Bewertung der IT-Sicherheit

Die Bewertung der IT-Sicherheit ist eine geplante Evaluierung von Sicherheitskontrollen, um festzustellen, ob diese korrekt implementiert sind, wie vorgesehen funktionieren und wo Schwachstellen bestehen. ^{[ 1 ]}

Die Bewertung der IT-Sicherheit ist eine geplante Evaluierung von Sicherheitskontrollen, um festzustellen, ob diese korrekt implementiert sind, wie vorgesehen funktionieren und wo Schwachstellen bestehen. ^{[ 1 ]}

Üblicherweise wird die Arbeit in drei Methoden unterteilt: Prüfung von Dokumenten und Konfigurationen, Befragung von Mitarbeitern und Tests unter definierten Bedingungen. ^{[ 1 ]}

Die Ergebnisse der Bewertung unterstützen Beurteilungen der Wirksamkeit von Kontrollmaßnahmen, bestätigen und priorisieren technische Erkenntnisse und ermöglichen die Planung von Korrekturen mit späterer Überprüfung oder erneuten Tests. ^{[ 1 ]}

Eine Sicherheitsbewertung unterscheidet sich von einer Risikobewertung – die das Risiko in Bezug auf Wahrscheinlichkeit und Auswirkung ausdrückt – und von einem Audit. ^{[ 2 ]}

Eine Sicherheitsbewertung bezeichnet die geplante Überprüfung von Sicherheitskontrollen, um festzustellen, ob diese korrekt implementiert sind, wie vorgesehen funktionieren und wo Schwachstellen vorhanden sind. ^{[ 1 ]}

In der gängigen Praxis werden Bewertungsarbeiten in drei Methoden unterteilt: Prüfung von Dokumenten und Konfigurationen, Befragung von Mitarbeitern und Tests unter definierten Bedingungen. ^{[ 1 ]}

Eine Risikobewertung wird gesondert behandelt: Risiko wird üblicherweise in Bezug auf Eintrittswahrscheinlichkeit und Auswirkung ausgedrückt, und der Prozess identifiziert, schätzt und priorisiert Risiken für Entscheidungen. ^{[ 2 ] [ 3 ]}

Ein Audit ist ebenfalls eigenständig: Es handelt sich um eine systematische und unabhängige Bewertung der Konformität im Kontext eines Managementsystems; Organisationen können Audits innerhalb eines ISMS durchführen und gleichzeitig mithilfe von Bewertungen die Wirksamkeit technischer Kontrollen untersuchen. ^{[ 4 ] [ 5 ]}

• Die Planung definiert typischerweise Umfang und Ziele, legt die Vorgehensweise fest, bestätigt rechtliche und ethische Rahmenbedingungen und erstellt Berichte und Rahmenbedingungen. ^{[ 1 ]}
• Es ist üblich, vor Beginn der Tests auch Autorisierungen, Datenverarbeitungsgrenzen und Kommunikationsvorgänge zu dokumentieren. ^{[ 6 ]}
• Wenn die Softwareentwicklung im Fokus steht, können die Aktivitäten an sicheren Entwicklungspraktiken ausgerichtet werden, sodass die Ergebnisse dem Lebenszyklus zugeordnet werden können. ^{[ 7 ]}

• Die Durchführung kombiniert Befragungen, Interviews und Tests, um Erkenntnisse über die Wirksamkeit der Kontrollmaßnahmen zu gewinnen. ^{[ 1 ]}
• Für Web- und Anwendungsziele umfasst der typische Funktionsumfang Eingabevalidierung, Authentifizierung und Sitzungsverwaltung sowie Konfiguration. ^{[ 8 ]}
• Öffentliche Risikoklassifizierungen wie die OWASP Top 10 bieten ein gemeinsames Vokabular für häufig auftretende Schwachstellen, ohne dabei Anbieter oder Tools namentlich zu nennen. ^{[ 9 ]}
• Bei API-orientierten Bewertungen wird häufig auf die API Security Top 10 verwiesen, um spezifische Probleme von Serviceschnittstellen zu adressieren. ^{[ 10 ]}

• Viele Teams überprüfen Implementierungen anhand von Anforderungssätzen und Sicherheitsstufen, anstatt einem toolspezifischen Verfahren zu folgen. ^{[ 11 ]}
• In regulierten oder vertraglichen Kontexten können Kriterien aus einer Kontrollbasislinie oder einem Katalog stammen (z. B. zum Schutz kontrollierter, nicht klassifizierter Informationen). ^{[ 12 ] [ 13 ]}

• Bewertungspläne und Nachweisdokumentationen unterstützen die Reproduzierbarkeit, indem sie jeden Befund auf die angewandte Methode zurückführen. ^{[ 14 ]}
• Die Ergebnisse umfassen in der Regel priorisierte Abhilfemaßnahmen und einen Plan zur späteren Überprüfung oder zum erneuten Test. ^{[ 1 ]}

Ein typischer Bewertungsbericht legt Umfang und Ziele fest, erläutert die angewandten Methoden und präsentiert evidenzbasierte Ergebnisse; gegebenenfalls werden auch potenzielle Auswirkungen und deren Eintrittswahrscheinlichkeit aufgeführt, priorisierte Lösungsvorschläge unterbreitet und ein Plan zur Überprüfung oder erneuten Prüfung definiert. ^{[ 1 ]}

Um die Reproduzierbarkeit zu gewährleisten, ermöglichen Bewertungspläne und Nachweisdokumentationen den Gutachtern, jeden Befund auf die Technik und die Bewertungsobjekte zurückzuführen, die ihn hervorgebracht haben. ^{[ 14 ]}

Die Ergebnisse werden häufig einem anerkannten Kontrollkatalog oder einer Praxisanleitung zugeordnet, damit die Betreiber genau wissen, was zu ändern ist – beispielsweise NIST SP 800-53 oder ISO/IEC 27002. ^{[ 12 ] [ 13 ]}

In der Praxis kommunizieren viele Organisationen Ergebnisse anhand qualitativer oder semiquantitativer Bewertungen; dies entspricht den allgemeinen Richtlinien für Risikomanagement und Informationssicherheit. ^{[ 15 ] [ 2 ]}

Eine quantitative Analyse ist ebenfalls möglich, wenn ein Modell und Daten definiert sind; Open FAIR ist ein häufig zitierter Ansatz zur Darstellung von Frequenz und Verlust. ^{[ 16 ]}

ISO/IEC 27005 stellt eine Verbindung zwischen diesen Ideen und dem Informationssicherheits- Risikomanagement her und trägt zur Konsistenz der Terminologie im Kontext eines ISMS bei. ^{[ 3 ]}

In Artikeln werden typischerweise Werkzeugtypen beschrieben – beispielsweise Schwachstellenscanner, Software-Kompositionsanalyse, dynamische/interaktive Anwendungstests, Konfigurationsprüfung und Beweis-/Problemverfolgung – anstatt spezifische Produkte. ^{[ 8 ] [ 17 ]}

Die Verwendung eines Kontroll-/Praxisansatzes gewährleistet eine neutrale und dauerhafte Beschreibung, da die Ergebnisse etablierten Katalogen wie ISO/IEC 27002 und NIST SP 800-53 zugeordnet werden können. ^{[ 13 ] [ 12 ]}

Bewertungen sind im NIST- Risikomanagementrahmen neben der Auswahl, Implementierung, Autorisierung und kontinuierlichen Überwachung von Kontrollen verankert; sie sind kein einmaliges Ereignis. ^{[ 18 ]}

Die kontinuierliche Überwachung nutzt Bewertungsaktivitäten und andere Daten im Zeitverlauf und lässt die Ergebnisse in Risiko- und Kontrollentscheidungen auf Organisations-, Missions- und Systemebene einfließen. ^{[ 19 ] [ 20 ]}

In vielen Programmen wird diese Arbeit über ein ISMS koordiniert, das die Anforderungen und die Governance für wiederkehrende Bewertungen und Audits vorgibt. ^{[ 5 ]}