Während das schicksalhafte Datum des 17. Oktober 2024 immer näher rückt, geht die Arbeit des ANSSI weiter, um die Anforderungen der NIS2-Richtlinie im französischen Kontext anzupassen und umzusetzen. Ohne die Einzelheiten der neuen Verpflichtungen und der vom Gesetzgeber einzuführenden Verfahren zur Überwachung der Einhaltung der Vorschriften abzuwarten, müssen die wesentlichen und wichtigen Einheiten der zahlreichen Sektoren, die von der EU-Richtlinie erfasst werden, die Initiative ergreifen.
Die Artikel 20 und 21 von NIS 2 legen eine Reihe von Maßnahmen fest, die Unternehmen und Behörden einhalten müssen. Sie betreffen sowohl die Einrichtung eines Governance-Systems für die Informationssicherheit als auch den Einsatz technischer Schutzmaßnahmen und die Einrichtung eines Systems zur Behandlung von Sicherheitsvorfällen.
Governance der Sicherheit
In Bezug auf RegierungsführungUm die Informationssicherheit zu gewährleisten, müssen einige unumgängliche Maßnahmen ergriffen werden, die die gesamte Organisation betreffen.
- Festlegung von Rollen und Verantwortlichkeiten, insbesondere durch die Ernennung eines Sicherheitsbeauftragten, der idealerweise der Geschäftsleitung unterstellt ist
- Aufbau eines dokumentarischen Korpus von Sicherheitsrichtlinien, -prozessen und -verfahren, dessen Kernstück die Richtlinie zur Sicherheit von Informationssystemen (PSSI) ist
- Kartierung des Informationssystems in Bezug auf Aktivitäten und Dienste und Ermittlung der unterstützenden Vermögenswerte (Server, Netzwerke, Anwendungen usw.).
- Kartierung von Auftragnehmern und Lieferanten als Voraussetzung für die Steuerung ihres Sicherheitsniveaus
- Einführung eines Sicherheitsrisikomanagements durch regelmäßige Risikoanalysen mit Akzeptanz der Restrisiken durch die oberste Führungsebene
- Durchführung regelmäßiger Audits, um die Wirksamkeit der Sicherheitsmaßnahmen und die Einhaltung der geltenden Vorschriften zu überprüfen
- Berücksichtigung von Sicherheitsaspekten im Personalmanagement, mit besonderem Augenmerk auf die Schulung und Sensibilisierung von Mitarbeitern und die korrekte Verwaltung von Neuzugängen und Abgängen
Technische Schutzmaßnahmen
Diese organisatorischen Maßnahmen sind von entscheidender Bedeutung, bleiben aber unzureichend, wenn sie nicht durch robuste technische Schutzmaßnahmen ergänzt werden.
- Aufrechterhaltung der Sicherheit von Systemen, was die Implementierung von Prozessen der Sicherheitsüberwachung und des Schwachstellenmanagements voraussetzt
- Kontrolle des physischen Zugangs zu den Räumlichkeiten durch den Einsatz einer modernen Zugangskontrolle mit Alarmsystem
- Sicherung der Architektur des Informationssystems mit besonderer Sorgfalt bei der Verbindung mit Netzwerken von Drittanbietern und der Abschottung entsprechend der Sensibilität der verschiedenen Bereiche
- Sicherung von Remote-Zugriffen und Verwaltungsaktionen durch den Einsatz von Multi-Faktor-Authentifizierung sowie von Bastionen Verwaltung
- Einsatz von Lösungen zum Schutz vor bösartigem Code in verschiedenen Schichten: EDR, IDS, IPS, WAF
- Härtere Konfigurationen mit dem Ziel, die Angriffsfläche so klein wie möglich zu halten und gleichzeitig dafür zu sorgen, dass die Systeme und Anwendungen einfach zu bedienen sind.
- Sichere Identitäts- und Zugriffsverwaltung, angelehnt an das Prinzip des geringsten Privilegs, das eine strenge Verwaltung der Berechtigungen und regelmäßige Überprüfungen erfordert
- Implementierung von Maßnahmen zur Geschäftskontinuität und -wiederaufnahme, basierend auf zuverlässigen Backups, idealerweise offline
Umgang mit Vorfällen
Da es kein Nullrisiko gibt und Angreifer ständig Neuerungen einführen, wird es unweigerlich zu Sicherheitsvorfällen kommen. Daher ist es unerlässlich, solide Kapazitäten zur Bearbeitung von Sicherheitsvorfällen aufzubauen.
- Erkennung von Vorfällen, hauptsächlich durch den Einsatz eines SIEM, das von einem SOC betrieben wird und eventuell ausgelagert wird
- Reaktion auf Vorfälle, entweder durch den Aufbau eines internen CERT oder durch die Zusammenarbeit mit einem spezialisierten Partner
- Cyber-Krisenmanagement, indem Prozesse auf Management- und Betriebsebene definiert und regelmäßige Übungen durchgeführt werden.
Natürlich werden diese Arbeiten zur Einhaltung der Vorschriften erleichtert, wenn Sie auf vertrauenswürdige Dienstleister zurückgreifen, idealerweise von der ANSSI qualifiziert.