CIS Controls – der unbeachtete Standard

Die stetige Verbesserung der Cybersicherheit sollte maximale Priorität im Sicherheitsmanagement jedes Unternehmens haben. Cybersicherheit ist als Erweiterung der „klassischen“ Informationssicherheit zu betrachten. Wo die Informationssicherheit sich mit Risiken durch Versagen von Technik, mit Fehlhandlungen von Personen und Ereignissen aus höherer Gewalt befasst, steht bei der Cybersicherheit die Gefährdung durch böswillige Handlungen Dritter im Fokus. Sie betrachtet fokussiert gezielte und ungezielte Angriffe aus irgendwelchen Netzen – „dem Cyberraum“.

Es gibt derzeit kein größeres Risiko, einen hohen finanziellen Schaden zu erleiden, als die immer geschickter und wirksamer vorgetragenen Angriffe auf Unternehmensnetze. Gesucht werden muss ein Weg, mit vertretbarem Aufwand bestmöglichen Schutz vor diesen Angriffen zu etablieren. Dabei müssen die Sicherheitsmaßnahmen selbstverständlich immer mit Blick auf die finanziellen und personellen Möglichkeiten des Unternehmens geplant und umgesetzt werden.

Wenn es eine wichtige Erkenntnis aus vielen Jahren des Beraterlebens gibt, dann das Motto „lieber gut geklaut als schlecht selbst erfunden“. Das soll heißen, dass es häufig eine zeitsparende und nervenschonende Vorgehensweise ist, sich an Standards zu orientieren und Inhalte von Standards zu verwenden. So lassen sich zeitraubende Diskussionen vermeiden, ob diese oder jene Forderung oder Maßnahme denn nun wirklich nötig und angemessen ist. Wenn es im Standard aufgeführt ist, muss man sich darum kümmern.

Problem der Nutzung vieler Standards als Vorlage ist jedoch, dass ihre sinnvolle Anwendung Vorwissen erfordert. Dazu kommt oft, dass etablierte Standards mit den Jahren und ihrer Fortschreibung immer umfangreicher oder auch immer beliebiger werden. Ein Beispiel für „umfangreich“ ist der IT-Grundschutz des BSI. Dessen Systematik und die über 100 Bausteine erfordern eine kenntnisreiche Vorauswahl, um mit einer Menge an Maßnahmen zu starten, die nicht alle unvorbereiteten Projektbeteiligten überfordert.

Auf der anderen Seite kann ein Standard auch so vage oder generisch sein, dass seine universelle Anwendbarkeit es schwermacht, konkrete Forderungen oder Maßnahmen daraus abzuleiten. Ein Beispiel hierfür ist die ISO 27002, deren neue Fassung mehr Fragen aufwirft als beantwortet.

Auch mit Blick auf die eigentliche Aufgabenstellung – diese lautet, Cybersicherheit zu schaffen – darf man skeptisch auf die etablierten Standards schauen: IT-Grundschutz, ISO 27000 und weitere sind Managementstandards. Das heißt, sie befassen sich ausführlich mit der Organisation, Steuerung und Überwachung von Prozessen, die sich mit dem Thema Sicherheit befassen. Das wiederum bedeutet, dass bei der Umsetzung eines solchen Standards viel Energie in die Themen Organisation, Richtlinien und Prozesse gesteckt wird. Es besteht die Gefahr, dass die technischen Aspekte, also die wirksamen Maßnahmen an Hard- und Software, dabei hinter zig Richtlinien, die zu schreiben sind, und etlichen Prozessdiagrammen, die zu malen sind, zurückstehen.

Aus dieser Erwägung heraus verdienen die bislang in Deutschland wenig beachteten CIS Critical Security Controls (www.cisecurity.org/controls) eine nähere Betrachtung. Sie sind eine systematische Zusammenstellung konkreter, priorisierter Sicherheitsmaßnahmen, die bei der Erkennung und der Abwehr von Cyberangriffen auf Systeme und Netze dienen.

Zum Hintergrund: Das Center for Internet Security (CIS) ist eine gemeinnützige Organisation, die die CIS Controls® anbietet und für deren Weiterentwicklung verantwortlich zeichnet. Kern aller Veröffentlichung des CIS ist die Aufstellung der „Critical Security Controls“, aktuell vorliegend in der Version 8. Die Controls umfassen 153 Sicherheitsmaßnahmen (bei CIS „safeguards“ genannt) in 18 „Controls“. Damit sind thematisch zusammengehörende Maßnahmen bezeichnet.

Allein diese Überschriften der 18 Controls zeigen, dass dieser Standard technisch ausgerichtet ist. Richtlinien und organisatorische oder personelle Themen spielen keine wichtige Rolle. Anders gesagt – es wird unter Control 3 „Schutz von Informationen“ keine Richtlinie zum Einsatz von Verschlüsselung empfohlen, sondern einfach gefordert: Daten auf Endgeräten müssen verschlüsselt wer-den!

Die auf den ersten Blick bedenklich hohe Zahl von über 150 Maßnahmen in den 18 Themengruppen wird relativiert, wenn man die Klassifikation aller Maßnahmen in „Implementierungsgruppen“ beachtet. Implementierungsgruppen (IGs) zeigen die Priorität der Implementierung der einzelnen CIS-Kontrollen an:

„CIS Controls v8 definiert die Implementierungsgruppe 1 (IG1) als wesentliche Cyber-Hygiene und stellt einen neuen Mindeststandard der Informationssicherheit für alle Unternehmen dar. IG1 ist die Vorstufe zu den CIS-Kontrollen und besteht aus einer Reihe von 56 grundlegenden Sicherheitsvorkehrungen zur Cyberverteidigung. Die in IG1 enthaltenen Schutzmaßnahmen sollten von jedem Unter-nehmen angewendet werden, um sich gegen die häufigsten Angriffe zu schützen.“ (aus dem Englischen übersetzt, Kurzlink https://bit.ly/3XDwbY8)

Fazit

Damit wird ein systematischer Einstieg in das Thema Cybersicherheit leicht gemacht. 56 Maßnahmen, von denen wahrscheinlich eine beachtliche Anzahl direkt als „bereits umgesetzt“ gewertet werden kann, machen den Anfang nicht abschreckend schwierig und unübersichtlich. Vor allem für Organisationen, die sich bislang nur punktuell mit dem Thema Cybersicherheit befasst haben, bieten die CIS-Veröffentlichungen eine wertvolle Orientierungs- und Starthilfe.