Ein Leitfaden zur Governance der Informationssicherheit

Die Sicherheitssteuerung wird in allen Branchen immer wichtiger, insbesondere angesichts der jüngsten großen Hacks.

Was ist Sicherheitssteuerung? Sicherheitssteuerung ist die Art und Weise, wie ein Unternehmen seine Herangehensweise an die Sicherheit durch seine Verfahren, Strategien und andere notwendige Programme zur Risikobewältigung und zur Sicherstellung seiner Sicherheitsziele steuert.

Was ist Informationssicherheitssteuerung?

Die Informationssicherheitssteuerung ist ein Rahmenwerk aus Richtlinien, Praktiken und Strategien, das die organisatorischen Ressourcen auf den Schutz von Informationen durch Cybersicherheitsmaßnahmen ausrichtet.

Steuerungsrichtlinien sind für die meisten Unternehmensorganisationen von entscheidender Bedeutung, da ad-hoc-Sicherheitsmaßnahmen fast immer unzureichend sind, wenn moderne Sicherheitsbedrohungen und die IT-Infrastruktur sich weiterentwickeln. Sicherheits- und Informationssteuerung zentralisieren die Verantwortlichkeit und Planung in einer Organisation, so dass stets mehrere überlappende Prioritäten vorhanden sind. Diese Prioritäten beinhalten folgendes:

• Zuweisung von Ressourcen, einschließlich Finanzierung für Technologie, Personal, Schulungsmaterialien und Führungspositionen im Zusammenhang mit Compliance und Informationssicherheit
• Compliance, sei es mit Branchenstandards oder optionalen Rahmenwerken, wie von den organisatorischen Bedürfnissen bestimmt
• Verantwortlichkeit, zentriert um eine Managementhierarchie, die die Entscheidungsfindung und Prozessentwicklung formalisieren kann
• Implementierung von fortgeschrittenen Sicherheitsmaßnahmen wie Risikomanagement, proaktive Prävention und Tools wie Schwachstellenscanner, Penetrationstests oder künstliche Intelligenz

Diese Prioritäten umfassen vier Komponenten der Sicherheitssteuerung:

1. Strategie: Über Sicherheitsziele, Geschäftsziele, finanzielle Ziele und Compliance-Anforderungen hinweg muss eine Organisation eine Strategie haben. Diese Strategie sollte all diese Prioritäten in einen gemeinsamen Satz von Praktiken und Richtlinien einbinden.
2. Implementierung: Strategie ist ohne ordnungsgemäße Ausführung nicht viel wert. Eine Organisation sollte die Finanzierung und Unterstützung der Geschäftsleitung sichern, um Ressourcen für die ordnungsgemäße Bereitstellung von Sicherheitsanforderungen im Einklang mit den Steuerungsstrategien bereitzustellen.
3. Betrieb: Nach der Implementierung erfordert eine Sicherheitsinfrastruktur kontinuierliche betriebliche Unterstützung. Dies beinhaltet die direkte Verwaltung von Compliance, Projektanpassung und Risiko.
4. Überwachung: Erfolg, Misserfolg und Optimierung – die Messung dieser Aspekte einer Sicherheitsstrategie erfordert regelmäßige Überwachung und Messung für Analytik und Berichterstattung.

Was ist ein Sicherheitssteuerungsrahmen?

Die Sicherheitssteuerung ist ein komplexer Prozess, der jeden Aspekt einer Organisation umfassen kann. Glücklicherweise haben Sicherheits- und Compliance-Bemühungen mehrere Strategien und Best Practices ausgearbeitet, um effektive Steuerungsrichtlinien zu unterstützen.

Um Unternehmen dabei zu helfen, Sicherheitsstrategien umzusetzen, ohne das Rad neu erfinden zu müssen, haben professionelle Organisationen Rahmenbedingungen entwickelt, die die schnelle und effektive Implementierung von Sicherheitsinfrastrukturen unterstützen.

Einer der bekanntesten (und einflussreichsten) verfügbaren Rahmenbedingungen ist das Cybersecurity Framework, entwickelt vom National Institute of Standards and Technology (NIST). Dieser Rahmen leitet die Mobilisierung von Geschäftsprioritäten zur Steuerung von Sicherheit und Risikomanagement. Diese Anleitung ist strukturiert um fünf Kernfunktionen:

1. Identifizieren: Eine Organisation muss die Fähigkeit entwickeln, kritische Ressourcen, Personen, Vermögenswerte, Informationen und Fähigkeiten im Zusammenhang mit der Implementierung und Aufrechterhaltung der IT-Sicherheit zu identifizieren. Dies beinhaltet das Verstehen der Geschäftskontexte dieser Ressourcen.
2. Schützen: Eine Organisation sollte die richtigen Kontrollen implementieren, um identifizierte Vermögenswerte zu schützen und die Auswirkungen von Sicherheitsproblemen im Zusammenhang mit diesen Vermögenswerten im Falle eines Sicherheitsvorfalls zu begrenzen.
3. Erkennen: Eine Organisation sollte Ressourcen, einschließlich Scan- und Überwachungstools, bereitstellen, um Cybersecurity-Ereignisse zu erkennen, wenn sie auftreten.
4. Reagieren: Eine Organisation muss in der Lage sein, auf Sicherheitsereignisse zu reagieren, nachdem sie aufgetreten sind, einschließlich Bemühungen, Sicherheitsverstöße zu mildern, Probleme zu beheben und Sicherheitsausfälle zu adressieren.
5. Wiederherstellen: Eine Organisation sollte Sicherheitsereignisse, Compliance-Anforderungen und Geschäftsziele nutzen, um Wiederherstellungs- und Resilienzpläne zu entwickeln, einschließlich regelmäßiger Backups und Hot/Cold-Wiederherstellung für die Kontinuität.

Was sind die Vorteile von Sicherheitsgovernance für Unternehmen?

Die Organisation von Sicherheits- und Compliance-Bemühungen unter einer einzigen Strategie bringt einer Organisation weit mehr als das Ringen mit ad-hoc-Sicherheit.

Einige der wichtigsten Vorteile der Implementierung von Sicherheitsgovernance-Policies sind die folgenden:

• Effektivere Sicherheit: Eine umfassende und gut definierte Sicherheitsgovernance-Richtlinie kann Geschäfts- und Sicherheitsziele auf eine Weise zusammenbringen, die unorganisierte Sicherheitsansätze einfach nicht erreichen können. Rahmenbedingungen können Organisationen dabei unterstützen, mit umfassenden Sicherheitsansätzen schnell zu starten, die ihnen helfen, ihre Ziele zu erreichen.
• Einheitliche Anwendung von Compliance-Anforderungen: Compliance ist ein kritischer Teil des Geschäfts in den meisten Branchen. Die Einhaltung von Vorschriften ist jedoch eine Alles-oder-Nichts-Realität – wenn ein Teil eines Systems nicht konform ist, dann ist die gesamte Organisation Strafen oder möglichen Verstößen ausgesetzt. Sicherheitsgovernance-Policies können Compliance-Praktiken in technischen, administrativen und physischen Systemen vereinfachen.
• Gemeinsame Sprache für Sicherheit: Es hilft nicht, wenn Sicherheitsexperten in ihre eigenen Enklaven gedrängt werden. Eine Organisation kann mit einem robusten Policy-Framework ein gemeinsames Vokabular schaffen, das im gesamten Unternehmen verständlich ist.
• Vereinfachte Technologie: Sobald Sicherheits- und Compliance-Anforderungen in der Politik mobilisiert sind, wird es recht einfach, die richtigen Plattformen zu definieren, die die Organisation für Geschäftsbetriebe wie Customer Relationship Management, sicheren Dateitransfer, Dokumentenmanagement und sichere E-Mail verwenden sollte.

Was sind die Herausforderungen bei der Implementierung von Sicherheitsgovernance?

Obwohl es erhebliche Vorteile bei der Implementierung einer Sicherheitsgovernance-Richtlinie (oder eines Rahmens) gibt, ist es nicht so, dass diese Richtlinien sich selbst formen oder implementieren. Es gibt mehrere Bereiche, in denen eine Organisation Herausforderungen bei der Umsetzung ihrer Governance-Policies haben kann.

Einige der Herausforderungen bei der Implementierung von Sicherheitsgovernance sind die folgenden:

• Mangel an Unterstützung durch das Management: Nicht alle Geschäftsführer, insbesondere diejenigen, die kleine bis mittlere Unternehmen oder wachsende Unternehmen leiten, verstehen den Wert einer kohärenten Cybersecurity. Einige könnten jedoch versuchen, in Bereichen Abkürzungen zu nehmen, in denen sie noch keinen negativen Einfluss gespürt haben – wie Cybersecurity. Ein Mangel an Unterstützung kann es unmöglich machen, die Menschen und Ressourcen zusammenzubringen, die zur Implementierung von Sicherheitsgovernance-Policies benötigt werden.
• Mangel an Personal: Die Konzeption und Implementierung von Sicherheitsgovernance erfordert Expertise und kontinuierliche Wartung. Daher werden Organisationen ohne kritisches Personal, einschließlich Sicherheits- und Compliance-Beauftragten, mit ihrer Policy-Implementierung zu kämpfen haben.
• Unfähigkeit, Erfolg zu messen: Ohne geeignete Metriken und Analysen ist es schwierig zu beurteilen, wie oder ob eine Sicherheitsgovernance-Richtlinie oder ein Rahmen einen Unterschied macht. Da diese Art von Infrastruktur eine Ausgabe über die unmittelbaren Sicherheitsmaßnahmen hinaus ist, haben viele Unternehmen möglicherweise nicht die Fähigkeiten, um vollständige Überwachungstools zu starten, was die Policy-Rollout verlangsamen kann.

Kiteworks: Sichere Inhaltskommunikation zur Unterstützung von Governance-Richtlinien

Ein Schlüsselaspekt jeder Sicherheits-Governance-Richtlinie ist eine Grundlage sicherer Technologie, die Compliance-Anforderungen erfüllen kann. Dies schließt Technologien für E-Mails, Dokumentenmanagement, Filesharing und Dateiübertragungen ein.

Die Kiteworks-Plattform bietet umfassende Governance, Compliance und Schutz vertraulicher Daten, während sie in eine Organisation hinein, innerhalb und aus dieser heraus bewegt werden. Kiteworks umfasst fortschrittliche Funktionen für das Unternehmensdatenmanagement, die innerhalb einer langen Liste von Vorschriften in mehreren großen Branchen und Verbrauchermärkten funktionieren, ohne die Funktionalität zu beeinträchtigen.

Die folgenden Funktionen sind in der Kiteworks-Plattform enthalten:

• Ein CISO-Dashboard bietet umfassenden Zugriff auf Daten, Benutzerzugriff, Datentrends und -bewegungen sowie Kontrolle über Datenübertragungen.
• Nahtlose Automatisierung und Planung von Managed File Transfers zur Unterstützung robuster Richtlinien für Filesharing und Dateiübertragungen, einschließlich Übertragungen außerhalb der Geschäftszeiten und durch Mitarbeiter- oder Patientenaktivitäten ausgelöste Operationen.
• Sichere E-Mail-Links zum Schutz von personenbezogenen Daten wie geschützten Gesundheitsinformationen (PHI), während eine einfache und effiziente Kommunikation mit Patienten per E-Mail aufrechterhalten wird.
• SIEM-Integration mit beliebten Plattformen wie IBM QRadar, ArcSight, FireEye Helix und Splunk Forwarder. Die Integration standardisiert Audit-Protokolle in ein einheitliches Dateiformat zur Unterstützung des weit verbreiteten Verbrauchs von Sicherheitsinformationen und Event-Management.
• Data Loss Prevention (DLP)-Integration zur Überprüfung aller in Transit befindlichen Daten, um festzustellen, ob sie sensible oder persönliche Daten enthalten.
• Katastrophenwiederherstellung mit Hot-Systemen und redundanter Datensicherung an mehreren Standorten garantiert, dass Ihre Systeme in einem Notfall betriebsbereit bleiben.
• Einzelmandanten-Cloud-Umgebungen stellen sicher, dass Bedrohungen für andere Benutzer nicht auf Ihre Kiteworks-Plattform-Instanz übergreifen.
• Zugriffskontrollen für Überläufe und Verbindungen zum Schutz sensibler Daten vor unerlaubtem Zugriff.
• Compliance-konforme Verschlüsselung, einschließlich AES-256 für Daten im Ruhezustand und TLS 1.2-Verschlüsselung für Daten im Transit und zur Unterstützung von Compliance-Bemühungen für Vorschriften wie HIPAA, PCI DSS, FedRAMP, CMMC, NIST 800-53, ISO 27001 und DSGVO.
• Große Dateiübertragung und -speicherung mit Grenzen bis zu 16 TB.
• Ausführliche HIPAA-Berichte mit einem Klick, die Risiken in Ihren Sicherheits- und Governance-Richtlinien hervorheben. Nutzen Sie sie in Audits, um schnell die Einhaltung Ihrer dokumentierten Kontrollen nachzuweisen, wie die Integration des DLP-Scanners, Datenzugriffsrichtlinien, Domain-Whitelisting und Kontrollen für das Ablaufdatum von Dateien.
• Zusätzliche Schutzschichten sind für Verschlüsselungsschlüssel enthalten, die mit einem Hardware-Sicherheitsmodul oder dem Amazon Web Services Key Management Service integriert sind.

Um mehr über die Dateiübertragung und ihre Einbindung in einen umfassenden Sicherheits-Governance-Plan zu erfahren, planen Sie heute eine individuelle Demo von Kiteworks.

Zusätzliche Ressourcen

• Blogbeitrag Information Governance: Warum ist sie wichtig?
• Artikel Sicherheitsrisikomanagement [Informationsrisiko & Bewertung]
• Artikel Was ist integriertes Risikomanagement? IRM vs. GRC vs. ERM
• ArtikelWarum ist das Management von Cybersicherheitsrisiken wichtig?
• KurzberichtOptimieren Sie die Governance, Compliance und den Schutz von Filesharing-Inhalten