Welches Security Framework ist der beste Ausgangspunkt? Wir haben es gemessen

„Mit welchem Framework sollten wir beginnen?“ gehört zu den ersten Fragen, vor die sich jedes Security-Programm gestellt sieht, und die üblichen Antworten sind Meinungen. Wir wollten eine Zahl: Wenn Sie Framework X umsetzen, wie viel von jedem anderen Framework haben Sie dann bereits abgedeckt?

ControlMapping ordnet die Anforderungen von elf Frameworks einander zu, daher können wir das messen. Für jedes Framework haben wir nacheinander jedes andere Framework betrachtet und gezählt, wie viele seiner Anforderungen mindestens eine Zuordnung zum ersten Framework haben. Anschließend haben wir den Durchschnitt über die zehn gebildet.

Das Ranking

Wenn Sie haben:	Durchschnittlicher Anteil zugeordneter anderer Frameworks	Deckt größtenteils ab	Geringste Abdeckung bei
800-53	80%	CIS v8.1 (100%)	PCI DSS (30%)
ISO 27001	69%	CIS v8.1 (100%)	PCI DSS (30%)
PCI DSS	66%	CIS v8.1 (95%)	800-53 (28%)
SOC 2	64%	CIS v8.1 (98%)	800-53 (26%)
NIST CSF 2.0	62%	CIS v8.1 (100%)	800-53 (29%)
NIS2	61%	CIS v8.1 (94%)	800-53 (25%)
CMMC	58%	CIS v8.1 (93%)	PCI DSS (26%)
HIPAA	50%	GDPR (92%)	PCI DSS (20%)
CIS v8.1	44%	NIS2 (69%)	800-53 (21%)
GDPR	37%	NIS2 (59%)	Essential Eight (12%)
Essential Eight	24%	CIS v8.1 (50%)	800-53 (9%)

Anteil = Anforderungen des anderen Frameworks mit mindestens einer Zuordnung (Crosswalk oder editorial) zu diesem, gemittelt über die anderen 10. Live berechnet aus denselben Daten wie Lückenanalyse.

Zwei Frameworks stechen heraus. NIST SP 800-53 ist dem größten Anteil alles Übrigen zugeordnet, was nicht überrascht: Es ist ein Katalog mit Hunderten von Kontrollen, der nahezu jedes Thema der Informationssicherheit und des Datenschutzes abdeckt, und NIST veröffentlicht offizielle Zuordnungen von ihm zu CSF 2.0 und ISO 27001. ISO 27001 folgt an zweiter Stelle, weil Anhang A dasselbe Terrain auf höherer Ebene abdeckt und die Klauseln zum Managementsystem Governance-Anforderungen ergänzen, die die meisten Frameworks berühren.

Am anderen Ende steht die Essential Eight, die am wenigsten zugeordnet ist, und zwar absichtlich. Sie besteht aus acht gezielten Mitigationsstrategien, nicht aus einem vollständigen Programm, daher lässt ihre Umsetzung den größten Teil jedes anderen Frameworks unberührt. DSGVO (GDPR) liegt aus einem ähnlichen Grund niedrig: Nur seine Sicherheitsartikel sind im Geltungsbereich.

Die Zahlen sorgfältig lesen

Drei Dinge sind im Blick zu behalten:

• Zugeordnet ist nicht erfüllt. Eine Zuordnung bedeutet, dass zwei Anforderungen denselben Sachverhalt adressieren. Die Schwachstellenkontrolle von ISO 27001 und die vierteljährliche Scan-Anforderung von PCI DSS sind zugeordnet, doch die Erfüllung der ersten erfüllt nicht die zweite.
• Granulare Frameworks wirken leicht abzudecken. Fast jedes Framework scheint nahezu alle CIS Controls abzudecken. CIS hat 153 spezifische Safeguards, daher berühren die meisten Frameworks jeden auf Themenebene. Die meisten CIS-Verknüpfungen beruhen auf unserer redaktionellen Einschätzung, da das veröffentlichte Crosswalk von CIS nur 49 Safeguards abdeckt. Betrachten Sie die CIS-Spalte als „berührt“, nicht als „erledigt“.
• Spezifische Frameworks wirken schwer abzudecken. PCI DSS und SP 800-53 sind für andere am schwersten abzudecken, weil sie viele detaillierte Anforderungen enthalten, die breitere Frameworks nicht ausformulieren.

Wer fragt, entscheidet

Die Messung zeigt, welches Framework die breiteste Grundlage bietet. Sie zeigt nicht, welches Sie benötigen, und das entscheidet meist die Frage:

• Kunden aus dem US-Unternehmensbereich fordern einen SOC-2-Bericht. Hängt ein Geschäft davon ab, starten Sie dort.
• Internationale Kunden, Ausschreibungen und Aufsichtsbehörden fordern eine Zertifizierung nach ISO 27001.
• US-Bundesaufträge erfordern SP 800-53 (und FedRAMP für Cloud), Verteidigungsaufträge erfordern CMMC Level 2.
• Kartenzahlungen erfordern PCI DSS, unabhängig von allem anderen.
• EU-Anbieter digitaler Dienste und kritischer Sektoren benötigen NIS2.
• Fragt noch niemand? ISO 27001 oder NIST CSF 2.0 bieten die breiteste Basis. CSF ist kostenlos und in der Einführung leichter; ISO liefert ein Zertifikat, wenn Sie eines brauchen. SP 800-53 deckt am meisten ab, doch sein Umfang macht es für die meisten Privatunternehmen zu einem schweren ersten Schritt.

Dann erweitern, nicht neu beginnen

Mit welchem Framework Sie auch beginnen, das zweite ist günstiger als das erste. Führen Sie eine Lückenanalyse vom vorhandenen Framework zu dem benötigten durch, und Sie erhalten die anforderungsgenaue Liste dessen, was übernommen werden kann und was neu ist, mit dem Nachweis für jede Verknüpfung. Die Vergleiche behandeln die häufigsten Paare ausführlicher, etwa ISO 27001 vs SOC 2 und NIST CSF vs ISO 27001.

So haben wir gemessen

Für jedes geordnete Paar von Frameworks haben wir dieselbe Berechnung verwendet wie bei der Lückenanalyse: Eine Anforderung gilt als zugeordnet, wenn sie demselben ControlMapping-Thema zugeordnet ist wie eine Anforderung des anderen Frameworks oder direkt mit einer solchen verbunden ist, und zwar durch ein veröffentlichtes Crosswalk oder eine redaktionelle Verknüpfung mit begründetem Grund. Anforderungen, die lediglich ein NIST-CSF-2.0-Ergebnis teilen („Lose verwandt“), zählen nicht. Die oben genannten Zahlen werden live aus den aktuellen Daten berechnet; siehe die Methodik.

Fragen

Welches Security Framework deckt die meisten der anderen ab?

In den Daten von ControlMapping deckt NIST SP 800-53 im Durchschnitt den größten Anteil der Anforderungen anderer Frameworks ab, gefolgt von ISO 27001. Eine Zuordnung bedeutet, dass die Anforderungen verwandte Ergebnisse adressieren, nicht dass eines das andere erfüllt.

Sollte ein kleines Unternehmen mit ISO 27001 oder mit SOC 2 beginnen?

Beginnen Sie mit dem, was Ihre Kunden verlangen. Fragt noch niemand, bieten ISO 27001 oder NIST CSF die breiteste Grundlage; SOC 2 ist der schnellste Weg zu einem Bericht, wenn ein US-Geschäft davon abhängt.