Standard-Reifegradmodelle für die IT-Security

Standard-Reifegradmodelle für die IT-Security
Zu den gängigen Reifegradmodellen, die meist als Goldstandard gelten, gehören beispielsweise das NIST Cybersecurity Framework, ISO 27000 und CIS 20. Weitere sind beispielsweise die Datenschutz-Grundverordnung (DSGVO) der Europäischen Union, der Payment Card Industry Data Security Standard (PCI DSS) und der Health Insurance Portability and Accountability Act (HIPAA).

Jedes Reifegradmodell erfordert umfassende Kenntnisse über die IT-Security eines digitalen Ökosystems. Als weltweit führende Plattform für Sicherheitsbewertungen bietet beispielsweise BitSight die Transparenz, die einem Unternehmen dabei helfen kann, ihre Sicherheits- und Risikoprogramme zu verfeinern.

NIST-Cybersicherheits-Framework: Das National Institute of Standards and Technology (NIST) ist ein Reifegradmodell für IT-Security, das nicht nur von US-Organisationen und Unternehmen verwendet wird. In diesem Modell ist die Etablierung und Kommunikation von Risikotoleranz der Schlüssel zur Erhöhung der Sicherheit. Das NIST-Framework berücksichtigt eine sich schnell entwickelnde Bedrohungslandschaft und rät Sicherheitsteams, ihre Überwachungstechniken und Abhilfestrategien an die jeweiligen Bedrohungen anzupassen.
ISO 27000: ISO 27000 ist eine internationale Norm, die von der Internal Standardization Organization (ISO) erstellt wurde, um Best Practices für IT-Security-Managementsysteme zu skizzieren. Dieses Reifegradmodell erfreut sich in der Europäischen Union größerer Beliebtheit und konzentriert sich mit ihren drei Hauptschwerpunkten auf Personen, Prozesse und Technologien, um IT-Security-Managementprogramme weiterzuentwickeln.
CIS 20: Dieses Reifegradmodell, das vom Center for Internet Security (CIS) erarbeitet wurde, besteht aus 20 kritischen Kontrollmechanismen zum Schutz eines Netzwerks vor Hacker-Angriffen. Das CIS 20-Modell ist so konzipiert, dass es allumfassend ist und daher große Aufmerksamkeit für die Cybersicherheits-Managementprozesse einer Organisation erfordert.
Der Weg zur Reife in der IT-Security
Im Folgenden sind die einzelnen Schritte eines ausgereiften IT-Security-Programms und deren Indikatoren als Beispiel skizziert, die jeweils wiederum auf die Notwendigkeit einer größeren Reife hinweisen:

Organisationen mit niedrigem Reifegrad

Merkmale einer Level-1-Reife

Unvorhersehbare Prozesse bzw. Ad-hoc-Prozesse.
Schlechte und inkonsistente Kontrollen.
Mangel an Betriebs- oder Governance-Modellen.
Geringe Qualifikationstiefe der Mitarbeiter oder zu kleines Team.
Minimale Automatisierung oder Tool-Implementierung.
Schlechte Asset-Verwaltung.
Minimale oder fehlende Maßnahmen oder Überwachung.
Wesentliche Maßnahmen

Identifizierung und Priorisierung der Sicherheitsrisiken und Schwachstellen.
Etablierung eines umsetzbaren Plans, um dringende Sicherheitslücken zu schließen.
Entwicklung eines Organisations- und Governance-Modells.
Dies ist das Level, das die größten Risiken birgt. Das Unternehmen ist gerade erst im Begriff zu erkennen, dass sein „Programm“ eher reaktiv als proaktiv und standardisiert ist. Hier besteht das wesentliche Ziel erst einmal darin, ein Risikoprofil zu erstellen, einen Plan für den Aufbau des Programms zu erarbeiten und Lücken im Bereich des Security-Knowhows zu schließen. Es empfiehlt sich, externen CISO-Support oder Überwachung der IT-Security auf dieser Ebene zu nutzen.

Organisationen mit mittlerem Reifegrad

Merkmale einer Level-2-Reife

Viele kodifizierte Prozesse und Richtlinien.
Inkonsistente Maßnahmen und Überwachung.
Qualifikationslücken in verschiedenen Domänen.
Fehlende Sicherheitsfunktionen.
Suboptimales Bedrohungs- und Schwachstellen-Management.
Lücken im Konfigurations-Management.
Compliance- und Audit-Probleme.
Datenschutzbezogene Herausforderungen beim Testdaten-Management.
Wesentliche Maßnahmen

Klarer Kurs zum angestrebten Reifegrad.
Ressourcen werden systematisch eingesetzt.
Reduzierte Kosten und verbesserter ROI für IT-Security-Maßnahmen.
Metriken und Überwachungsberichte werden implementiert.
Auf dieser Ebene verfügt das Unternehmen bereits über ein etabliertes Programm mit einer Governance-Struktur sowie Richtlinien und Verfahren. Die Fähigkeit, Bedrohungen zu erkennen und Verstöße zu verhindern, muss jedoch gestärkt werden, ebenso wie IT-Security-Metriken zu überwachen und darüber zu berichten. Hier geht es darum, durch Leistungsindikatoren Stärke aufzubauen, Compliance zu erreichen, Ressourcen strategisch einzusetzen und mehr Effizienz zu erreichen. Viele Unternehmen nutzen zunächst die Unterstützung externer CISOs, bevor sie ihren ersten CISO einstellen.

Organisationen mit höherem Reifegrad

Merkmale einer Level-3-Reife

Formalisierte Richtlinien, Verfahren und Prozesse.
Risiken werden gemessen und konsequent überwacht.
Wiederkehrende Risiko- und Lückenbewertungen und –behebung.
Suche nach Outsourcing-Möglichkeiten.
Integration von Sicherheitsoperationen in Unternehmenssystemen und -funktionen.
Konzentration auf die Reduzierung von IT-Kosten und ROI bei gleichzeitiger Aufrechterhaltung einer ausgereiften Risiko-Überwachung.
Wesentliche Maßnahmen

Aufrechterhaltung und Verbesserung des positiven Compliance-Status.
Verbesserung des ROI für Sicherheitsoperationen durch Outsourcing.
Realisierung von erweiterten Metriken und Überwachungsfunktionen.
Implementierung einer Risiko-Analyse.
Formelle Berichterstattung auf C-Level.
Langfristige Managed Security Service Provider (MSSP)-Beziehung.
Auf dieser Ebene hat das Unternehmen IT-Leadership, Governance und kontinuierliche Überwachung und Reaktion auf wiederkehrende Bedrohungen etabliert. Das ausgereifte Security-Programm optimiert die Effizienz und den ROI. Die Security-Prozesse und -aufgaben sind automatisiert.

Das Unternehmen möchte sicherstellen, dass seine digitalen Produkte, Dienstleistungen und IT-Infrastruktur ein Sicherheitsniveau aufweisen, das es ihm ermöglicht, wettbewerbsfähiger zu werden, neue zu Kunden gewinnen und neue Märkte zu erschließen. Viele Unternehmen nutzen externe Unterstützung, damit sich das interne Team auf strategische IT-Initiativen konzentrieren kann.