Welche Schritte umfasst das NIST Cybersecurity Framework?
18. November 2021
Das National Institute of Standards and Technology (NIST, Nationales Institut für Standards und Technologie) ist eine Bundesbehörde der Vereinigten Staaten mit Sitz in Gaithersburg USA. Der frühere Name der Behörde war von 1901 bis 1988 National Bureau of Standards (NBS). Das Institut verfügte im Jahr 2020 über ein nicht unerhebliches Budget von 1034 Mio. US-Dollar. Das Institut gehört zur technologischen Administration des US-Handelsministeriums und ist für Standardisierungsprozesse zuständig. Im Bereich der Kryptografie sind hier beispielsweise die Verschlüsselungsalgorithmen DES und AES sowie die Hashfunktionen der SHA-Familie hervorgegangen. Weiterhin werden die Federal Information Processing Standards (FIPS) veröffentlicht, die für US-Behörden gelten. Die sieben Schritte des NIST Cybersecurity Frameworks
Im Cyberrisiko-Management-Framework nach NIST gibt es insgesamt sieben Schritte, welche zur Durchführung unerlässlich sind.
1. Prepare: Vorbereitung auf die Durchführung der RMF (Risk Management Framework) aus der Perspektive der Organisation und der Systemebene, indem ein Kontext und Prioritäten für das Management von Sicherheits- und Datenschutzrisiken festgelegt werden.
2. Categorize Systems: Kategorisierung des Systems und der durch das System verarbeiteten, gespeicherten und übermittelten Informationen auf der Grundlage einer Analyse der Auswirkungen eines Verlusts.
3. Select Controls: Auswahl eines initialen Sets von Kontrollen für das System und Anpassung der Kontrollen nach Bedarf, um das Risiko auf der Grundlage einer Risikobewertung auf ein akzeptables Niveau zu reduzieren. 4. Implement Controls: Implementierung der Kontrollen und Beschreibung, wie die Kontrollen innerhalb des Systems und seiner Betriebsumgebung eingesetzt werden. 5. Assess Controls: Bewertung der Kontrollen, um festzustellen, ob die Kontrollen korrekt implementiert sind, wie beabsichtigt funktionieren und die gewünschten Ergebnisse in Bezug auf die Erfüllung der Sicherheits- und Datenschutzanforderungen erzielen.
6. Authorize System: Genehmigung des Systems oder der gemeinsamen Kontrollen auf der Grundlage der Feststellung, dass das Risiko für den Betrieb und das Vermögen der Organisation, für Einzelpersonen, andere Organisationen und die Nation akzeptabel ist.
7. Monitor Controls: Laufende Überwachung des Systems und der zugehörigen Kontrollen, einschliesslich der Bewertung der Wirksamkeit der Kontrollen, der Dokumentation von Änderungen am System und an der Betriebsumgebung, der Durchführung von Risikobewertungen und Auswirkungsanalysen sowie der Berichterstattung über die Sicherheits- und Datenschutzlage des Systems.
Praxisbeispiel Das NIST-Framework dient hauptsächlich zur Verbesserung der cybersicherheitskritischen Infrastrukturen und wurde gleichzeitig mit der dazugehörigen Roadmap (Fahrplan) zur Verbesserung der Cybersicherheit dieser Infrastrukturen veröffentlicht. Seit der Veröffentlichung des Frameworks und der begleitenden Roadmap hat das NIST die besten Praktiken für das Cyber-Risikomanagement in der Lieferkette durch die Zusammenarbeit mit Branchenführern untersucht. Hierzu gibt es vom NIST einige interessante Case Studies, die namenhafte Player z. B Boeing, Cisco, Intel, Dupont, Netapp, etc. bei sich angewendet haben.
Eigene Erkenntnis Generell ermöglichet das NIST Cybersecurity Framework den Unternehmen, eine gemeinsame Sprache für C-SCRM (Cyber Supply Chain Risk Management) im gesamten Unternehmen zu etablieren, interne und externe Bewertungen zu standardisieren und die Kommunikation und Berichterstattung über Vorfälle zu optimieren.
Unserer Meinung nach zeigt das NIST Framework eine nahe Verwandtschaft zur ISO-Norm-Reihe 27000. Da Unternehmen sich zum Ziel setzen, sich nach ISO-Norm 27001 zertifizieren zu lassen, wird sich das NIST Framework aber sicherlich in seinem Nischendasein halten. Ausserdem ist die ISO-Norm 27001 in der Industrie bekannter und findet eine verbreiterte Anwendung.
Diese Website nutzt Cookies (siehe Datenschutz). Sie können die Nutzung von Cookies in den Einstellungen anpassen. Indem Sie diesen Hinweis schliessen oder mit dem Besuch fortfahren, akzeptieren Sie die Verwendung von Cookies.
Cookie-Einstellungen
Wir unterscheiden für diese Website notwendige Cookies (die zur fehlerfreien Verwendung der Site dienen, damit Ihnen alle Funktionalitäten zur Verfügung stehen) sowie Statistik- und Marketing-Cookies (die uns erlauben, die Nutzung unserer Angebote und Werbemassnahmen zu verstehen und zu optimieren). Weitere Informationen finden Sie unter Datenschutz.
