Wenn Sie nach Möglichkeiten suchen, Ihr Unternehmen vor Cyberangriffen zu schützen, werden Sie feststellen, dass es verschiedene Möglichkeiten gibt, dies zu tun.
Dies kann ein wenig überwältigend sein, und es ist vielleicht nicht auf Anhieb klar, welches System am besten zu den Bedürfnissen Ihrer Organisation passt
In diesem Artikel vergleichen wir ISO 27001 und NIST Cybersecurity Framework (CSF), um Ihnen zu helfen, genau das herauszufinden.
Beginnen wir damit, jedes der Frameworks einzeln zu untersuchen.
Was ist das NIST Cybersecurity Framework?
Das National Institute of Standards and Technology (NIST) ist eine US-amerikanische Behörde, die früher als National Bureau of Standards bekannt war.
Das NIST stellt auf seiner Website eine nützliche Infografik zur Verfügung, in der das CSF (Cyber Security Framework), ein freiwilliger Standard, den Organisationen für das Management ihrer Cybersicherheitsrisiken verwenden können, klar definiert wird.
Da kritische Infrastruktursysteme immer komplexer werden, werden sie auch immer anfälliger.
Wenn diese Systeme gefährdet sind, können sie nicht nur ein finanzielles Risiko darstellen, sondern auch den Ruf von Unternehmen gefährden, insbesondere von jungen Unternehmen, die noch nicht über einen soliden Sicherheitsrahmen verfügen.
Der NISC wurde durch den Cybersecurity Act von 2014 mit der Stärkung der Widerstandsfähigkeit kritischer Infrastrukturen beauftragt.
Der CSF ist das Ergebnis der NIST-Identifizierung:
“[Ein] nach Prioritäten geordneter, flexibler, wiederholbarer, leistungsorientierter und kosteneffektiver Ansatz. Einschließlich Informationssicherheitsmaßnahmen und -kontrollen, die von Eigentümern und Betreibern kritischer Infrastrukturen freiwillig übernommen werden können, um sie bei der Ermittlung, Bewertung und Bewältigung von Cyberrisiken zu unterstützen.”
Wofür wird das NIST CSF verwendet?
Das NIST CSF hilft Unternehmen, ihre Cybersicherheitsrisiken besser zu managen. Es zeigt ihnen, wie sie IT-Infrastrukturrisiken verwalten und reduzieren können, indem es Richtlinien für die Erkennung, Verhinderung und Reaktion auf Cyberangriffe bereitstellt
Da es sich bei der CSF nicht um ein zertifizierbares Rahmenwerk wie ISO 27001 handelt, kann es schwieriger sein, den Kunden nachzuweisen, dass Ihr Unternehmen Maßnahmen zum Schutz ihrer Daten ergriffen hat.
Fünf Funktionen des NIST CSF
Nach der offiziellen Dokumentation des NIST bietet das Framework eine Möglichkeit für Organisationen:
- Beschreiben Sie ihre aktuelle Cybersicherheitslage.
- Beschreiben Sie ihren Zielzustand für die Cybersicherheit.
- Identifizieren und priorisieren Sie Verbesserungsmöglichkeiten im Rahmen eines kontinuierlichen und wiederholbaren Prozesses.
- Bewertung der Fortschritte auf dem Weg zum Zielzustand.
- Kommunikation zwischen internen und externen Beteiligten über Cybersicherheitsrisiken.
Was ist ISO 27001?
ISO 27001 ist eine internationale Norm für das Informationssicherheitsmanagement. Sie bietet Unternehmen einen Rahmen, den sie befolgen können, um sicherzustellen, dass ihre Informationssicherheitssysteme effektiv sind. ISO 27001 besteht aus 11 Klauseln, von denen 7 verbindliche Anforderungen sind.
Es gibt 14 Bereiche der ISO 27001-Kontrollen. Sie sind:
- Informationssicherheitsrichtlinien
- Organisation der Informationssicherheit
- Personalsicherheit
- Vermögensverwaltung
- Zugangskontrolle
- Kryptographie
- Physikalische und ökologische Sicherheit
- Betriebliche Sicherheit
- Kommunikationssicherheit
- Systembeschaffung, Entwicklung und Wartung
- Lieferantenbeziehungen
- Informationssicherheitsvorfall-Management
- Informationssicherheitsaspekte des Geschäftskontinuitätsmanagements
- Konformität
Data Guard bietet einen detaillierten Leitfaden zu den ISO-Kontrollen des Anhangs A, einer Reihe von Informationssicherheitskontrollen, aus denen Sie auswählen können, je nachdem, welche für den Geltungsbereich Ihrer Organisation geeignet sind.
Wozu wird ISO 27001 verwendet?
ISO 27001 bietet einen Rahmen für Unternehmen, um sicherzustellen, dass ihre Informationssicherheitssysteme (ISMS) effektiv sind
Es handelt sich um einen freiwilligen Standard, aber viele Unternehmen entscheiden sich dafür, ihn zu übernehmen, um ihr Engagement für die Informationssicherheit zu demonstrieren.
Am Ende ihrer ISO 27001-Reise erhalten die Unternehmen ein Zertifikat, mit dem sie ihren Kunden nachweisen können, dass ihre Daten sicher sind.
Dies ist eines der größten Unterscheidungsmerkmale zwischen ISO 27001 und dem NIST Cybersecurity Framework.
Die Gemeinsamkeiten zwischen ISO 27001 und NIST Cybersecurity Framework
Die Ziele von ISO 27001 und NIST CSF sind nahezu identisch – die Gewährleistung von Vertraulichkeit, Integrität, Verfügbarkeit und Sicherheit.
Aber damit enden die Gemeinsamkeiten noch nicht.
Die Umsetzung eines dieser risikobasierten Rahmenwerke erfordert die Zustimmung und Unterstützung der Geschäftsleitung. Beide sollten auch nach ihrer Einführung beibehalten werden.
Die gute Nachricht ist, dass sie leicht integriert werden können, da sie mehrere Prinzipien gemeinsam haben, z.B. die Identifizierung von Risiken, die Implementierung von Kontrollen und die Überwachung der Leistung.
Die Unterschiede zwischen ISO 27001 und NIST Cybersecurity Framework
Im Wesentlichen handelt es sich bei NIST CSF um ein freiwilliges, nicht zertifizierbares Sicherheits-Framework, während ISO 27001 zwar ebenfalls freiwillig ist, aber ein unabhängiges Audit erfordert, um die Konformität zu gewährleisten und eine Zertifizierung zu erhalten.
Viele sagen, dass weniger reife Unternehmen, wie z. B. Start-ups, das NIST CSF verwenden und später zu ISO 27001 übergehen können, obwohl es möglich ist, beides zu implementieren. Diese Tabelle gibt einen grundlegenden Überblick über die Unterschiede zwischen ISO 27001 und NIST CSF.
| NIST CSF | ISO 27001 | |
| Framework | 5 Funktionen 23 Kategorien | 11 Abschnitte 1 Anhang |
| Zertifizierbar | Nein | Ja |
| Pflichtdokumente | Keine angegeben | Inoffiziell: – Umfang des ISMS – Informationssicherheitspolitik und -ziele – Risikobewertung und Risikobehandlungsmethodik – Erklärung der Anwendbarkeit – Risikobehandlungsplan – Risikobewertungsbericht – Definition von Sicherheitsrollen und Verantwortlichkeiten – Inventar der Vermögenswerte – Zulässige Nutzung von Vermögenswerten – Zugangskontrollpolitik – Betriebsverfahren für das IT-Management – Grundsätze der sicheren Systemtechnik – Sicherheitspolitik für Lieferanten – Verfahren für das Management von Zwischenfällen – Verfahren für die Geschäftskontinuität – Gesetzliche, regulatorische und vertragliche Anforderungen Sehen Sie sich den Artikel an, den wir auf der Pflichtdokumente für ISO 27001. |
| Kosten | Frei | Variabel. Erfordert Ausgaben für Vorlagen, Dokumentation, Audits und Zertifizierung. +/- €50.000 |
Risikosicherheit
Nach NIST ist “Risiko” definiert als:
“Ein Maß für das Ausmaß, in dem eine Einheit durch einen potenziellen Umstand oder ein Ereignis bedroht ist, und typischerweise eine Funktion von: (i) den nachteiligen Auswirkungen, die sich ergeben würden, wenn der Umstand oder das Ereignis eintritt; und (ii) der Wahrscheinlichkeit des Eintretens.”
RisikoSicherheit besteht also aus allen Maßnahmen, die ergriffen werden, um diesen Bedrohungen entgegenzuwirken, und umfasst auch das Risikomanagement.
Risikomanagement ist das Kernstück sowohl des NIST- als auch des ISO-Rahmenwerks. Beide haben ihre eigene gemeinsame Sprache, die es den Beteiligten ermöglicht, Risiken zu verstehen und zu identifizieren und ihnen zu begegnen.
NIST wurde geschaffen, um US-Bundesbehörden beim Risikomanagement zu unterstützen, während ISO international verwendet wird, um Organisationen bei der Einrichtung und Aufrechterhaltung eines ISMS (Information Security Management System) anzuleiten.
Zertifizierungsprozess
Das NIST hat kein offizielles Zertifikat, daher gibt es keinen Zertifizierungsprozess
Nichtdestotrotz bietet das NIST laut Babbage Simmel einen siebenstufigen Leitfaden für die Erstellung neuer oder die Verbesserung bestehender Sicherheitsprogramme.
Die sieben Schritte sind:
- Priorisierung und Umfang
- Orientierung
- Ein aktuelles Profil erstellen
- Durchführen einer Risikobewertung
- Ein Zielprofil erstellen
- Lücken bestimmen, analysieren und priorisieren
- Aktionsplan umsetzen
Der Zertifizierungsprozess für ISO 27001 ist etwas komplizierter
Laut Kolide:
“Die Zertifizierung nach ISO 27001 ist ein mehrstufiger Prozess, der eine Menge Arbeit erfordert, bevor ein Auditor überhaupt eingeschaltet wird.”
Das Verfahren wird in dieser vereinfachten Infografik dargestellt:
Wie sehen die Kosten von Iso 27001 und Nist Cybersecurity Framework im Vergleich aus?
Da mit dem NIST CSF keine Kosten verbunden sind, eignet es sich am besten für Start-ups oder Unternehmen mit geringen Sicherheitsbudgets
Da sich Cyberangriffe ständig weiterentwickeln, sollte man auf jeden Fall ein Budget für die Einführung eines Informationssicherheits-Managementsystems in Betracht ziehen.
Natürlich hängen die tatsächlichen Kosten davon ab, wie Sie die Einführung von ISO 27001 angehen. Es handelt sich um einen mehrstufigen Prozess, und es gibt Variablen, die ein unterschiedliches Ausmaß an Beteiligung externer Parteien zulassen, was bedeutet, dass die Kosten ganz erheblich variieren können.
Insgesamt muss man mit 40.000 bis 60.000 € für den gesamten Prozess von der Vorbereitung bis zur Wartung rechnen.
Ist ISO besser als NIST?
ISO ist besser für größere Organisationen, für solche mit einem Budget für Sicherheitsrahmen und/oder für solche, die von ihren Kunden ernster genommen werden müssen, wenn es um Datenschutz und Cybersicherheit geht.
NIST ist für Einsteiger ausreichend und ein guter erster Schritt zum Verständnis und zur Implementierung eines Sicherheitsrahmens in Ihrem Unternehmen.
Iso 27001 vs Nist Cybersecurity Framework : Welches ist das Beste für Ihr Unternehmen?
Wenn Ihr Unternehmen neu ist oder nur über ein geringes Budget verfügt, ist NIST wahrscheinlich nützlicher für Ihr Unternehmen, aber wenn Sie sich vergrößert haben oder über ein gutes Budget für Cybersicherheit verfügen, ist ISO 27001 sicherlich vorzuziehen.
Ein Zertifikat vorweisen zu können, kann sich bei Verkaufsgesprächen oder bei der Bindung bestehender Kunden als unschätzbar wertvoll erweisen.
Schlanke Einhaltung: Vereinfachung der ISO 27001
Die Entscheidung für ISO 27001 wird sich langfristig für Sie lohnen.
Das bedeutet nicht, dass Sie Ihren Sicherheitsprozess verkomplizieren. Tatsächlich ist die Vereinfachung von ISO 27001 das, was wir bei Compleye am besten können. Finden Sie heraus, wie wir die Einhaltung der ISO 27001 mit einem schlanken Ansatz (fast) zum Vergnügen machen.
Übrigens, wenn Sie mehr über den Vergleich zwischen ISO 27001 und SOC 2 erfahren möchten, haben wir auch darüber geschrieben.
