Erfüllung der Anforderungen an Third-Party-Risiken von NIST 800-53 im Jahr 2023

Das National Institute of Standards and Technology (NIST) hat auf die zunehmende Prävalenz von Risiken durch Dritte reagiert, indem es Branchenstandards für die Sicherung der Angriffsfläche in der Lieferkette festgelegt hat - die Angriffsfläche, die am anfälligsten für Risiken durch Dritte ist.

Diese Richtlinien bestehen aus einer Reihe von Sicherheitskontrollen, die sich über drei verschiedene Publikationen erstrecken:

NIST SP 800-53 (Revision 5) - Sicherheits- und Datenschutzkontrollen für Informationssysteme und Organisationen.
NIST SP 800-161 - Praktiken des Risikomanagements in der Lieferkette für Informationssysteme und -organisationen des Bundes
NIST Cybersecurity Framework - Framework zur Verbesserung der Cybersicherheit kritischer Infrastrukturen

Es gibt eine Überschneidung zwischen den Auswirkungen von Risikokontrollen durch Dritte in allen drei NIST-Publikationen, so dass die Einhaltung eines einzigen Standards auch viele der Anforderungen an das Risiko von Drittanbietern der beiden anderen Standards erfüllen würde.

Dieser Beitrag konzentriert sich auf die Veröffentlichung des NIST SP 800-53 und erklärt, wie die Sicherheitsanforderungen von Drittanbietern erfüllt werden können.

Erfahren Sie, wie UpGuard den Prozess der Sicherheitsbefragung optimiert >

Ist die Einhaltung von NIST 800-53 obligatorisch?

Alle US-Bundesbehörden müssen die Anforderungen von Drittanbietern in den Datenschutzkontrollen von NIST 800-53 für Informationssysteme und -organisationen des Bundes einhalten.

Die Implementierung des NIST 800-53-Frameworks ist jedoch eine Option für jedes Unternehmen, das seine Sicherheitslage in der Lieferkette verbessern möchte. Der Vorteil der freiwilligen Einhaltung von 800-53 besteht darin, dass die Sicherheitskontrollen auch die Einhaltung anderer Vorschriften, einschließlich 23 NY CRR 500, unterstützen können.

Erfahren Sie, wie Sie die Anforderungen an das Risikomanagement von Drittanbietern gemäß 23 NY CRR 500 erfüllen können.

Der Federal Information Security Management Act (FISMA), ein US-Bundesgesetz, das einen robusten Schutzrahmen für Regierungsdaten umreißt, verlangt von den folgenden Unternehmen, NIST 800-53-Sicherheitskontrollen zu implementieren:

Bundesbehörden
Staatliche Stellen
Bundesprogramme
Unternehmen des privaten Sektors, die die US-Regierung unterstützen, verkaufen oder Dienstleistungen von ihr erhalten.

Erfahren Sie, wie UpGuard das Vendor Risk Management > vereinfacht

NIST SP 800-53: Kontrollen des Risikomanagements in der Lieferkette (SCRM)

Datenschutzverletzungen von Drittanbietern sind ein zu großes Problem, um es zu ignorieren. Der Schaden, der durch den SolarWinds-Cyberangriff auf die US-Bundesregierung verursacht wurde, zeigt das verheerende Potenzial ungelöster Cybersicherheitsrisiken von Drittanbietern. Dieser Vorfall störte Informationssicherheitsprogramme weltweit und löste eine Massenprüfung der Risikobewertungsdesigns von Anbietern und der Richtlinien zur Reaktion auf Vorfälle aus. Die Sicherheitsteams haben ihre Eigenschaften neu gemischt, um eine neue Kennzahl zu berücksichtigen: die Verbesserung der Cybersicherheit bei allen Drittanbietern.

Das Risikomanagement-Framework NIST SP 800-53 bietet Unternehmen einen strukturierten Ansatz für die Reifung ihrer Risikomanagementprozesse in der Cyber-Lieferkette.

Die neueste Überarbeitung der NIST SP 800-53-Veröffentlichung (Revision 5) enthält eine neue Kontrollgruppe, die sich speziell mit der Sicherung von Sicherheitsrisiken in der Lieferkette in Cybersicherheitsprogrammen befasst.

Die Kontrollfamilie für das Risikomanagement in der Lieferkette besteht aus 12 Kontrollen:

SR-1: Richtlinien und Verfahren
SR-2: Risikomanagementplan für die Lieferkette
SR-3: Kontrollen und Prozesse in der Lieferkette
SR-4: Provenienz
SR-5: Akquisitionsstrategien, -werkzeuge und -methoden
SR-6: Lieferantenbewertungen und -überprüfungen
SR-7: Sicherheit der Abläufe in der Lieferkette
SR-8: Notifizierungsvereinbarungen
SR-9: Manipulationssicherheit und -erkennung
SR-10: Inspektion von Systemen oder Komponenten
SR-11: Authentizität der Komponenten
SR-12: Entsorgung von Bauteilen

Um einen strukturierten Auswahlprozess für Sicherheitskontrollen zu unterstützen, verwendet NIST SP 800-53 das Kategorisierungssystem Federal Information Processing Standard (FIPS). FIPS unterteilt Informationssicherheitssysteme in drei Schweregrade:

Geringe Auswirkungen
Mäßige Auswirkungen
Hohe Wirkung

Ist NIST 800-53 ein Framework oder ein Standard?

Obwohl die Begriffe "Standard" und "Framework" häufig synonym verwendet werden, ist es am hilfreichsten, NIST 800-53 als Framework zur Verbesserung der Informationssicherheitspraktiken zu betrachten.

Indem NIST 800-53 als Framework und nicht als Standard betrachtet wird, wird seine Implementierung zu einer Option für ein breiteres Spektrum von Organisationen - nicht nur für die Einrichtungen, die gesetzlich zur Implementierung verpflichtet sind.

Die folgenden Organisationstypen können NIST 800-53 in ihre IT- und Risikomanagementprogramme implementieren:

Staatliche Stellen
Bundesbehörden
Die Gesundheitsbranche
Verteidigungsministerium (DoD)

Auch das Risikoframework für das DoD basiert teilweise auf NIST 800-171.

Ein NIST 800-53 Framework für die Einhaltung von Third-Party-Risiken

Anstatt die Compliance aus der Perspektive jeder Sicherheitsmaßnahme zu betrachten, wird ein effizienterer Implementierungsprozess erreicht, indem der Aufwand in fünf Kernfunktionen unterteilt wird.

Identifizieren Sie, welche Assets geschützt werden müssen (priorisieren Sie risikoreiche Assets, die sensible Daten speichern).
Schützen - Implementieren Sie verhältnismäßige Datensicherheitsmaßnahmen, um anfällige Ressourcen zu schützen.
Erkennen - Erkennen Sie potenzielle Cyber-Bedrohungen, die versuchen, anfällige Assets auszunutzen.
Reagieren - Dämmen Sie Cyberbedrohungen ein, um weitere Kompromittierungen zu verhindern.
Wiederherstellung - Befolgen Sie Behebungsprotokolle, um die Geschäftskontinuität zu unterstützen.

Dieses Compliance-Framework kann auch auf die Veröffentlichung des NIST Cybersecurity Framework (NIST CSF) angewendet werden.

Einhaltung der Anforderungen von NIST 800-53 zur Risikominderung durch Dritte

Die folgenden Best Practices helfen Ihnen, die fünf oben beschriebenen Kernfunktionen zu erfüllen und damit die Anforderungen an die Risikominderung von Drittanbietern von NIST 800-53 zu erfüllen.

Identifizieren

Integrieren Sie Richtlinien für Zugriffskontrolle und Datenschutz in die Onboarding-Verträge für Anbieter.
Organisieren Sie den Supply-Chain-Anbieter nach dem Grad der potenziellen Auswirkungen auf die Sicherheit.
Setzen Sie einen Standard für vollständige Transparenz des Sicherheitsrisikos über den gesamten Lebenszyklus von Lieferantenbeziehungen (festgelegt in Onboarding-Verträgen).
Identifizieren Sie Ihre Risikoschwelle für alle Vermögenswerte.
Identifizieren Sie alle Assets in Ihrem Ökosystem mit Digital Footprinting.

Schützen

Implementieren Sie eine Lösung für die kontinuierliche Überwachung, die Vorschläge für Abhilfemaßnahmen für erkannte Risiken enthält.
Implementieren Sie persönliche Schulungen oder Webinare, um Ihre Mitarbeiter über die Identifizierung von Phishing- und Social-Engineering-Angriffen zu informieren.
Setzen Sie eine angemessene Sicherheitshygiene für alle Remote-Mitarbeiter durch.
Durchführung von Risikobewertungen während des gesamten Lebenszyklus der Systementwicklung.
Bewerten Sie die Risikoexposition innerhalb Ihrer Lieferkette mit Sicherheitsbewertungen.
Stellen Sie sicher, dass alle Drittanbieter die gesetzlichen Standards wie HIPAA, PCI DSS und ISO 27001 einhalten.

Erfahren Sie mehr über ISO/IEC 27001 >

Entdecken

Entdecken und beheben Sie Schwachstellen, die das Einschleusen von Cyberbedrohungen erleichtern könnten
Entdecken und schließen Sie Datenlecks, die vertrauliche Informationen offenlegen.
Scannen Sie offene Ports auf verdächtige Aktivitäten.
Sichern Sie alle offenen Ports.

Antworten

Halten Sie die Reaktions- und Sicherheitspläne auf dem neuesten Stand.
Testen Sie regelmäßig die Resilienz von Incident-Response-Plänen mit Penetrationstests für rote/blaue Teams.
Richten Sie einen zuverlässigen Kommunikationskanal für Cybervorfälle ein, um Stakeholder und Aufsichtsbehörden auf dem Laufenden zu halten.
Segmentieren Sie Cyber-Bedrohungen, um laterale Bewegungen nach einer Netzwerkkompromittierung zu unterbrechen.

Genesen

Priorisieren Sie kritische Cyberbedrohungen und gehen Sie umgehend darauf ein.
Verfolgen Sie die Abhilfemaßnahmen für alle Sicherheitsrisiken.
Bestätigen Sie die Wirksamkeit von Abhilfemaßnahmen mit Sicherheitsbewertungen.
Erfahren Sie, wie Sie die TPRM-Anforderungen von NIST 800-53 > erfüllen können
Verwenden Sie diese Checkliste, um Ihre Compliance mit NIST 800-53 > nachzuverfolgen

UpGuard unterstützt Unternehmen bei der Einhaltung der Risikosicherheitsstandards von Drittanbietern von NIST 800-53 mit einer Plattform, die den gesamten Lebenszyklus des Vendor Risk Managements abdeckt. Durch das Angebot einer Bibliothek von Fragebögen, die der NIST Special Publication 800-53 und anderen gängigen Standards wie der DSGVO zugeordnet sind, und die Kombination dieser Point-in-Time-Bewertungen mit einer kontinuierlichen Überwachung der Angriffsfläche bietet UpGuard Sicherheitsteams ein Echtzeit-Bewusstsein über ihre gesamte Angriffsfläche und den Grad der NIST 80053-Konformität.

Sehen Sie sich das folgende Video an, um zu erfahren, wie UpGuard den Risikobewertungsprozess, die Due Diligence und die Strategien für das Risikomanagement von Anbietern rationalisiert.