Auswahl von Sicherheitskontrollen und Gap-Analyse

Präventive Maßnahmen blockieren Bedrohungen, bevor sie erfolgreich sind (Firewalls, Zugriffskontrolle, Verschlüsselung). Detektive Maßnahmen erkennen bereits eingetretene Bedrohungen (IDS, Logging, Audits). Korrektive Maßnahmen verringern die Auswirkungen nach einem Vorfall (Backups, IR-Pläne, Patches). Eine mehrschichtige Verteidigung erfordert alle drei Typen.

Sicherheitsmaßnahmen umfassen mehrere Dimensionen: physisch (Schlösser, Kameras), technisch (Firewalls, MFA) und administrativ (Richtlinien, Schulungen). Wählen Sie für ein bestimmtes Risiko sich ergänzende Maßnahmen aus verschiedenen Kategorien aus. Eine technische Maßnahme, die durch eine administrative Richtlinie und physische Sicherheit unterstützt wird, schafft echte Defense-in-Depth.

Wählen Sie Maßnahmen, die dem Risiko angemessen sind. Berechnen Sie das Restrisiko: inhärentes Risiko minus Wirksamkeit der Maßnahmen. Risiken mit hoher Eintrittswahrscheinlichkeit und großen Auswirkungen rechtfertigen kostspielige Maßnahmen. Risiken mit geringer Eintrittswahrscheinlichkeit und geringen Auswirkungen können ohne Maßnahmen akzeptiert werden. Dokumentieren Sie die Begründung für die Risikobehandlung.

NIST 800-53 Revision 5 enthält über 1.000 Maßnahmen, die in 20 Familien gegliedert sind (AC, AU, CA, CM usw.). Bundesbehörden und Auftragnehmer müssen vorgegebene Baselines (Low/Moderate/High) implementieren. Der Katalog ist die umfassendste verfügbare Referenz für technische Sicherheitsmaßnahmen.

Eine Gap-Analyse vergleicht den aktuellen Sicherheitsstatus mit einer Ziel-Baseline eines Frameworks. Schritte: (1) Dokumentieren Sie die aktuell implementierten Maßnahmen, (2) ordnen Sie sie den Maßnahmen des Frameworks zu, (3) identifizieren Sie nicht oder nur teilweise implementierte Maßnahmen, (4) priorisieren Sie die Lücken nach Risiko, (5) erstellen Sie einen Plan für deren Behebung.

Wenn eine ideale Maßnahme nicht umsetzbar ist (aufgrund von Kosten, betrieblichen Einschränkungen oder Altsystemen), implementieren Sie kompensierende Maßnahmen, die durch alternative Mittel eine gleichwertige Risikominderung erreichen. Dokumentieren Sie die Begründung für die kompensierende Maßnahme für Auditoren und die Risikoakzeptanz.

Sicherheitsmaßnahmen müssen getestet werden, statt ihre Wirksamkeit einfach vorauszusetzen. Testen Sie präventive Maßnahmen, indem Sie versuchen, die blockierte Handlung auszuführen. Testen Sie detektive Maßnahmen, indem Sie das Ereignis simulieren und die Erkennung überprüfen. Testen Sie korrektive Maßnahmen durch Planspiele und Wiederherstellungsübungen.

Die CIS Critical Security Controls (18 Maßnahmen) sind priorisierte und praxisnahe Sicherheitsvorkehrungen. Die Implementation Groups (IG1/IG2/IG3) reichen von grundlegender Hygiene für kleine Organisationen bis zu anspruchsvollen Maßnahmen für Unternehmen. IG1 bietet die wirksamsten grundlegenden Schutzmaßnahmen für ein angemessenes Mindestmaß an Sicherheit.

Die Ergebnisse der Gap-Analyse werden zu einer Reifegrad-Roadmap: Priorisieren Sie nach Risikominderung pro investiertem Euro, bündeln Sie Maßnahmen in Quartalssprints, verfolgen Sie den Fortschritt anhand von Reifegrad-Meilensteinen und berichten Sie den Fortschritt gegenüber Führungskräften in der Sprache geschäftlicher Risiken statt in technischem Fachjargon.

Das Management von Risiken durch Dritte erfordert die Bewertung der Sicherheitsmaßnahmen in Ihrer Lieferkette. Sicherheitsfragebögen, SOC-2-Berichte, ISO-27001-Zertifikate und Zusammenfassungen von Penetrationstests liefern Nachweise für die Wirksamkeit der Maßnahmen eines Anbieters. Bei Anbietern mit hohem Risiko können Bewertungen vor Ort erforderlich sein.

Die Wirksamkeit von Maßnahmen nimmt mit der Zeit ab: Patchstände bleiben zurück, Konfigurationen weichen ab und Zugriffsrechte sammeln sich an. Eine kontinuierliche Überwachung der Maßnahmen mit automatisierten Compliance-Werkzeugen (AWS Config, Azure Policy, SCC) liefert einen stets aktuellen Status der Maßnahmen statt einer Momentaufnahme aus jährlichen Audits.

Worin besteht der Unterschied zwischen präventiven und detektiven Sicherheitskontrollen?

Die Auswahl von Kontrollen ordnet identifizierten Risiken geeignete präventive, detektive und korrektive Kontrollen in den Kategorien physisch, technisch und administrativ zu. Eine Lückenanalyse identifiziert fehlende Kontrollen anhand der Baselines von Frameworks, und eine risikopriorisierte Roadmap treibt die systematische Verbesserung hin zu einer messbaren Sicherheitsreife voran.