Risikoframeworks: NIST CSF und ISO 27001

Sicherheitsteams sehen sich unendlich vielen potenziellen Maßnahmen und begrenzten Ressourcen gegenüber. Risikoframeworks stellen strukturierte Fachbegriffe, Kataloge von Sicherheitsmaßnahmen und Bewertungsmethoden bereit. Sie helfen Organisationen, Sicherheitsinvestitionen zu priorisieren, Führungskräften Risiken zu vermitteln und die Einhaltung von Vorgaben nachzuweisen.

Das NIST CSF (Version 2.0) gliedert Aktivitäten der Cybersicherheit in sechs Funktionen: Govern, Identify, Protect, Detect, Respond und Recover. Jede Funktion umfasst Kategorien und Unterkategorien, die bestimmten Sicherheitszielen zugeordnet sind. Das Framework wird in der kritischen Infrastruktur der USA und darüber hinaus umfassend eingesetzt.

Identify umfasst die Verwaltung von Assets, die Risikobewertung, die Risikomanagementstrategie und das Management von Risiken in der Lieferkette. Was Sie nicht kennen, können Sie nicht schützen. Vollständige Asset-Inventare und Risikobewertungen bilden die Grundlage für alle nachfolgenden Sicherheitsmaßnahmen.

Protect umfasst Zugriffskontrolle, Schulungen, Datensicherheit, die Absicherung von Prozessen und Wartung. Detect umfasst Anomalien, Sicherheitsereignisse und kontinuierliche Überwachung. Eine ausgereifte Detect-Funktion verhindert lange Verweilzeiten von Angreifern, indem sie Eindringlinge schnell erkennt.

Respond definiert die Planung der Incident Response, Kommunikation, Analyse, Eindämmung und Verbesserungen. Recover umfasst die Wiederherstellungsplanung, Verbesserungen und Kommunikation. Durch das Testen von IR-Plänen und Wiederherstellungsverfahren wird sichergestellt, dass sie im Bedarfsfall funktionieren.

ISO 27001 ist ein internationaler Standard für Informationssicherheits-Managementsysteme (ISMS). Er legt Anforderungen für die Einrichtung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines ISMS fest. Die ISO-27001-Zertifizierung weist Kunden und Aufsichtsbehörden eine von unabhängiger Seite validierte Sicherheit nach.

Annex A von ISO 27001:2022 umfasst 93 Maßnahmen, die in vier Themenbereiche gegliedert sind: organisatorische Maßnahmen (37), Maßnahmen für Personen (8), physische Maßnahmen (14) und technologische Maßnahmen (34). Annex A ist ein Katalog, aus dem Sie über die Statement of Applicability (SoA) die für Ihr Risikoprofil geeigneten Maßnahmen auswählen.

Der Prozess zur Risikobehandlung im ISMS umfasst folgende Schritte: Assets identifizieren, Bedrohungen und Schwachstellen identifizieren, Eintrittswahrscheinlichkeit und Auswirkungen bewerten, eine Behandlungsoption auswählen (akzeptieren, vermeiden, übertragen oder mindern), Maßnahmen aus Annex A auswählen und alles in der SoA dokumentieren. Jährliche Überprüfungen der Risikobewertung halten das ISMS aktuell.

Das NIST CSF ist ein Framework zur Strukturierung und Verbesserung von Cybersicherheitspraktiken, aber kein zertifizierbarer Standard. ISO 27001 ist ein zertifizierbarer Standard mit einem festgelegten ISMS-Geltungsbereich und einem Audit durch unabhängige Dritte. Viele Organisationen nutzen beide: das NIST CSF als operative Orientierung und ISO 27001 für die Zertifizierung und das Vertrauen der Kunden.

Das NIST CSF definiert vier Reifegradstufen (Partial → Risk-Informed → Repeatable → Adaptive). Die Sicherheits-Reifegrade von CMMI sind ähnlich aufgebaut. Nutzen Sie Reifegradbewertungen, um Lücken zu identifizieren und Verbesserungspläne mit messbaren, schrittweisen Fortschritten auf dem Weg zu einem höheren Sicherheitsreifegrad festzulegen.

Das NIST CSF und ISO 27001 lassen sich auf wichtige Regelwerke abbilden: PCI-DSS, HIPAA, GDPR, SOC 2 und NIST 800-53. Ein Framework vereinfacht die Einhaltung mehrerer Regelwerke: Der Nachweis einer Protect-Maßnahme des NIST CSF erfüllt typischerweise gleichzeitig ähnliche Anforderungen in mehreren regulatorischen Frameworks.

Welchen Zweck erfüllt die Statement of Applicability (SoA) in ISO 27001?

NIST CSF und ISO 27001 bieten einander ergänzende Ansätze für die Sicherheits-Governance. Das NIST CSF strukturiert Sicherheitsaktivitäten über Govern, Identify, Protect, Detect, Respond und Recover und dient als operative Orientierung, während ISO 27001 ein zertifizierbares ISMS-Framework mit einem formalen Prozess zur Risikobehandlung und einem Maßnahmenkatalog in Annex A bereitstellt.