Im Keeper Security Insight Report 2024 gaben 92 % der Technologie- und Sicherheitsleiter an, dass sie von Jahr zu Jahr einen Anstieg der Cyberangriffe festgestellt haben, und 95 % gaben ebenfalls an, dass die Cyberangriffe ausgefeilter sind als je zuvor.

Mit der zunehmenden Häufigkeit und Raffinesse von Cyberbedrohungen benötigen Organisationen einen strukturierten Ansatz, um diese Risiken effektiv zu managen und zu mindern. Hier kommen Rahmenwerke wie das Cybersicherheits-Rahmenwerk des Nationalen Instituts für Standards und Technologie (NIST - National Institute of Standards and Technology) ins Spiel.

In diesem Blogartikel werden wir untersuchen, was das NIST CSF 2.0 ist, seine wichtigsten Kategorien, wie es sich auf das NIST 800-53 bezieht, seine Reifegrade und vieles mehr.

Was ist das NIST CSF?

Das Cybersicherheits-Rahmenwerk des NIST (CSF) ist eine Sammlung von Standards, Richtlinien und Best Practices, die Organisationen dabei helfen sollen, Cyberrisiken zu managen und zu reduzieren.

Das vom NIST entwickelte CSF, eine nichtregulatorische Agentur des US-Handelsministeriums, bietet der Industrie, Behörden und anderen Organisationen Leitlinien, um ihre Cybersicherheitsbemühungen besser zu verstehen, zu bewerten, zu priorisieren und zu kommunizieren.

Dieses Rahmenwerk ist so gestaltet, dass es flexibel und anpassbar ist, sodass Organisationen jeder Größe, Branche oder Reifegrad ihres Cybersicherheitsprogramms es nutzen und an ihre spezifischen Cybersicherheitsbedürfnisse und Risikoprofile anpassen können.

NIST CSF 2.0

Während das NIST CSF im Laufe der Zeit überarbeitet wurde, um mit aufkommenden Cyberbedrohungen und technologischen Fortschritten Schritt zu halten, ist das NIST CSF 2.0 die erste größere Aktualisierung des Rahmenwerks seit seiner Einführung im Jahr 2014. Der Hauptunterschied zwischen der neuesten Version und dem Original besteht darin, dass das NIST CSF 2.0 ausdrücklich darauf abzielt, allen Organisationen zu helfen, Risiken zu managen und zu reduzieren, und nicht nur solchen mit kritischen Infrastrukturen.

Das NIST CSF 2.0 enthält auch Aktualisierungen der grundlegenden CSF-Richtlinien, mit zusätzlichem Fokus auf Governance und Lieferketten, sowie eine Reihe von verwandten Ressourcen, um allen Organisationen zu helfen, ihre Cybersicherheitsziele zu erreichen.

Veröffentlichungstermin des NIST CSF 2.0

Das NIST CSF 2.0 wurde offiziell am 26. Februar 2024 veröffentlicht und markiert das erste große Update dieses Cybersicherheits-Rahmenwerks seit einem Jahrzehnt. Diese neueste Version spiegelt das Feedback aus mehreren Jahren von Diskussionen und öffentlichen Kommentaren wider, die darauf abzielten, das Rahmenwerk effizienter und relevanter für eine breitere Palette von Nutzern, sowohl in den USA als auch im Ausland, zu gestalten.

Die unten stehenden Informationen spiegeln die neueste Version des NIST CSF wider.

Kategorien des NIST CSF

Der NIST CSF 2.0 ist in sechs Schlüsselfunktionen organisiert. Diese Funktionen repräsentieren Ergebnisse, die jeder Organisation helfen können, ihre Cyber-Sicherheitsbemühungen besser zu verstehen, zu bewerten, zu priorisieren und zu kommunizieren.

Innerhalb jeder Funktion gibt es Kategorien, die Ergebnisse im Zusammenhang mit Cybersicherheit darstellen. Diese Kategorien bilden zusammen die Funktion und bieten einen umfassenden Rahmen, um das Risiko der Cybersicherheit in der gesamten Organisation anzugehen. Die Kategorien sind auch in Unterkategorien unterteilt, die spezifischere Ergebnisse von technischen und Managementaktivitäten darstellen. Zusammen bilden sie den Kern des CSF.

Diese Funktionen und Kategorien sind keine Checkliste von Maßnahmen, die ergriffen werden müssen. Die spezifischen Maßnahmen, die zur Erreichung eines Ergebnisses erforderlich sind, und die Verantwortlichen für diese Maßnahmen variieren je nach Organisation.

Daher verweist das CSF anstelle von Vorschriften, wie die Ergebnisse erreicht werden sollen, auf Online-Ressourcen, die weitere Anleitungen zu Praktiken und Kontrollen bieten, die möglicherweise zur Erreichung dieser Ergebnisse verwendet werden können. Diese ergänzende Suite von Online-Ressourcen wird erweitert und enthält bereits eine Reihe von Schnellstartleitfäden (QSG), informative Referenzen und Implementierungsbeispiele.

Die Funktionen und Kategorien des NIST CSF 2.0 sowie deren Definitionen sind in der folgenden Tabelle aufgeführt.

Niveaus des NIST CSF

Zusätzlich zum Kern des CSF definiert das NIST Ebenen, um Organisationen dabei zu helfen, Cyber-Sicherheitsrisiken zu verstehen, zu bewerten, zu priorisieren und zu kommunizieren.

Die Ebenen charakterisieren die Rigorosität der Governance und der Praktiken des Cyber-Sicherheitsrisikomanagements einer Organisation und können auch einen Kontext darüber bieten, wie eine Organisation Cyber-Sicherheitsrisiken wahrnimmt und welche Prozesse sie zur Verwaltung dieser Risiken hat.

Der NIST CSF 2.0 umfasst vier Ebenen, die jeweils die Praktiken einer Organisation zur Bewältigung von Cyber-Sicherheitsrisiken widerspiegeln:

• Stufe 1: Teilweise
• Stufe 2: Risikoinformiert
• Stufe 3: Wiederholbar
• Stufe 4: Adaptiv

Obwohl diese Stufen ein wachsendes Maß an Strenge und Raffinesse in den Praktiken des Risikomanagements der Cybersicherheit darstellen, stellen sie nicht unbedingt Reifegrade dar. Stattdessen sollten die Stufen von einer Organisation verwendet werden, um den allgemeinen Ton festzulegen, wie sie ihre Cybersicherheitsrisiken handhaben wird.

Organisationen sollten das Niveau auswählen, das:

• Zu ihren organisatorischen Zielen passt
• Für sie umsetzbar ist
• Das Cybersicherheitsrisiko für kritische Vermögenswerte und Ressourcen auf ein von ihrer Organisation als akzeptabel erachtetes Niveau reduziert

Bei der Auswahl eines Niveaus sollten die Organisationen auch die aktuellen Risikomanagementpraktiken der Organisation, die Bedrohungsumgebung, gesetzliche und regulatorische Anforderungen, Informationsaustauschpraktiken, Geschäftsziele, Cybersicherheitsanforderungen der Lieferkette und organisatorische Zwänge berücksichtigen.

NIST CSF vs NIST 800-53

Obwohl die beiden Cybersicherheitsrahmen NIST CSF 2.0 und NIST 800-53 vom NIST entwickelt wurden und für alle Arten von Organisationen konzipiert sind, dienen sie unterschiedlichen Zwecken. Das NIST CSF ist ein High-Level-Rahmen, der Leitlinien und bewährte Praktiken zur Verwaltung von Cybersicherheitsrisiken bietet, während das NIST 800-53 ein strengerer und umfassenderer Rahmen ist, der Kontrollen zur Entwicklung sicherer und belastbarer föderaler Informationssysteme vorschreibt.

Organisationen können die Kontrollen von NIST 800-53 verwenden, um das NIST CSF umzusetzen. Wie oben erwähnt, ist dies jedoch nicht der einzige Weg für Organisationen, das CSF umzusetzen.

Ein weiterer wesentlicher Unterschied besteht darin, dass viele Organisationen das NIST CSF auf freiwilliger Basis verwenden. Dies war bis 2017 der Fall für Bundesbehörden und Auftragnehmer, als die Executive Order 13800, Stärkung der Cybersicherheit der föderalen Netzwerke und kritischen Infrastrukturen, veröffentlicht wurde. Diese Executive Order machte das CSF für Bundesbehörden und Auftragnehmer verpflichtend.

Obwohl alle Bundesbehörden und Auftragnehmer heute sowohl das NIST CSF 2.0 als auch das NIST 800-53 einhalten müssen, sind Audits nur für das NIST 800-53 erforderlich. Das NIST 800-53 ist auch der Standard und das Kriterium, auf dem das FISMA (Federal Information System Modernization Act) basiert.

Wie man den NIST CSF 2.0 umsetzt

Hier sind einige handlungsorientierte Schritte, die Sie befolgen können, um die Ergebnisse des NIST CSF zu erreichen. Wie die vom NIST vorgeschlagenen Implementierungsbeispiele ist dies keine erschöpfende Liste von Maßnahmen, die eine Organisation ergreifen kann, um ein Ergebnis zu erzielen. Es ist auch keine Grundlage für erforderliche Maßnahmen zur Behandlung von Cyber-Sicherheitsrisiken.

1. Eine Risikomanagement-Strategie dokumentieren

Eine Risikomanagement-Strategie ist eine Strategie, die erklärt, wie eine Organisation beabsichtigt, Risiken zu identifizieren, zu bewerten, darauf zu reagieren und sie zu überwachen. Eine effektive Strategie sollte die spezifischen Cyber-Sicherheitsziele Ihrer Organisation, deren Risikoumfeld und die Lehren aus Ihrer Vergangenheit und anderen Organisationen berücksichtigen. Zum Beispiel können Sie die Ergebnisse von Audits, Cyber-Sicherheitsvorfällen und Schlüsselrisikoindikatoren überprüfen, um die Wirksamkeit der aktuellen Risikomanagement-Strategie zu messen und sie im Laufe der Zeit zu verbessern.

2. Eine Risikomanagement-Politik dokumentieren

Erstellen Sie eine Cyber-Sicherheits-Risikomanagement-Politik basierend auf dem organisatorischen Kontext, der Cyber-Sicherheitsstrategie und den Prioritäten Ihrer Organisation. Eine effektive Politik sollte:

• Die Rollen und Verantwortlichkeiten im Risikomanagement dokumentieren
• Von der obersten Führung genehmigt werden
• Von den Mitarbeitern bei ihrer Einstellung und regelmäßig (mindestens jährlich oder wenn sie aktualisiert wird) anerkannt werden
• Regelmäßig aktualisiert werden, um die Ergebnisse des Cyber-Sicherheitsrisikomanagements und Änderungen der gesetzlichen und regulatorischen Anforderungen, der Technologie und des Geschäfts zu reflektieren
• Lieferkettenrisiken behandeln

Bitte beachten Sie, dass Ihre Organisation wählen kann, eine separate Politik/Plan für das Lieferkettenrisikomanagement zu haben. In diesem Fall muss Ihre Risikomanagement-Politik keine Lieferkettenrisiken behandeln.

3. Eine Geschäftsauswirkungsanalyse durchführen

Festlegen von Kriterien, um zu bestimmen, welche Funktionen, Prozesse, Systeme und Daten für die Operationen Ihrer Organisation wesentlich sind und die potenziellen Auswirkungen eines Verlusts dieser Operationen. Im Rahmen dieser Geschäftsauswirkungsanalyse sollen Wiederherstellungsziele festgelegt werden, um diese kritischen Fähigkeiten und Dienstleistungen in verschiedenen Betriebszuständen bereitzustellen, einschließlich im Falle eines Angriffs, während der Wiederherstellung und während des normalen Betriebs.

4. Ein Asset-Inventar führen

Das Wissen über die Vermögenswerte Ihrer Organisation - einschließlich Daten, Hardware, Software, Systeme, Einrichtungen, Geräte, Personen und von Lieferanten erbrachte Dienstleistungen - ist entscheidend für das Risikomanagement im Bereich Cyber-Sicherheit. Ein Inventar dieser Vermögenswerte führen kann manuell in einer Tabellenkalkulation erfolgen, obwohl dies mühsam und schwer aktuell zu halten sein kann. Ein Compliance-Automatisierungstool kann ein aktuelles Inventar aller Ihrer Vermögenswerte führen für bessere Sichtbarkeit und Überwachung.

5. Risiken identifizieren, bewerten und dokumentieren.

Die Risiken für die Vermögenswerte müssen identifiziert, bewertet und dokumentiert werden. Eine Möglichkeit dies zu tun, besteht darin, ein Risikoregister zu erstellen. Ein Risikoregister ist ein Verzeichnis aller Risiken, denen Ihre Organisation ausgesetzt ist, sowie verwandter Informationen wie einer Beschreibung des Risikos, der Auswirkung, wenn das Risiko eintritt, der Wahrscheinlichkeit seines Auftretens, der Minderungsstrategien, der Risikoverantwortlichen und einer Klassifizierung zur Priorisierung der Minderungsbemühungen. Wie bei einem Inventar der Vermögenswerte können Sie ein Risikoregister manuell erstellen, aber ein Automatisierungswerkzeug kann den Prozess beschleunigen und für Sie auf dem aktuellen Stand halten.

6. Zugangskontrollen implementieren.

Um Ihre Vermögenswerte zu schützen, kann Ihre Organisation eine Richtlinie zur Begrenzung und Gewährung des Zugangs zu Ihren Einrichtungen, Umgebungen, Netzwerken, Instanzen und Daten einführen. Sie können auch zugriffsbasierte Regeln und Ablaufdaten einführen, um Ihnen zu helfen, nachzuverfolgen, wer Zugang hat und wie lange. Durch regelmäßige Überprüfung und Überwachung des Zugangs von Mitarbeitern und Lieferanten können Sie sicherstellen, dass das Prinzip des geringsten Privilegs, funktionaler Minimalismus und die Trennung von Aufgaben umgesetzt werden und Cybersicherheitsrisiken minimiert werden.

7. Schulung zur Sensibilisierung für Cybersicherheit anbieten

Eine Schulung zur Sensibilisierung für Cybersicherheit kann dazu beitragen sicherzustellen, dass die Mitarbeiter, Partner und Lieferanten Ihrer Organisation über das Wissen und die Fähigkeiten verfügen, Aufgaben unter Berücksichtigung der Cybersicherheitsrisiken und der damit verbundenen Richtlinien, Verfahren und Vereinbarungen durchzuführen. Eine effektive Schulung sollte:

• Soziale Ingenieurkunst und andere häufige Angriffe sowie die Folgen der Verletzung der Cybersicherheitsrichtlinie behandeln
• Bewertungen oder Tests beinhalten, um das Verständnis der Benutzer für Cybersicherheitspraktiken zu beurteilen
• Mindestens einmal im Jahr erforderlich sein

8. Einen Plan zur Verwaltung von Schwachstellen entwickeln

Ein Plan zur Verwaltung von Schwachstellen kann dazu beitragen sicherzustellen, dass das Cybersicherheitsrisiko für die Organisation, die Vermögenswerte und die Einzelpersonen verstanden wird. Der Plan sollte den Prozess, die Struktur und den Umfang der Schwachstellenverwaltung sowie die Verantwortlichkeiten und Erwartungen derjenigen, die für die Verwaltung des Programms verantwortlich sind, klar definieren, ebenso wie die aller anderen innerhalb der Organisation. Dies schließt die Kriterien ein, nach denen entschieden wird, ob das Risiko angenommen, übertragen, gemindert oder vermieden werden soll. Eine effektive Verwaltung von Schwachstellen umfasst mehrere Schritte, einschließlich der Erkennung von Schwachstellen, DAST- und SAST-Scans, Penetrationstests, Risikobewertungen, Schulungen der Mitarbeiter und vieles mehr.

9. Eine kontinuierliche Überwachung implementieren

Die kontinuierliche Überwachung Ihres Informationssystems und Ihrer Vermögenswerte sowie Ihrer Lieferanten kann Ihrer Organisation dabei helfen, Cybersicherheitsvorfälle zu identifizieren und die Wirksamkeit der von Ihnen implementierten Kontrollen zu überprüfen. Das Erstellen und Zuweisen von Tickets bei Auftreten bestimmter Alarmtypen, manuell oder automatisch, kann auch dazu beitragen sicherzustellen, dass potenzielle Cybersicherheitsangriffe gefunden und analysiert werden.

Ein Werkzeug wie Secureframe kann den Prozess der kontinuierlichen Überwachung automatisieren und die Verantwortlichen automatisch benachrichtigen, wenn eine Kontrolle fehlschlägt.

10. Einen Vorfallsreaktionsplan entwickeln

Ein Vorfallsreaktionsplan ist ein Dokument, das eine vordefinierte Reihe von Anweisungen oder Verfahren zur Erkennung, Reaktion und Begrenzung der Folgen eines Sicherheitsvorfalls enthält. Das Vorhandensein eines Vorfallsreaktionsplans kann sicherstellen, dass die Reaktionsprozesse und -verfahren ausgeführt werden, wenn ein Cybersicherheitsvorfall erkannt wird. Dieser Plan sollte regelmäßig aktualisiert werden, um die gesammelten Erfahrungen zu berücksichtigen.

11. Entwickeln Sie einen Notfallwiederherstellungsplan

Die Bereitstellung eines Notfallwiederherstellungsplans, der die Wiederherstellungsprozesse und -verfahren klar definiert, kann dazu beitragen, die Wiederherstellung von durch Cyber-Vorfälle beeinträchtigten Systemen oder Vermögenswerten zu gewährleisten. Er kann auch Kommunikationsprotokolle und Benachrichtigungsverfahren definieren, um während und nach einem Vorfall die Kommunikation mit internen und externen Stakeholdern sowie mit dem Management sicherzustellen.

Ähnlich wie der Incident-Response-Plan sollte auch dieser Plan regelmäßig aktualisiert werden, um gewonnene Erkenntnisse zu berücksichtigen.

NIST CSF Compliance-Checkliste

Die Implementierung der NIST CSF-Standards und -Richtlinien kann schwierig sein, aber die richtigen Werkzeuge können den Prozess vereinfachen und beschleunigen. Diese NIST CSF Compliance-Checkliste ist nicht als Vorschrift gedacht. Nutzen Sie sie stattdessen als Leitfaden, um die Ergebnisse des NIST CSF 2.0 zu erreichen.

Hier herunterladen.

NIST CSF Bewertung

Der NIST CSF bietet keine Zertifizierung an und verlangt keine Audits. Stattdessen können Organisationen interne Vorbereitungsbewertungen durchführen oder einen Berater engagieren, um ihre Cyber-Risikomanagementpraktiken zu bewerten und Bereiche zu identifizieren, die verbessert werden müssen.

Unabhängig davon, ob Sie sich für eine interne Durchführung oder die Beauftragung eines Beraters entscheiden, folgt eine Vorbereitungsbewertung in der Regel diesen Schritten:

• Abbildung der vorhandenen Kontrollen auf den NIST CSF 2.0-Rahmen. Identifizieren Sie vorhandene Kontrollen und Dokumentationen, die bereits dem NIST CSF 2.0-Rahmen entsprechen. Wenn Sie dies manuell durchführen, müssen Sie alle Ergebnisse des NIST CSF-Kerns (dargestellt durch Kategorien und Unterkategorien), die Sie erreichen möchten, aufzeichnen und dann in einer Tabelle mit Ihren vorhandenen Kontrollen verknüpfen. Ein Compliance-Automatisierungstool wie Secureframe kann dies automatisch erledigen.
• Identifizieren Sie Lücken. Sie können fehlende Kontrollen entdecken, feststellen, dass Sie Prozesse neu gestalten müssen, Mitarbeiter-Schulungsprogramme umsetzen oder mehr Nachweise für Ihre bestehenden Kontrollen dokumentieren müssen.
• Entwickeln Sie einen Verbesserungsplan. Versuchen Sie, spezifische Zeitpläne und Ergebnisse einzubeziehen, um die Lücken zu schließen. Identifizieren Sie eine Person, die für die Verfolgung der Fortschritte verantwortlich ist.

Wie Secureframe dabei helfen kann, die Einhaltung von NIST CSF 2.0 zu vereinfachen

Secureframe kann den Konformitätsprozess mit NIST CSF rationalisieren, indem es Organisationen hilft, Zeit zu sparen, Kosten zu senken und ihre Cybersicherheitspraktiken zu verbessern.

Eine der Hauptmerkmale der Secureframe-Plattform ist die Fähigkeit, das Mapping bestehender Sicherheitskontrollen einer Organisation auf den NIST CSF 2.0 Rahmen zu automatisieren. Dieser Mapping-Prozess hilft Organisationen zu verstehen, wie ihre aktuellen Sicherheitsmaßnahmen mit den im NIST CSF 2.0 beschriebenen Standards, Richtlinien und Best Practices übereinstimmen, und Lücken oder verbesserungswürdige Bereiche zu identifizieren. Durch die Automatisierung dieses Mapping-Prozesses ermöglicht Secureframe es Organisationen, einen Überblick über ihre Cybersicherheitslage zu erhalten und die Bemühungen zur effektiven Bewältigung von Defiziten zu priorisieren, während Schätzungen und manuelle Arbeit eliminiert werden.

Darüber hinaus bietet die Konformitätsautomatisierungsplattform von Secureframe automatisierte Arbeitsabläufe und speziell für NIST CSF 2.0 entwickelte Richtlinienvorlagen. Diese Arbeitsabläufe automatisieren den Großteil des Prozesses zur Implementierung und Aufrechterhaltung der notwendigen Sicherheitsmaßnahmen, um den NIST CSF 2.0 effektiv zu erfüllen, einschließlich der Beweissammlung, des Risikomanagements, der Asset-Inventarisierung, der Richtlinienverwaltung und der Aufgabenverwaltung. Durch die Nutzung dieser Arbeitsabläufe können Organisationen die Konsistenz, Genauigkeit und Vollständigkeit ihrer Konformitätsbemühungen sicherstellen und so die Wahrscheinlichkeit von Fehlern oder Auslassungen verringern.

Darüber hinaus bietet die Plattform von Secureframe kontinuierliche Überwachungsfähigkeiten, die es Organisationen ermöglichen, Cybersicherheitsrisiken proaktiv in Echtzeit zu identifizieren und zu bewältigen. Durch die kontinuierliche Überwachung ihrer Sicherheitslage in Bezug auf NIST CSF 2.0 können Organisationen schnell auf aufkommende Bedrohungen, Schwachstellen oder Konformitätsprobleme reagieren, ihre Gesamtsicherheit verbessern und ihre kontinuierliche Konformitätsstrategie stärken.

Schließlich hilft Secureframe Organisationen, über Aktualisierungen des Rahmens wie NIST CSF 2.0 auf dem Laufenden zu bleiben, damit sie nicht unkonform werden - ohne dass sie regulatorische Webseiten nach Änderungen durchsuchen müssen, die ihre Organisation beeinflussen könnten. Das Secureframe-Team informiert die Kunden nicht nur über Änderungen oder Aktualisierungen, die ihre Konformitätslage beeinflussen. Unsere Plattform wird auch von Konformitäts- und Sicherheitsexperten erstellt und gewartet, sodass alle Rahmenaktualisierungen in der Plattform widergespiegelt werden.

Für weitere Informationen darüber, wie Secureframe Ihnen helfen kann, die neueste Version von NIST CSF einzuhalten, planen Sie eine Demo.