So erfüllen Sie die Anforderungen von NIST 800-161 an Risiken von Drittanbietern
Das National Institute of Standards and Technology (NIST) hat mehrere Veröffentlichungen veröffentlicht, die sich mit den verschiedenen Komponenten der Informationssicherheit innerhalb der NIST 800 Computer Security Series befassen. Die Konformität dieser gesamten NIST 800-Serie wird von allen internen und externen Dienstleistern von Regierungsbehörden erwartet, z. B. von den Bundesbehörden des Verteidigungsministeriums. Obwohl sie nicht zur Einhaltung verpflichtet sind, verwenden viele private Organisationen die NIST 800-Serie als Reifegradmodell, um eine minimale Grundlinie der Cybersicherheit zu erreichen, insbesondere im Bereich des Supply Chain Risk Management (SCRM).
Das NIST hat drei Sonderveröffentlichungen veröffentlicht, die sich auf die Abwehr von Angriffen auf die Lieferkette konzentrieren:
- NIST SP 800-53 Rev 5
- NIST SP 800-161
- NIST Cybersicherheits-Framework (NIST CSF)
Im Oktober 2021 wurde NIST SP 800-161 überarbeitet. Der zweite öffentliche Entwurf, bekannt als NIST 800-161 Revision 1, enthält zwei neue Anhänge:
- Anhang E - Enthält zusätzliche Anleitungen für bestimmte Bundesbehörden im Zusammenhang mit FASCSA
- Anhang F - Enthält eine Antwort auf die in Abschnitt 4(c) der Executive Order 14028 beschriebenen Richtlinien.
Der zweite Entwurf des NIST SP 800-161 Revision 1 kann hier abgerufen werden.
Die Original-Veröffentlichung des NIST SP 800-161 kann hier abgerufen werden.
Dieser Beitrag konzentriert sich auf die Sonderveröffentlichung NIST 800-161 und erklärt, wie die Metriken zur Risikominderung von Drittanbietern angegangen werden können.
Was ist der Unterschied zwischen NIST 800-53 und NIST 800-161?
NIST 800-53 ist das grundlegende Framework für alle Sicherheitskontrollen innerhalb der NIST 800-Serie. NIST 800-161 gilt als ergänzende Ergänzung zu dieser Grundlage, um Programme zur Sicherheit der Lieferkette weiter auszureifen. Mit anderen Worten, das NIST 800-53-Framework ist eine Voraussetzung für das NIST 800-161-Framework.
Die Implementierung beider Risikomanagement-Frameworks in SCRM-Programmen wird für alle Unternehmen im öffentlichen und privaten Sektor empfohlen. Damit wird die umfassendste Vorlage für die Minderung von Risiken in der IKT-Lieferkette in Geschäftsprozessen geschaffen.
Erfahren Sie, wie Sie die Anforderungen an das Risikomanagement von Drittanbietern gemäß NIST 800-53 erfüllen können>
Ist die Einhaltung von NIST 800-161 obligatorisch?
Die Einhaltung der Sonderveröffentlichungen des NIST ist für alle US-Bundesbehörden obligatorisch. Alle anderen Entitäten können wählen, ob sie NIST-Frameworks in ihren Informationssicherheitsrichtlinien implementieren.
Alle Ökosysteme der Informations- und Kommunikationstechnologie können jedoch von den Risikomanagementprogrammen profitieren, die in der Sonderpublikation 800-161 vorgestellt werden.
Verwenden Sie diesen Checklsit, um die Einhaltung der NIST 800-161-> nachzuverfolgen
NIST 800-161 Zusammenfassung der ICT-SCRM-Steuerungsfamilie
NIST 800-161 beschreibt mehrere ICT SCRM-relevante Kontrollen in 18 verschiedenen Kontrollfamilien:
- Zugriffskontrolle
- Sensibilisierung und Schulung
- Prüfung und Rechenschaftspflicht
- Sicherheitsbewertung und -autorisierung
- Konfigurationsverwaltung
- Notfallplanung
- Identifizierung und Authentifizierung
- Reaktion auf Vorfälle
- Instandhaltung
- Medienschutz
- Physischer Schutz und Umweltschutz
- Planung
- Programm-Management
- Sicherheit des Personals
- Risikobewertung
- Erwerb von Systemen und Dienstleistungen
- System- und Kommunikationsschutz
- System- und Informationsintegrität.
Eine Zusammenfassung aller ICT-SCRM-Steuerelemente innerhalb jeder Familie finden Sie auf Seite 126 von NIST SP 800-161.
Erfahren Sie, wie Sie das Risiko von Drittanbietern an den Vorstand kommunizieren können >
Da es sich bei NIST 800-53 um ein grundlegendes Framework für NIST SP 800-161 handelt, gibt es eine Überschneidung zwischen den Sicherheitsanforderungen beider Frameworks.
Selbst ohne diese Überschneidung ist die verbleibende Liste der IKT-SCRM-Kontrollen lang, und es wäre ineffizient, die Compliance-Bemühungen jeder einzelnen Kontrolle zuzuordnen.
Stattdessen lässt sich Compliance am effizientesten erreichen, indem die besten Praktiken für das Risikomanagement in der Cyber-Lieferkette befolgt werden.
Im Folgenden werden einige vorgeschlagene Praktiken für das Risikomanagement in der Lieferkette für Informationssysteme und -organisationen des Bundes beschrieben:
- Kontinuierliche Überwachung von Cybersicherheitsrisiken in der Lieferkette - Die Echtzeit-Verfolgung von Exploits von Angriffsflächen ermöglicht es Unternehmen, Sicherheitsrisiken in der Lieferkette zu adressieren, bevor sie von Cyberkriminellen ausgenutzt werden.
- Validierung der Risikobehebung durch Dritte - Sicherheitsbewertungen bestätigen, dass die Anbieter die angeforderten Risikomanagementprozesse einhalten. Sicherheitsbewertungen stellen auch sicher, dass Dienstanbieter ihren vertraglichen Verpflichtungen zum Schutz kritischer Informationen nachkommen.
- Automatisierung von Sicherheitsfragebögen - Automatisieren Sie die Risikobewertung der Lieferkette und ordnen Sie sie regulatorischen und Branchenstandards wie ISO/IEC 27001, NIST, COBIT und ISA zu.
- CyberRisk-Fragebogen
- ISO 27001 Fragebogen
- Kurzform-Fragebogen
- Fragebogen zum NIST Cybersecurity Framework
- PCI DSS Fragebogen:
- Fragebogen zum California Consumer Privacy Act (CCPA)
- Fragebogen zur modernen Sklaverei
- Fragebogen zur Pandemie
- Fragebogen zum Sicherheits- und Datenschutzprogramm
- Fragebogen zur Sicherheit von Webanwendungen:
- Fragebogen zur Infrastruktursicherheit
- Fragebogen zur Sicherheit von physischen und Rechenzentren
- Fragebogen zum COBIT 5 Sicherheitsstandard
- ISA 62443-2-1:2009 Fragebogen zum Sicherheitsstandard
- ISA 62443-3-3:2013 Fragebogen zum Sicherheitsstandard
- Fragebogen zum DSGVO-Sicherheitsstandard
- CIS Controls 7.1 Fragebogen zum Sicherheitsstandard
- NIST SP 800-53 Rev. 4 Fragebogen zum Sicherheitsstandard
- SolarWinds-Fragebogen
- Kaseya Fragebogen
Sehen Sie sich die Fragebogenbibliothek von UpGuard in einer Live-Demo an>
- Implementieren Sie ein Third-Party Risk Management Program (TPRM) - Ein TPRM befasst sich mit dem gesamten Bereich der Risikominderung durch Dritte, einschließlich der Bewertung durch Dritte und der Nachverfolgung regulatorischer Anforderungen. Die Auslagerung dieser Bemühungen an einen TPRM-Dienstleister wird bei Stakeholdern, die ein skalierbares TPRM-Modell suchen, immer beliebter.
- Klassifizierung von Drittanbietern nach Risikokritikalität - Die Priorisierung von Anbietern mit den größten potenziellen Auswirkungen auf die Sicherheitslage könnte die Erfolgsraten von Cyberangriffen in der Lieferkette erheblich reduzieren.
- Aktualisieren und testen Sie regelmäßig Reaktionspläne: Reaktionspläne sollten regelmäßig mit unerwarteten Penetrationstests ausgeführt werden.
- Erweitern Sie den Umfang des Austauschs von Sicherheitsinformationen von Anbietern: Für eine möglichst genaue Bewertung des Risikoprofils eines Unternehmens sollten Risikobewertungen anpassbar sein. Dies wird den einzigartigen Sicherheitszielen kritischer Infrastrukturen und Datenschutzkontrollen in der Lieferkette Rechnung tragen.
- Erkennen und schließen Sie Datenlecks von Drittanbietern - Datenlecks helfen Cyberkriminellen, unbefugten Zugriff auf Anbieter in der Lieferkette zu erhalten.
Die proprietäre Engine zur Erkennung von Datenlecks von UpGuard entdeckt übersehene Schwachstellen auf gängigen Hosts von Datenleck-Dumps, einschließlich Dark-Web-Foren. Klicken Sie hier, um mehr über Datenlecks zu erfahren. - Sichern Sie den Lieferanten-Onboarding-Prozess - Der Lieferantenbeschaffungsprozess wirkt sich erheblich auf die Sicherheitslage aus. Daher sollten die Risikoprofile potenzieller Anbieter stark unter die Lupe genommen werden - ein Bestreben, das sich über den gesamten Lebenszyklus aller Anbieter ziehen sollte.
Erfahren Sie, wie OVO seinen Lieferanten-Onboarding-Prozess mit UpGuard >