NIST Cyber Security Framework 2.0 NIST CSF 2.0 fördert Verbesserung der IT-Sicherheit

Anbieter zum Thema

G DATA CyberDefense AG

WatchGuard Technologies GmbH

XOPERO SOFTWARE S.A.

Im Februar 2024 hat das National Institute of Standards and Technology (NIST) ein Update des Cyber Security Framework (CSF) veröffentlicht, das einen bedeutenden Wandel in der Herangehensweise von Unternehmen an Cybersecurity darstellt.

Das NIST CSF 2.0 (pdf) erweitert nicht nur den Anwendungsbereich über kritische Infrastrukturen (KRITIS) hinaus, sondern führt auch eine neue Säule ein, die zu einer kontinuierliche Verbesserung und Feedback von Sicherheitspraktiken führt.

Erweiterung und die neue Governance-Säule

Eine der bemerkenswertesten Änderungen im NIST CSF 2.0 ist die Ausweitung auf alle Industriesektoren. Damit wird anerkannt, dass aufgrund der Vernetzung moderner Bedrohungen nahezu jeder Sektor als Teil der kritischen Infrastruktur betrachtet werden kann. Dieser breitere Anwendungsbereich entspricht der aktuellen Bedrohungslandschaft, in der Angreifer häufig nicht-kritische Infrastrukturen ausnutzen, um Zugang zu KRITIS-Einrichtungen zu erlangen.

Diese neue, sechste Säule, Governance, zielt darauf ab, die Cybersicherheitsrichtlinien und Verantwortlichkeiten innerhalb einer Organisation zu vereinheitlichen. Laut NIST liefert die Governance-Funktion Ergebnisse, die aufzeigen, was eine Organisation tun kann, um andere CSF-Ergebnisse im Kontext ihrer Mission und der Erwartungen ihrer Stakeholder zu erreichen und zu priorisieren. Dazu gehören die Integration der Cybersicherheit in die umfassendere ERM-Strategie (Enterprise Risk Management), die Festlegung einer Cybersicherheitsstrategie und das Management von Lieferkettenrisiken.

Kontinuierliche Verbesserung

Der Übergang von traditionellen monolithischen Ansätzen zu einer kontinuierlichen Verbesserung der Cybersicherheit ist ein Eckpfeiler des NIST CSF 2.0. Dieses Rahmenwerk zieht Parallelen zur Modernisierung der Softwareentwicklung von Wasserfallmethoden hin zu agilen Methoden und befürwortet einen dynamischen, iterativen Ansatz für die Sicherheit.

Durch die Adaption eines Modells der kontinuierlichen Verbesserung können Cybersicherheitspraktiken anpassungsfähiger werden und besser auf neue Bedrohungen reagieren. Böswillige Akteure entwickeln ihre Taktiken ständig weiter, und die Cybersicherheitsabwehr muss ebenso flexibel sein, um diesen Bedrohungen wirksam begegnen zu können. Kontinuierliche Verbesserungen ermöglichen es den Unternehmen, Schwachstellen zu beheben und ihre Abwehrmaßnahmen schrittweise zu verbessern, anstatt auf umfassende Richtlinienaktualisierungen zu warten, die Monate in Anspruch nehmen können.

Lebenszyklus der Sicherheitsimplementierung

NIST CSF 2.0 führt das Konzept der Profile innerhalb des Lebenszyklus der Sicherheitsimplementierung ein. Profile repräsentieren gemeinsame Interessen, Ziele und Ergebnisse bei der Reduzierung von Cybersicherheitsrisiken unter den Stakeholdern. Sie werden entweder als Ist-Profile kategorisiert, die den aktuellen Stand der Sicherheit darstellen, oder als Soll-Profile, die den gewünschten Sicherheitszustand nach der Implementierung von Richtlinien- und Verfahrensaktualisierungen definieren.

Dieser schrittweise Ansatz ermöglicht es den Sicherheitsteams, Schwachstellen schnell zu identifizieren und zu beheben, und fördert eine „Fail-Fast"-Mentalität. Anstatt viel Geld in eine möglicherweise fehlerhafte, umfassende Richtlinie zu investieren, können Unternehmen ihre Sicherheitsmaßnahmen in kleineren, überschaubaren Schritten testen und verfeinern. Dies spart nicht nur Zeit und Ressourcen, sondern reduziert auch die Angriffsfläche schneller.

Herausforderungen und Möglichkeiten

Die Umstellung auf das NIST CSF 2.0 Framework bringt einige Herausforderungen mit sich. Widerstand gegen Veränderungen ist eine große Hürde, wie sich bei der frühen Einführung agiler Methoden in der Softwareentwicklung gezeigt hat. Sicherheitsteams, die an traditionelle Ansätze gewöhnt sind, können zögern, kontinuierliche Verbesserungen und agile Praktiken anzunehmen. Darüber hinaus verstärken bestehende Vorschriften und Compliance-Anforderungen häufig monolithische Sicherheitsansätze, so dass ein Paradigmenwechsel erforderlich ist, um kontinuierliche Verbesserungen zu unterstützen.

Die Möglichkeiten, die das NIST CSF 2.0 bietet, sind jedoch beträchtlich. Ein kontinuierlicher Verbesserungsprozess ermöglicht es Sicherheitsteams, neue Tools und Technologien schneller zu integrieren, Richtlinien auf der Grundlage von Echtzeit-Erkenntnissen anzupassen und Ressourcen effektiv zu priorisieren. Manager und Direktoren, die näher an den täglichen Herausforderungen der Praktiker sind, können die Anpassung von Richtlinien und Tools auf der Grundlage aktueller Bedürfnisse vorantreiben.

Da sich die Aufsichtsbehörden allmählich an dieses neue Modell anpassen, können die Unternehmen die kontinuierliche Verbesserung nutzen, um die eigene Compliance-Konformität zu verbessern und gleichzeitig flexibel zu bleiben. Die Verwendung von Profilen ermöglicht schrittweise Sicherheitsverbesserungen und garantiert, dass sich die Sicherheitsmaßnahmen während des gesamten Compliance-Zyklus weiterentwickeln.

Fazit

Das NIST CSF 2.0 Framework stellt für die Cybersicherheit einen bedeutenden Schritt dar, indem es kontinuierliche Verbesserung und agile Praktiken fördert. Indem Sicherheitsteams von den Entwicklungen in der Softwareentwicklung lernen, können sie einen dynamischeren und reaktionsfähigeren Ansatz zur Abwehr der sich ständig weiterentwickelnden Bedrohungen wählen. Auch wenn es Herausforderungen gibt, machen die Möglichkeiten zur Verbesserung der Sicherheit, der Ressourceneffizienz und der Einhaltung gesetzlicher Vorschriften diesen Übergang zu einem vielversprechenden Weg für Organisationen, die sich für robuste Cybersicherheitspraktiken einsetzen.

Mit der Einführung des NIST CSF 2.0 können sich Sicherheitsteams auf eine Zukunft vorbereiten, in der Cybersicherheit nicht nur eine defensive Maßnahme ist, sondern ein proaktiver, integraler Bestandteil der Unternehmensstrategie, der den Anforderungen einer zunehmend komplexen Bedrohungslandschaft gerecht wird.

Über den Autor: Harold Butzbach ist Director Sales for Central Europe at Sysdig Germany.

(ID:50141959)