Compliance Glossar

Die NIST-Sonderveröffentlichung 800-172 „Erweiterte Sicherheitsanforderungen zum Schutz von kontrollierten, nicht klassifizierten Informationen (CUI) in nicht-bundesstaatlichen Systemen und Organisationen“ ist eine Erweiterung der bestehenden NIST-Sonderveröffentlichung 800-171. Die aktuelle Version konzentriert sich speziell auf sensible, aber nicht klassifizierte Informationen, die von Organisationen im Auftrag der Bundesregierung verarbeitet werden, und legt zusätzliche Sicherheitsanforderungen und -praktiken in diesem Zusammenhang fest.

Die wichtigsten Merkmale von NIST 800-172 sind:

1. Zusätzliche Sicherheitsanforderungen: Das Buch bietet verbesserte Kontrollmechanismen, die in 14 Kategorien unterteilt sind:

• Zugangskontrolle
• Bewusstsein und Schulung
• Prüfung und Rechenschaftspflicht
• Configuration Management
• Identifikation und Authentifizierung
• Vorfallreaktion
• Wartung
• Medienschutz
• Personalsicherheit
• Physischer Schutz
• Risikobewertung
• Sicherheitsbewertung
• System- und Kommunikationsschutz
• System- und Informationsintegrität

2. Proaktive Kontrollen: Gemäß NIST 800-172 umfassen proaktive Kontrollen die Suche nach Bedrohungen, die Verschlüsselung sowie die kontinuierliche Überwachung, wodurch ein Schutz vor zukünftigen Risiken gewährleistet wird.
3. Implementierungsleitfaden: Die Veröffentlichung beschreibt detailliert die kundenspezifischen Sicherheitsanforderungen basierend auf den unterschiedlichen Risikostufen von CUI. Sie lässt in diesem Fall auch Raum für Anpassungen.

NIST SP 800-172 zielt darauf ab, die Cybersicherheit nicht-staatlicher Systeme zu stärken. Die Publikation bezieht sich insbesondere auf Bereiche kritischer Infrastrukturen, in denen die Verhinderung unberechtigten Zugriffs und der Offenlegung von Daten sowie anderer fortgeschrittener, persistenter Bedrohungen von entscheidender Bedeutung ist.