Kostenlose Checkliste für die Einhaltung von NIST 800-161
NIST SP 800-161 Revision 1 beschreibt ein Cybersicherheits-Framework zur Minderung von Sicherheitsrisiken in der Lieferkette. NIST SP-800-161 ist eine Untergruppe von NIST 800-53, einem umfassenderen Framework zur Minderung von Cyberrisiken, das für die meisten Cybersicherheitsprogramme von grundlegender Bedeutung ist.
Das National Institute of Standards and Technology (NIST) hat NIST 800-161 entwickelt, um das Risikomanagement in der Cyber-Lieferkette für alle US-Bundesbehörden zu verbessern. Der Angriff auf die Lieferkette von SolarWinds hat gezeigt, wie begrenzt die Sicherheit der Lieferkette in der Bundesregierung ist und wie wichtig ein robustes Risikomanagementprogramm für die Lieferkette ist, um zukünftige ähnliche Cyberangriffe zu verhindern.
Erfahren Sie mehr über Supply Chain Risk Management (SCRM).
Die folgende Checkliste kann als Vorlage verwendet werden, um Regierungsbehörden bei der Nachverfolgung der Einhaltung der Sicherheitsrichtlinien und Sicherheitsanforderungen von NIST 800-161 zu unterstützen.
Wenn Sie auch Sicherheitskontrollen von NIST 800-53 implementieren, lesen Sie auch diese Checkliste.
1. Bewerten Sie Ihre Lieferkettenrisiken und definieren Sie einen Kontext für die Implementierung eines Cybersicherheitsprogramms für das Risikomanagement in der Lieferkette
🔲 Ernennen Sie einen Chief Supply Chain Officer (CSCO) oder einen Chief Operations Officer (COO) für die Implementierung und Verwaltung des SCRM-Programms.
🔲 Listen Sie alle relevanten gesetzlichen Compliance-Verpflichtungen, Durchführungsverordnungen und empfohlenen Sicherheitsvorkehrungen auf, die Ihr Cybersicherheitsprogramm beeinflussen.
🔲 Listen Sie alle in den Verträgen festgelegten Beschaffungspflichten und Sicherheitskontrollen auf (gilt für Drittanbieter).
Erfahren Sie, wie Sie die Anforderungen von NIST 800-161 an Drittanbieterrisiken erfüllen können.
🔲 Ernennen Sie einen Senior Information Security Officer, der ein unternehmensweites Informationssicherheitsprogramm implementiert und koordiniert.
🔲 Entwerfen Sie ein Cybersicherheitsprogramm, das einen Risikomanagementprozess für vertrauliche Informationen umfasst, die über die Angriffsfläche der Lieferkette zugänglich sind.
🔲 Identifizieren Sie alle Sicherheitsrisiken und -risiken in Cloud-Service-Lösungen.
🔲 Führen Sie Risikobewertungen für Lösungen durch, die am anfälligsten für Sicherheitsrisiken sind, wie z. B. Open-Source-Software.
🔲 Richten Sie Ihre Strategie für Cybersicherheit und Supply-Chain-Risikomanagement an der allgemeinen Risikobereitschaft des Unternehmens aus.
Erfahren Sie, wie Sie Ihre Risikobereitschaft berechnen können.
2. Identifizieren Sie alle anwendbaren SCRM-Kontrollen
🔲 Identifizieren Sie alle Risiken der IKT-Lieferkette mit Risikobewertungen.
🔲 Definieren Sie eine ICT-SCRM-Richtlinie.
🔲 Führen Sie interne und externe Risikobewertungen in der Lieferkette durch, um potenzielle Angriffsvektoren für Malware und Einschleusungspunkte für bösartigen Code zu erkennen.
Erfahren Sie mehr über Sicherheitsbewertungen.
🔲 Identifizieren Sie Compliance-Lücken aus den Ergebnissen der Sicherheitsbewertung.
🔲 Implementieren Sie eine Zero-Trust-Architektur, um den Zugriff auf sensible Daten zu schützen und zu verschleiern.
🔲 Integrieren Sie zusätzliche Steuerungssysteme aus anderen Sicherheits-Frameworks, um die Datensicherheit zu erhöhen, z. B. ISO/IEC 27001.
Erfahren Sie mehr über ISO 27001.
🔲 Implementieren Sie Zugriffskontrollen, wie z. B. Multi-Factor Authentication, um Endbenutzerverbindungen zu überprüfen.
Erfahren Sie, wie Sie Angriffe auf die Lieferkette mit einer Zero-Trust-Architektur verhindern können.
>🔲 Bewerten Sie frühere Sicherheitsvorfälle, die entweder das Potenzial hatten, sich zu Datenschutzverletzungen zu entwickeln, oder sich zu solchen entwickelt haben, und identifizieren Sie Verbesserungen bei der Behandlung von Vorfällen.
🔲 Setzen Sie sichere Codierungspraktiken im Lebenszyklus der Softwareentwicklung durch, um das Potenzial von Software-Schwachstellen zu minimieren, die zu Angriffen auf die Lieferkette führen.
Erfahren Sie mehr über die Kosten für Datenschutzverletzungen, die mit Schwachstellen in der Software von Drittanbietern verbunden sind.
3. Definieren Sie einen SCRM-Reifepfad klar
🔲 Stellen Sie sicher, dass das vorgeschlagene Risikomanagementprogramm für die Lieferkette unternehmensweit verstanden wird.
🔲 Passen Sie die Bemühungen des SCRM-Programmmanagements an die individuellen Anforderungen der einzelnen Abteilungen an.
🔲 Definieren Sie eine Baseline für die Einhaltung der NIST-Sonderveröffentlichung 800-161.
🔲 Implementieren Sie einen Weg des Informationsaustauschs, um eine gemeinsame Anstrengung zur Verbesserung von SCRM-Initiativen zu fördern.
🔲 Stellen Sie sicher, dass unternehmensweit die Bedeutung der Computersicherheit für die Abwehr von Angriffsversuchen auf die Lieferkette verstanden wird.
🔲 Definieren Sie Tiering-Kriterien, um die kontinuierliche Überwachung der Anbieter mit der höchsten Wahrscheinlichkeit, zu Angriffsvektoren zu werden, zu fördern.
Erfahren Sie mehr über Vendor Tiering.
🔲 Legen Sie eine Skala für die Bewertung der Datensensibilität fest.
🔲 Implementieren Sie ein Sicherheitsbewertungstool zur schnellen Identifizierung von Sicherheitsrisiken in der Lieferkette.
Erfahren Sie mehr über Sicherheitsbewertungen.
4. Veröffentlichen Sie die Dokumentation zum Cybersicherheits- und Datenschutzprogramm
🔲 Dokumentieren Sie das SCRM-Programm und die Richtlinien und verteilen Sie sie unternehmensweit.
🔲 Ordnen Sie SCRM-Richtlinien dem Enterprise Risk Management-Framework des Unternehmens zu.
🔲 Ordnen Sie SCRM-Richtlinien Geschäftsprozessen zu, um eine Sicherheitskultur für Lieferkettensysteme zu etablieren.
🔲 Schulen Sie Ihre Mitarbeiter in der Befolgung von SCRM-Richtlinien, um Unterbrechungen durch Angriffe auf die Lieferkette zu minimieren.
🔲 Stellen Sie sicher, dass die SCRM-Dokumentation für alle anfragenden externen Parteien leicht verfügbar ist.
🔲 Definieren Sie Richtlinien für das Konfigurationsmanagement, um das Potenzial von Datenlecks zu reduzieren.
Erfahren Sie mehr über den Unterschied zwischen Datenlecks und Datenschutzverletzungen.
5. Bestimmen von Kontrolleigentümern und -betreibern
🔲 Weisen Sie Projektbeteiligten und Sicherheitsteams zu, die Verantwortung für jede Datenschutzkontrolle zu übernehmen.
🔲 Weisen Sie einen "Kontrolloperator" zu, der für die Durchführung der einzelnen Datenschutzkontrollen verantwortlich ist.
🔲 Entwickeln Sie standardisierte Betriebsanweisungen (SOP) für alle Steuerungsfamilien.
🔲 Erstellen Sie einen Incident Response Plan und einen Notfallplan für den Umgang mit Risiken in der Lieferkette.
🔲 Definieren Sie strenge Zugriffsvalidierungsrichtlinien für kritische Governance-Ressourcen.
Erfahren Sie, wie Sie einen Incident Response Plan erstellen.
6. Aufrechterhaltung der Bedrohungsbereitschaft in der Lieferkette
🔲 Implementieren Sie eine Lösung zur Überwachung der Angriffsfläche in Echtzeit, um aufkommende Sicherheitsrisiken in der Lieferkette zu erkennen.
🔲 Optimieren Sie das Risikomanagementprogramm für Lieferanten mit Funktionen, die die Skalierbarkeit unterstützen, wie z. B. die Automatisierung von Lieferantenbewertungen.
Erfahren Sie, wie Sie das Risikomanagement von Drittanbietern automatisieren können.
🔲 Ordnen Sie Ihren digitalen Fußabdruck ab, um alle Datenbestandsressourcen in Ihrem Informations- und Kommunikationstechnologie-Ökosystem zu identifizieren.
Erfahren Sie, wie Sie Ihren digitalen Fußabdruck abbilden können.
🔲 Bilden Sie alle potenziellen Zugriffswege für sensible Daten ab, einschließlich derer, die von Unternehmen des privaten Sektors stammen.
🔲 Richten Sie eine Behebungsstrategie ein, die die kritischsten Risiken für Ihre Sicherheitslage priorisiert.
Erfahren Sie, wie Sie die Planung der Risikobehebung optimieren können.
🔲 Erstellen Sie eine Bestandsaufnahme aller Service Provider-Verträge, die vertraulichen Ressourcen zugeordnet sind.
🔲 Benennen Sie die wichtigsten Stakeholder, die die Compliancebemühungen in vierteljährlichen Überprüfungen bewerten.
🔲 Benennen Sie die wichtigsten Stakeholder für den Umgang mit SCRM-bezogenen Problemen.