Kostenlose Checkliste für die Einhaltung von NIST 800-53

Die NIST Special Publication 800-53 setzt einen beispielhaften Standard für den Schutz sensibler Daten. Obwohl das Framework ursprünglich für Regierungsbehörden entwickelt wurde, hat es sich zu einem beliebten Bestandteil der meisten Sicherheitsprogramme in einer Vielzahl von Branchen entwickelt.

Die wachsende Popularität von NIST 800-53 ist wahrscheinlich auf den Wunsch zurückzuführen, die Datensicherheitspraktiken als Reaktion auf steigende Kosten für Datenschutzverletzungen zu verbessern, und wenn eine überlegene Datenschutzrichtlinie erforderlich ist, besteht die sicherste Option darin, ein Cybersicherheits-Framework zu emulieren, das zum Schutz von Informationssystemen des Bundes vertrauenswürdig ist.

Mit 20 Kontrollfamilien und 90 Sicherheitskontrollen ist es jedoch nicht einfach, die Compliance-Bemühungen mit NIST 800-53 zu verfolgen. Um diese Bemühungen zu beschleunigen, hilft Ihnen die folgende Checkliste, Ihr Informationssicherheitsprogramm an den primären Kontrollsäulen von NIST 800-53 auszurichten.

Die 20 NIST SP 800-53 Sicherheitskontrollen

NIST SP 800-53 besteht aus 20 Steuerungsfamilien, die die Grundlage für die Datensicherheit von Informationssystemen des Bundes bilden. Viele dieser Kontrollen lassen sich auf andere Frameworks und Standards abbilden, wie z. B. das NIST Cybersecurity Framework und ISO/IEC 27001.

Eine Zuordnung zwischen NIST 800-53-Steuerelementen und anderen Frameworks finden Sie in dieser Ressource von NIST.

• Zutrittskontrolle (AC)
• Sensibilisierung und Schulung (AT)
• Prüfung und Rechenschaftspflicht (AU)
• Bewertung, Autorisierung und Überwachung (CA)
• Konfigurationsmanagement (CM)
• Notfallplanung (CP)
• Identifizierung und Authentifizierung (IA)
• Reaktion auf Vorfälle (IR)
• Instandhaltung (MA)
• Medienschutz (MP)
• Physikalischer Schutz und Umweltschutz (PE)
• Planung (PL)
• Programmmanagement (PM)
• Personensicherheit (PS)
• Verarbeitung und Transparenz personenbezogener Daten (PT)
• Risikobewertung (RA)
• Einkauf von Systemen und Dienstleistungen (SA)
• System- und Kommunikationsschutz (SC)
• System- und Informationsintegrität (SI)
• Risikomanagement in der Lieferkette (SR)

Weitere Informationen zu den Sicherheits- und Datenschutzkontrollen von NIST 800-53 finden Sie in der offiziellen Veröffentlichung des Frameworks durch das National Institute of Standards and Technology (NIST).

NIST 800-161 erweitert die Kontrollfamilie des NIST 800-53 für das Risikomanagement in der Lieferkette. Zusammen bilden beide Risikomanagement-Frameworks die Grundlage für ein Supply Chain Risk Management (SCRM)-Programm.

In dieser Checkliste finden Sie Unterstützung bei der Einhaltung von NIST 800-161.

1. Erreichen Sie eine Baseline für die Sicherheitskontrolle

NIST 800-53 spezifiziert eine Baseline für Sicherheitskontrollen zum Erreichen des Mindeststandards für die Datensicherheit des Frameworks. Das Erreichen dieses Mindestsicherheitsstandards bildet die Grundlage für die vollständige Einhaltung des Frameworks.

In dieser Ressource finden Sie alle NIST 800-53-Steuerelemente und Baselines.

2. Implementieren von Steuerungserweiterungen

Durch Kontrollverbesserungen wird die Funktionalität und Wirksamkeit eines bestimmten Steuerelements weiter erweitert, um auf Baselines für Sicherheitskontrollen aufzubauen. Kontrollverbesserungen sind optional für Unternehmen, die nicht zur Einhaltung von NIST 800-53 verpflichtet sind - solche, die keine Daten verarbeiten oder verarbeiten, die sich auf die nationale Sicherheit auswirken.

Die Implementierung von Kontrollverbesserungen bietet jedoch erhebliche Vorteile für die Systemsicherheit, auch wenn sie nicht obligatorisch sind. Die Implementierung von Steuerungsverbesserungen in der Access Control-Familie würde zusätzliche Sicherheit bei der Kontenverwaltung bieten, z. B. Inaktivitätsabmeldung und privilegierte Benutzerkonten. Diese Verbesserungen könnten die Auswirkungen von Sicherheitsvorfällen mit dem größten Einfluss auf die Schadenskosten reduzieren, wie z. B. Verstöße durch Dritte.

Erfahren Sie, wie Sie die Auswirkungen von Sicherheitsverletzungen durch Dritte reduzieren können.

Verbesserungen bei Steuerelementen sind unter der Liste der grundlegenden Steuerelemente in jeder Steuerungsfamilie enthalten (siehe diese Tabelle mit dem Kontrollkatalog von NIST). Sie können als abgekürzter Name eines Basissteuerelements identifiziert werden, gefolgt von einer Zahl in Klammern, die die fortlaufende Nummer des erweiterten Steuerelements darstellt.

Erfahren Sie mehr über die Best Practices der Compliance-Überwachung.

3. Delegieren Sie Verantwortlichkeiten und dokumentieren Sie die Nachweise für die Umsetzung

Beauftragen Sie eine Person oder ein Team, die die Verantwortung für die Implementierung aller NIST 800-53-Sicherheitskontrollen übernehmen. Diese Verantwortung sollte die Verfolgung des Fortschritts der Compliance-Bemühungen und die kontinuierliche Ausrichtung an das Rahmenwerk umfassen.

Einer spezialisierten Person oder einem Team sollte auch die Verantwortung dafür übertragen werden, sicherzustellen, dass alle neu entwickelten Systeme (einschließlich Cloud-Computing-Systeme) und Systementwicklungszyklen dem Framework entsprechen.

Die Compliance-Bemühungen sollten in einem offiziellen Dokument nachvollzogen werden, in dem auch alle verantwortlichen Parteien aufgeführt sind. Dieses Dokument bietet einen Nachweis über die Einhaltung der Vorschriften während eines Audits.

Um sicherzustellen, dass diese Berichte für Auditoren leicht zugänglich sind, ist es am besten, sie zusammen mit anderen relevanten Sicherheitsbewertungen in einem gemeinsamen öffentlichen Profil zu veröffentlichen.

Sehen Sie sich eine Demo der Funktion für freigegebene Profile von UpGuard an.

4. Erkennen Sie alle vorhandenen Sicherheitsrichtlinien und -vorgänge

Alle NIST 800-53-Kontrollen müssen in vorhandene Sicherheits-Frameworks und -Richtlinien integriert werden. Das designierte Implementierungsteam (siehe Punkt 3) sollte eine interne Prüfung aller anwendbaren Richtlinien durchführen und deren Sicherheitsanforderungen jeder NIST 800-53-Kontrollfamilie zuordnen.

Dieses Audit sollte auch geltende Vorschriften und Sicherheitsstandards umfassen, da deren Datensicherheitsstandards die Einhaltung von NIST 800-53 ergänzen könnten. Einige Beispiele sind:

• Bundesgesetz über das Management der Informationssicherheit (FISMA).
• Bundesstandards für die Informationsverarbeitung (FIPS).
• Bundesgesetz zur Modernisierung der Informationssicherheit.
• DSGVO
• PCI DSS
• HIPAA

5. Zentralisieren Sie neutrale Sicherheitskontrollen

Die Sicherheitskontrollarchitektur von NIST 800-53 sollte neutrale Kontrollen zentralisieren, die auf mehrere Abteilungen und Systeme anwendbar sind.

Die Abbildung aller Sicherheitssysteme auf zentralisierte, vererbbare Kontrollen minimiert die Implementierungskosten und den Ressourcenbedarf während des Betriebs erheblich. Systemspezifische Sicherheitskontrollen sollten lokal begrenzt bleiben.

Zum Beispiel wird die Zugriffskontrollfamilie von allen Abteilungen verwendet, die Richtlinien für die geringsten Rechte implementieren und auf Insider-Bedrohungen überwachen. Die Bereitstellung mehrerer Instanzen dieser Kontrollfamilie in jeder Abteilung würde zu einer unnötigen Belastung der Prozessressourcen und der Implementierungszeiten führen.

Die End-to-End-Lösung von UpGuard für das Sicherheitsrisikomanagement von Drittanbietern hilft Unternehmen, ihre Bemühungen um das Lieferantenrisikomanagement effizient zu skalieren. In der Bibliothek der Plattform mit anpassbaren Risikobewertungen ist ein NIST SP 800-53-Fragebogen enthalten, und eine Funktion, die Bewertungsantworten intelligent diesem Standard zuordnet, zeigt Compliance-Lücken auf, die vor einem Audit behoben werden sollten.

Klicken Sie hier, um UpGuard 7 Tage lang kostenlos zu testen.

Sehen Sie sich das Video unten an, um einen Überblick über die neuen VRM-Funktionen zu erhalten, die kürzlich in die UpGuard-Plattform eingeführt wurden.