Einhaltung von CPS 234 (aktualisiert für 2023)

Prudential Standard CPS 234 Information Security (CPS 234) ist ein APRA-Aufsichtsstandard, der als Reaktion auf zunehmende Cyberangriffe im Finanzsektor veröffentlicht wurde.

Die Aufgabe der Australian Prudential Regulation Authority (APRA) besteht darin, aufsichtsrechtliche Sicherheitsstandards festzulegen und durchzusetzen, die sicherstellen sollen, dass die von ihren beaufsichtigten Unternehmen gemachten finanziellen Versprechen unter allen angemessenen Umständen in einem stabilen, effizienten und wettbewerbsfähigen Finanzdienstleistungssektor eingehalten werden.

Der APRA Prudential Standard CPS 234 ist ein solcher Standard, der sicherstellen soll, dass ein APRA-reguliertes Unternehmen Maßnahmen ergreift, um gegen Informationssicherheitsvorfälle (einschließlich Cyberangriffe) widerstandsfähig zu sein, indem es eine Informationssicherheitsfähigkeit aufrechterhält, die den Schwachstellen und Bedrohungen der Informationssicherheit entspricht.

Ziel ist es, die Wahrscheinlichkeit und die Auswirkungen von Informationssicherheitsvorfällen auf die Vertraulichkeit, Integrität oder Verfügbarkeit von Informationsressourcen zu minimieren, einschließlich solcher, die von verbundenen Parteien oder Drittanbietern verwaltet werden, indem Sicherheitsanforderungen (und Tests der Implementierung von Kontrollen) für IT-Assets eingeführt werden.

Erfahren Sie, wie UpGuard das Vendor Risk Management > vereinfacht

Warum ist APRA CPS 234 wichtig?

CPS 234 ist ein wichtiges Cybersicherheits-Framework für australische Unternehmen, da es sicherstellen soll, dass APRA-regulierte Unternehmen widerstandsfähig gegen Cyberangriffe und andere Sicherheitsrisiken sind. Darüber hinaus ist erforderlich, dass Unternehmen rechtzeitig reagieren, wenn es zu einer meldepflichtigen Datenschutzverletzung oder einem anderen Sicherheitsvorfall kommt.

Cyberangriffe nehmen an Häufigkeit, Raffinesse und Auswirkungen zu, und die Täter verfeinern ständig ihre Bemühungen, Systeme, Netzwerke und Informationen zu kompromittieren.

Finanzinstitute gehören zu den prominentesten Zielen aufgrund möglicher finanzieller Belohnungen (APRA beaufsichtigt derzeit Institutionen, die ein Vermögen von 6,5 Billionen US-Dollar halten) und des Zugangs zu den personenbezogenen Daten (PII) und geschützten Gesundheitsinformationen (PHI), die sie über australische Staatsbürger besitzen.

Ein Beschleuniger dieses Trends ist der zunehmende Einsatz von Technologie und Drittanbietern durch Pensionskassen, Banken und Versicherungen, die das Kundenerlebnis verbessern und die betriebliche Effizienz steigern wollen.

Infolgedessen haben Stakeholder wie Vorstände, Geschäftsleitung, Aktionäre, Kunden und Aufsichtsbehörden die Erwartungen an den effektiven Schutz von Informationsressourcen erhöht, die durch eine Kultur zur Förderung der Informationssicherheit untermauert werden.

CPS 234 zielt darauf ab, das Cyberrisiko zu verringern und die Cybersicherheit zu verbessern, indem es verlangt, dass APRA-regulierte Unternehmen eine Informationssicherheitsfähigkeit aufrechterhalten, die ihren Schwachstellen und Bedrohungen in Bezug auf die Informationssicherheit entspricht, und Risikomanagementpraktiken für Anbieter anwenden, um die Wahrscheinlichkeit und die Auswirkungen von Vorfällen zu verringern, an denen verbundene oder Dritte beteiligt sind.

Wer muss CPS 234 einhalten?

CPS 234 gilt für alle APRA-regulierten Unternehmen, nämlich:

• Zugelassene Einlageninstitute (ADIs), einschließlich ausländischer ADIs, Kreditgenossenschaften, Banken und nicht operativer Holdinggesellschaften, die nach dem Bankengesetz zugelassen sind
• Schadenversicherer, einschließlich Versicherer der Kategorie C, nicht operative Holdinggesellschaften, die nach dem Versicherungsgesetz zugelassen sind, und Muttergesellschaften von Versicherungsgruppen der Stufe 2
• Lebensversicherungsgesellschaften, einschließlich Friendly Societies, zugelassene ausländische Lebensversicherungsgesellschaften und nicht operative Holdinggesellschaften, die nach dem Lebensversicherungsgesetz registriert sind
• Private Krankenversicherer, die nach dem PHIPS Act registriert sind
• Allgemeine Versicherer
• RSE-Lizenznehmer nach dem SIS-Gesetz in Bezug auf ihre Geschäftstätigkeit
• Pensionskassen

Darüber hinaus gelten in Fällen, in denen die Informationswerte eines APRA-regulierten Unternehmens von einem Dritten verwaltet werden, die Anforderungen in CPS 234 auch für diese Informationswerte.

CPS 234 schreibt vor, dass Drittanbieter, die Daten von APRA-regulierten Unternehmen verarbeiten, sich ebenfalls an die Verordnung halten

Erfahren Sie, wie Sie mit der Berichtsfunktion von UpGuard Compliance-> verfolgen können

Wer ist für die Einhaltung von CPS 234 verantwortlich?

Der Vorstand eines APRA-regulierten Unternehmens ist letztendlich für die Einhaltung von CPS 234 verantwortlich. Der Board muss sicherstellen, dass das Unternehmen die Informationssicherheit in einer Weise aufrechterhält, die der Größe und dem Ausmaß der Bedrohungen für seine Informationsressourcen angemessen ist und den kontinuierlichen ordnungsgemäßen Betrieb des Unternehmens ermöglicht.

Das heißt, der Vorstand kann Sicherheitsaufgaben und -verantwortlichkeiten an Unterausschüsse des Vorstands, Managementausschüsse oder Einzelpersonen delegieren. Solange der Vorstand klar darlegen kann, wie er sich in Bezug auf die Informationssicherheit engagieren will, einschließlich der Eskalation von Risiken, Problemen und Berichterstattung.

Darüber hinaus müssen die Unternehmen klar definierte Rollen und Verantwortlichkeiten des Vorstands, der Geschäftsleitung, der Leitungsgremien und der Einzelpersonen im Zusammenhang mit der Informationssicherheit haben, die für die Entscheidungsfindung, Genehmigung, Aufsicht, den Betrieb und andere Informationssicherheitsfunktionen verantwortlich sind.

Dies wird in der Regel durch eine Kombination aus Rollenerklärungen, Grundsatzerklärungen, Berichtslinien und Satzungen von Leitungsgremien erreicht. Zu den allgemeinen Leitungsgremien und Einzelpersonen, die für die Entscheidungsfindung, Genehmigung, Aufsicht, den Betrieb und andere Aufgaben und Verantwortlichkeiten im Bereich der Informationssicherheit zuständig sind, gehören:

• Lenkungs-/Aufsichtsausschuss für Informationssicherheit
• Risikomanagementausschuss (Vorstand und Führungsebene)
• Prüfungsausschuss des Vorstands
• Geschäftsleitung
• Chief Information Officer (CIO)
• Leitender Beauftragter für Informationssicherheit (CISO)
• IT-Leiter
• IT-Sicherheitsmanager
• Mitarbeiter in den Bereichen Informationssicherheit/-verwaltung
• Management (Business und IT)

Diese Ausschüsse und Personen befinden sich in der Regel in separaten Geschäftsbereichen, innerhalb der IT-Funktion sowie bei verbundenen und Dritten. Dies kann zu mangelnder Eigenverantwortung, unklaren Verantwortlichkeiten, ineffektiver Aufsicht und Fragmentierung der Praktiken führen.

Um diese Probleme anzugehen, müssen die Zuständigkeiten der einzelnen Bereiche klar abgegrenzt und die Sicherheitsmaßnahmen kompensiert werden.

Darüber hinaus sollten der Vorstand, die Leitungsgremien und Einzelpersonen ihre Informationsanforderungen (z. B. Zeitplan, Format, Umfang und Inhalt) definieren, um sicherzustellen, dass sie ausreichend und rechtzeitig mit Informationen versorgt werden, damit sie ihre Aufgaben und Verantwortlichkeiten effektiv wahrnehmen können.

Dies sollte sowohl quantitative als auch qualitative Inhalte umfassen. Für nicht-technische Zielgruppen sollten technische Informationen und Metriken durch geeignete thematische Analysen und Kommentare zu den geschäftlichen Auswirkungen ergänzt werden.

Dies sollte durch definierte Eskalationspfade und Schwellenwerte sowie einen Prozess zur periodischen Überprüfung der Zielgruppenrelevanz und Gebrauchstauglichkeit unterstützt werden.

Für weitere Anleitungen, die über diesen Leitfaden hinausgehen, empfehlen wir die Lektüre des Prudential Practice Guide CPG 234 Information Security.

Was sind die wichtigsten Anforderungen von CPS 234?

CPS 234 verlangt von APRA-regulierten Unternehmen:

• Klare Definition der Rollen und Verantwortlichkeiten des Vorstands, der Geschäftsleitung, der Leitungsgremien und der Einzelpersonen im Zusammenhang mit der Informationssicherheit
• Aufrechterhaltung einer Informationssicherheitsfähigkeit, die der Größe und dem Ausmaß der Bedrohungen für ihre Informationsressourcen angemessen ist und den kontinuierlichen ordnungsgemäßen Betrieb des Unternehmens ermöglicht
• Implementieren Sie Kontrollen zum Schutz Ihrer Informationsressourcen, die der Kritikalität und Sensibilität dieser Informationsressourcen entsprechen, und führen Sie systematische Tests und Sicherstellungen hinsichtlich der Wirksamkeit dieser Kontrollen durch
• Benachrichtigung der APRA über wesentliche Vorfälle im Bereich der Informationssicherheit

Diese Schlüsselanforderungen lassen sich weiter in acht Kategorien unterteilen, nämlich:

1. Fähigkeit zur Informationssicherheit
2. Politischer Rahmen
3. Identifizierung und Klassifizierung von Informationsressourcen
4. Implementierung von Informationssicherheitskontrollen
5. Management von Vorfällen
6. Testen der Wirksamkeit der Kontrolle
7. Interne Revision
8. APRA-Benachrichtigung

Die Anforderungen von CPS 234 wurden so konzipiert, dass sie mit den Sicherheitsstandards von ISO 27001 übereinstimmen, wenn Sie also bereits ISO 27001 implementiert haben, sollte die Einhaltung von CPS 234 einfacher sein.

So erfüllen Sie die wichtigsten Anforderungen von CPS 234

UpGuard ermöglicht es Unternehmen, die Rollen und Verantwortlichkeiten aller Sicherheitsmitarbeiter klar zu definieren, um eine effiziente Bereitstellung von Abhilfemaßnahmen für alle Informationsressourcen zu gewährleisten.

Mit der Reporting-Funktion von UpGuard kann sofort ein umfassender Bericht für APRA erstellt werden, um sie über alle Ihre Bemühungen zur Verbesserung der Sicherheitslage auf dem Laufenden zu halten.

Holen Sie sich eine kostenlose Testversion von UpGuard >

Was sind die Anforderungen an die Informationssicherheitsfunktionen des CPS 234?

CPS 234 verlangt von APRA-regulierten Unternehmen:

• Aufrechterhaltung einer Informationssicherheitsfähigkeit, die der Größe und dem Ausmaß der Bedrohungen für seine Informationsressourcen angemessen ist, was den kontinuierlichen ordnungsgemäßen Betrieb des Unternehmens ermöglicht
• Bewertung der Informationssicherheitsfähigkeiten von verbundenen oder Dritten, die Informationsressourcen im Namen des Unternehmens verwalten, unter Berücksichtigung der potenziellen Folgen eines Informationssicherheitsvorfalls, der diese Ressourcen betrifft
• Aktive Aufrechterhaltung seiner Informationssicherheitsfähigkeit in Bezug auf Änderungen von Schwachstellen und Sicherheitsbedrohungen, einschließlich solcher, die sich aus Änderungen an Informationsressourcen oder dem Geschäftsumfeld ergeben

Um diese Anforderungen zu erfüllen, würden APRA-regulierte Unternehmen in der Regel die Angemessenheit der Ressourcen überprüfen, einschließlich der Finanzierung und des Personals, des rechtzeitigen Zugangs zu den erforderlichen Fähigkeiten und der Vollständigkeit des Kontrollumfelds.

Zu den typischen Steuerelementen gehören unter anderem:

• Schwachstellen- und Bedrohungsmanagement, einschließlich Situationsbewusstsein und Aufklärung
• Betrieb und Verwaltung der Informationssicherheit
• Sicheres Design, Architektur und Beratung
• Sicherheitstests, einschließlich Penetrationstests
• Berichterstattung und Analyse der Informationssicherheit
• Erkennung und Reaktion auf Vorfälle, einschließlich Wiederherstellung, Benachrichtigung und Kommunikation
• Untersuchung der Informationssicherheit, einschließlich Beweissicherung und forensischer Analyse
• Gewährleistung der Informationssicherheit

Darüber hinaus müssen die Unternehmen auch verstehen, dass die Ressourcen, Fähigkeiten und Kontrollen von Dritten und verbundenen Parteien ausreichend sind, einschließlich der Berücksichtigung von Unterauftragsvergabe- und Onsourcing-Vereinbarungen (Risiko der vierten Partei).

Dies kann durch eine Kombination aus Interviews, Service-Reporting, Kontrolltests, Zertifizierungen, Bescheinigungen (z. B. SOC 2), Überweisungen und unabhängigen Zuverlässigkeitsbewertungen erreicht werden.

Da CPS 234 von den Unternehmen verlangt, ihre Informationssicherheitsfähigkeiten aktiv aufrechtzuerhalten, sollten die Unternehmen einen anpassungsfähigen und zukunftsorientierten Ansatz verfolgen, einschließlich kontinuierlicher Investitionen in Ressourcen, Fähigkeiten und Kontrollen. Dies könnte durch bestehende und neu entstehende Schwachstellen und Bedrohungen in der Informationssicherheit, aktuelle Branchenpraktiken, (interne und externe) Informationssicherheitsvorfälle und bekannte Probleme der Informationssicherheit beeinflusst werden.

So erfüllen Sie die Anforderungen an die Informationssicherheitsfunktionen von CPS 234

UpGuard überwacht kontinuierlich die gesamte Angriffsfläche, sowohl intern als auch im gesamten Anbieternetzwerk, um Unternehmen bei der effektiven Bewältigung von Bedrohungen und der Behebung von Schwachstellen zu unterstützen.

UpGuard mindert auch Risiken von Drittanbietern und Viertanbietern durch gezielte Risikobewertungen in Verbindung mit der Erkennung und Behebung von Datenlecks bei Anbietern.

Holen Sie sich eine kostenlose Testversion von UpGuard >

Was sind die Anforderungen an die Informationssicherheitsrichtlinie von CPS 234?

Gemäß CPS 234 sind APRA-regulierte Unternehmen verpflichtet, einen Richtlinienrahmen für die Informationssicherheit aufrechtzuerhalten, der ihrer Exposition gegenüber Schwachstellen und Bedrohungen entspricht. Diese Richtlinie sollte eine Anleitung zu den Verantwortlichkeiten aller Parteien enthalten, die zur Aufrechterhaltung der Informationssicherheit verpflichtet sind, einschließlich Leitungsgremien, Mitarbeitern, Auftragnehmern, Beratern, verbundenen Parteien, Dritten und Kunden.

In der Regel ist dieses Framework als Hierarchie strukturiert, mit Richtlinien auf höherer Ebene, die durch die zugrunde liegenden Standards, Richtlinien und Verfahren unterstützt werden. Zu den gemeinsamen Bereichen, die im politischen Rahmen angesprochen werden, gehören:

• Identifikation, Autorisierung und Gewährung des Zugriffs auf Informationsgüter (Access Control)
• Das Lifecycle-Management stellt sicher, dass die Anforderungen an die Informationssicherheit in jeder Phase berücksichtigt werden, von der Aufbereitung und Beschaffung bis hin zur Außerbetriebnahme und Vernichtung
• Management von IT-Lösungen für die Informationssicherheit, einschließlich Firewalls, Antimalware-Software, Software zur Erkennung und Verhinderung von Eindringlingen, kryptografische Systeme und Überwachungs-/Protokollanalysetools
• Definition einer übergreifenden Informationssicherheitsarchitektur, die den Ansatz für die Gestaltung der IT-Umgebung aus Sicherheitssicht skizziert
• Überwachung und Incident Management zur Identifizierung und Klassifizierung von Incidents, Melde- und Eskalationsrichtlinien, Beweissicherung und Untersuchungsprozess
• Erwartungen an die Aufrechterhaltung der Informationssicherheit beim Einsatz von Dritten und nahestehenden Personen
• Akzeptable Nutzung von Informationsressourcen, die die Verantwortlichkeiten von Endnutzern wie Mitarbeitern, Dritten, verbundenen Parteien und Kunden definieren
• Rekrutierung und Überprüfung von Mitarbeitern und Auftragnehmern
• Aufgaben und Zuständigkeiten im Bereich der Informationssicherheit
• Physische und Umgebungskontrollen
• Mechanismen zur Bewertung der Einhaltung und der fortlaufenden Wirksamkeit des Rahmenwerks für die Informationssicherheitspolitik.

Dieser Richtlinienrahmen ist in der Regel konsistent mit anderen Entitätsframeworks wie Risikomanagement, Dienstanbietermanagement und Projektmanagement.

Darüber hinaus sollten Unternehmen eine Ausnahmeregelung vorsehen, in der die Anforderungen an die Registrierung, Zulassung und Dauer festgelegt sind. Dabei handelt es sich in der Regel um ein Register, in dem die Art, die Gründe und das Ablaufdatum der Ausnahmen aufgeführt sind.

Dies ermöglicht es den Stellen, die Angemessenheit der Ausgleichskontrollen sowohl initial als auch fortlaufend zu überprüfen und zu bewerten.

Schließlich sollte die Politik regelmäßig evaluiert werden, um ihre Wirksamkeit und Vollständigkeit zu bestimmen, und es sollten Anpassungen vorgenommen werden, um ihre anhaltende Wirksamkeit erforderlichenfalls zu gewährleisten.

So erfüllen Sie die Anforderungen der Informationssicherheitsrichtlinie von CPS 234

UpGuard ist eine vollständige End-to-End-Lösung für das Bedrohungsmanagement, die es Unternehmen ermöglicht, Schwachstellen, die von Cyberkriminellen ausgenutzt werden könnten, sofort zu erkennen und zu beheben.

Mit dem benutzerdefinierten Fragebogen-Builder von UpGuard können Unternehmen kontextualisierte Bewertungen erstellen, um die Einhaltung des Richtlinienrahmens für die Informationssicherheit zu bewerten.

Holen Sie sich eine kostenlose Testversion von UpGuard >

Was sind die Anforderungen von CPS 234 an die Identifizierung und Klassifizierung von Informationsressourcen?

APRA-regulierte Unternehmen müssen Informationsvermögenswerte, einschließlich solcher, die von nahestehenden Unternehmen und Dritten verwaltet werden, nach Kritikalität und Sensibilität klassifizieren.

Dazu gehören Infrastruktur, Zusatzsysteme wie Umweltkontrollsysteme und physische Zugangskontrollsysteme sowie Informationsressourcen, die von Dritten und verbundenen Parteien verwaltet werden.

Die Wechselbeziehungen zwischen Informationsressourcen, einschließlich solcher, die an sich nicht kritisch oder sensibel sind, aber zur Kompromittierung kritischer oder sensibler Informationsressourcen verwendet werden könnten.

Darüber hinaus sollte dies das Ausmaß widerspiegeln, in dem Informationssicherheitsvorfälle das Unternehmen oder die Interessen von Einlegern, Versicherungsnehmern, Begünstigten oder anderen Kunden finanziell oder nichtfinanziell beeinträchtigen können.

Um internen und externen Stakeholdern Klarheit zu verschaffen, sollten Unternehmen eine Klassifizierungsmethodik beibehalten, die einen Kontext darüber liefert, was Informationsressourcen ausmacht, Granularitätsüberlegungen und die Methode zur Bewertung von Kritikalität und Sensitivität. Es ist wichtig zu beachten, dass Assets eine unterschiedliche Bewertung für Kritikalität und Sensitivität haben können.

Es liegt im Ermessen des Unternehmens, von Fall zu Fall zu entscheiden, ob es Informationsbestände auf granularer Ebene oder auf aggregierter Ebene bewertet. Wenn sich ein Unternehmen jedoch dafür entschieden hat, eine Reihe von zugrunde liegenden Komponenten in einem einzigen Vermögenswert zusammenzufassen, würde das Kritikalitäts- und Sensitivitätsrating für diesen Vermögenswert in der Regel das Kritikalitäts- und Sensitivitätsrating der Bestandteile mit dem höchsten Rating übernehmen.

Um dies zu unterstützen, verwenden Unternehmen in der Regel ein Repository für das Inventar von Informationsressourcen, wie z. B. eine Configuration Management Database (CMBD), um Beziehungen zu registrieren und anderen Assets zuzuordnen.

Schließlich ist es üblich, dass Unternehmen ihre bestehenden Auswirkungsanalysen für die Geschäftskontinuität nutzen, um die Kritikalität und andere Prozesse zur Bewertung der Sensitivität zu bewerten.

So erfüllen Sie die Anforderungen von CPS 234 zur Identifizierung und Klassifizierung von Informationsressourcen

UpGuard bewertet sofort die Kritikalität aller entdeckten Schwachstellen, so dass die Abhilfemaßnahmen effizient verteilt werden können. Diese Funktion erstreckt sich auf alle Drittanbieter und deren Informationsbestände.

Holen Sie sich eine kostenlose Testversion von UpGuard >

Was sind die Anforderungen an die Informationssicherheitskontrolle von CPS 234?

Gemäß CPS 234 müssen APRA-regulierte Unternehmen Informationssicherheitskontrollen implementieren, um Informationsressourcen, einschließlich solcher, die von verbundenen oder Dritten verwaltet werden, rechtzeitig und in angemessener Weise zu schützen:

• Bestehende und neu entstehende Schwachstellen und Bedrohungen für kritische und sensible Informationsressourcen
• Lebenszyklusphase der Informationsbestände
• Mögliche Folgen eines Informationssicherheitsvorfalls

So erfüllen Sie die Anforderungen an die Informationssicherheitskontrolle von CPS 234

UpGuard überwacht sowohl interne als auch externe Informationsressourcen, um kritische Schwachstellen zu erkennen und zu beheben, die sensible Daten offenlegen könnten.

Dieses Datenschutzniveau erstreckt sich über den gesamten Lebenszyklus von Informationsbeständen, um zu verhindern, dass in allen Phasen der Geschäftsentwicklung Risiken übersehen werden.

Holen Sie sich eine kostenlose Testversion von UpGuard >

Arten von Kontrollen der Informationssicherheit

Kontrollen von Schwachstellen und Bedrohungen

APRA-regulierte Unternehmen sollten sicherstellen, dass bestehende und neu entstehende Sicherheitslücken und Cyberbedrohungen, insbesondere solche, die sich auf kritische und sensible Informationsressourcen beziehen, rechtzeitig identifiziert, bewertet und behoben werden.

Dazu gehören auch solche, die nicht kritisch oder vertraulich sind, aber zur Offenlegung kritischer oder sensibler Informationsressourcen verwendet werden könnten.

Zu diesem Zweck gehen Entitäten in der Regel wie folgt vor:

• Implementierung von Mechanismen, die auf Threat-Intelligence-Feeds in Bezug auf Schwachstellen, Bedrohungen, Angriffsmethoden und Gegenmaßnahmen zugreifen und diese analysieren
• Tauschen Sie sich mit Stakeholdern (einschließlich Regierungen, Branchenkollegen und Kunden) über Bedrohungen und Gegenmaßnahmen aus
• Entwicklung taktischer und strategischer Abhilfemaßnahmen, die der Bedrohung angemessen sind
• Implementierung von Mechanismen, um die Übergänge zwischen den Angriffsphasen zu unterbrechen

Ein wichtiger, aber oft übersehener Aspekt des Schwachstellenmanagements ist die Minimierung von Schwachstellen bei gleichzeitiger Aufrechterhaltung der Unterstützbarkeit. Viele ausnutzbare Schwachstellen entstehen durch Hardware und Software, die veraltet ist oder nur eingeschränkten oder gar keinen Support bietet (unabhängig davon, ob sie intern oder von einem Drittanbieter oder einer verbundenen Partei verwaltet wird).

Ein bekanntes Beispiel ist der Zero-Day-Exploit von Eternal Blue, der zur Verbreitung des WannaCry-Ransomware-Wurms führte.

Um dieses Risiko zu verringern, sollten Unternehmen Systeme außer Betrieb nehmen, die

• Diese können nicht aktualisiert werden, wenn neue Sicherheitslücken oder Bedrohungen identifiziert werden
• Wenn der Einsatz von Kontrollen zur Risikominderung, wie z. B. Trennung, keine Option ist

Wenn die Implementierung einer neuen Technologie in Betracht gezogen wird, sollten Unternehmen deren Verwendung in einer Produktionsumgebung nur dann genehmigen, wenn die Technologie:

• Ein allgemein vereinbarter Satz von branchenweit akzeptierten Kontrollen zur Verwaltung der Sicherheit
• Ausgleichskontrollen, die ausreichen, um das Restrisiko mit ihrer Risikobereitschaft zu reduzieren

Um dies zu erleichtern, entwickeln viele Unternehmen ein Technologiegenehmigungsverfahren und führen ein genehmigtes Technologieregister.

Lifecycle-Management-Kontrollen

Dies bedeutet im Allgemeinen, dass die Verantwortung und Verantwortlichkeit für ein Informationsasset einem Eigentümer eines Informationsassets zugewiesen wird, in der Regel einer einzelnen Stelle innerhalb der Geschäftsfunktion, die am stärksten von dem Asset abhängig ist.

Planungs- und Designkontrollen sind die erste Phase des Lebenszyklus von Informationsressourcen, die in der Regel vorhanden sind, um sicherzustellen, dass die Informationssicherheit von Anfang an berücksichtigt wird und in der Regel dem IT-Sicherheitsrichtlinienrahmen des Unternehmens entspricht.

Um zu verhindern, dass die Einführung neuer Informationsressourcen bestehende Ressourcen gefährdet, sind in der Regel Akquisitions- und Implementierungskontrollen vorhanden. In der Regel sind fortlaufende Support- und Wartungskontrollen vorhanden, um sicherzustellen, dass die Anlagen weiterhin die Anforderungen an die Informationssicherheit erfüllen, wie z. B.:

• Änderungsmanagement: Die Informationssicherheit ist Teil der Änderungsmanagementprozesse und der Anlagenbestand wird auf dem neuesten Stand gehalten
• Konfigurationsmanagement: Die Konfiguration von Informationsressourcen minimiert Schwachstellen und wird definiert, bewertet, registriert, gewartet, ständig angewendet und bei Bedarf aktualisiert, um neue Schwachstellen und Bedrohungen zu minimieren, sobald sie entdeckt werden
• Bereitstellungs- und Umgebungsmanagement: Entwicklungs-, Test- und Produktionsumgebungen werden getrennt, und die Aufgabentrennung wird durchgesetzt
• Zugriffsverwaltung: Nur autorisierte Benutzer, Software und Hardware können auf sensible Assets zugreifen
• Hardware- und Software-Assets: Eine entsprechende Autorisierung wird verwendet, um Privilege-Escalation-Angriffe und Sicherheitskompromittierungen durch nicht autorisierte Hardware- und Software-Assets zu verhindern
• Netzwerkdesign: Nur autorisierter Netzwerkverkehr fließt, wodurch die Auswirkungen von Sicherheitskompromissen reduziert werden
• Schwachstellenmanagement: Sicherheitslücken werden rechtzeitig identifiziert und behoben
• Patch-Management: Die Bewertung und das Einspielen von Patches und anderen Updates für bekannte Schwachstellen, wie sie auf CVE aufgeführt sind, werden zeitnah angewendet
• Service Level Agreements: Unterstützung bei der Überwachung, Verwaltung und Ausrichtung der Informationssicherheit an den Geschäftszielen
• Kontinuierliches Monitoring: Zur rechtzeitigen Erkennung von Kompromittierungen für die Informationssicherheit
• Reaktion: Auf Cybersicherheitsvorfälle wird reagiert und es gibt Feedback-Mechanismen, um Kontrollmängel zu beheben
• Kapazitäts- und Performance-Management: Stellt sicher, dass die Verfügbarkeit nicht durch das aktuelle oder prognostizierte Geschäftsvolumen beeinträchtigt wird
• Service Provider Management: Stellt sicher, dass verbundene Parteien und Dritte die Anforderungen des Unternehmens an die Informationssicherheit erfüllen

Schließlich stellen Stilllegungs- und Vernichtungskontrollen sicher, dass die Informationssicherheit nicht beeinträchtigt wird, wenn die Anlagen das Ende ihrer Lebensdauer erreichen. Zu den Kontrollen gehören Archivierungsstrategien und die sichere Datenlöschung sensibler Informationen vor der Entsorgung physischer Vermögenswerte.

Wie bei anderen Praktiken der Informationssicherheit sollten Unternehmen die Vollständigkeit ihrer Kontrollen regelmäßig bewerten, indem sie sich mit Mitbewerbern und aktuellen Branchenpraktiken vergleichen.

Lifecycle-Management-Kontrollen sind besonders wichtig für vom Endbenutzer entwickelte/konfigurierte Software, die den Zweck hat, alltägliche Geschäftsprozesse zu automatisieren oder die Entscheidungsfindung zu erleichtern. Daher müssen Unternehmen Prozesse einführen, um von Endbenutzern entwickelte/konfigurierte Software zu identifizieren und zu klassifizieren und Risiken zu bewerten.

Physische und Umgebungssteuerungen

Das Fehlen physischer und umgebungsbezogener Kontrollen kann die Wirksamkeit ansonsten gut informierter Informationssicherheitskontrollen beeinträchtigen. Daher verfügen APRA-regulierte Unternehmen in der Regel über die folgenden physischen und Umgebungskontrollen:

• Standort- und Gebäudeeinrichtungen, die Schutz vor natürlichen und vom Menschen verursachten Bedrohungen bieten, wie z. B. vielfältige Zugänge zu wichtigen Versorgungseinrichtungen wie Strom und Internet sowie Ausweichmechanismen im Falle eines Ausfalls (z. B. Generatoren und drahtlose Hotspots)
• Physische Zugangskontrollen zum Schutz des Standortperimeters, des Gebäudedatenraums und der Computerracks, wie z. B. Tore, Schlösser und Verfahren für die Gewährung und Überprüfung des Zugangs durch Mitarbeiter, Drittanbieter und Besucher
• Umgebungssteuerungen wie Lüftung, Klimaanlagen und Brandbekämpfungssysteme
• Überwachungs- und Warnmechanismen, die Informationssicherheitsvorfälle erkennen, bei denen physische und Umgebungskontrollen ausgefallen sind, wie z. B. Sensoren/Alarme für Temperatur, Luftfeuchtigkeit, Wasser, Rauch, unbefugten Zugriff und Warnungen zur Verfügbarkeit von Diensten

Kontrollen des Änderungsmanagements

Zu den gängigen Steuerelementen für das Änderungsmanagement gehören:

• Sicherheitstests zur Identifizierung von Schwachstellen und zur Bestätigung der Erfüllung der Anforderungen an die Informationssicherheit
• Genehmigung von Änderungen vor dem Einsatz in der Produktion
• Aufgabentrennung zwischen Personal, das eine Änderung vornimmt, und solchen, die die Änderung vornehmen
• Änderungen werden in einer Nicht-Produktionsumgebung entwickelt und überprüft, um eine Kompromittierung zu vermeiden
• Die Anforderungen an die Informationssicherheit werden vor der Bereitstellung validiert
• Sensible Produktionsdaten werden bei der Verwendung zu Entwicklungs- und Testzwecken desensibilisiert

Software-Sicherheitskontrollen

APRA-regulierte Unternehmen implementieren in der Regel sichere Softwareentwicklungs- und -beschaffungstechniken, um Folgendes zu gewährleisten:

• Funktioniert unabhängig von unvorhergesehenen Umständen wie vorgesehen
• Hat eine verminderte Neigung zu absichtlichem oder versehentlichem Missbrauch
• Entspricht dem Richtlinienrahmen für die Informationssicherheit des Unternehmens

Kontrollen von Datenlecks

APRA-regulierte Unternehmen verfügen in der Regel über Kontrollen von Datenlecks, die der Sensibilität der Daten entsprechen, einschließlich:

• Autorisierung, Registrierung und regelmäßige Überprüfung von Benutzern und zugehörigen Übertragungsmechanismen und -geräten, einschließlich Druckern, tragbaren Speichergeräten, tragbaren Computergeräten, elektronischen Übertragungsmechanismen und Konferenzgeräten
• Angemessene Sperrung, Filterung und Überwachung von elektronischen Übermittlungsmechanismen, Websites und Drucksystemen
• Zunehmende Kontrolle von Benutzern mit höheren Zugriffsebenen
• Angemessene Verschlüsselung, Bereinigung und Auditierung von Geräten
• Überwachung auf nicht autorisierte Software und Hardware (z. B. Spyware, Software zum Knacken von Passwörtern, Wireless Access Points)
• Angemessene Entfernung sensibler Daten nach Abschluss der Wiederherstellungstests

Kurz gesagt, der Zugriff auf sensible Daten (z. B. Kundendatenbanken oder geistiges Eigentum) sollte stark eingeschränkt werden, um das Risiko von Datenlecks zu verringern.

Zu den gängigen Zielen gehören:

• Kredit- oder Debitkartendaten
• Diebstahl von personenbezogenen Daten (PII) oder geschützten Gesundheitsinformationen (PHI)
• Unverschlüsselte Backup-Medien

So erfüllen Sie die Anforderungen an die Kontrolle von Datenlecks

Im Gegensatz zu herkömmlichen Lösungen für das Management von Datenlecks ist UpGuard in der Lage, Datenlecks von Anbietern sowie solche, die auf interne Ressourcen zurückzuführen sind, zu erkennen und zu beheben.

Diese proprietäre Lösung wird von einem Team von Cybersicherheitsexperten unterstützt, die in Ihrem Namen Datenlecks erkennen und überarbeiten können, um alle Fehlalarme zu beseitigen.

Sehen Sie sich das Video unten an, um einen Überblick über die Funktionen von UpGuard zur Erkennung von Datenlecks zu erhalten.

Holen Sie sich eine kostenlose Testversion von UpGuard >

Kryptografische Kontrollen

Kryptografische Techniken sollten als eine Form der Zugangskontrolle zu sensiblen Daten bei der Speicherung und Übertragung eingesetzt werden, wobei die Verschlüsselungsstärke der Sensibilität und Kritikalität der Daten angemessen ist und ergänzende oder ausgleichende Kontrollen durchgeführt werden sollten.

Im Allgemeinen sollte ein End-to-End-Ansatz verfolgt werden, bei dem die Verschlüsselung vom Ort des Eingangs bis zum endgültigen Bestimmungsort angewendet wird, um das Risiko einer Exposition zu minimieren.

Technologische Steuerungen

Gegebenenfalls sollten Technologiekontrollen wie Firewalls, Netzwerkzugangskontrolle, Geräte zur Erkennung/Verhinderung von Eindringlingen, Anti-Malware, Verschlüsselung und Überwachung oder Protokollanalysetools eingesetzt werden.

Wie abhängig Unternehmen von Technologielösungen sein können, hängt von folgenden Faktoren ab:

• Leitlinien, die festlegen, wann bestimmte Technologielösungen eingesetzt werden sollten
• Normen, die die detaillierten Ziele und Anforderungen einzelner Technologielösungen dokumentieren
• Bevollmächtigung von Personen, die unter Berücksichtigung der Aufgabentrennung Änderungen an Technologielösungen vornehmen können
• Regelmäßige Bewertung der Konfiguration einer bestimmten Technologielösung, der kontinuierlichen Wirksamkeit und der Identifizierung von unbefugten Zugriffen oder Änderungen
• Regelmäßige Überprüfung der Branchenpraxis und Benchmarking im Vergleich zu Mitbewerbern
• Erkennungstechniken, die eingesetzt werden, um eine Warnung auszulösen, wenn die Technologielösung nicht wie vorgesehen funktioniert

Kontrollen durch Dritte und nahestehende Personen

APRA-regulierte Unternehmen müssen das Design der Informationssicherheitskontrollen von Dritten und verbundenen Parteien bewerten.

Dies kann durch eine Kombination aus Interviews, Umfragen, Kontrolltests, Zertifizierungen, Vertragsprüfungen, Bescheinigungen und unabhängigen Zuverlässigkeitsbewertungen erreicht werden.

Sobald die Kontrollen identifiziert sind, sollten sie mit den üblichen Branchenkontrollen, den internen Kontrollen des Unternehmens und den beteiligten Informationsressourcen verglichen werden.

Darüber hinaus sollte das Unternehmen verstehen, ob Unterauftragsvergabe- oder Onsourcing-Vereinbarungen innerhalb der Vereinbarungen zulässig sind, und wenn ja, muss es sich der Änderungen an den von ihm ausgelagerten Dienstleistungen bewusst sein.

In der Regel sollten Überlegungen zur Informationssicherheit als vertragliche Verpflichtungen in Aufsichtsvereinbarungen festgehalten werden.

Wie man die Kontrollanforderungen von Drittanbietern und verbundenen Parteien einhält

UpGuard bietet eine TPRM-Lösung, die Risikobewertungen und Abhilfemaßnahmen von Drittanbietern umfasst, die mit Unterstützung von Cybersicherheitsexperten effizient skaliert werden können.

Durch den kontinuierlichen Einblick in die Bedrohungslandschaft der Anbieter können Unternehmen über die Ausfallsicherheit aller Sicherheitskontrollen von Drittanbietern informiert bleiben.

Holen Sie sich eine kostenlose Testversion von UpGuard >

Minimierung der Folgen von Informationssicherheitsvorfällen

APRA-regulierte Unternehmen sollten Ereignisse mit geringer Wahrscheinlichkeit und extremen Auswirkungen (finanzielle oder nichtfinanzielle) Auswirkungen berücksichtigen, die ihre laufende Fähigkeit, ihren Verpflichtungen nachzukommen, gefährden könnten, wie z. B.:

• Böswillige Handlungen eines Insiders mit hohen Privilegien, die möglicherweise Absprachen mit internen oder externen Parteien beinhalten
• Löschen oder Beschädigung von Produktions- und Backup-Daten, entweder durch böswillige Absicht, Benutzerfehler oder Systemfehlfunktion
• Verlust von oder unbefugter Zugriff auf Verschlüsselungsschlüssel für extrem kritische oder sensible Informationsressourcen

Das Verständnis dieser plausiblen Worst-Case-Szenarien kann Unternehmen dabei helfen, zusätzliche Kontrollen zu identifizieren und zu implementieren, um die Auswirkungen solcher Ereignisse zu verhindern oder zu verringern.

Was sind die Anforderungen an das Incident Management von CPS 234?

Gemäß CPS 234 müssen APRA-regulierte Unternehmen über robuste Mechanismen verfügen, um Informationssicherheitsvorfälle rechtzeitig zu erkennen und darauf zu reagieren.

Zu den Erkennungsmechanismen gehören in der Regel Scan-, Sensor-, Überwachungs- und Protokollierungslösungen.

Die Stärke und Art dieser Kontrollen hängt von den Auswirkungen eines potenziellen Sicherheitsvorfalls ab und umfasst in der Regel eine breite Palette von Ereignissen, die von physischer Hardware bis hin zu übergeordneten Geschäftsaktivitäten wie Zahlungen und Änderungen des Benutzerzugriffs reichen.

Zu den gängigen Techniken gehören:

• Netzwerk- und Benutzerprofilerstellung zur Grundlage des normalen Verhaltens
• Scannen nach nicht autorisierter Hardware, Software und Änderungen an Konfigurationen
• Sensoren, die einen Alarm ausgeben, wenn eine Maßnahme einen definierten Schwellenwert überschreitet (z. B. Netzwerkaktivität)
• Protokollierung und Alarmierung bei Zugriffen auf sensible Daten oder erfolglosen Anmeldeversuchen
• Zunehmende Überwachung für Benutzer mit höheren Zugriffsebenen

Es sollte eine klare Zuweisung der Zuständigkeiten für die Überwachung der Prozesse geben, wobei geeignete Instrumente für eine rechtzeitige Erkennung vorhanden sein sollten.

Darüber hinaus sollten die Unternehmen Pläne zur Reaktion auf Vorfälle vorhalten, um auf Vorfälle im Bereich der Informationssicherheit zu reagieren, die plausibel auftreten könnten, einschließlich Mechanismen für:

• Verwaltung aller relevanten Phasen eines Vorfalls, von der Erkennung bis zur Überprüfung nach dem Vorfall
• Eskalation und Berichterstattung an den Vorstand, andere Leitungsgremien und Personen, die für das Management und die Aufsicht über Informationssicherheitsvorfälle verantwortlich sind, soweit angemessen
• Jährliche Überprüfung und Prüfung von Reaktionsplänen für die Informationssicherheit, um sicherzustellen, dass sie effektiv und zweckmäßig bleiben

Zu den häufigsten Vorfällen im Bereich der Informationssicherheit gehören:

• Malware-Infektionen (z.B. Viren oder Ransomware)
• Datenschutzverletzungen (Kunden- oder interne Daten)
• Kompromittierung von Mitarbeiter- oder Kundendaten (z. B. durch E-Mail-Spoofing, Phishing oder Spear-Phishing)
• Denial-of-Service-Angriffe
• Verunstaltung von Websites
• Angriffe auf die Ausweitung von Berechtigungen

Der Detaillierungsgrad der Reaktionspläne sollte ausreichend sein, um den Umfang der erforderlichen Entscheidungsfindung zu minimieren, Klarheit über Rollen und Zuständigkeiten zu schaffen und Mechanismen für das Management aller relevanten Phasen eines Vorfalls bereitzustellen, einschließlich:

• Erkennung eines Informationssicherheitsereignisses durch den Einsatz automatisierter Sensoren und manueller Überprüfung
• Identifizierung und Analyse, um festzustellen, ob es sich um einen Vorfall oder ein Ereignis handelt
• Eskalation, um sicherzustellen, dass die Entscheidungsträger über den Vorfall informiert sind und Incident-Response-Prozesse auslösen können
• Eindämmung zur Minimierung von verursachten Schäden und potenziellem Potenzial für zukünftige Schäden
• Beseitigung der Quelle der Kompromittierung (in der Regel Malware)
• Reaktions- und Wiederherstellungsschritte für die Rückkehr zum normalen Geschäftsbetrieb
• Analyse und Überprüfung nach einem Vorfall, um das Risiko ähnlicher Ereignisse in der Zukunft zu verringern

Incident-Response-Pläne sollten jährlich überprüft und getestet werden, um sicherzustellen, dass sie effektiv und zweckmäßig bleiben.

Darüber hinaus sollten Unternehmen bestrebt sein, die Rollen und Zuständigkeiten von sich selbst, von Dritten und nahestehenden Personen in Situationen zu formalisieren, die eine Zusammenarbeit und Koordinierung zwischen ihnen erfordern.

Schließlich sollten Unternehmen, die sich auf die Informationssicherheit von verbundenen oder Dritten verlassen, Nachweise dafür einholen, dass die Partei ihre eigenen Incident-Response-Pläne regelmäßig überprüft hat.

Diese Arbeit kann durch Business Continuity, Krisenmanagement, Kontinuitätspläne und Sanierungspläne unterstützt werden.

So erfüllen Sie die Anforderungen an das Incident Management von CPS 234

UpGuard kombiniert die Bedrohungserkennung mit dem Behebungsmanagement, um Sicherheitsteams dabei zu unterstützen, schnell auf interne Bedrohungen und Bedrohungen von Drittanbietern zu reagieren.

Holen Sie sich eine kostenlose Testversion von UpGuard >

Was sind die Anforderungen an die Kontrollprüfung des CPS 234?

Gemäß CPS 234 müssen APRA-regulierte Unternehmen die Wirksamkeit von Informationssicherheitskontrollen durch ein systematisches Testprogramm testen, dessen Art und Häufigkeit den folgenden Anforderungen entspricht:

• Rate, mit der sich die Schwachstellen und Bedrohungen ändern
• Kritikalität und Sensibilität des Informations-Assets
• Folgen eines Informationssicherheitsvorfalls
• Risiken im Zusammenhang mit der Exposition gegenüber Umgebungen, in denen das Unternehmen nicht in der Lage ist, seine Informationssicherheitsrichtlinien durchzusetzen
• Wesentlichkeit und Häufigkeit von Änderungen an Informationswerten

Die APRA ist jedoch der Ansicht, dass Sicherheitskontrollen mindestens einmal jährlich oder bei wesentlichen Änderungen an Informationsressourcen oder dem Geschäftsumfeld getestet werden, um zu überprüfen, ob die Kontrollen wirksam bleiben.

Es ist wichtig, dass die Erfolgskriterien für Tests klar definiert sind, einschließlich der Umstände, unter denen eine erneute Prüfung erforderlich wäre. Die Testergebnisse sollten eskaliert und an den Vorstand oder die Geschäftsleitung gemeldet werden, wobei die damit verbundenen Folgemaßnahmen formell nachverfolgt und rechtzeitig gemeldet werden sollten.

Schließlich sollten die Tests von entsprechend qualifizierten und funktional unabhängigen Spezialisten durchgeführt werden, die eine ausreichend verzerrungsfreie Bewertung der Kontrollen vornehmen können.

So erfüllen Sie die Anforderungen an die Kontrollprüfung von CPS 234

UpGuard ermöglicht einen konsistenten Kommunikationsfluss zwischen Unternehmen und den Informationssicherheitskontrollen ihrer Anbieter.

Dies wird durch die Harmonisierung von Sicherheitsbewertungen, Risikobewertungen sowie der Erkennung von Schwachstellen und Datenlecks durch Dritte erreicht.

Holen Sie sich eine kostenlose Testversion von UpGuard >

Was sind die Anforderungen an die interne Revision von CPS 234?

Die interne Revision ist ein wichtiges Instrument, mit dem der Vorstand sicherstellen kann, dass die Informationssicherheit gewahrt bleibt.

Diese Sicherheit wird in der Regel durch die Einbeziehung der Informationssicherheit in die internen Revisionstätigkeiten des Unternehmens und eine Überprüfung der Konzeption und der betrieblichen Wirksamkeit von Informationssicherheitskontrollen erreicht, einschließlich derjenigen, die von verbundenen Unternehmen und Dritten unterhalten werden.

Die Gewährleistung der Informationssicherheitskontrolle muss von Personal erbracht werden, das für die Bereitstellung einer solchen Gewährleistung angemessen qualifiziert ist.

Darüber hinaus muss die interne Revision die Gewährleistung der Informationssicherheitskontrolle bewerten, die von verbundenen Parteien oder Dritten bereitgestellt wird, wenn:

• Ein Informationssicherheitsvorfall, der Informationswerte betrifft, hat das Potenzial, das Unternehmen oder die Interessen von Einlegern, Versicherungsnehmern, Begünstigten oder anderen Kunden finanziell oder nichtfinanziell erheblich zu beeinträchtigen
• Die interne Revision beabsichtigt, sich auf die Gewährleistung der Informationssicherheitskontrolle zu stützen, die von der nahestehenden Partei oder einem Dritten bereitgestellt wird

Wenn bei der Beurteilung Mängel festgestellt werden oder keine Zuverlässigkeit vorliegt, wird der Sachverhalt in der Regel dem Board zur Prüfung vorgelegt.

Wann muss die APRA gemäß CPS 234 benachrichtigt werden?

Die APRA muss so schnell wie möglich und spätestens 72 Stunden nach Bekanntwerden eines Informationssicherheitsvorfalls benachrichtigt werden, der:

• das Unternehmen oder die Interessen von Einlegern, Versicherungsnehmern, Begünstigten oder anderen Kunden finanziell oder nichtfinanziell wesentlich beeinträchtigt haben oder beeinträchtigen könnten
• anderen Aufsichtsbehörden in Australien oder anderen Rechtsordnungen mitgeteilt wurde

Die APRA erwartet, dass die folgenden Informationen bereitgestellt werden:

• Name des APRA-regulierten Unternehmens
• Datum und Uhrzeit/Zeitraum des Vorfalls
• Datum und Uhrzeit, zu der der Vorfall als wesentlich eingestuft wurde
• Art des Vorfalls
• Beschreibung des Vorfalls
• Aktueller Status des Vorfalls
• Ergriffene oder geplante Maßnahmen zur Risikominderung (sofern verfügbar)

Darüber hinaus muss die APRA so bald wie möglich und spätestens 10 Geschäftstage nach Bekanntwerden einer wesentlichen Schwachstelle bei der Informationssicherheitskontrolle benachrichtigt werden, von der das Unternehmen nicht erwartet, dass sie rechtzeitig behoben wird. Die APRA erwartet, dass die folgenden Informationen bereitgestellt werden:

• Name des APRA-regulierten Unternehmens
• Datum und Uhrzeit, zu der die Kontrollschwäche als wesentlich beurteilt wurde
• Beschreibung der Kontrollschwäche
• Aktueller Stand der Kontrollschwäche
• Ergriffene oder geplante Maßnahmen zur Risikominderung

Diese wesentlichen Kontrollschwachstellen können durch Kontrolltests, Assurance-Aktivitäten, Informationssicherheitsvorfälle (extern oder intern), Schwachstellenmeldungen durch Software- und Hardwareanbieter und andere Formen der Benachrichtigung durch verbundene oder Dritte identifiziert werden.

UpGuard Vendor Risk kann den Zeitaufwand für die Bewertung der damit verbundenen Informationssicherheitskontrollen und der Informationssicherheitskontrollen von Drittanbietern minimieren, indem es Lieferantenfragebögen automatisiert und Anbieterfragebogenvorlagen bereitstellt, die den CPS 234-Anforderungen entsprechen.

Wir können Ihnen helfen, die externen Sicherheitskontrollen Ihrer Anbieter kontinuierlich zu überwachen und eine unvoreingenommene Sicherheitsbewertung auf der Grundlage von 70+ kritischen Angriffsvektoren bereitzustellen, darunter:

• Anfälligkeit für Man-in-the-Middle-Angriffe
• Unsichere SSL/TLS-Zertifikate
• SPF-, DKIM- und DMARC-Einstellungen
• HTTP Streng Transport Sicherheit (HSTS)
• E-Mail-Spoofing und Phishing-Risiko
• Schwachstellen
• Anfälligkeit für Malware
• Unnötige offene Administrations-, Datenbank-, App-, E-Mail- und Filesharing-Ports
• Gefährdung durch bekannte Datenschutzverletzungen und Datenlecks
• Anfällige Software
• HTTP-Zugänglichkeit
• Sichere Cookie-Konfiguration
• Ergebnisse intelligenter Sicherheitsfragebögen

Unsere Expertise wurde unter anderem in der New York Times, dem Wall Street Journal, Bloomberg, der Washington Post, Forbes, Reuters und TechCrunch veröffentlicht. Sie können auch mehr darüber lesen, was unsere Kunden in den Gartner-Bewertungen sagen.

Sehen Sie sich das folgende Video an, um einen Überblick über die Compliance-Reporting-Funktionen von UpGuard zu erhalten.