NIST SP 800-171 Compliance-Leitfaden für Hochschulen und Universitäten

Die NIST Special Publication 800-171 (NIST SP 800-171 oder NIST 800-171) ist eine Reihe von Sicherheitskontrollen innerhalb des NIST Cybersecurity Framework, die grundlegende Sicherheitsstandards für Organisationen der Bundesregierung festlegen. NIST SP 800-171 ist für alle Nichtregierungsorganisationen, die mit föderalen Informationssystemen arbeiten, obligatorisch.

Viele Hochschulen und Universitäten haben in den letzten Jahren damit begonnen, das Sicherheitsframework NIST 800-171 zu übernehmen, da sie Partnerschaften und vertragliche Verbindungen zu Bundesbehörden haben. Da sich der Bildungssektor in der Vergangenheit nicht gut gegen externe Cyberbedrohungen geschützt hat, ist es für jede Hochschule, die mit der Regierung in Verbindung steht, von entscheidender Bedeutung, der Einhaltung der Cybersicherheit Priorität einzuräumen.

In diesem Artikel wird erläutert, wie Hochschulen und Universitäten NIST 800-171 in ihre Sicherheitsprogramme implementieren und ihre sensibelsten Informationen, Geschäftsabläufe, digitalen Assets und Netzwerkserver besser schützen können.

Was ist das NIST Cybersecurity Framework?

Das NIST-Framework (National Institute of Standards and Technology) ist eine Reihe von empfohlenen Richtlinien, Standards, Regeln und Best Practices, die Unternehmen befolgen sollten, um ihre Risikomanagementprozesse zu verbessern. Es handelt sich um einen freiwilligen Satz von Verfahren und Kontrollbaselines, die weltweit von Unternehmen verwendet werden, die ihre allgemeine Sicherheitslage und Informationssicherheit verbessern möchten.

Die Standardisierung eines gemeinsamen Risikomanagement-Frameworks kann die Kommunikation zwischen verschiedenen Unternehmen und Branchen verbessern, sodass Unternehmen voneinander lernen und sich vor Cyberangriffen schützen können. Das Ziel des NIST-Frameworks ist es, allen Unternehmen, sowohl kleinen als auch großen, dabei zu helfen, ihre Sicherheitsrisiken besser zu verstehen und zu erfahren, wie sie einen potenziellen Angriff verhindern, darauf reagieren, beheben und sich davon erholen können.

Was ist NIST SP 800-171?

Das NIST SP 800-171 ist Teil der NIST-SP 800-Serie, die auf Forschungsarbeiten des Information Technology Laboratory (ITL) basiert. Es gibt 110 Sicherheits- und Datenschutzkontrollen, die 14 Kontrollfamilien zugeordnet sind, aus denen Organisationen je nach Art des benötigten Schutzes und der Sicherheit auswählen können.

Um festzustellen, welche Kontrollen das Unternehmen benötigt, muss es einen Risikobewertungstest durchführen, um zu bestimmen, welche Bereiche Prioritäten gesetzt werden müssen. Bei der Risikobewertung wird ermittelt, welche Bereiche im Falle eines Cyberangriffs die größte Bedeutung und die gravierendsten Auswirkungen haben. Die Bedrohungsauswirkungsstufen sind "Niedrig", "Mittel" und "Hoch".

Die vierzehn Kontrollfamilien sind:

1. Zutrittskontrolle (AC)
2. Sensibilisierung und Schulung (AT)
3. Prüfung und Rechenschaftspflicht (AU)
4. Konfigurationsmanagement (CM)
5. Identifizierung und Authentifizierung (IA)
6. Reaktion auf Vorfälle (IR)
7. Instandhaltung (MA)
8. Medienschutz (MP)
9. Personensicherheit (PS)
10. Physischer Schutz (PE)
11. Risikobewertung (RA)
12. Sicherheitsbewertung (CA)
13. System- und Kommunikationsschutz (SC)
14. System- und Informationsintegrität (SI)

Erfahren Sie hier mehr über NIST SP 800-171.

Welche Vorschriften deckt NIST SP 800-171 für Hochschulen und Universitäten ab?

Im Folgenden finden Sie bundesstaatliche Regulierungsstandards, die NIST SP 800-171 Schulen bei der Einhaltung unterstützen kann:

• Gesetz über Bildungsrechte und Privatsphäre in der Familie (FERPA)
• Bundesgesetz über das Management der Informationssicherheit (FISMA)
• Gramm-Leach-Biley-Gesetz (GLBA)
• Gesetz über die Portabilität und Rechenschaftspflicht von Krankenversicherungen (HIPAA)
• Hochschulgesetz (HFG)
• NIST-Risikobewertungs- und Prüfungsstandards
• Datensicherheitsstandards für die Zahlungskartenindustrie (PCI-DSS)
• Einschreibungsvereinbarung für das Student Aid Internet Gateway (SAIG)

Was ist der Unterschied zwischen NIST SP 800-53 und NIST SP 800-171?

NIST SP 800-171 wurde aus NIST SP 800-53-Kontrollen speziell für den Schutz von kontrollierten nicht klassifizierten Informationen (CUI) oder Daten entwickelt, die von Regierungsbehörden mit Nichtregierungsorganisationen geteilt werden. NIST 800-53 ist ein umfassenderes Framework, das Bundesbehörden dabei hilft, ein Mindestmaß an Schutz für ihre Sicherheitsinfrastruktur zu erreichen.

NIST 800-53 beschreibt Sicherheitsstandards für Bundesbehörden, während NIST 800-171 Sicherheitskontrollen für nicht-bundesstaatliche Informationssysteme und -organisationen bietet, insbesondere für Rüstungsunternehmen, Subunternehmer oder solche, die in der Lieferkette der Bundesregierung tätig sind.

Das US-Verteidigungsministerium (Department of Defense, DoD) verlangt die Einhaltung von NIST 800-171 für alle externen staatlichen Auftragnehmer, um sicherzustellen, dass CUI gemäß der Federal Acquisition Regulation (FAR) und dem Defense Federal Acquisition Regulation Supplement (DFARS) gesichert ist.

Das NIST 800-171-Framework kann auf jede Organisation angewendet werden, die behördliche Daten oder Dokumente erhält (die automatisch als CUI klassifiziert werden), insbesondere wenn sie unter Vertrag genommen werden. Jede Schule oder Universität, die Bundesmittel für Forschung oder Zuschüsse erhält, kann NIST 800-171 ebenfalls auf ihre Sicherheitsrichtlinien anwenden.

Erfahren Sie hier mehr über NIST SP 800-53.

NIST SP 800-171 Compliance-Tipps für Hochschulen und Universitäten

Um die Compliance-Anforderungen von NIST SP 800-171 zu erfüllen, sollten Hochschulen und Universitäten diese Best Practices befolgen, um die Mindestanforderungen an die Cybersicherheit für ihre Geschäftsanforderungen zu implementieren.

Klicken Sie hier, um eine zusammengefasste Compliance-Checkliste für NIST SP 800-171 anzuzeigen.

1. Daten klassifizieren & Umfang bestimmen

Schulen sollten ihre sensibelsten Daten in Wichtigkeitsstufen und Auswirkungsstufen (niedrig, mittel, hoch) einteilen. Die Datenklassifizierung hilft dabei, die Daten in Kategorien zu strukturieren, um den Zugriff effizienter zu gestalten und den Schulen die Priorisierung von Datensicherheitsprozessen zu erleichtern. Schulen sollten Daten kategorisieren, um Duplikate (Nicht-Backup-Dateien) zu eliminieren, Datenpfade und Lebenszyklen zu definieren und zu bestimmen, wo sich CUI-Daten befinden.

Die Klassifizierung von Daten ermöglicht es Schulen, ihren Datenfluss und ihre Speicherprozesse zu identifizieren, einschließlich des Ortes, des Ortes und der Art und Weise, wo und wie sie gespeichert, gepflegt, übertragen und empfangen werden. Schulen sollten die FIPS 200 (Minimum Security Requirements for Federal Information and Information Systems) für standardisierte Sicherheitskategorien befolgen und lernen, wie sich jede Auswirkungsstufe auf die Unternehmensziele und die Geschäftskontinuität auswirken kann.

Für Schulen sind die wichtigsten Daten, die es zu sichern gilt, folgende:

• Einschreibungszahlen
• Informationen zur Zahlung der Studiengebühren
• Informationen zur Studienfinanzierung (sowohl staatliche als auch bundesstaatliche Stipendien)
• Personenbezogene Daten von Studierenden, Mitarbeitern und Mitarbeitern
• Gesundheitsinformationen von Studierenden, Mitarbeitern und Mitarbeitern
• Geheime Forschungsdaten
• Pläne für kritische Infrastrukturen

Erfahren Sie hier mehr über die Klassifizierung Ihrer Daten.

2. Bewerten Sie die aktuellen Sicherheitsfunktionen

NIST stellt einen Leitfaden für die Bewertung von Cybersicherheitsrisiken im Rahmen von NIST SP 800-30 bereit. Das NIST-Risikobewertungsaudit umfasst grundlegende Sicherheitsstandards, die auch den gesetzlichen Anforderungen entsprechen, und bewertet die aktuellen Sicherheitsmaßnahmen in den Schulsystemen. Eine jährliche Risikobewertung ist für jedes Unternehmen äußerst wichtig, um ein besseres Verständnis seiner allgemeinen Sicherheitslage und Schwachstellen zu erlangen.

Eine Sicherheitsbewertung ist ein umfassender Auditprozess, der Risikomanagementprozesse, Infrastruktursicherheit und Sicherheitslücken beheben kann, die geschlossen werden müssen. Außerdem müssen Unternehmen im Falle eines Cyberangriffs detaillierte Verfahren zur Reaktion auf Vorfälle erstellen, um sicherzustellen, dass Präventions-, Minderungs-, Abhilfe-, Wiederherstellungs- und Analyseprozesse ordnungsgemäß implementiert werden.

Darüber hinaus kann eine Gap-Analyse die Kosten aufzeigen, die erforderlich sind, um Compliance-Standards zu erfüllen. Die Risikobewertung wird den Zeit- und Ressourcenaufwand ermitteln, der erforderlich ist, um die Lücken zu schließen, und eine Kosten-Nutzen-Analyse erstellen. In einigen Fällen müssen Schulen möglicherweise bestimmte Regierungsaufträge ablehnen, wenn die Kosten den Nutzen überwiegen.

Erfahren Sie hier mehr darüber, wie Sie eine Gefährdungsbeurteilung durchführen können.

3. Entwickeln Sie ein Cybersicherheits- und Compliance-Programm

Durch die Verwendung des Sicherheits-Frameworks NIST 800-171 können Schulen damit beginnen, Sicherheitslücken in ihrem Cybersicherheitsprogramm zu schließen, Compliance-Anforderungen zu erfüllen und spezifische Rollen und Verantwortlichkeiten des IT-Teams zu definieren. Basierend auf den Ergebnissen der Risikobewertungsprüfung müssen Schulen möglicherweise auch mehrere Incident-Response-Pläne erstellen, um neuen Angriffsvektoren und Cyberbedrohungen zu begegnen.

Das Compliance-Programm sollte auch Folgendes umfassen:

• Umsetzbare Meilensteine, die kurz- und langfristig erreicht werden sollen
• Erforderliche Finanzmittel zur Erreichung der Sicherheitsziele
• Neue Sicherheitsbudgets zur Aufrechterhaltung des Sicherheitsprotokolls
• Teamrollen und Verantwortlichkeiten, um Ziele zu erreichen und Sicherheitskontrollen aufrechtzuerhalten
• Data-Governance-Richtlinien

Um strenge Cybersicherheits- und Compliance-Standards aufrechtzuerhalten, sollten Programme ständig aktualisiert werden, um mit den neuesten Compliance-Verfahren und Cybersicherheitsstandards auf dem neuesten Stand zu bleiben. Schulen können Selbstbewertungen durchführen oder externe Prüfer beauftragen, um ihren Gesamtfortschritt als Reaktion auf Änderungen der Vorschriften zu überwachen.

Um sicherzustellen, dass die gleichen Standards im Laufe der Zeit aufrechterhalten werden, müssen die Schulen eine Cybersicherheitsschulung und -schulung für alle Mitarbeiter, Mitarbeiter und sogar Schüler vorschreiben. Effektive Aufklärung kann Schulen dabei helfen, mit den sich verändernden Bedrohungslandschaften, aktualisierter Technologie und neuer Malware Schritt zu halten.

4. Implementieren Sie einen Systemsicherheitsplan

Ein Systemsicherheitsplan (SSP) ist ein formelles Dokument, das einen vollständigen Überblick über die Sicherheitsanforderungen eines Unternehmens für Informationssysteme und die damit verbundenen Sicherheitskontrollen bietet. Ein SSP ist wichtig, um die Roadmap oder den Aktionsplan des gesamten Unternehmens für seine Cybersicherheitsziele und -programme zu skizzieren.

Der SSP definiert und identifiziert Folgendes:

• Datenschutz und Privatsphäre
• Zugriffsrechte für Benutzer
• Rollen und Verantwortlichkeiten des IT-Teams
• Richtlinien für die Zugriffskontrolle
• Verkehrsüberwachung
• Segmentierung von Netzwerken
• Pläne zur Reaktion auf Vorfälle
• Bedrohungs-Intelligenz
• Reporting-Prozesse

Ohne SSP ist die Schule möglicherweise nicht konform mit NIST 800-171 und besteht daher den Konformitätsbewertungstest nicht. Wenn die Schule die Konformitätsprüfung nicht besteht, wird die Bundesregierung höchstwahrscheinlich das Angebot der Schule für einen Vertrag ablehnen.

5. Führen Sie ein Cybersicherheitsaudit durch

Wie bei einer Risikobewertung sollten Schulen ihre Cybersicherheitsprogramme, SSPs und die Einhaltung gesetzlicher Vorschriften mit einem Cybersicherheitsaudit konsequent überprüfen. Die gesetzlichen Standards können sich jährlich ändern, und es können neue Angriffsvektoren auftreten, so dass die Schulen ihre Sicherheitsrichtlinien mindestens einmal im Jahr überprüfen und aktualisieren müssen.

Obwohl Audits intern vom IT-Team durchgeführt werden können, wird dringend empfohlen, einen externen externen Prüfer zu beauftragen. Eine Bewertung durch Dritte kann System- und Netzwerkschwachstellen identifizieren, neue Sicherheitslücken finden und neue Sicherheitsrichtlinien vorschlagen, um sich besser gegen Cyberbedrohungen zu schützen.

Am wichtigsten ist, dass ein Cybersicherheitsaudit dazu beitragen kann, gute Sicherheitspraktiken zu stärken, insbesondere für Schulen, die versuchen, die Einhaltung von NIST 800-171 zu gewährleisten und sich an Regierungsaufträgen zu beteiligen.

Erfahren Sie hier mehr darüber, wie sich Hochschulen und Universitäten auf ein Cybersicherheitsaudit vorbereiten können.