NIST-Cybersecurity-Framework einfach erklärt

Frag zehn Sicherheitsfachleute, was das NIST Cybersecurity Framework (CSF) ist, und du bekommst zehn leicht unterschiedliche Antworten — eine Checkliste, ein Reifegradmodell, ein Compliance-Mandat, eine gemeinsame Sprache. Es ist wirklich all das, und zu verstehen, warum, macht es viel nützlicher, als es als eine weitere Box zu behandeln, die man abhaken muss.

Welches Problem löst es eigentlich?

Vor dem CSF hatten Organisationen völlig unterschiedliche Vokabulare, um ihre Sicherheitslage zu beschreiben. Das "uns geht es ganz gut" eines CISO bedeutete ohne Kontext nichts. NIST entwickelte das Framework, um Organisationen — unabhängig von Größe, Branche oder vorhandener Reife — eine gemeinsame Struktur zu geben, um ihre aktuelle Cybersecurity-Lage zu beschreiben, Zielzustände zu definieren, Lücken zu identifizieren und Risiken an nicht-technische Interessenträger wie Vorständen und Führungskräfte zu kommunizieren.

Es ist freiwillig und schreibt keine spezifischen Tools oder Technologien vor. Es sagt dir nicht, ein bestimmtes EDR-Produkt zu kaufen oder eine Firewall auf eine bestimmte Weise zu konfigurieren. Stattdessen beschreibt es Ergebnisse, die du erreichen solltest, und lässt dich wählen, wie du dorthin kommst.

Die Kernfunktionen

Das CSF ist um Funktionen organisiert, die den vollständigen Lebenszyklus der Cyber-Risikoverwaltung darstellen. Die neuere Version 2.0 hat Govern als fundamentale Funktion neben den ursprünglichen fünf hinzugefügt:

• Govern — Lege die Cybersecurity-Risikomanagementstrategie der Organisation, Rollen, Richtlinien und Aufsicht fest und überwache sie. Dies ist die neueste Ergänzung und spiegelt wider, wie sehr Cybersecurity zu einer Governance- und Geschäftsrisiko-Angelegenheit geworden ist, nicht nur zu einer technischen.
• Identify — Verstehe deine Assets, Daten, Systeme und die Risiken, denen sie ausgesetzt sind. Du kannst nicht schützen, was du nicht kennst.
• Protect — Implementiere Schutzmaßnahmen: Zugriffskontrolle, Sicherheitsbewusstsein-Training, Datensicherheit und Wartungsverfahren.
• Detect — Entwickle die Fähigkeit, Anomalien und Sicherheitsereignisse zeitnah zu erkennen.
• Respond — Enthalte und entschärfe Incidents, wenn sie erkannt werden, einschließlich Kommunikationspläne.
• Recover — Stelle Fähigkeiten und Dienste wieder her, die während eines Incidents beeinträchtigt wurden, und integriere Erkenntnisse zurück ins Programm.

Jede Funktion unterteilt sich weiter in Kategorien und Unterkategorien — spezifische Ergebnisse wie