IT-SICHERHEIT
IKT-MINIMALSTANDARD EFFIZIENT UMSETZEN Die Versorgung der Schweiz mit lebenswichtigen Gütern und Dienstleistungen ist ohne eine funktionierende Informations- und Kommunikationstechnologie (IKT) beinahe undenkbar. Jedoch ist die IKT in der heutigen Zeit zunehmend durch Cyberrisiken bedroht. Der auf dem NIST CSF basierende IKT-Minimalstandard hat zum Ziel, Unternehmen und Organisationen ein Hilfsmittel zur individuellen und risikobasierten Verbesserung ihrer Resilienz gegen Cyberbedrohungen an die Hand zu geben.
D
er Einsatz von IKT-Systemen ist immer mit Risiken verbunden. Durch das Umsetzen adäquater Massnahmen lässt sich dieser Umstand jedoch auf ein tragbares Mass reduzieren. Besonders bei kritischen Infrastrukturen ist eine angemessene Resilienz der IKT-Systeme gegen Cyberbedrohungen von massgebender Bedeutung. Durch das Umsetzen des IKTMinimalstandard soll die Widerstandsfähigkeit gegen Angriffe auf die Vertraulichkeit, Integrität und Verfügbarkeit der Daten und Informationen nachhaltig erhöht werden. Der Minimalstandard der Informations- und Kommunikationstechnologie (IKT) basiert
// Seite 14
auf dem international anerkannten NIST Cyber Security Framework Core (NIST CSF). Wo sinnvoll, wurde er durch weitere anerkannte Standards wie beispielsweise dem NIST Guide to Industrial Control Systems (ICS), ISO 2700x, NCSS Good Practice Guide von ENISA, COBIT oder dem BSI Standard 200-2 ergänzt. Der IKT-Minimalstandard ist explizit nicht als Konkurrenz zu bestehenden Standards zu verstehen, sondern ist mit diesen kompatibel bei bewusst reduziertem Umfang. Dadurch soll ein einfacher Einstieg in die Thematik ermöglicht und trotzdem ein hohes Schutzniveau gewährleistet werden. Die Basis zur Einführung des IKT-Minimalstandards bildet dabei eine
GAP-Analyse gegen das Framework und die daraus resultierende Risikoanalyse.
IKT-SICHERHEITSSTRATEGIE – DEFENCE-IN-DEPTH Die IKT-Sicherheitsstrategie eines Unternehmens ist sinnvollerweise so auszurichten, dass die für die Geschäftsprozesse notwendigen und kritischen IKT-Systeme optimal geschützt werden. Dazu braucht es oft einen mehrschichtigen Ansatz, welcher unter dem Begriff «Defense-in-Depth» bekannt ist. Dieser folgt dem aus der militärischen Verteidigung bekannten Prinzip, dass es für einen Angreifer schwieriger ist, ein komplexes und mehrschichtiges Abwehrsystem zu
