Stärkung der Cybersicherheit und Compliance

Zusammenfassung

Die Herausforderungen im Bereich der Cybersicherheit nehmen weiter zu, da Unternehmen Initiativen zur Modernisierung ihrer Netzwerke vorantreiben. Gleichzeitig erfordern regulatorische Vorgaben, insbesondere in sensiblen Branchen wie dem Finanzsektor, strenge Compliance-Maßnahmen.

Diese Konvergenz von Herausforderungen erfordert einen strategischen Ansatz für die Cybersicherheit, der bewährte Rahmenwerke mit regulatorischen Vorgaben verbindet. Die weit verbreiteten „Critical Security Controls“ des Center for Internet Security (CIS Controls) – und insbesondere deren neueste Version, CIS Controls v8, mit 18 Kontrollmaßnahmen – bieten umsetzbare Empfehlungen für Organisationen jeder Größe zur Abwehr von Cyberangriffen.

Unterdessen stärkt der Digital Operational Resilience Act (DORA) die operative Widerstandsfähigkeit von Finanzinstituten innerhalb der Europäischen Union (EU). Der Act konzentriert sich auf Risikomanagement, Vorfallmeldung, Widerstandsfähigkeitstests, das Management von Risiken durch Dritte sowie den Informationsaustausch.

Die Integration des CIS-Controls-Rahmenwerks in DORA hilft Unternehmen dabei, ihre Cybersicherheitsprozesse zu optimieren. Es bietet eine praktische Methodik zur Erreichung der von DORA geforderten Widerstandsfähigkeit durch bewährte Sicherheitspraktiken, die in den weit verbreiteten CIS-Controls detailliert beschrieben sind. Wenn beide in einem integrierten Ansatz angewendet werden, können Unternehmen aus verschiedenen Branchen zahlreiche Vorteile nutzen.

Ein effektives DNS-, DHCP- und IP-Adressmanagement – zusammen als DDI bezeichnet – ist ebenfalls entscheidend für die Netzwerksicherheit. DDI birgt inhärente Cybersicherheitsrisiken. Ein mangelhaftes Management kann zu Konflikten, unbefugtem Zugriff und DNS-basierten Angriffen führen. Einheitliche DDI-Lösungen verbessern die Sicherheitslage Ihres Netzwerks, indem sie eine zentralisierte Transparenz und Kontrolle über diese kritischen Dienste bieten.

Das Lösungsportfolio von BlueCat erhöht die Sicherheit, gewährleistet die Kontinuität und unterstützt die Einhaltung von Vorschriften. „Integrity“ bietet ein zentralisiertes und automatisiertes DDI-Management für große Unternehmen. „Gateway“ ermöglicht die Automatisierung von Geschäftsprozessen durch benutzerdefinierte Integrationen, Plugin-Entwicklung und DDI-Workflows. „Edge“ bietet intelligente DNS-Weiterleitung, die Durchsetzung von Richtlinien und eine einfache DNS-Auflösung über Clouds hinweg. Und „Infrastructure Assurance“ bietet umfassende Transparenz und Automatisierung, um Probleme in Netzwerkgeräten aufzudecken und zu beheben.

Unterstützt durch die Lösungen von BlueCat bietet die Integration von CIS Controls und DORA Unternehmen einen umfassenden Ansatz für das Management von Cybersicherheitsrisiken und die Einhaltung gesetzlicher Vorschriften.

Einleitung

In der sich ständig weiterentwickelnden Landschaft der globalen Cybersicherheit sind operative Widerstandsfähigkeit und die Einhaltung gesetzlicher Vorschriften von größter Bedeutung. Die weit verbreiteten CIS-Kontrollen bieten ein umfassendes Spektrum an bewährten Sicherheitsverfahren, die branchenübergreifend und für Organisationen jeder Größe anwendbar sind. Gleichzeitig werden neue Gesetze wie DORA, das speziell auf den Finanzsektor in der EU zugeschnitten ist, erlassen, um die Sicherheit und Widerstandsfähigkeit von Organisationen zu stärken. Beide zielen darauf ab, kritische Daten und Systeme zu schützen, allerdings aus leicht unterschiedlichen Perspektiven.

Unternehmen können die CIS-Kontrollen nutzen, um die Vorgaben von DORA (und anderer Vorschriften) zu erfüllen oder sogar zu übertreffen. Durch die Zusammenführung der von den CIS Controls empfohlenen proaktiven Sicherheitsmaßnahmen mit den regulatorischen Anforderungen von DORA können Organisationen eine ganzheitlichere Strategie verfolgen. Dies liefert die notwendigen Werkzeuge und Erkenntnisse zum Aufbau einer widerstandsfähigen Cybersicherheitsinfrastruktur, die modernen Cyberbedrohungen standhält und gleichzeitig regionale und globale Vorschriften einhält.

Die Einführung dieses dualen Rahmenwerks hilft Organisationen dabei, eine solidere Sicherheitslage aufrechtzuerhalten. Es handelt sich um einen umfassenden Ansatz, der für verschiedene Branchen weltweit geeignet ist.

CIS-Kontrollen verstehen

CIS-Kontrollen sind eine Reihe empfohlener Best Practices zur Abwehr der häufigsten Cyberangriffe. Diese von Cybersicherheitsexperten des CIS entwickelten Kontrollen bieten Organisationen einen strukturierten Ansatz zur Absicherung ihrer IT-Systeme und Daten.

Die neueste Version, CIS Controls v8, wurde 2021 veröffentlicht und reduzierte die Anzahl der Kontrollmaßnahmen von 20 auf 18. Version 8 erkennt an, dass diskrete oder physische Grenzen an Bedeutung verlieren, und untermauert damit die Ansicht, dass Edge-Sicherheit ein Trend ist, dem Aufmerksamkeit gebührt.

Diese überarbeiteten CIS-Kontrollen orientieren sich zudem, soweit möglich, an bestehenden unabhängigen Standards und Sicherheitsrichtlinien und verweisen auf diese. Sie stehen im Einklang mit über einem Dutzend branchenüblicher Rahmenwerke, darunter SOC 2, HIPAA, MITRE ATT&CK, NIST und PCI DSS.

Um Organisationen bei der Bewertung, Überwachung und Priorisierung der Umsetzung von CIS-Kontrollen zu unterstützen, bietet CIS ein CIS-Kontrollen-Selbstbewertungstool an.

Liste der CIS-Kontrollen in Version 8

1. Bestandsaufnahme und Kontrolle von Unternehmensressourcen
2. Bestandsaufnahme und Kontrolle von Software-Assets
3. Datenschutz
4. Sichere Konfiguration von Unternehmensressourcen und Software
5. Kundenbetreuung
6. Zugriffskontrollmanagement
7. Kontinuierliches Schwachstellenmanagement
8. Verwaltung von Audit-Protokollen
9. Schutzmaßnahmen für E-Mail und Webbrowser
10. Malware-Abwehr
11. Datenwiederherstellung
12. Netzwerkinfrastrukturmanagement
13. Netzwerküberwachung und -schutz
14. Schulungen zu Sicherheitsbewusstsein und -kompetenzen
15. Management von Dienstleistern
16. Sicherheit von Anwendungssoftware
17. Incident-Response-Management
18. Penetrationstests

Beschreibungen der Umsetzungsgruppen:

IG1: Ein IG1-Unternehmen ist in der Regel klein bis mittelgroß und verfügt über begrenzte IT- und Cybersicherheitsressourcen. Diese Unternehmen konzentrieren sich aufgrund ihrer geringen Ausfalltoleranz hauptsächlich auf die Aufrechterhaltung des Geschäftsbetriebs. Die von ihnen geschützten Daten, darunter Mitarbeiter- und Finanzinformationen, sind nicht besonders sensibel. IG1-Sicherheitsmaßnahmen können mit minimalem Cybersicherheits-Fachwissen umgesetzt werden und sind darauf ausgelegt, breite, unspezifische Angriffe abzuwehren. Sie sind mit handelsüblicher Hardware und Software für kleine Unternehmen oder Heimbüros kompatibel.

IG2: Ein IG2-Unternehmen integriert IG1-Kontrollen, verfügt jedoch zusätzlich über spezielles Personal für die Verwaltung der IT-Infrastruktur über verschiedene Abteilungen mit unterschiedlichen Risikoprofilen hinweg. Diese Organisationen verarbeiten häufig sensible Kunden- oder Geschäftsdaten und können kurze Dienstunterbrechungen tolerieren. Ein wesentliches Problem ist der potenzielle Verlust des öffentlichen Vertrauens im Falle einer Sicherheitsverletzung. Angesichts dieser erhöhten betrieblichen Komplexität erfordern IG2-Sicherheitsmaßnahmen Technologie auf Unternehmensniveau sowie spezialisiertes Fachwissen für die ordnungsgemäße Implementierung und Konfiguration.

IG3: Ein IG3-Unternehmen umfasst IG1- und IG2-Kontrollen und beschäftigt Spezialisten in verschiedenen Bereichen der Cybersicherheit, wie beispielsweise Risikomanagement und Penetrationstests. Diese Organisationen verwalten hochsensible Daten unter strenger behördlicher Aufsicht und konzentrieren sich auf die Aufrechterhaltung der Dienstverfügbarkeit sowie den Schutz der Vertraulichkeit und Integrität der Daten. Erfolgreiche Angriffe könnten das öffentliche Wohl erheblich beeinträchtigen. IG3-Sicherheitsmaßnahmen sind darauf ausgelegt, ausgeklügelte, gezielte Angriffe abzuwehren und Zero-Day-Bedrohungen zu mindern.

Beispiel für die Zuordnung von Sicherheitsmaßnahmen zu Umsetzungsgruppen

Kontrolle 1: Bestandsaufnahme und Kontrolle der Unternehmensressourcen

Sicherheitsmaßnahmen:

1. Erstellung und Pflege eines detaillierten Bestandsverzeichnisses der Unternehmensressourcen
2. Umgang mit nicht autorisierten Vermögenswerten
3. Nutzen Sie ein Active-Discovery-Tool
4. Nutzen Sie die DHCP-Protokollierung (Dynamic Host Configuration Protocol), um das Bestandsverzeichnis der Unternehmensressourcen zu aktualisieren
5. Verwenden Sie ein Tool zur passiven Erkennung von Assets

• Fällt ein Unternehmen unter IG1, sollte es die Schutzmaßnahmen 1.1 und 1.2 erfüllen.
• Fällt ein Unternehmen in die Kategorie IG2, sollte es die Schutzmaßnahmen 1.1 bis 1.4 erfüllen.
• Fällt ein Unternehmen unter IG3, sollte es die Schutzmaßnahmen 1.1 – 1.5 erfüllen

DORA näher betrachten

DORA ist ein neues Gesetz, das im Januar 2025 in Kraft treten soll, um die operative Widerstandsfähigkeit von Finanzinstituten innerhalb der EU zu stärken. Der Schwerpunkt des Gesetzes liegt auf Risikomanagement, Vorfallmeldung, Widerstandsfähigkeitstests, dem Management von Risiken durch Dritte sowie dem Informationsaustausch im Bereich der Informations- und Kommunikationstechnologie (IKT). DORA ist jedoch auch ein Rahmenwerk, das Organisationen dabei hilft, besser zu verstehen, wie Sicherheitsbedrohungen gemindert werden können. Es lässt sich auf große Unternehmen mit Finanzsparte und Risikokapitalfonds anwenden und bietet eine Vorlage für ähnliche regulatorische Rahmenwerke in anderen Branchen.

Wesentliche Anforderungen von DORA

Die Anforderungen von DORA zielen darauf ab, sicherzustellen, dass Organisationen IKT-Störungen standhalten und sich schnell davon erholen können. Dazu gehören die Einrichtung robuster Risikomanagement-Rahmenwerke, detaillierte Strategien zur Reaktion auf Vorfälle sowie regelmäßige Resilienz-Tests.

DORA konzentriert sich auf fünf Bereichsanforderungen:

1. IKT-Risikomanagement Entwicklung und Wartung widerstandsfähiger IKT-Systeme und -Tools zur Minderung von IKT-Risiken.
2. Identifizieren, klassifizieren und dokumentieren Sie wesentliche Funktionen und Vermögenswerte.
3. Überwachen Sie IKT-Risiken kontinuierlich, um Schutz- und Präventionsmaßnahmen umzusetzen.
4. Erkennen Sie ungewöhnliche Aktivitäten schnell.
5. Erstellen Sie detaillierte Richtlinien zur Geschäftskontinuität und Notfallwiederherstellungspläne mit jährlichen Tests, die alle Supportfunktionen einbeziehen.
6. Führen Sie Mechanismen ein, um aus externen Ereignissen und internen IKT-Vorfällen zu lernen und sich daran anzupassen.
7. Meldung von IKT-bezogenen Vorfällen Entwickeln Sie einen Prozess zur Erfassung und Klassifizierung aller IKT-Vorfälle, um schwerwiegende Vorfälle anhand der in der Verordnung festgelegten und von den drei europäischen Aufsichtsbehörden (EBA, EIOPA und ESMA) spezifizierten Kriterien zu identifizieren.
8. Erstellen Sie Erst-, Zwischen- und Abschlussberichte zu IKT-bezogenen Vorfällen.
9. Standardisieren Sie die Meldung von IKT-bezogenen Vorfällen mithilfe von Vorlagen, die von den europäischen Aufsichtsbehörden entwickelt wurden.
10. Tests der digitalen operativen Widerstandsfähigkeit Führen Sie jährlich grundlegende IKT-Tests von Tools und Systemen durch, um Schwachstellen oder Lücken in den Gegenmaßnahmen zu identifizieren, zu mindern und schnell zu beheben.
11. Führen Sie regelmäßig fortgeschrittene, bedrohungsorientierte Penetrationstests für kritische IKT-Dienste durch, wobei die Teilnahme und uneingeschränkte Zusammenarbeit von externen IKT-Dienstleistern obligatorisch ist.
12. IKT-Risikomanagement bei Drittanbietern Überwachen Sie Risiken, die sich aus der Abhängigkeit von externen IKT-Anbietern ergeben.
13. Führen Sie ein aktuelles Verzeichnis aller ausgelagerten Aktivitäten, einschließlich Änderungen und konzerninterner Dienstleistungen.
14. Risiken im Zusammenhang mit IT-Konzentration und Untervergabe von Dienstleistungen angehen.
15. Standardisieren Sie wesentliche Dienstleistungselemente und Beziehungen zu externen IKT-Anbietern, um eine umfassende Überwachung zu gewährleisten.
16. Stellen Sie sicher, dass Verträge mit externen IKT-Anbietern detaillierte Überwachungsbedingungen, Beschreibungen der Service-Levels und Angaben zu den Datenverarbeitungsstandorten enthalten.
17. Kritische IKT-Dienstleister unterliegen einem unionsweiten Aufsichtsrahmen, der Empfehlungen zur Risikominderung ausspricht. Finanzinstitute müssen Risiken durch Anbieter bewerten, die diese Empfehlungen nicht einhalten.
18. Informationsaustausch Finanzinstitute können Vereinbarungen treffen, um Informationen und Erkenntnisse über Cyberbedrohungen untereinander auszutauschen.
19. Die Aufsichtsbehörde wird Finanzinstituten anonymisierte Informationen und Erkenntnisse zu Cyberbedrohungen zur Verfügung stellen.
20. Unternehmen müssen Mechanismen einführen, um die von den Behörden bereitgestellten Informationen zu prüfen und entsprechend zu handeln.

Betrachtung von DORA aus der Perspektive der CIS-Kontrollen

Die Integration des CIS-Controls-Rahmenwerks in DORA hilft Organisationen dabei, ihre Cybersicherheitsprozesse zu optimieren. Es bietet eine praktische Methodik zur Erreichung der von DORA geforderten Widerstandsfähigkeit durch bewährte Sicherheitspraktiken, die in den weit verbreiteten CIS-Controls detailliert beschrieben sind. Diese Integration ermöglicht einen effizienteren, strukturierten Ansatz für das Management von Cybersicherheitsrisiken, reduziert die Komplexität und schafft Klarheit bei den Compliance-Maßnahmen.

Die Integration des CIS-Kontrollrahmens in DORA bietet über die reine Einhaltung gesetzlicher Vorschriften hinaus mehrere Vorteile. Dazu gehören:

Einheitlicher Ansatz für Cybersicherheit

Die CIS-Kontrollen bieten ein weltweit anerkanntes und umfassendes Set an Best Practices für die Sicherheit, das ein breites Spektrum an Cybersicherheitsbereichen abdeckt. Durch die Zuordnung anderer Rahmenwerke wie DORA zu den CIS-Kontrollen können Unternehmen einen einheitlichen Ansatz für das Cybersicherheits- und Compliance-Management verfolgen und so Konsistenz und Kohärenz bei ihren Sicherheitsinitiativen gewährleisten.

Vereinfachtes Management

Viele Organisationen nutzen CIS Controls aufgrund ihrer Praktikabilität und Wirksamkeit bereits als Grundlage für ihre Cybersicherheitsprogramme. Durch die Abbildung zusätzlicher Rahmenwerke wie DORA auf die CIS Controls können Organisationen ihre Cybersicherheitsmanagementprozesse vereinfachen, indem sie vorhandene Infrastruktur, Ressourcen und Fachwissen nutzen.

Effiziente Ressourcenzuweisung

CIS Controls bieten klare Leitlinien für die Umsetzung von Sicherheitskontrollen und erleichtern es Organisationen, Ressourcen effektiv einzusetzen. Durch die Zuordnung der DORA-Anforderungen zu den CIS Controls können Organisationen ihre Maßnahmen anhand der relativen Bedeutung und der Auswirkungen der einzelnen Kontrollen priorisieren und so sicherstellen, dass Ressourcen dort eingesetzt werden, wo sie am dringendsten benötigt werden.

Skalierbarkeit und Anpassungsfähigkeit

CIS-Kontrollen sind so konzipiert, dass sie skalierbar und an Organisationen jeder Größe und Branche anpassbar sind. Durch die Zuordnung von DORA oder anderen regulatorischen Rahmenwerken zu den CIS-Kontrollen können Organisationen sicherstellen, dass ihre Cybersicherheitsmaßnahmen flexibel genug bleiben, um Änderungen der regulatorischen Anforderungen, technologischen Fortschritte und sich wandelnden Bedrohungslandschaften Rechnung zu tragen.

Kontinuierliche Verbesserung

Die CIS-Kontrollen werden kontinuierlich aktualisiert und verfeinert, um neuen Bedrohungen und sich weiterentwickelnden Sicherheitspraktiken Rechnung zu tragen. Durch die Ausrichtung anderer Rahmenwerke wie DORA an den CIS-Kontrollen können Unternehmen von diesem fortlaufenden Verbesserungsprozess profitieren und sicherstellen, dass ihre Cybersicherheitsmaßnahmen auf dem neuesten Stand bleiben und neu auftretende Bedrohungen wirksam abwehren.

Zuordnung der CIS-Kontrollen zu den DORA-Anforderungen

DORA-Anforderung: IKT-Risikomanagement

Anpassung an die CIS-Kontrollen:

CIS Control 1: Inventory and Control of Enterprise Assets Maintain a current and accurate inventory of all enterprise assets that connect to the network to ensure visibility and management of any asset that could be attacked or compromised.

CIS Control 2: Inventory and Control of Software Assets Actively manage all software on the network to ensure that only authorized software is installed and can execute, and that unauthorized and unmanaged software is found and prevented from installation or execution.

CIS Control 7: Continuous Vulnerability Management Implement a robust vulnerability management program that includes regular scanning, prioritization of vulnerabilities based on risk, patch management processes, and verification of patch effectiveness.

CIS Control 12: Network Infrastructure Management Establish and maintain an accurate inventory of network assets, configure network devices securely, monitor network traffic for suspicious activities, and enforce network segmentation to limit the impact of potential breaches.

CIS Control 17: Incident Response Management Develop and regularly test an incident response plan, establish clear roles and responsibilities for incident response team members, deploy detection and monitoring tools to identify security incidents, and establish communication channels for reporting and escalating incidents.

CIS Control 18: Penetration Testing Führen Sie regelmäßig Penetrationstests durch, um Schwachstellen in Systemen und Anwendungen zu identifizieren und zu beheben, simulieren Sie realistische Angriffsszenarien, um die Wirksamkeit von Sicherheitskontrollen zu bewerten, und priorisieren Sie Abhilfemaßnahmen auf der Grundlage der Ergebnisse der Penetrationstests.

DORA-Anforderung: Meldung von IKT-bezogenen Vorfällen

Anpassung an die CIS-Kontrollen:

CIS-Kontrolle 8: Verwaltung von Audit-Protokollen

• Konfigurieren Sie Systeme und Anwendungen so, dass detaillierte Audit-Protokolle erstellt werden, sammeln und speichern Sie diese zentral zur Analyse, legen Sie Richtlinien zur Aufbewahrungsdauer von Protokollen fest, um regulatorische Anforderungen zu erfüllen, und überprüfen Sie die Audit-Protokolle regelmäßig auf Anzeichen von unbefugtem Zugriff oder böswilligen Aktivitäten.

CIS-Kontrolle 17: Incident-Response-Management

• Entwickeln Sie Verfahren zur Reaktion auf Vorfälle, die Prozesse zur Erkennung, Meldung und Reaktion auf Sicherheitsvorfälle umfassen, richten Sie Kommunikationskanäle für die Meldung von Vorfällen an die zuständigen Stellen ein und legen Sie Kriterien für die Klassifizierung und Priorisierung von Vorfällen fest.

DORA-Anforderung: Prüfung der digitalen operativen Widerstandsfähigkeit

Anpassung an die CIS-Kontrollen:

CIS-Kontrolle 7: Kontinuierliches Schwachstellenmanagement

• Überwachen Sie Systeme und Anwendungen kontinuierlich auf Schwachstellen, priorisieren Sie Abhilfemaßnahmen auf der Grundlage von Risikobewertungen und überprüfen Sie regelmäßig die Wirksamkeit der Sicherheitskontrollen durch Schwachstellenscans und -bewertungen.

CIS-Kontrolle 17: Incident-Response-Management

• Führen Sie Tabletop-Übungen und simulierte Cyberangriffsszenarien durch, um die Wirksamkeit von Vorfallreaktionsverfahren zu testen, Lücken bei der Erkennung und Bewältigung von Vorfällen zu identifizieren und die Vorfallreaktionspläne auf der Grundlage der aus den Tests gewonnenen Erkenntnisse zu verfeinern.

CIS-Kontrolle 18: Penetrationstests

• Führen Sie regelmäßig Penetrationstests durch, um Schwachstellen in Systemen und Anwendungen zu identifizieren und zu beheben, simulieren Sie realistische Angriffsszenarien, um die Wirksamkeit von Sicherheitskontrollen zu bewerten, und priorisieren Sie Abhilfemaßnahmen auf der Grundlage der Ergebnisse der Penetrationstests.

DORA-Anforderung: Management von IKT-Risiken durch Dritte

Anpassung an die CIS-Kontrollen:

CIS Control 12: Network Infrastructure Management Identify and assess risks associated with third-party ICT providers, establish contractual requirements for third-party providers to meet security standards, and monitor third-party providers for compliance with contractual obligations.

CIS Control 15: Service Provider Management Establish a formal process for evaluating and selecting third-party ICT providers, conduct due diligence assessments to evaluate the security posture of potential providers, and establish contractual agreements that include provisions for security requirements and oversight.

CIS Control 17: Incident Response Management Include third-party providers in incident response planning and coordination efforts, establish communication channels for reporting and responding to security incidents involving third-party providers, and conduct regular reviews of third-party provider performance and compliance.

DORA-Anforderung: Informationsaustausch

Anpassung an die CIS-Kontrollen:

CIS Control 14: Security Awareness and Skills Training Provide security awareness training to employees to educate them about cybersecurity risks and best practices, conduct phishing simulations to test employee awareness, and encourage reporting of security incidents and concerns.

CIS Control 17: Incident Response Management Establish information sharing partnerships with industry peers and relevant authorities to exchange threat intelligence and cybersecurity best practices, participate in information sharing forums and communities, and contribute to collective efforts to improve cybersecurity resilience.

Auswirkungen auf die Branchen

CIS-Kontrollen sind für Organisationen jeder Größe und Art breit anwendbar. Und während DORA darauf abzielt, die operative Widerstandsfähigkeit von Finanzinstituten zu stärken, können seine Grundsätze auch anderen Branchen als Orientierung dienen. Wenn beide in einem integrierten Ansatz angewendet werden, können Organisationen zahlreiche Vorteile nutzen. Im Folgenden finden Sie Beispiele dafür, welche Auswirkungen die Integration des CIS-Controls-Rahmenwerks in DORA auf verschiedene Branchen haben kann.

Finanzdienstleistungen

Im Finanzsektor mindert die Einhaltung von DORA und CIS Controls die mit Online-Transaktionen und Datenverletzungen verbundenen Risiken, stärkt das Vertrauen und gewährleistet die Geschäftskontinuität. Finanzinstitute und Geschäftsbereiche müssen besonders auf die strengen Anforderungen von DORA hinsichtlich der operativen Widerstandsfähigkeit und des Managements von IKT-Risiken durch Dritte achten.

Gesundheitswesen und Biowissenschaften

Die Grundsätze von DORA zielen zwar in erster Linie auf den Finanzdienstleistungssektor ab, bieten jedoch eine wertvolle Vorlage für das Management von IKT-Störungen, die auch im Gesundheitswesen anwendbar ist, insbesondere bei der Sicherung des Datenaustauschs und der Gewährleistung der Verfügbarkeit kritischer Gesundheitssysteme. DORA bietet zudem einen Rahmen für den Schutz sensibler Patientendaten und Forschungsinformationen, was für die Einhaltung von Vorschriften wie HIPAA und DSGVO von entscheidender Bedeutung ist.

Fertigungsindustrie

Für Hersteller kann die Integration von CIS Controls in ein DORA-Rahmenwerk die Abwehrmaßnahmen gegen Cyberbedrohungen für industrielle Steuerungssysteme stärken und geistiges Eigentum schützen, das für die Aufrechterhaltung von Wettbewerbsvorteilen entscheidend ist. Die Betonung von Resilienz und dem Risikomanagement bei Drittanbietern kann dazu beitragen, dass der Produktionsbetrieb nicht durch IKT-Ausfälle gestört wird.

Einzelhandel

Einzelhändler profitieren davon, indem sie Verbraucherdaten und Finanztransaktionen sichern und so das Vertrauen der Verbraucher sowie die Einhaltung von Datenschutzvorschriften wie der DSGVO gewährleisten. Die Übernahme des DORA-Ansatzes zur operativen Widerstandsfähigkeit kann dazu beitragen, Ausfallzeiten während der Hauptverkaufszeiten zu verhindern, die durch IKT-bezogene Vorfälle verursacht werden.

Energie

Der Energiesektor kann DORA-Rahmenwerke anwenden, um die Sicherheit und Widerstandsfähigkeit von Infrastrukturen zu verbessern, die für die öffentliche Sicherheit und die wirtschaftliche Stabilität von entscheidender Bedeutung sind. Durch die Einführung von CIS-Kontrollen und die Berücksichtigung von DORA-ähnlichen Widerstandsfähigkeitstests können Energieunternehmen die Risiken besser bewältigen, die mit digitalen und physischen Bedrohungen für Energienetze und andere kritische Infrastrukturen verbunden sind.

Bildung

Bildungseinrichtungen, die große Mengen an Schüler- und Studentendaten verarbeiten, können CIS Controls zur Sicherung von Datenbanken und Netzwerken nutzen. Auch wenn sie nicht direkt unter DORA fallen, kann der Fokus des Gesetzes auf Resilienz und das Management von Risiken durch Dritte als Leitfaden für Bildungsrichtlinien zu IKT-Risiken dienen, insbesondere da Bildungseinrichtungen zunehmend auf digitale Plattformen angewiesen sind.

Telekommunikation

Telekommunikationsunternehmen, die für das Funktionieren moderner Volkswirtschaften und Gesellschaften unverzichtbar sind, können die Netzwerksicherheit und die Verfügbarkeit ihrer Dienste verbessern, indem sie die CIS-Kontrollen integrieren und den Fokus von DORA auf Resilienz übernehmen. Dies ist besonders relevant angesichts ihrer Rolle bei der Verwaltung riesiger Datenmengen und ihrer Anfälligkeit für groß angelegte Cyberangriffe.

Inhärente Cybersicherheitsrisiken bei DDI

Der wichtigste erste Schritt, den jede Organisation vor dem Start eines Netzwerkumstellungs- oder Compliance-Projekts unternehmen kann, besteht darin, ihr eigenes Haus in Ordnung zu bringen. Es ist unerlässlich zu verstehen, was sich im Netzwerk befindet, wo sich die Geräte befinden und wie sie derzeit kommunizieren. Aus diesem Grund sind Kerndienste wie DNS, DHCP und die IP-Adressverwaltung – zusammen als DDI bekannt – so wichtig. Bei der Planung neuer IT-Projekte werden sie jedoch oft übersehen.

Auch die Verwaltung von DHCP-Konfigurationen und IP-Adressen birgt inhärente Risiken. DHCP, das Geräten in einem Netzwerk dynamisch IP-Adressen zuweist, kann ausgenutzt werden, um falsche oder böswillige Konfigurationen zu vergeben, wenn es nicht ordnungsgemäß gesichert ist. Ebenso kann eine ineffektive IP-Adressverwaltung zu Konflikten und unbefugtem Netzwerkzugriff führen, wodurch Schwachstellen entstehen, die von externen Bedrohungen ausgenutzt werden können.

Die entscheidende Rolle des DNS für die Netzwerkfunktionalität macht es zudem zu einem bedeutenden Ziel für Cyberangriffe. Bedrohungen wie DNS-Hijacking, Tunneling und Poisoning können den Betrieb stören und zu schwerwiegenden Datenverletzungen führen. Die Sicherheit und Widerstandsfähigkeit von DNS-Diensten sind von größter Bedeutung, da sie dazu beitragen, unbefugten Zugriff zu verhindern und sicherzustellen, dass der Datenverkehr korrekt an legitime Ziele weitergeleitet wird.

Die Rolle einheitlicher DDI-Lösungen

In diesem Zusammenhang sind einheitliche DDI-Lösungen von entscheidender Bedeutung. Diese Lösungen optimieren und automatisieren nicht nur das DDI-Management. Sie verbessern auch die Sicherheitslage des Netzwerks, indem sie eine zentralisierte Transparenz und Kontrolle über diese kritischen Dienste ermöglichen. Durch die Integration von DDI in ein einheitliches System können Unternehmen Anomalien besser erkennen, Richtlinien durchsetzen und auf Vorfälle reagieren, wodurch die Angriffsfläche verringert und die allgemeine Widerstandsfähigkeit des Netzwerks verbessert wird.

Das Produktportfolio von BlueCat erhöht die Sicherheit, gewährleistet die Kontinuität und unterstützt die Einhaltung wichtiger regulatorischer Rahmenwerke wie der CIS Controls. Im nächsten Abschnitt wird näher darauf eingegangen, wie die Produkte und Funktionen von BlueCat mit diesen Kontrollmaßnahmen im Einklang stehen, und es werden praktische Beispiele für deren Anwendung in realen Szenarien vorgestellt. Dies verdeutlicht zudem die entscheidende Rolle, die robuste DDI-Lösungen beim Schutz moderner digitaler Infrastrukturen spielen.

Die Rolle von BlueCat bei Cybersicherheit und Compliance

Netzwerke unterscheiden sich hinsichtlich ihrer Anforderungen an DNS-bezogene Auflösung, Routing und Sicherheit. Einige Standorte erfordern aufgrund ihres Risikoprofils und ihres Standorts spezielle Richtlinien und eine verbesserte Sicherheitsüberwachung. Mit den Lösungen von BlueCat können Sie diese Anforderungen an Cybersicherheit und Compliance erfüllen – dank Funktionen, die Folgendes bieten:

• Intelligente DNS-Auflösung
• Durchsetzung der Richtlinien
• Umfassende Abfragen zur Fehlerbehebung und Forensik
• Integration mit SIEMs
• Verbesserte Echtzeit-Sicherheit durch die Nutzung von Threat-Intelligence-Feeds zur Erstellung dynamischer Domänenlisten für den Einsatz in Richtlinien
• Die Möglichkeit, bestimmte Protokolle wie DNS-over-HTTPS-Abfragen einzuschränken

Whitepaper | Stärkung der Cybersicherheit und Compliance mit BlueC*

Unified DDI für intelligente DNS-Erkennung und -Weiterleitung

Angesichts wachsender Infrastrukturen und sich weiterentwickelnder Workloads ist es für Sicherheits- und Erkennungsteams unerlässlich, sich auf solide, beobachtbare Grundlagen zu stützen. Die Teams müssen die Grenzen ihrer verwalteten IP-Adressen und Namensräume genau kennen. Vertrauen in IP-Routing, DNS-Routing und DHCP-Bereiche ist entscheidend, um einen sicheren und präzisen Datenfluss zu den vorgesehenen Endpunkten zu gewährleisten. Dies geht über die reine Funktion als Repository oder Orchestrierungstool zur Integration von Cloud- und lokalen Netzwerken hinaus; es dient als zentraler Beobachtungs- und Durchsetzungspunkt für Richtlinien, um digitale Bedrohungen zu identifizieren und zu blockieren, bevor eine Datenübertragung beginnt.

Das obige Diagramm veranschaulicht die cloudorientierte, intelligente DNS-Erkennung und das Routing in Echtzeit in Hybrid- oder Multi-Cloud-Umgebungen mithilfe von BlueCat Edge. Dieser Ansatz macht manuelle Weiterleitungen, isolierte DNS-Inseln und inkonsistente Auflösungen überflüssig. Die Konfiguration behebt automatisch Probleme mit Zugriffs- und Zonenüberschneidungen und erleichtert die Erstellung von Reverse-Zonen für eine nahtlose, unternehmensweite Auflösung. Das DNS-Routing und die selektive Weiterleitung erfolgen richtlinienbasiert und passen sich dynamisch an Domänenlisten und Abfragequellen an, wobei Aktualisierungen durch den Cloud Resolver ein intelligentes Management von Weiterleitern und Aktionen ermöglichen.

Mit Edge können Netzwerkteams integrierte Anbindungen an erstklassige Dienste wie Cisco Umbrella nutzen, um die Sicherheitsmaßnahmen unternehmensweit zu verbessern. Dies ermöglicht eine verbesserte Erkennung von Bedrohungen und einen besseren Schutz durch die Überwachung des DNS-Verkehrs sowohl in Ost-West- als auch in Nord-Süd-Richtung. Durch die Nutzung der Bedrohungsinformationen von Umbrella sorgt BlueCat Edge für eine proaktive Abwehr von Angriffen, noch bevor diese eine Verbindung zu Command-and-Control-Kanälen herstellen können.

Zuordnung der BlueCat-Lösungen zu den CIS-Kontrollen

Die Lösungen von BlueCat bieten zentralisierte Kontrolle, verbesserte Transparenz und fortschrittliche Sicherheitsfunktionen, die die Einhaltung von Vorschriften unterstützen und Risiken mindern. Im Folgenden wird detailliert beschrieben, inwiefern die Produkte von BlueCat bestimmten CIS-Kontrollen und deren Schutzmaßnahmen entsprechen.

Integrität

Integrity ist die Plattform von BlueCat für das integrierte DDI-Management in Großunternehmen. Sie vereinfacht und konsolidiert die Transparenz und Verwaltung von DDI in den komplexesten Netzwerkinfrastrukturen. Basierend auf RESTful-APIs automatisiert Integrity alle Aspekte des DDI-Managements. Integrity besteht aus dem BlueCat Address Manager und dem BlueCat DNS- und DHCP-Server (BDDS).

Address Manager übernimmt das IP-Adressmanagement und fungiert als zentrale DNS- und DHCP-Verwaltungsplattform (Cluster oder Einzelknoten). Je nach Anforderungen, Architektur und Ressourcenbedarf sind BDDS-Systeme Einzelinstanzen oder Cluster, die selektiv autoritative DNS- und/oder DHCP-Dienste bereitstellen.

„Cloud Discovery & Visibility“, eine Anwendung innerhalb von Integrity, erfasst Ihre gesamte On-Premises- und Multi-Cloud-Infrastruktur und überträgt diese Daten an den Address Manager, um stets aktuelle Informationen bereitzustellen.

Jede Komponente ist flexibel und kann in verschiedenen Formfaktoren eingesetzt werden, sei es physisch oder virtuell.

Zuordnung zu CIS-Kontrollen und Schutzmaßnahmen

• Kontrolle 1: Bestandsaufnahme und Kontrolle der Unternehmensressourcen – Schutzmaßnahmen: 1.1, 1.2, 1.3, 1.4, 1.5

• Sicherheitsmaßnahmen: 2.1, 2.2, 2.3, 2.4, 2.5, 2.6, 2.7

• Sicherheitsmaßnahmen: 4.1, 4.2, 4.4, 4.5

• Sicherheitsmaßnahmen: 5.1, 5.3, 5.5

• Sicherheitsmaßnahmen: 9.1

• Sicherheitsmaßnahmen: 11.1, 11.2

• Sicherheitsmaßnahmen: 12.1, 12.3

• Sicherheitsmaßnahmen: 13.4, 13.6

• Sicherheitsmaßnahmen: 16.2, 16.5, 16.7, 16.9, 16.10, 16.12

Gateway

Während alle BlueCat-Lösungen offene, robuste und stets aktuelle APIs bieten, vereint Gateway alle Bausteine, um Geschäftsprozesse durch benutzerdefinierte Integrationen, Plugin-Entwicklung und DDI-Workflows zu automatisieren. Gateway nutzt eine API mit einer Reihe von Python-Klassen zur Integration von Drittanbieterlösungen mit dem Address Manager oder BDDS von Integrity bzw. mit Edge.

Darüber hinaus können Teams mit dem bestehenden Katalog adaptiver Anwendungen und Plugins von BlueCat sofort Lösungen entwickeln und Innovationen vorantreiben, die auf Anbietern oder Plattformen wie den folgenden basieren:

• Netzwerk: Cisco, VMware, Microsoft, Nutanix, OpenStack, ServiceNow und Ansible
• Cloud: AWS, Microsoft Azure und Google Cloud
• Sicherheit: Palo Alto Networks, Cisco, Splunk, IBM, ArcSight und CrowdStrike

Zuordnung zu CIS-Kontrollen und Sicherheitsmaßnahmen

• Kontrolle 1: Bestandsaufnahme und Kontrolle der Unternehmensressourcen – Schutzmaßnahmen: 1.1, 1.3
• Sicherheitsmaßnahmen: 5.1, 5.3, 5.5
• Sicherheitsmaßnahmen: 7.1, 7.2, 7.3, 7.4
• Sicherheitsmaßnahmen: 8.2
• Sicherheitsmaßnahmen: 10.7
• Sicherheitsmaßnahmen: 12.1, 12.2, 12.3
• Sicherheitsmaßnahmen: 13.7
• Sicherheitsmaßnahmen: 15.4, 15.5
• Sicherheitsmaßnahmen: 16.2, 16.5, 16.7, 16.9, 16.10, 16.12
• Sicherheitsmaßnahmen: 17.9
• Sicherheitsmaßnahmen: 18.3

Edge

Edge erweitert die Standard-DDI-Infrastruktur in drei Schlüsselbereichen – Netzwerk, Sicherheit und Cloud – um zusätzliche Funktionen für IP-Weiterleitung, Erkennung, Auflösung und Sicherheit. Edge ist eine schlanke, cloudverwaltete Softwarelösung, die fortschrittliche DNS-Funktionen über Servicepunkte bereitstellt, die am Rand Ihres Netzwerks eingesetzt werden.

Für die Vernetzung nutzt Edge eine intelligente Weiterleitung über Servicepunkte, um Bedingungen festzulegen und Anfragen an das richtige Ziel weiterzuleiten.

Im Bereich Sicherheit bietet Edge einen fortschrittlichen Schutz vor Bedrohungen, der auch böswillige Abfragen blockiert, Richtlinien durchsetzt und Informationen aus modernsten Bedrohungsdatenfeeds bereitstellt.

Im Cloud-Bereich können Netzwerkteams mit Cloud Resolver DNS-Abfragen in komplexen Cloud-Umgebungen mühelos bearbeiten.

Edge bietet eine intelligente Kontrollebene, um Bedrohungen zu bekämpfen, Namensraumkonflikte zu lösen und die Latenz bei Abfragen auf der Grundlage von Unternehmensrichtlinien zu optimieren. Durch die direkte Anbindung an diese Frameworks können Edge-Anwender Sicherheits- und Compliance-Anforderungen erfüllen oder sogar übertreffen.

Zuordnung zu CIS-Kontrollen und Schutzmaßnahmen

Kontrolle 1: Bestandsaufnahme und Kontrolle der Unternehmensressourcen

• Sicherheitsmaßnahmen: 1.1, 1.3

Kontrolle 9: Schutz vor Malware

• Sicherheitsmaßnahmen: 9.1, 9.2

Kontrolle 10: Malware-Abwehr

• Sicherheitsmaßnahmen: 10.6

Kontrolle 12: Management der Netzwerkinfrastruktur

• Sicherheitsmaßnahmen: 12.1, 12.3

Kontrolle 13: Netzwerküberwachung und -schutz

• Sicherheitsmaßnahmen: 13.1, 13.2, 13.3

Kontrolle 16: Sicherheit von Anwendungssoftware

• Sicherheitsmaßnahmen: 16.2, 16.5, 16.7, 16.9, 16.10, 16.12

Rollenbezogene Schulungen von BlueCat

Kontrolle 14: Schulungen zu Sicherheitsbewusstsein und -kompetenzen

• Sicherheitsmaßnahmen: 14.2, 14.3, 14.4, 14.8, 14.9

Infrastruktur-Sicherheit

Infrastructure Assurance bietet proaktive Überwachbarkeit, Fehlerbehebung und Korrekturmaßnahmen für die Netzwerk- und Sicherheitsinfrastruktur, einschließlich Integrität, Firewalls und Lastenausgleichssysteme. Es identifiziert verborgene Probleme, führt automatisierte Diagnosen durch und bietet von Experten empfohlene Korrekturmaßnahmen an.

Dank umfassender Transparenz und Automatisierung verhindert es Netzwerkstörungen und optimiert Aufgaben wie Wartung und Hochverfügbarkeitsprüfungen, wobei kritische Daten auf der Grundlage von Best Practices effizient analysiert werden. Zu den wichtigsten Funktionen gehören:

• Automatische Erkennung
• Automatische Triage
• Automatisierte Konfigurationssicherung
• Automatisierte Betriebswartung
• Benchmarking für die Infrastruktur

Zuordnung zu CIS-Kontrollen und Schutzmaßnahmen

Kontrolle 1: Bestandsaufnahme und Kontrolle der Unternehmensressourcen

• Sicherheitsmaßnahmen: 1.1, 1.2, 1.3

Kontrolle 3: Datenschutz

• Sicherheitsmaßnahmen: 3.5, 3.6, 3.7, 3.8, 3.9, 3.10, 3.11, 3.12, 3.13, 3.14

Kontrolle 4: Sichere Konfiguration von Unternehmensressourcen und Software

• Sicherheitsmaßnahmen: 4.1, 4.2, 4.4, 4.5

Kontrolle 5: Kontoverwaltung

• Sicherheitsmaßnahmen: 5.1, 5.3

Kontrolle 6: Zugriffskontrollmanagement

• Sicherheitsmaßnahmen: 6.1, 6.4, 6.5

Kontrolle 7: Kontinuierliches Schwachstellenmanagement

• Sicherheitsmaßnahmen: 7.1

Kontrolle 9: Einschränkung und Kontrolle von Netzwerkports, Protokollen und Diensten

• Sicherheitsmaßnahmen: 9.1

Kontrolle 10: Malware-Abwehr

• Sicherheitsmaßnahmen: 10.1, 10.5, 10.6, 10.7

Kontrolle 11: Datenwiederherstellung

• Sicherheitsmaßnahmen: 11.1, 11.2, 11.3

Kontrolle 12: Management der Netzwerkinfrastruktur

• Sicherheitsmaßnahmen: 12.1, 12.2, 12.3

Kontrolle 13: Netzwerküberwachung und -schutz

• Sicherheitsmaßnahmen: 13.1, 13.2, 13.5, 13.6

Kontrolle 15: Management von Dienstleistern

• Sicherheitsmaßnahmen 15.4

Kontrolle 16: Sicherheit von Anwendungssoftware

• Sicherheitsmaßnahmen: 16.2, 16.3, 16.5, 16.7, 16.9, 16.10, 16.12

Kontrolle 17: Management der Reaktion auf Vorfälle

• Sicherheitsmaßnahmen: 17.9

Kontrolle 18: Penetrationstests

• Sicherheitsmaßnahmen 18.3

Der Ausblick auf die Zukunft

Unterstützt durch die Lösungen von BlueCat bietet die Integration von CIS Controls und DORA Unternehmen einen umfassenden Ansatz für das Management von Cybersicherheitsrisiken und die Einhaltung gesetzlicher Vorschriften. Durch den Einsatz dieser Rahmenwerke und Technologien können Unternehmen sicherstellen, dass sie nicht nur vor aktuellen Bedrohungen geschützt sind, sondern auch auf zukünftige Herausforderungen im Bereich der Cybersicherheit vorbereitet sind.

Da sich Bedrohungen weiterentwickeln und das regulatorische Umfeld immer komplexer wird, müssen Unternehmen ihre Cybersicherheitsstrategien kontinuierlich anpassen. Die Integration fortschrittlicher Lösungen wie der von BlueCat wird entscheidend sein, um Sicherheit und Compliance in allen Branchen zu gewährleisten.