Die Wahl des Ziel-Reifegrads der Essential Eight

Das Essential Eight Maturity Model der ASD legt für jede der acht Gegenmaßnahmen drei Stufen fest. Ein verbreiteter Fehler ist, sie als Noten zu betrachten, mit Level Three als Ziel für alle. Das sind sie nicht. Jede Stufe ist darauf ausgelegt, eine andere Art von Angreifer abzuwehren, und das richtige Ziel hängt von Ihrem Bedrohungsumfeld ab.

Wofür jede Stufe da ist

• Level One wehrt Angreifer ab, die opportunistisch handelsübliche Techniken einsetzen: frei verfügbare Exploits, gestohlene Zugangsdaten, an beliebige Empfänger verschickte Schaddokumente.
• Level Two wehrt Angreifer ab, die bereit sind, mehr Zeit und Aufwand zu investieren und gezielt eine Organisation anzugreifen, sich dabei aber weiterhin größtenteils auf bekannte Techniken stützen.
• Level Three wehrt adaptive Angreifer ab, die weniger auf öffentliche Werkzeuge angewiesen sind, neue Schwachstellen rasch ausnutzen und daran arbeiten, Erkennung zu umgehen.

Die Anforderungen werden auf jeder Stufe strenger: kürzere Fristen für Patches, MFA für mehr Benutzer und Systeme sowie phishingresistente Verfahren, Application Control auf mehr Systemen und Dateitypen, strengere Einschränkungen für administrative Berechtigungen und Backups.

Die Auswahl treffen

1. Bei der Bedrohung ansetzen. Wer möchte haben, was Sie besitzen? Regierungsdaten, kritische Infrastrukturen, Finanzdienstleistungen und hochwertiges geistiges Eigentum ziehen leistungsfähigere Angreifer an.
2. Pflichten prüfen. Australian Government non-corporate Commonwealth entities (nicht-kommerzielle Bundeseinheiten der australischen Regierung) sollen Reifegrad Level Two erreichen. Kunden, Aufsichtsbehörden und Versicherer können eigene Erwartungen festlegen.
3. Die eigenen Fähigkeiten realistisch einschätzen. Level Three erfordert technischen Aufwand und betriebliche Disziplin, die ein kleines IT-Team möglicherweise nicht dauerhaft aufbringen kann.
4. Ein Ziel für alle acht wählen. Die ASD empfiehlt, bei allen Gegenmaßnahmen dasselbe Niveau zu erreichen, bevor eine davon höher angehoben wird. Ein Level-Three-Patchprogramm mit Level-Zero-Application-Control lässt die Tür offen.

Typische Vorgehensweisen

• Die meisten Organisationen: Level One bei allen acht, danach Level Two.
• Organisationen mit sensiblen Regierungs- oder kritischen Daten: Level Two als Grundlage, mit ausgewählten Level-Three-Anforderungen auf den am stärksten gefährdeten Systemen.
• Hochbedrohte Umgebungen: Level Three, meist System für System erreicht.

Die Entscheidung dokumentieren

Wenn Sie ein ISO 27001 ISMS betreiben, halten Sie die gewählte Stufe und deren Begründung in Ihrer Risikobewertung und Ihrer Erklärung zur Anwendbarkeit (Statement of Applicability) fest. Das liefert Auditoren und Prüfern die Begründung und macht die Essential Eight zum Umsetzungsstandard für die passenden Annex-A-Maßnahmen, wie unsere Analyse Essential Eight vs. ISO 27001 erläutert.

Häufige Fehler bei der Zielsetzung

• Level Three bei einer Gegenmaßnahme anstreben, während andere auf Level Zero stehen. Angreifer nutzen die schwächste Gegenmaßnahme, nicht die stärkste.
• Abdeckung statt Wirksamkeit zählen. Application Control, die auf der Hälfte der Arbeitsplatzrechner eingesetzt ist, entspricht nicht Level One; jede Anforderung muss auf allen Systemen im Geltungsbereich erfüllt sein.
• Ausnahmen ignorieren. Jede Ausnahme (ein ungepatchtes Altsystem, ein von der Makroblockierung befreiter Benutzer) braucht einen Verantwortlichen, kompensierende Maßnahmen und ein Enddatum, sonst ist der Reifegrad fiktiv.
• Anhand von Interviews bewerten. Die Bewertungsleitlinien der ASD stufen Nachweise ab: Die direkte Prüfung einer Maßnahme ist am aussagekräftigsten, Dokumentation und Interviews sind am schwächsten. Selbstbewertungen, die sich auf Aussagen von Personen stützen, überschätzen den Reifegrad.
• Ein Ziel nur einmal festlegen. Bedrohungen ändern sich, und das Reifegradmodell ebenso; die ASD aktualisiert es regelmäßig. Überprüfen Sie das Ziel jährlich zusammen mit Ihrer Risikobewertung.

Wichtigste Erkenntnisse

• Jede Reifegradstufe zielt auf einen anderen Angreifer; wählen Sie anhand von Bedrohung und Pflicht.
• Erreichen Sie dasselbe Niveau bei allen acht Gegenmaßnahmen, bevor Sie eine davon anheben.
• Level Two ist das übliche erste Ziel.

Fortschritt messen

Bewerten Sie jede Gegenmaßnahme anhand des Essential Eight Assessment Process Guide der ASD, nach Möglichkeit mit Systemtests; eine Gegenmaßnahme erreicht eine Stufe erst, wenn jede Anforderung auf dieser und den darunterliegenden Stufen erfüllt ist. Verfolgen Sie die niedrigste über alle acht erreichte Stufe als Ihre zentrale Kennzahl.

Die Seite jeder Gegenmaßnahme listet ihre ISM-Maßnahmen nach Reifegradstufe auf, zum Beispiel Anwendungen patchen und Multi-Faktor-Authentifizierung. Der Leitfaden zu den Essential Eight behandelt die Bewertung ausführlicher.

Fragen

Welchen Essential-Eight-Reifegrad sollten wir anstreben?

Wählen Sie nach Bedrohung: Level One für opportunistische Angreifer mit handelsüblichen Werkzeugen, Level Two für Angreifer, die bereit sind, mehr Aufwand zu investieren, Level Three für adaptive Angreifer. Level Two ist das übliche erste Ziel und die Erwartung an australische Bundesbehörden (non-corporate Commonwealth entities).

Dürfen verschiedene Gegenmaßnahmen auf unterschiedlichen Reifegradstufen stehen?

Sie können getrennt bewertet werden, die ASD empfiehlt jedoch, bei allen acht dasselbe Niveau zu erreichen, bevor eine davon höher angehoben wird.

Wie lange dauert es, Maturity Level Two zu erreichen?

Das hängt vom Ausgangspunkt und der Größe der Umgebung ab. Organisationen, die bei allen acht Gegenmaßnahmen bereits Level One erreicht haben, schaffen Level Two oft in einigen Monaten; wer bei null beginnt, sollte mehr Zeit einplanen und Gegenmaßnahme für Gegenmaßnahme vorgehen.