Der Unterschied zwischen einer Regulierung und einem Cyber-Framework

Eine Vorschrift ist eine von der Regierung durchgesetzte Reihe von Sicherheitsrichtlinien, die ein Unternehmen befolgen muss, um seine Cybersicherheitsstandards zu erhöhen. Ein Cybersicherheits-Framework hingegen ist eine Reihe von Leitfäden, die Unternehmen dabei helfen, ihre Sicherheitslage zu verbessern.

Ein häufiger Fehler besteht darin, den Unterschied zwischen den beiden Begriffen zu stark zu vereinfachen, indem man sagt, dass Vorschriften obligatorisch und Cybersicherheits-Frameworks freiwillig sind. Das ist technisch nicht korrekt. Einige Cybersicherheits-Frameworks bestehen aus Kontrollen, die sich an den Sicherheitsanforderungen einer bestimmten Verordnung orientieren. Die Implementierung von NIST CSF trägt beispielsweise dazu bei, die Einhaltung des Health Insurance Portability and Accountability Act (HIPAA) zu erreichen, einer Vorschrift für Einrichtungen des Gesundheitswesens, da NIST CSF den Sicherheits- und Datenschutzanforderungen von HIPAA entspricht.

Cybersicherheits-Frameworks bieten Unternehmen einen Weg zur Verbesserung ihrer Cybersicherheitslage und entlasten sie von der Last, ein neues Cybersicherheitsprogramm von der Gruppe aufwärts zu entwickeln.

Unternehmen, die an eine Verordnung gebunden sind, sollten ein Cybersicherheits-Framework wählen, das den Sicherheitsstandards dieser Verordnung am besten entspricht. Wenn die Einhaltung gesetzlicher Vorschriften nicht erforderlich ist, sollte ein Unternehmen ein Cyber-Framework auswählen, das die Sicherheitsziele des Unternehmens am besten unterstützt. Das NIST Cybersecurity Framework ist auch eine beliebte Wahl für die generische Resilienz gegen Cyberbedrohungen.

Beispiele für Cybersicherheitsvorschriften

Einige Beispiele für Cybersicherheitsvorschriften sind:

Die Datenschutz-Grundverordnung (DSGVO).
Datensicherheitsstandard der Zahlungskartenindustrie (PCI DSS).
Der Gramm-Leach-Bliley Act (GLBA).
Das Gesetz über die Portabilität und Rechenschaftspflicht von Krankenversicherungen (HIPAA).
Verordnung über das Qualitätssicherungssystem (QSR).
Der Sarbanes-Oxley (SOX) Act von 2002.
Das Bankgeheimnisgesetz (BSA).
Das Bundesgesetz über das Management der Informationssicherheit (FISMA)
North American Electric Reliability Corporation - Schutz kritischer Infrastrukturen (NERC CIP)

Beispiele für Cybersicherheits-Frameworks

Einige Beispiele für Cybersicherheits-Frameworks sind:

Kontrollziele für die Informationstechnologie (COBIT).
ISO/IEC 27001.
NIST CSF.
Service Organization Control (SOC) Typ 2.
Australischer Regierungsrahmen für die Schutzsicherheitspolitik (PSPF).
Wesentliche Acht.
Australisches Rahmenwerk für Cybersicherheit im Energiesektor (AESCSF).
CIS-Kontrollen.
HITRUST (ursprünglich Health Information Trust) Gemeinsames Sicherheitskonzept (CSF)
Cloud Controls Matrix (CCM)
ISO/IEC 38500

Andere häufige Missverständnisse im Bereich Cybersicherheit

Die theoretische Komplexität der Cybersicherheit mit ihren unzähligen Disziplinen und Konzepten macht die Branche sehr anfällig für Missverständnisse. Im Folgenden werden einige der am häufigsten gestellten Fragen zur Cybersicherheit beantwortet, in der Hoffnung, auch die Missverständnisse auszuräumen, die wahrscheinlich jede Anfrage motivieren.

"Ist SOC 2 eine Zertifizierung?"

Nein. SOC 2 ist keine Zertifizierung. Es handelt sich um einen freiwilligen Standard für die Verwaltung und Sicherheit von Kundendaten, der sich an Serviceorganisationen richtet.

"Ist die HIPAA-Sicherheitsregel ein Cybersicherheitsrahmen für die HIPAA-Compliance?

Nein. Die HIPAA-Sicherheits- und Datenschutzregeln sind separate Compliance-Standards für den Health Insurance Portability and Accountability Act (HIPAA).

Erfahren Sie mehr über HIPAA >

"Reicht eine Antivirensoftware aus, um meinen Computer vor allen Cyber-Bedrohungen zu schützen?"

Antivirensoftware kann vor einigen Cyberbedrohungen schützen, reicht aber nicht aus, um vor allen Arten von Cyberangriffen zu schützen. Um eine Sicherheitslage zu erreichen, die den meisten Cyberangriffen standhält, ist ein mehrschichtiger Ansatz erforderlich, der aus Firewalls, Schulungen zur Sensibilisierung für Bedrohungen, Risikobewertungen und Vendor Risk Management (VRM) besteht.

"Gilt Verschlüsselung nur für staatliche oder militärische Einrichtungen?"

Verschlüsselung ist nicht nur auf staatliche und militärische Einrichtungen beschränkt. Verschlüsselung ist einer der grundlegendsten Standards für bewährte Datensicherheitspraktiken. Dies ist auch eine gängige Anforderung in den meisten Vorschriften.

Erfahren Sie mehr über Verschlüsselung >

"Geht es beim Social Engineering nur darum, Menschen per E-Mail auszutricksen?"

Social Engineering umfasst alle Taktiken, um Opfer dazu zu verleiten, sensible Informationen preiszugeben. Als solches kann es in jeder Form der Kommunikation verwendet werden, einschließlich E-Mail, Telefonanrufe und persönliche Interaktionen.

Erfahren Sie mehr über Social Engineering >

"Ist eine Firewall nur für Unternehmen und nicht für Privatpersonen notwendig?"

Firewalls helfen sowohl Unternehmen als auch Privatpersonen, sich vor unbefugtem Netzwerkzugriff zu schützen. Der Einsatz von Firewalls ist besonders wichtig für Personen, die von zu Hause aus arbeiten, da das Fehlen dieser Kontrolle eine Remote-Arbeitsumgebung in einen Angriffsvektor für eine Datenschutzverletzung des Unternehmens verwandeln könnte.

Erfahren Sie mehr über Web Application Firewalls >

"Ist die Zwei-Faktor-Authentifizierung nur für Konten mit hohem Risiko verfügbar?"

Die Zwei-Faktor-Authentifizierung (2FA) kann eine zusätzliche Sicherheitsebene für jedes Online-Konto bieten, nicht nur für Konten mit hohem Risiko. Für ein höheres Maß an Kontoschutz sollte die Multi-Faktor-Authentifizierung (MFA) der 2FA vorgezogen werden.

Erfahren Sie mehr über MFA >

"Kann ich Software-Updates getrost ignorieren, weil die Installation zu lange dauert?"

Das Ignorieren von Softwareupdates kann Ihre Software anfällig für neue Sicherheitsbedrohungen und übersehene Softwarerisiken machen. Halten Sie alle Software immer auf dem neuesten Stand, um den bestmöglichen Schutz zu gewährleisten, auch wenn der Prozess Ihre humorvollen Giphy-Nachrichten unter Kollegen etwas verzögert.

"Garantiert die Verwendung eines Werbeblockers Schutz vor bösartiger Werbung?"

Werbeblocker können einige Arten von Werbung blockieren, aber sie garantieren keinen Schutz vor allen Arten von bösartiger Werbung. Es ist wichtig, wachsam zu bleiben und nicht auf verdächtige Banner oder unbekannte Links zu klicken.

"Ist es sicher, persönliche Informationen in sozialen Medien zu teilen, solange meine Datenschutzeinstellungen auf die höchste Stufe eingestellt sind?

Das Einstellen der Datenschutzeinstellungen auf die höchste Stufe in sozialen Medien garantiert nicht den vollständigen Schutz personenbezogener Daten. Geteilte Informationen können immer noch von fortgeschrittenen Hackern abgefangen werden, insbesondere wenn sie mit einem kostenlosen öffentlichen WLAN verbunden sind.

"Können Mac-Computer mit Malware oder Viren infiziert werden?"

Mac-Computer sind nicht immun gegen Malware, Viren oder Hacking. Mac-Benutzer sind auch für die beliebteste Methode der Malware-Verbreitung anfällig - Phishing-Angriffe.

Erfahren Sie, warum Macs anfällig für Ransomware-Angriffe sind >

"Bietet das regelmäßige Löschen Ihres Browserverlaufs und Ihrer Cookies ausreichenden Schutz vor Online-Tracking und Cyber-Bedrohungen? "

Das Löschen des Browserverlaufs und der Cookies kann einen gewissen Schutz vor Online-Tracking bieten, aber es reicht nicht aus, um sich vor allen Arten von Cyber-Bedrohungen zu schützen. Ein mehrschichtiger Sicherheitsansatz wird empfohlen.

"Ist es sicher, alle Anhänge zu öffnen und auf alle Links in E-Mails zu klicken, solange sie von Personen stammen, die ich kenne?"

Nicht alle Anhänge und Links in E-Mails sind sicher, auch wenn die E-Mail scheinbar von jemandem gesendet wurde, den Sie kennen. Hacker können eine Taktik anwenden, die als E-Mail-Spoofing bekannt ist, bei der sie eine Absenderadresse fälschen, um den Anschein zu erwecken, dass sie von einer vertrauenswürdigen Quelle stammt. Diese Angriffsstrategie wird häufig in Phishing-E-Mails verwendet, bei denen die Opfer dazu verleitet werden, auf Links zu klicken, die zu einer Website führen, auf der Anmeldeinformationen gestohlen werden.

Wenn eine E-Mail verdächtig erscheint, bestätigen Sie immer, dass die Quelle sie gesendet hat, indem Sie sich direkt an sie wenden, indem Sie entweder eine neue E-Mail verfassen oder sie über ihre offizielle Kontaktnummer anrufen.

Erfahren Sie mehr über E-Mail-Spoofing->

"Bedeutet die Nutzung von öffentlichem WLAN in einem Hotel, Flughafen oder Café automatisch, dass mein Internetverkehr verschlüsselt wird?"

Die Nutzung von öffentlichem WLAN bedeutet nicht automatisch, dass der Internetverkehr verschlüsselt wird. Es ist wichtig, wann immer möglich ein VPN oder ein sicheres Netzwerk zu verwenden, um sensible Informationen zu schützen.

"Ist es sicher, Kreditkarteninformationen aus Gründen der Bequemlichkeit in meinem Browser zu speichern? "

Nein. Wenn ein Hacker Ihren Laptop stiehlt oder aus der Ferne auf Ihr System zugreift, kann er mit den darin gespeicherten Kreditinformationen über Ihren Browser Einkäufe tätigen. Browser wie Chrome fordern Benutzer immer noch auf, ihren CCV einzugeben, bevor sie einen Kauf für alle gespeicherten Kreditkarten bestätigen. Diese Nummern können jedoch leicht durch einen einfachen Social-Engineering-Angriff kompromittiert werden, bei dem ein Hacker, der sich als Vertreter der Bank des Opfers ausgibt, das Opfer anruft und es auffordert, seine Identität zu überprüfen, indem er die CCV-Nummer seiner Kreditkarte angibt. Da nur der CCV und nicht die gesamte Kreditkartennummer abgefragt wird, ist es unwahrscheinlich, dass solche Anrufe Verdacht erregen.

Erfahren Sie mehr über Phishing->

"Garantiert die Verwendung von HTTPS auf Websites einen vollständigen Schutz vor Cyberbedrohungen und Datenschutzverletzungen? "

HTTPS bietet Verschlüsselung für Informationen, die zwischen dem Gerät eines Benutzers und einer Website übertragen werden, garantiert jedoch keinen vollständigen Schutz vor Cyberbedrohungen und Datenschutzverletzungen. Es ist wichtig, immer wachsam zu sein und sichere Online-Praktiken zu befolgen, auch wenn eine Website mit HTTPS gesichert ist.

Erfahren Sie mehr über HTTPS->

Mit einer ständig wachsenden Bibliothek anpassbarer Risikobewertungen, die auf gängige Vorschriften und Cyber-Frameworks abgestimmt sind, hilft UpGuard Unternehmen und ihren Drittanbietern, die Widerstandsfähigkeit gegen Datenschutzverletzungen in Übereinstimmung mit den empfohlenen Standards zu erreichen.

Erfahren Sie mehr über die Risikobewertungsfunktion von UpGuard >