Das NIST Cybersecurity Framework als Landkarte, nicht als Trophäe
Wir helfen Ihnen zu beschreiben, wo Ihre Sicherheit heute steht, wo sie stehen sollte, und welcher vernünftige Weg dazwischen der kürzeste ist.
Überblick
Was das NIST CSF ist
Das NIST Cybersecurity Framework ist ein freiwilliges Rahmenwerk des US-amerikanischen National Institute of Standards and Technology. Es ordnet Ergebnisse der Cybersicherheit in Funktionen. Version 2.0 hat sechs: Govern, Identify, Protect, Detect, Respond und Recover. Govern ist neu in 2.0 und stellt Strategie, Rollen, Richtlinien und Lieferkettenrisiken in den Mittelpunkt.
Das Rahmenwerk sagt Ihnen, welche Ergebnisse Sie anstreben sollen, nicht welche Produkte Sie kaufen sollen. Sie beschreiben Ihr aktuelles Profil, vereinbaren ein Zielprofil, das zu Ihren Risiken und Pflichten passt, und arbeiten an der Lücke. Implementierungsstufen (Tiers) beschreiben, wie konsequent und risikobasiert Ihre Praxis ist.
Eine NIST CSF-Zertifizierung gibt es nicht, weder für Organisationen noch für Berater. Wer Ihnen eine anbietet, verkauft etwas anderes. Was Sie bekommen können, ist eine ehrliche Bewertung, ein vertretbares Ziel und ein Plan.
Für wen es gedacht ist
Organisationen, die ihre Sicherheit strukturiert und anerkannt beschreiben wollen, ohne sich auf eine Zertifizierung festzulegen, Unternehmen mit US-Kunden oder -Partnern, die eine Ausrichtung am NIST CSF erwarten, und Teams, die eine gemeinsame Sprache zwischen Leitung und IT brauchen.
Die Arbeit, von der Abgrenzung des Umfangs bis zu den Nachweisen.
Was wir tun
Aktuelles Profil
Eine Bewertung Ihres Stands in jeder Kategorie und Unterkategorie, gestützt auf Interviews, Dokumente und Nachweise.
Zielprofil
Die Ergebnisse, die Sie erreichen sollten, abgeleitet aus Ihren Risiken, den Erwartungen Ihrer Kunden und den für Sie geltenden Vorschriften.
Funktion Govern
Strategie, Risikobereitschaft, Rollen und Verantwortlichkeiten, Richtlinien und Lieferkettenrisiken, der Teil, den viele Organisationen nie aufgeschrieben haben.
Gap-Analyse und Roadmap
Die Unterschiede zwischen Ist und Ziel, nach Risiko und Aufwand priorisiert und in einen Plan mit Verantwortlichen übersetzt.
Abbildung auf andere Rahmenwerke
Wenn Sie auch nach ISO/IEC 27001, CIS Controls, COBIT oder NIS2 berichten, bilden wir die Arbeit so ab, dass Sie sie nur einmal machen.
So läuft der Auftrag ab
Auftakt
Wir vereinbaren Geltungsbereich, Beteiligte und den Zweck des Profils und unterzeichnen auf Wunsch vorab eine Vertraulichkeitsvereinbarung.
Angebot
Ein Angebot mit Methode, Geltungsbereich und der Vertragsform, die zu Ihnen passt.
Aktuelles Profil
Interviews, Dokumentenprüfung und Stichproben von Nachweisen über alle sechs Funktionen.
Zielprofil und Lücken
Ein Workshop mit der Leitung, um das Ziel zu vereinbaren, danach eine gereihte Liste der Lücken.
Übergabe der Ergebnisse
Die Profile, die Roadmap und ein Managementbericht mit dem Risiko hinter jeder Lücke, gemeinsam mit Ihrem Team besprochen.
Abschluss
Projektabschluss mit Feedback und auf Wunsch Begleitung bei der Umsetzung der Roadmap.
Was Sie erhalten
- Aktuelles Profil über die sechs CSF-Funktionen
- Zielprofil mit Begründung
- Gap-Analyse nach Risiko und Aufwand gereiht
- Roadmap mit Verantwortlichen und Meilensteinen
- Abbildung auf ISO/IEC 27001 oder andere Rahmenwerke, wo sinnvoll
- Managementbericht für die Leitung
Fragen
Kann man sich nach dem NIST CSF zertifizieren lassen?
Nein. Das Rahmenwerk ist freiwillig und hat kein Zertifizierungsschema. Sie können sich selbst bewerten oder unabhängig bewerten lassen, wie wir es tun. Brauchen Sie ein Zertifikat, ist ISO/IEC 27001 der übliche Weg, und beide lassen sich gut aufeinander abbilden.
Ist das NIST CSF nur für US-Organisationen?
Nein. Es wurde für kritische Infrastrukturen in den USA geschrieben, wird aber weltweit in allen Branchen und Größen genutzt. Version 2.0 richtet sich ausdrücklich an alle Organisationen.
Was hat sich mit CSF 2.0 geändert?
Die wichtigste Änderung ist die neue Funktion Govern, die Strategie, Rollen, Richtlinien und das Management von Lieferkettenrisiken in das Rahmenwerk holt. Auch die Kategorien wurden überarbeitet, und es gibt mehr Umsetzungshilfen.
Wie verhält es sich zu ISO/IEC 27001?
ISO/IEC 27001 definiert ein zertifizierbares Managementsystem, das NIST CSF beschreibt Ergebnisse. Viele Organisationen erklären ihren Stand mit dem CSF und belegen ihn mit ISO/IEC 27001. Wir können das eine auf das andere abbilden.
Verwandte Leistungen
- Governance und RisikoRisikobewertungRisikobewertung von Infrastruktur, Netzwerk und Anwendungen durch Black Fox Security: Wahrscheinlichkeit gegen Schadensausmaß, Risikoregister und Behandlungsoptionen.
- Governance und RisikoCIS ControlsBewertung und Umsetzung der CIS Controls mit Black Fox Security: passende Implementation Group wählen, jeden Safeguard messen und das Wichtigste zuerst beheben.
- Compliance und ZertifizierungISO/IEC 27001ISO/IEC 27001 mit Black Fox Security: ISMS-Geltungsbereich, Risikobeurteilung, Erklärung zur Anwendbarkeit, internes Audit und Vorbereitung auf die Zertifizierung.
- Beratung und ReaktionVirtueller CISOEin virtueller CISO von Black Fox Security: Sicherheitsstrategie und Roadmap, Berichte an die Geschäftsleitung, Richtlinien, Audits und Sicherheitsfragebögen.
Zeichnen Sie Ihr aktuelles Profil
Sagen Sie uns, warum Sie sich das NIST CSF ansehen. Wir sagen Ihnen, wo Sie darin stehen.