NIST RMF, ISO 27001 und CIS Controls

Security-Frameworks sind strukturierte Sammlungen von Richtlinien, Best Practices und Kontrollen, die Unternehmen beim Aufbau und bei der Aufrechterhaltung wirksamer Sicherheitsprogramme unterstützen. Statt bei null anzufangen, bieten Frameworks eine bewährte Methodik, die an die Größe, Branche und das Risikoprofil eines Unternehmens angepasst werden kann. Die Security+-Prüfung konzentriert sich auf drei weit verbreitete Frameworks: NIST RMF, ISO 27001 und die CIS Controls — jedes davon betrachtet Sicherheit aus einem anderen Blickwinkel.

Das NIST Risk Management Framework (NIST SP 800-37) ist ein aus sechs Schritten bestehender Lebenszyklus für das Management von Sicherheits- und Datenschutzrisiken in staatlichen Informationssystemen. Es wird jedoch auch im privaten Sektor häufig eingesetzt. Die sechs Schritte sind: Categorize (Sensibilität von System und Daten bestimmen), Select (geeignete Kontrollen aus SP 800-53 auswählen), Implement (Kontrollen bereitstellen), Assess (Wirksamkeit testen), Authorize (ATO-Entscheidung durch die autorisierende Stelle) und Monitor (kontinuierliche Überwachung). Das RMF legt den Schwerpunkt auf eine fortlaufende Autorisierung statt auf Zertifizierungen zu einem bestimmten Zeitpunkt.

NIST SP 800-53 ist der Kontrollkatalog, der in die Select-Phase des RMF einfließt. Er ordnet Hunderte von Sicherheits- und Datenschutzkontrollen 20 Familien zu, darunter Access Control (AC), Audit and Accountability (AU), Incident Response (IR) sowie System and Communications Protection (SC). Die Kontrollen sind mit Baseline-Zuordnungen (Low, Moderate, High) versehen, die der Auswirkungsstufe des Systems nach FIPS-199 entsprechen. So wählen Unternehmen den passenden Kontrollsatz für ihre Risikokategorie aus.

ISO/IEC 27001 ist ein internationaler Standard für Informationssicherheits-Managementsysteme (ISMS). Anders als NIST, das auf die USA ausgerichtet ist, wird ISO 27001 weltweit anerkannt, und Unternehmen können eine formelle Zertifizierung durch unabhängige Dritte erlangen — was für das Vertrauen von Kunden und internationale Verträge wertvoll ist. Der Standard folgt dem Plan-Do-Check-Act-Zyklus (PDCA) und konzentriert sich darauf, ein Managementsystem für Informationssicherheit aufzubauen, statt einzelne technische Kontrollen vorzuschreiben.

Anhang A von ISO 27001:2022 enthält 93 Kontrollen, die in vier Themenbereiche gegliedert sind: Organizational (37 Kontrollen — Richtlinien, Rollen, Lieferantenbeziehungen), People (8 Kontrollen — Einstellung, Schulung, Beendigung von Arbeitsverhältnissen), Physical (14 Kontrollen — Räumlichkeiten, Ausrüstung) und Technological (34 Kontrollen — Zugriffskontrolle, Malware, Verschlüsselung, Protokollierung). Nicht jede Kontrolle muss umgesetzt werden — Unternehmen wählen auf Grundlage ihrer Statement of Applicability (SoA) die zutreffenden Kontrollen aus und begründen den Ausschluss einzelner Kontrollen.

Die CIS Critical Security Controls (früher SANS Top 20) sind eine priorisierte Sammlung von 18 Kontrollgruppen, die vom Center for Internet Security entwickelt wurde. Sie sind sehr praxisorientiert und auf konkrete Maßnahmen ausgerichtet, die sofort umgesetzt werden können, statt auf das langfristige Management eines Programms. Die CIS Controls sind in drei Implementation Groups (IGs) gegliedert: IG1 (grundlegende Cyberhygiene, 56 Safeguards), IG2 (zusätzliche 74 Safeguards für komplexere Umgebungen) und IG3 (alle 153 Safeguards für ausgereifte Unternehmen, die anspruchsvollen Bedrohungen ausgesetzt sind).

Die CIS Controls legen auf hoher Ebene fest, was zu tun ist; die CIS Benchmarks legen für bestimmte Plattformen fest, wie es umzusetzen ist. CIS Benchmarks bieten präzise, schrittweise Anleitungen zur Härtung von Betriebssystemen (Windows, Linux), Cloud-Plattformen (AWS, Azure, GCP), Netzwerkgeräten, Browsern und Datenbanken. Sie können kostenlos heruntergeladen werden und werden häufig als technische Spezifikation für CIS Control 4 (Secure Configuration) verwendet. Automatisierungswerkzeuge wie Chef, Ansible und InSpec können CIS Benchmarks in großem Maßstab anwenden.

Jedes Framework dient in erster Linie einem anderen Zweck. NIST RMF eignet sich am besten für die US-Regierung und Rüstungsunternehmen, die formelle Autorisierungsprozesse benötigen. ISO 27001 eignet sich am besten für Unternehmen, die mit einer international anerkannten Zertifizierung ihre Sicherheit gegenüber Kunden nachweisen möchten. CIS Controls eignen sich am besten für Unternehmen, die priorisierte, umsetzbare Schritte zur schnellen Verbesserung ihrer Abwehrmaßnahmen suchen. Viele ausgereifte Unternehmen nutzen alle drei: CIS Controls für den täglichen Betrieb, NIST RMF für die Risiko-Governance und ISO 27001 für die kundenorientierte Zertifizierung.

Weitere Frameworks kommen in der Security+-Prüfung vor. COBIT (Control Objectives for Information Technologies) konzentriert sich auf die IT-Governance und die Abstimmung der Sicherheit mit den Geschäftszielen. SOC 2 ist ein Prüfstandard für Dienstanbieter, der Sicherheit, Verfügbarkeit, Vertraulichkeit, Integrität der Verarbeitung und Datenschutz bewertet. PCI-DSS ist ein präskriptiver Compliance-Standard für Umgebungen mit Zahlungskarten. Das Verständnis dieser Frameworks versetzt Sie in die Lage, die Sprache verschiedener Branchen und regulatorischer Umgebungen zu sprechen.

Berücksichtigen Sie bei der Auswahl eines Frameworks: regulatorische Vorgaben (HIPAA verlangt die Berücksichtigung bestimmter Safeguards; FedRAMP verlangt NIST), Kundenanforderungen (Großkunden können eine ISO-27001-Zertifizierung verlangen), Reifegrad des Unternehmens (CIS IG1 eignet sich für kleine Unternehmen, die gerade beginnen) und Branche (Finanzdienstleister benötigen möglicherweise NIST CSF oder SOC 2). Mit einem Framework zu beginnen und später weitere hinzuzunehmen ist besser, als alle Frameworks gleichzeitig umsetzen zu wollen, da dies kleinere Teams überfordert.

Alle drei Frameworks verpflichten sich zur kontinuierlichen Verbesserung. Der Monitor-Schritt des NIST RMF treibt die laufende Prüfung von Kontrollen voran. Die Act-Phase von ISO 27001 verlangt Korrekturmaßnahmen und Verbesserungspläne. Die CIS Controls werden versioniert und aktualisiert, wenn sich die Bedrohungslage weiterentwickelt (derzeit Version 8.1). Sicherheitsprogramme, die Frameworks als einmalige Compliance-Maßnahme behandeln, fallen schnell zurück — die Frameworks sind als fortlaufend weiterentwickelte Programme konzipiert, die gemeinsam mit den Fähigkeiten des Unternehmens und neuen Bedrohungen reifen.

Testen Sie Ihr Verständnis der Konzepte aus dieser Lektion für CompTIA Security+ (SY0-701).

In dieser Lektion haben Sie gelernt: NIST RMF bietet einen sechsstufigen Risikolebenszyklus (Categorize, Select, Implement, Assess, Authorize, Monitor) mit Kontrollen aus SP 800-53, ISO 27001 ist ein weltweit zertifizierbarer ISMS-Standard auf Grundlage von PDCA mit Kontrollen in Anhang A, und die CIS Controls bieten 18 priorisierte Kontrollgruppen in drei Implementation Groups für praktische, umsetzbare Verbesserungen der Sicherheit. Als Nächstes untersuchen wir Schemata zur Datenklassifizierung und Datenschutzanforderungen.