Das britische Rahmenwerk zur Cyber-Risikobewertung

Wenn Ihre Organisation dafür sorgt, dass die Lichter nicht ausgehen, die Wasserversorgung aufrechterhalten wird oder die Rettungsdienste einsatzbereit sind, ist ein Cyberangriff nicht nur ein IT-Problem, sondern eine Krise der öffentlichen Sicherheit. Genau dieser Realität soll das „Cyber Assessment Framework“ des britischen National Cyber Security Centre (NCSC) begegnen, und aus diesem Grund nutzen immer mehr Organisationen es als Maßstab für ihre cyber resilience.

Ursprünglich für Betreiber systemrelevanter Dienste konzipiert, hat sich das CAF weit über den Bereich der kritischen Infrastruktur hinaus etabliert. Der NHS, Telekommunikationsanbieter, Ministerien der Zentralregierung und ein immer größer werdender Kreis von Organisationen nutzen es mittlerweile, um eine auf den ersten Blick einfache Frage zu beantworten: Funktionieren unsere Abwehrmaßnahmen tatsächlich?

Was das CAF von vielen anderen Compliance-Rahmenwerken unterscheidet, ist seine Ausrichtung auf Ergebnisse statt auf Inputs. Es wird nicht gefragt, ob Sie ein bestimmtes Werkzeug gekauft oder ein bestimmtes Kästchen angekreuzt haben. Es stellt die Frage, ob Ihre Sicherheitsmaßnahmen die gewünschten Ergebnisse liefern. Diese Unterscheidung ist wichtiger denn je, da die Bedrohungen immer raffinierter werden und sich die Angriffsfläche auf alle Bereiche der Arbeitswelt ausweitet.

Vier Ziele, 14 Grundsätze, eine gemeinsame Herausforderung

Die CAF gliedert die cyber resilience in vier Ziele: das Management von Sicherheitsrisiken, den Schutz vor Cyberangriffen, die Erkennung von Cybersicherheitsvorfällen und die Minimierung der Auswirkungen von Vorfällen. Zu diesen vier Zielen gehören vierzehn Grundsätze, die jeweils anhand spezifischer Indikatoren dafür bewertet werden, wie bewährte Praktiken aussehen.

Wenn man diese Grundsätze gemeinsam betrachtet, wird deutlich, dass sie keine isolierten technischen Kontrollmaßnahmen beschreiben. Sie beschreiben ein miteinander verflochtenes System aus Steuerung, Schutz, Erkennung und Reaktion – ein System, bei dem Schwachstellen in einem beliebigen Bereich das gesamte System untergraben.

Betrachten Sie Ziel A, das sich mit dem Management von Sicherheitsrisiken befasst. Die CAF erwartet Rechenschaftspflicht auf Vorstandsebene, ein dynamisches Risikomanagement auf der Grundlage aktueller Bedrohungsinformationen, ein umfassendes Verständnis Ihrer Vermögenswerte (einschließlich Ihrer Daten und Ihrer Mitarbeiter) sowie Transparenz hinsichtlich der Risiken in der Lieferkette. All dies lässt sich weder mit einem single Produkt noch durch eine einmal jährlich durchgeführte Risikoprüfung erreichen. Dies erfordert kontinuierliche Signale, integrierte Intelligenz und eine klare Sichtverbindung von der Führungsetage bis an die Front.

Genau hier haben viele Organisationen Schwierigkeiten. Sie verfügen über Tools, die Daten generieren, jedoch nicht über die vernetzte Sichtweise, die diese Daten in Governance umsetzt. Sie erfassen die Systemressourcen zwar akribisch, haben jedoch nur begrenzte Einblicke darin, wie sensible Informationen über Kollaborationsplattformen, E-Mail und die wachsende Vielzahl an KI-Tools, die ihre Mitarbeiter täglich nutzen, weitergegeben werden.

Menschen: Das Risiko, das das Rahmenwerk nicht außer Acht lassen darf

Eine der bedeutendsten Veränderungen in unserer Sichtweise auf Cyberrisiken – die sich auch im CAF widerspiegelt – ist die Erkenntnis, dass Menschen sowohl das primäre Ziel als auch die primäre Variable sind. Angreifer nutzen nicht nur Sicherheitslücken in Software aus. Sie machen sich menschliches Verhalten zunutze: Dringlichkeit, Vertrauen, Neugier und Gewohnheiten.

Die Grundsätze der CAF zu Sensibilisierung und Schulung der Mitarbeiter, Identitäts- und Zugriffskontrolle sowie Datensicherheit weisen allesamt auf diese Realität hin. Um in diesen Bereichen den Indikator „erreicht“ zu erreichen, bedarf es mehr als nur jährlicher Schulungsmodule. Dazu muss man verstehen, welche Personen das größte Risiko bergen, welche Verhaltensweisen dieses Risiko begünstigen und wie man genau in dem entscheidenden Moment eingreifen kann.

Untersuchungen zeigen durchweg, dass ein kleiner Anteil der Nutzer (8%) für den überwiegenden Teil (80%) der Sicherheitsvorfälle verantwortlich ist. Ein ergebnisorientiertes Rahmenwerk wie das CAF wirft naturgemäß die Frage auf, ob Ihre Organisation in der Lage ist, diese Personen zu identifizieren, ihr Risikoprofil zu verstehen und entsprechende sinnvolle Maßnahmen zu ergreifen. Allgemeine Aufklärungskampagnen allein reichen nicht aus, um das Ziel „erreicht“ zu erreichen.

Erkennung und Reaktion: vom reaktiven zum widerstandsfähigen Ansatz

Die neueste Fassung des CAF, Version 4.0, unterstreicht, dass eine reaktive Überwachung nicht mehr ausreicht. Die Ziele C und D veranlassen Unternehmen dazu, proaktive Bedrohungssuche, automatisierte Reaktionen und echte operative Widerstandsfähigkeit zu verfolgen.

In der Praxis bedeutet dies die Fähigkeit, Bedrohungen aufzuspüren, die die ersten Abwehrmechanismen umgangen haben, diese mithilfe moderner Tools zügig zu untersuchen und Reaktionsabläufe auszulösen, die den Schaden eindämmen, bevor er sich ausbreitet. Dies bedeutet, dass wichtige Daten in manipulationssicheren Archiven aufbewahrt werden, damit eine Wiederherstellung möglich ist und die gesetzlichen Verpflichtungen erfüllt werden. Und das bedeutet, aus jedem Vorfall zu lernen – die Ursachen zu untersuchen, Kontrollmaßnahmen anzupassen und den Kreislauf zwischen dem, was geschehen ist, und den daraus resultierenden Änderungen zu schließen.

Dies sind keine ehrgeizigen Ziele. Sie stellen den Maßstab dar, den die CAF für jede Organisation festlegt, deren Dienstleistungen für die öffentliche Sicherheit und das tägliche Leben von Bedeutung sind.

Ein Rahmenkonzept, das es ernst zu nehmen gilt

Die Stärke der CAF liegt darin, dass sie sich nicht damit abfindet, dass sich Organisationen hinter dem Beschaffungswesen verstecken. Der Kauf eines Werkzeugs ist nicht dasselbe wie das Management eines Risikos. Die Installation eines Sensors ist nicht gleichbedeutend mit der Erkennung einer Bedrohung. Eine Politik zu verfolgen ist nicht dasselbe wie effektiv zu regieren.

Für Organisationen, die sich mit dem CAF befassen – sei es aufgrund gesetzlicher Vorschriften oder weil sie einen aussagekräftigen Maßstab für ihre Widerstandsfähigkeit suchen –, ist es entscheidend, in Zusammenhängen zu denken. Bietet Ihnen Ihr Sicherheitsökosystem die Nachweise, die Transparenz und die Reaktionsfähigkeit, die das Rahmenwerk verlangt? Können Sie nicht nur zeigen, was Sie haben, sondern auch, was damit erreicht wird?

Das ist die Messlatte. Und in einer Bedrohungslandschaft, die von KI-generierten Angriffen, immer umfangreicheren Kooperationsflächen und anhaltenden menschlichen Risiken geprägt ist, erfordert die Beseitigung dieser Risiken mehr als nur das Ankreuzen eines Kästchens.

Erfahren Sie mehr, indem Sie die Lösungsübersicht zum „UK Cyber Assessment Framework“ von Mimecast herunterladen.