Einhaltung von NIST SP 800-53r5, NIST SP 800-161r1 und NIST CSF v2.0

NIST und Risikomanagement von Drittanbietern

Das National Institute of Standards and Technology (NIST) ist eine Bundesbehörde innerhalb des Handelsministeriums der Vereinigten Staaten. Zu den Aufgaben des NIST gehört die Festlegung von Normen und Richtlinien für Bundesbehörden im Bereich der Computer- und Informationstechnologie. Da das NIST wichtige Ressourcen für die Verwaltung von Cybersicherheitsrisiken veröffentlicht und pflegt, die für jedes Unternehmen gelten, hat die Einhaltung dieser Standards und Richtlinien für viele Unternehmen des privaten Sektors höchste Priorität.

Mehrere NIST-Sonderveröffentlichungen enthalten spezifische Kontrollen, die von Unternehmen verlangen, dass sie Prozesse zur Identifizierung, Bewertung und Verwaltung von Risiken in der Lieferkette einrichten und umsetzen. Zu diesen NIST-Sonderveröffentlichungen gehören:

SP 800-53 Rev. 5: Sicherheits- und Datenschutzkontrollen für Informationssysteme und Organisationen
SP 800-161 Rev. 1: Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations
Cybersecurity Framework v2.0

Da sich die NIST-Richtlinien gegenseitig ergänzen, können Unternehmen, die eine spezielle Publikation standardisieren und auf die anderen übertragen, mehrere Anforderungen mit einem einzigen Rahmenwerk erfüllen. Die Prevalent Third-Party Risk Management Platform kann verwendet werden, um die NIST-Anforderungen für mehr Sicherheit in der Lieferkette zu erfüllen.

Relevante Anforderungen

Beurteilung, ob die Sicherheitskontrollen korrekt implementiert sind, wie vorgesehen funktionieren und die Anforderungen erfüllen
Kontinuierliche Überwachung der Sicherheitskontrollen, um ihre Wirksamkeit zu bestimmen
Festlegung von Cybersicherheitsanforderungen für Lieferanten
Umsetzung von Cybersicherheitsanforderungen durch formelle Vereinbarungen (z. B. Verträge)
Mitteilung an die Lieferanten, wie die Cybersicherheitsanforderungen überprüft und validiert werden
Überprüfung, ob die Cybersicherheitsanforderungen durch Bewertungsmethoden erfüllt werden

NIST SP 800-53r5 und SP 800-161r1 TPRM-Kontrollen Cross-Mapping

Die nachstehende Übersichtstabelle ordnet die in der Prevalent Third-Party Risk Management Platform verfügbaren Funktionen ausgewählten Drittanbieter-, Verkäufer- oder Lieferantenkontrollen zu, die in SP 800-53 enthalten sind, wobei SP 800-161 eine Querzuordnung vornimmt.

SP 800-53 r5 Kontrollnummer mit SP 800-161r1 Cross-Mapping	Wie wir helfen
SP 800 53 Kontrolle mit SP 800-161 Overlay CA-2 (1) Kontrollbeurteilungen \| Spezialisierte Beurteilungen CA-2 (3) Kontrollbeurteilungen \| Nutzung der Ergebnisse von externen Organisationen	Das Verbreitete Plattform für das Risikomanagement von Drittanbietern includes more than 100 standardized risk assessment survey templates – including for NIST, ISO and many others — a custom survey creation wizard, and a questionnaire that automatically maps responses to any compliance regulation or framework. All assessments are based on industry standards and address all information security topics as they pertain to supply chain partner security controls. Prevalent Vendor Threat Monitor (VTM) verfolgt und analysiert kontinuierlich extern beobachtbare Bedrohungen für Anbieter und andere Dritte. Der Service ergänzt und validiert die vom Anbieter gemeldeten Sicherheitskontrolldaten der Prevalent-Plattform, indem er das Internet und das Dark Web auf Cyber-Bedrohungen und Schwachstellen überwacht. Darüber hinaus werden die Bewertungsergebnisse mit Untersuchungen zu betrieblichen, finanziellen, rechtlichen und Markenrisiken in einem einheitlichen Risikoregister korreliert, das eine zentrale Risikostrukturierung und Reaktion ermöglicht. Mit der Prevalent-Plattform können Sie effizient mit Anbietern kommunizieren und Abhilfemaßnahmen koordinieren. Erfassen und prüfen Sie Gespräche, halten Sie geschätzte Fertigstellungstermine fest, akzeptieren oder lehnen Sie Eingaben auf Antwortbasis ab, weisen Sie Aufgaben auf der Grundlage von Risiken, Dokumenten oder Unternehmen zu und ordnen Sie Dokumentation und Nachweise den Risiken zu.
SP 800 53 Kontrolle mit SP 800-161 Overlay CA-7 (3) Kontinuierliche Überwachung \| Trendanalysen	Prevalent VTM deckt Cyber-Vorfälle von Dritten für 550.000 aktiv verfolgte Unternehmen auf, indem es mehr als 1.500 kriminelle Foren, Tausende von Onion-Seiten, mehr als 80 Dark-Web-Special-Access-Foren, mehr als 65 Bedrohungs-Feeds und mehr als 50 Paste-Sites für durchgesickerte Anmeldedaten sowie mehrere Sicherheits-Communities, Code-Repositories und Schwachstellen-Datenbanken überwacht. Prevalent normalisiert, korreliert und analysiert dann Informationen aus verschiedenen Inputs, einschließlich Inside-Out-Risikobewertungen und Outside-In-Überwachung von Prevalent Vendor Threat Monitor und BitSight. Dieses einheitliche Modell liefert Kontext, Quantifizierung, Management und Unterstützung bei der Behebung.
SP 800 53 Kontrolle mit SP 800-161 Overlay CP-2 (3) Notfallplan \| Koordinierung mit externen Dienstleistern	Das Prevalent Third-Party Incident Response Service enables you to rapidly identify and mitigate the impact of supply chain breaches by centrally managing vendors, proactively conducting event assessments, scoring identified risks, and accessing remediation guidance. Die Prevalent-Plattform umfasst einheitliche Funktionen zur Bewertung, Analyse und Behebung von Schwachstellen in den Resilienzplänen von Lieferanten. So können Sie proaktiv mit Ihrer Lieferantengemeinschaft zusammenarbeiten, um sich auf Pandemien, Umweltkatastrophen und andere potenzielle Krisen vorzubereiten. Die Prevalent-Plattform ermöglicht nicht nur automatisierte, regelmäßige Bewertungen auf der Grundlage interner Kontrollen, sondern bietet auch eine Überwachung der Cybersicherheit, des Geschäfts, des Rufs und der Finanzen, indem sie Dritte kontinuierlich bewertet, um potenzielle Schwachstellen zu identifizieren, die von Cyberkriminellen ausgenutzt werden können. Alle Risikoinformationen werden zentralisiert, korreliert und in einem einzigen Risikoregister analysiert, das die Berichterstattung und Reaktion automatisiert und ein flexibles, gewichtetes Scoring-Modell auf der Grundlage der Wahrscheinlichkeit eines Ereignisses und seiner Auswirkungen bietet.
SP 800 53 Kontrolle mit SP 800-161 Overlay IR-4 (3) Behandlung von Zwischenfällen \| Koordinierung der Lieferkette	Das Prevalent Third-Party Incident Response Service enables you to rapidly identify and mitigate the impact supply chain breaches by centrally managing vendors, proactively conducting event assessments, scoring identified risks, and accessing remediation guidance. Die Prevalent-Plattform umfasst einheitliche Funktionen zur Bewertung, Analyse und Behebung von Schwachstellen in den Resilienzplänen von Lieferanten. So können Sie proaktiv mit Ihrer Lieferantengemeinschaft zusammenarbeiten, um sich auf Pandemien, Umweltkatastrophen und andere potenzielle Krisen vorzubereiten. Die Prevalent-Plattform ermöglicht nicht nur automatisierte, regelmäßige Bewertungen auf der Grundlage interner Kontrollen, sondern bietet auch eine Überwachung der Cybersicherheit, des Geschäfts, des Rufs und der Finanzen, indem sie Dritte kontinuierlich bewertet, um potenzielle Schwachstellen zu identifizieren, die von Cyberkriminellen ausgenutzt werden können. Alle Risikoinformationen werden zentralisiert, korreliert und in einem einzigen Risikoregister analysiert, das die Berichterstattung und Reaktion automatisiert und ein flexibles, gewichtetes Scoring-Modell auf der Grundlage der Wahrscheinlichkeit eines Ereignisses und seiner Auswirkungen bietet.
SP 800 53 Kontrolle mit SP 800-161 Overlay IR-5 Überwachung von Vorfällen	Prevalent Contract Essentials ist eine SaaS-Lösung, die die Verteilung, Diskussion, Aufbewahrung und Überprüfung von Lieferantenverträgen zentralisiert. Sie umfasst auch Workflow-Funktionen zur Automatisierung des Vertragslebenszyklus von der Aufnahme bis zur Beendigung der Zusammenarbeit. Mit Contract Essentials verfügen Ihre Beschaffungs- und Rechtsteams über eine einzige Lösung, um sicherzustellen, dass die wichtigsten Vertragsklauseln vorhanden sind und dass Servicelevel und Reaktionszeiten verwaltet werden.
SP 800 53 Kontrolle mit SP 800-161 Overlay IR-6 (1) Meldung von Zwischenfällen \| Koordinierung der Lieferkette	Alle Risikoinformationen in der Prevalent-Plattform werden zentralisiert, korreliert und in einem einzigen Risikoregister analysiert, das die Berichterstattung und Reaktion automatisiert und ein flexibles gewichtetes Scoring-Modell auf der Grundlage der Wahrscheinlichkeit eines Ereignisses und seiner Auswirkungen bietet.
SP 800 53 Kontrolle mit SP 800-161 Overlay IR-8 Plan zur Reaktion auf Zwischenfälle	Der Prevalent Third-Party Incident Response Service ermöglicht es Ihnen, die Auswirkungen von Sicherheitsverletzungen in der Lieferkette schnell zu erkennen und abzumildern, indem Sie Anbieter zentral verwalten, Ereignisbewertungen durchführen, erkannte Risiken bewerten und auf Anleitungen zur Abhilfe zugreifen. Der Incident Response Service bietet die Grundlage, um auf Fragen von Vorständen und Geschäftsführern zu den Auswirkungen von Vorfällen in der Lieferkette gut vorbereitet zu sein und den Nachweis Ihres Plans zur Reaktion auf Sicherheitsverletzungen durch Dritte gegenüber Wirtschaftsprüfern und Aufsichtsbehörden zu erbringen.
SP 800 53 Kontrolle mit SP 800-161 Overlay PM-16 Programm zur Sensibilisierung für Bedrohungen	Prevalent VTM deckt Cyber-Vorfälle von Dritten für 550.000 aktiv verfolgte Unternehmen auf, indem es mehr als 1.500 kriminelle Foren, Tausende von Onion-Seiten, mehr als 80 Dark-Web-Special-Access-Foren, mehr als 65 Bedrohungs-Feeds und mehr als 50 Paste-Sites für durchgesickerte Anmeldedaten sowie mehrere Sicherheits-Communities, Code-Repositories und Schwachstellen-Datenbanken überwacht. Prevalent normalisiert, korreliert und analysiert dann Informationen aus verschiedenen Inputs, einschließlich Inside-Out-Risikobewertungen und Outside-In-Überwachung von Prevalent Vendor Threat Monitor und BitSight. Dieses einheitliche Modell liefert Kontext, Quantifizierung, Management und Unterstützung bei der Behebung. Alle Risikoinformationen in der Prevalent-Plattform werden zentralisiert, korreliert und in einem einzigen Risikoregister analysiert, das die Berichterstattung und Reaktion automatisiert und ein flexibles gewichtetes Scoring-Modell auf der Grundlage der Wahrscheinlichkeit eines Ereignisses und seiner Auswirkungen bietet.
SP 800 53 Kontrolle mit SP 800-161 Overlay PM-31 Strategie zur kontinuierlichen Überwachung	Prevalent VTM deckt Cyber-Vorfälle von Dritten für 550.000 aktiv verfolgte Unternehmen auf, indem es mehr als 1.500 kriminelle Foren, Tausende von Onion-Seiten, mehr als 80 Dark-Web-Special-Access-Foren, mehr als 65 Bedrohungs-Feeds und mehr als 50 Paste-Sites für durchgesickerte Anmeldedaten sowie mehrere Sicherheits-Communities, Code-Repositories und Schwachstellen-Datenbanken überwacht. Prevalent normalisiert, korreliert und analysiert dann Informationen aus verschiedenen Inputs, einschließlich Inside-Out-Risikobewertungen und Outside-In-Überwachung von Prevalent Vendor Threat Monitor und BitSight. Dieses einheitliche Modell liefert Kontext, Quantifizierung, Management und Unterstützung bei der Behebung. Alle Risikoinformationen in der Prevalent-Plattform werden zentralisiert, korreliert und in einem einzigen Risikoregister analysiert, das die Berichterstattung und Reaktion automatisiert und ein flexibles gewichtetes Scoring-Modell auf der Grundlage der Wahrscheinlichkeit eines Ereignisses und seiner Auswirkungen bietet.
SP 800 53 Kontrolle mit SP 800-161 Overlay RA-1 Politik und Verfahren	Die Prevalent-Plattform umfasst mehr als 100 standardisierte Vorlagen für Risikobewertungen - darunter für NIST, ISO und viele andere -, einen Assistenten für die Erstellung benutzerdefinierter Umfragen und einen Fragebogen, der die Antworten auf alle Compliance-Vorschriften oder -Rahmenwerke abbildet. Alle Bewertungen basieren auf Industriestandards und befassen sich mit allen Themen der Informationssicherheit, die für die Sicherheitskontrollen von Lieferkettenpartnern relevant sind. Mit der Prevalent-Plattform können Sie nach Abschluss der Umfrage automatisch ein Risikoregister erstellen und sicherstellen, dass das gesamte Risikoprofil (oder eine rollenspezifische Version) im zentralen Echtzeit-Berichts-Dashboard angezeigt werden kann. Auf diese Weise wird unnötiges Rauschen herausgefiltert und der Fokus auf mögliche Problembereiche gelenkt, um die Wirksamkeit des Programms zu messen. Anschließend können Sie mithilfe von integrierten Empfehlungen und Anleitungen Maßnahmen ergreifen, um das Lieferantenrisiko zu verringern.
SP 800 53 Kontrolle mit SP 800-161 Overlay RA-3 Risikobewertung	Die Prevalent-Plattform umfasst mehr als 100 standardisierte Vorlagen für Risikobewertungen - darunter für NIST, ISO und viele andere -, einen Assistenten für die Erstellung benutzerdefinierter Umfragen und einen Fragebogen, der die Antworten auf alle Compliance-Vorschriften oder -Rahmenwerke abbildet. Alle Bewertungen basieren auf Industriestandards und behandeln alle Themen der Informationssicherheit, die sich auf die Sicherheitskontrollen von Lieferkettenpartnern beziehen. Prevalent bietet Fachleuten aus den Bereichen Sicherheit, Datenschutz und Risikomanagement eine automatisierte Plattform zur Verwaltung des Risikobewertungsprozesses von Lieferanten und zur Ermittlung der Einhaltung von IT-Sicherheits-, Gesetzes- und Datenschutzanforderungen durch die Lieferanten. Die Prevalent-Plattform ermöglicht nicht nur automatisierte, regelmäßige Bewertungen auf der Grundlage interner Kontrollen, sondern bietet auch eine Überwachung der Cybersicherheit, des Geschäfts, des Rufs und der Finanzen, indem sie Dritte kontinuierlich bewertet, um potenzielle Schwachstellen zu identifizieren, die von Cyber-Kriminellen ausgenutzt werden können. Alle Risikoinformationen in der Prevalent-Plattform werden zentralisiert, korreliert und in einem einzigen Risikoregister analysiert, das die Berichterstattung und Reaktion automatisiert und ein flexibles gewichtetes Scoring-Modell auf der Grundlage der Wahrscheinlichkeit eines Ereignisses und seiner Auswirkungen bietet.
SP 800 53 Kontrolle mit SP 800-161 Overlay RA-7 Risikoreaktion	Die Prevalent-Plattform bietet integrierte Anleitungen zur Behebung von Kontrollmängeln oder anderen identifizierten Risiken auf einem für Ihr Unternehmen akzeptablen Niveau. Prevalent ermöglicht es Risikobewertern auch, mit Dritten über Abhilfemaßnahmen zu kommunizieren, Gespräche und Aktualisierungen zu dokumentieren und unterstützende Kontrolldokumente in einem zentralen Repository zu speichern.
SP 800 53 Kontrolle mit SP 800-161 Overlay RA-9 Kritikalitätsanalyse	Prevalent bietet einen inhärenten Fragebogen zur Risikobewertung mit einer klaren Punktebewertung auf der Grundlage von acht Kriterien zur Erfassung, Verfolgung und Quantifizierung von Risiken für alle Drittparteien. Die Bewertungskriterien umfassen: Art des für die Validierung der Kontrollen erforderlichen Inhalts Kritische Bedeutung für die Unternehmensleistung und den Betrieb Standort(e) und damit verbundene rechtliche oder regulatorische Erwägungen Grad der Abhängigkeit von vierten Parteien (zur Vermeidung von Konzentrationsrisiken) Exposition gegenüber operativen oder kundenorientierten Prozessen *Interaktion mit geschützten Daten Finanzieller Status und Gesundheit Reputation Mithilfe der inhärenten Risikobewertung können Sie Lieferanten automatisch in eine bestimmte Kategorie einordnen, geeignete Stufen für weitere Prüfungen festlegen und den Umfang nachfolgender, regelmäßiger Prüfungen bestimmen. Die regelbasierte Tiering-Logik ermöglicht die Kategorisierung von Lieferanten auf der Grundlage einer Reihe von Überlegungen zur Dateninteraktion sowie zu finanziellen, regulatorischen und Reputationsaspekten.
SP 800 53 Kontrolle mit SP 800-161 Overlay SA-4 (3) Beschaffungsprozess \| Plan zur kontinuierlichen Überwachung von Kontrollen	Die Prevalent-Plattform ermöglicht nicht nur automatisierte, regelmäßige Bewertungen auf der Grundlage interner Kontrollen, sondern bietet auch eine Überwachung der Cybersicherheit, des Geschäfts, des Rufs und der Finanzen, indem sie Dritte kontinuierlich bewertet, um potenzielle Schwachstellen zu identifizieren, die von Cyber-Kriminellen ausgenutzt werden können. Alle Risikoinformationen in der Prevalent-Plattform werden zentralisiert, korreliert und in einem einzigen Risikoregister analysiert, das die Berichterstattung und Reaktion automatisiert und ein flexibles gewichtetes Scoring-Modell auf der Grundlage der Wahrscheinlichkeit eines Ereignisses und seiner Auswirkungen bietet.
SP 800 53 Kontrolle mit SP 800-161 Overlay SI-4 (1) Systemüberwachung \| Integrierte Situationsanalyse (Integrated Situational Awareness)	Prevalent VTM verfolgt und analysiert kontinuierlich extern beobachtbare Bedrohungen für Anbieter und andere Dritte. Der Service ergänzt und validiert die von den Anbietern gemeldeten Sicherheitskontrolldaten aus der Prevalent-Plattform, indem er das Internet und das Dark Web auf Cyber-Bedrohungen und Schwachstellen überwacht und die Bewertungsergebnisse mit Untersuchungen zu betrieblichen, finanziellen, rechtlichen und Markenrisiken in einem einheitlichen Risikoregister korreliert, das eine zentrale Risikostrukturierung und Reaktion ermöglicht. Alle Risikoinformationen in der Prevalent-Plattform werden zentralisiert, korreliert und in einem einzigen Risikoregister analysiert, das die Berichterstattung und Reaktion automatisiert und ein flexibles gewichtetes Scoring-Modell auf der Grundlage der Wahrscheinlichkeit eines Ereignisses und seiner Auswirkungen bietet.
SP 800 53 Kontrolle mit SP 800-161 Overlay SI-5 Sicherheitswarnungen, -hinweise und -richtlinien	Prevalent VTM verfolgt und analysiert kontinuierlich extern beobachtbare Bedrohungen für Anbieter und andere Dritte. Der Service ergänzt und validiert die von den Anbietern gemeldeten Sicherheitskontrolldaten aus der Prevalent-Plattform, indem er das Internet und das Dark Web auf Cyber-Bedrohungen und Schwachstellen überwacht und die Bewertungsergebnisse mit Untersuchungen zu betrieblichen, finanziellen, rechtlichen und Markenrisiken in einem einheitlichen Risikoregister korreliert, das eine zentrale Risikostrukturierung und Reaktion ermöglicht. Alle Risikoinformationen in der Prevalent-Plattform werden zentralisiert, korreliert und in einem einzigen Risikoregister analysiert, das die Berichterstattung und Reaktion automatisiert und ein flexibles gewichtetes Scoring-Modell auf der Grundlage der Wahrscheinlichkeit eines Ereignisses und seiner Auswirkungen bietet.

SP 800-53 r5 Kontrollnummer mit SP 800-161r1 Cross-Mapping

Wie wir helfen