Home > Sicherheits- und Compliance-Blog > Regulatorische Compliance > Wie Sie Ihr Unternehmen mit dem NIST Cybersecurity Framework schützen können

Wie Sie Ihr Unternehmen mit dem NIST Cybersecurity Framework schützen können

von Victoria Foster updated Januar 25, 2023 Regulatorische Compliance

Lesezeit: 4 Minuten

Heute ist der Austausch von Inhalten entscheidend für den Geschäftserfolg eines jeden Unternehmens. Die Zusammenarbeit mit Kunden, Partnern, Beratern und anderen Stakeholdern ist kritisch für den Geschäftserfolg geworden. Wann immer Inhalte extern geteilt werden, steigt jedoch das Risiko einer Offenlegung. Das Management dieses Risikos wird noch schwieriger, wenn es sich bei den Inhalten um sensible Daten handelt (was oft der Fall ist). Neben dem Risiko der Offenlegung ist es schwierig, die Einhaltung von regulatorischen Compliance nachzuweisen, wenn sensible Inhalte geteilt werden und daher außerhalb Ihrer Kontrolle liegen.

Bei Kiteworks verstehen wir, dass es ein inhärentes geschäftliches Problem beim Umgang mit sensiblen Inhalten gibt. Daher freue ich mich darauf, zu teilen, wie wir bei Kiteworks einen Ansatz verfolgen, um dieses Geschäftsproblem innerhalb unseres Private Content Network zu lösen.

Table of Contents

Das NIST Cybersecurity Framework und Kiteworks

In den letzten zehn Jahren hat das National Institute of Standards and Technology (NIST) eine entscheidende Rolle dabei gespielt, ein Framework für Cybersicherheit zu identifizieren und zu entwickeln, das freiwillig genutzt werden kann, um das gesamte Cybersecurity-Risikomanagement für jedes Unternehmen in den Vereinigten Staaten zu unterstützen. Der Zweck dieses Frameworks besteht darin, eine wesentliche Unterstützungsstruktur für Unternehmen zu bieten, um ihre aktuelle Struktur in etwas Nützlicheres zur Abwehr von Cyberangriffen zu erweitern.

Für Kunden von Kiteworks wenden wir diesen Rahmen an, wenn es darum geht, sensible Inhalte zu schützen, sodass die zuständige Geschäftsgruppe, die das Management von Cybersicherheitsrisiken übernimmt, die volle Kontrolle hat. Die Anwendung des NIST Cybersecurity Frameworks (NIST CSF) innerhalb des Kiteworks Private Content Networks wird die bestehenden Fähigkeiten ergänzen und allen Kunden des Enterprise Pakets zur Verfügung gestellt.

Die Kernprinzipien des NIST CSF umfassen: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Um Cybersicherheitsrisiken angemessen zu managen, ist es wichtig, dass zu verwaltende Vermögenswerte IDENTIFIZIERT werden, damit geeignete Maßnahmen ergriffen werden können, um diese Vermögenswerte zu SCHÜTZEN. Sobald Vermögenswerte identifiziert und geschützt sind, können Unternehmen jede Aktivität um diese Vermögenswerte ERKENNEN. Dies ermöglicht wiederum eine rechtzeitige REAKTION und WIEDERHERSTELLUNG im Falle eines Cyberangriffs.

Letztendlich ist das Risikomanagement ein fortlaufender Prozess der Identifizierung, Bewertung und Reaktion auf Risiken gegenüber der Wahrscheinlichkeit eines Ereigniseintritts. Kiteworks unterstützt unsere Kunden dabei, ihre sensibelsten Inhalte durch Asset-Management zu identifizieren und zu schützen und bietet unseren Kunden damit ein einzigartiges Werkzeug.

Kernprinzipien des NIST Cybersecurity Frameworks im Einklang mit Kiteworks

Im Folgenden finden Sie einen Überblick über die Kernprinzipien des NIST CSF und wie die Fähigkeiten von Kiteworks sich daran ausrichten.

Identifikation sensibler Inhalte für den Cyber-Schutz

Kiteworks verfolgt einen flexiblen Ansatz, der bei der Identifikation von Inhalten hilft, die als Vermögenswerte eingestuft werden müssen. Kiteworks-Kunden, die bereits in Datenklassifizierung (MIP, Titus usw.) investiert haben, werden diese Klassifizierungsmethode beibehalten, was es ermöglicht, den Klassifikator als Mittel zur Identifikation dieser Inhalte als schützenswerte Vermögenswerte zu nutzen.

Auch wenn keine Datenklassifizierung vorhanden ist, kann Kiteworks Inhalte anhand anderer Attribute als Vermögenswerte identifizieren, wie zum Beispiel Ordnerpfad, Inhaltsbesitzer und Dateityp, unter anderem. Zudem können Sie, falls der Inhalt spezifisch unbekannt ist, identifizieren, von wem Sie wissen, dass er mit sensiblen Inhalten arbeitet, so dass jegliche Inhalte, mit denen diese Person in Berührung kommt, als Vermögenswerte angesehen werden.

Kiteworks versteht, dass sich Kunden in unterschiedlichen Phasen der Vermögensklassifizierung befinden. Unser Ansatz zur Vermögensklassifizierung zielt darauf ab, Kundenanforderungen zu erfüllen, unabhängig von ihrer aktuellen Nutzung der Datenklassifizierung.

Compliance- und Zertifizierungstabelle

Kiteworks kann eine lange Liste von Compliance- und Zertifizierungserfolgen vorweisen.

Schutz sensibler Inhalte mit inhaltsbasierten Risikorichtlinien

Sobald Vermögenswerte, die durch Kiteworks bewegt werden, identifiziert sind, besteht der nächste Schritt darin, inhaltsbasierte Risikorichtlinien zu spezifizieren und anzuwenden, um diese Vermögenswerte angemessen zu schützen. Im Gespräch mit Kunden verstehen wir, dass jede Vermögensklasse je nach dem, wer auf die Inhalte zugreift, unterschiedliche Risikostufen erbt; daher werden unterschiedliche Ebenen der Inhaltskontrolle notwendig sein.

Im Jahr 2023 unterstützen wir drei wesentliche inhaltsbasierte Risikorichtlinien, die vollständig an die Bedürfnisse der Kunden angepasst werden können. Für jede Richtlinie können der Benutzer, die Aktion und das Asset weiter definiert werden:

Begründung für den Zugriff erfassen
[RICHTLINIE] Ermöglichen Sie es jemandem, eine Aktion mit dem Asset durchzuführen, solange der Grund für den Zugriff erfasst und im Audit-Log des Assets aufgezeichnet wird.

Aktuelle Kiteworks-Kunden nutzen diese Richtlinie, um den Begründungsgrund für die Entnahme eines Assets aus Kiteworks zu erfassen, der zusammen mit dem Download-Ereignis im Audit-Log aufgezeichnet wird. Für die Compliance macht diese erweiterte Audit-Trail einen großen Unterschied, wenn es darum geht, Nachweise für den gerechtfertigten Zugriff auf sensible Inhalte zu sammeln und vorzuweisen.
Zugriffsstufe ändern
[RICHTLINIE] Ermöglichen Sie es jemandem, eine Aktion mit dem Asset durchzuführen, solange seine Zugriffsstufe die Compliance-Anforderungen erfüllt, unabhängig von der zuvor erteilten Zugriffsebene.

Kiteworks entwickelt Digital Rights Management (DRM) SafeView- und SafeEdit-Funktionen, die es ermöglichen, die Zugriffsstufe auf “nur anzeigen” zu setzen oder die Zusammenarbeit zu erlauben. Dies verhindert lokale Kopien der Inhalte. Eine zusätzliche Richtlinie kann festgelegt werden, um den Zugriff nach einem bestimmten Zeitraum oder nach einer festgelegten Anzahl von Ansichten verfallen zu lassen.
Zugriff blockieren und Zugriffsanfrage ermöglichen
[RICHTLINIE] Ermöglichen Sie es jemandem, eine Aktion mit dem Asset durchzuführen, solange er die Compliance-Genehmigung für den angeforderten Zugriff erhalten hat.

Für Kiteworks-Kunden, die eine stärker verwaltete Kontrolle darüber wünschen, wer ein Asset bei Bedarf zugreifen darf und wer nicht, erleichtert diese Richtlinie einen Kanal für die Anforderung des Zugriffs, der später von einem Compliance-Beauftragten genehmigt oder abgelehnt werden kann. Zusätzliche Richtlinieneinstellungen helfen, genehmigten Zugriff nach einem bestimmten Zeitraum oder nach einer festgelegten Anzahl von Ansichten verfallen zu lassen.

Erkennung von Bewegungen sensibler Inhalte durch Reporting-Einblicke

Während wir die Identifikations- und Schutzfähigkeiten des NIST CSF im Private Content Network von Kiteworks ausbauen, ist die Art und Weise, wie die Compliance im Asset Management in einem Audit-Log dargestellt wird, ein zentraler Punkt unseres Entwicklungsprozesses. Dieses Audit-Log bietet vollständige Transparenz über die Zuordnung einer Asset-Klasse und ermöglicht somit eine vollständige Nachverfolgung und Berichterstattung über Ereignisse rund um eine Asset-Klasse. Zusätzlich wird jede einzigartige Information, die als Teil der Inhaltsrichtlinie gesammelt wird, im Audit-Trail erfasst und angezeigt.

Dies bietet ein Maß an Transparenz über die Bewegung sensibler Inhalte, das für die meisten Unternehmen sonst äußerst schwierig zu erzeugen ist.

Wie Organisationen Entwicklungs-Partner werden können

Wenn dieser Blogbeitrag auf Geschäftsprobleme stößt, mit denen Ihre Organisation konfrontiert ist, können Sie unserem Produktteam Input geben, indem Sie Entwicklungs-Partner werden. Vorteile beinhalten frühzeitigen Zugang zu Feature-Entwicklungen und direkten Kontakt mit unserem Produkt- und Designteam. Kontaktieren Sie mich unter victoria.foster@kiteworks.com.

Zusätzliche Ressourcen