische Produktausrichtung bei der Modulentwicklung für die Tanium-Plattform verantwortlich und leitet das interne Sicherheitsprogramm des Unternehmens. David bringt ein umfangreiches Fachwissen im Bereich Sicherheit bei Tanium ein, das sich auf die Bereiche Incident Response und Forensik, Schwachstellenanalysen, die Entwicklung von Sicherheitsprogrammen, den Sicherheitsbetrieb sowie Netzwerk- und Sicherheitsarchitektur erstreckt. Vor seiner Tätigkeit bei Tanium war David zuletzt als Geschäftsführer bei Mandiant, einem Unternehmen der FireEye-Gruppe, tätig, wo sein Team die Maßnahmen zur Reaktion auf Sicherheitsvorfälle und zur Behebung der Folgen von Sicherheitsverletzungen bei über 100 der 500 Fortune-Unternehmen leitete. Bei Mandiant war David zudem maßgeblich an der Entwicklung neuer Kompetenzen im Bereich der Incident-Response-Dienstleistungen sowie am Aufbau von Beratungsniederlassungen im In- und Ausland beteiligt. Vor seiner Tätigkeit bei Mandiant leitete David Sicherheitsberatungsteams bei PwC im Rahmen der „Washington Federal Practice“ und bekleidete IT-Positionen bei Raytheon, wobei sein Schwerpunkt auf der Verwaltung interner und staatlicher Netzwerke lag. David teilt sein Fachwissen und seine Erkenntnisse regelmäßig auf Branchenveranstaltungen und gegenüber den Medien.