Die Sicherheitsthemen, die die wenigsten Frameworks verlangen, und warum das wichtig ist

Ein Sicherheitsprogramm, das nur aus Compliance-Anforderungen aufgebaut ist, ist tendenziell dort am stärksten, wo sich Frameworks einig sind, und dort am schwächsten, wo sie schweigen. Wir haben alle fünfzig ControlMapping-Themen danach sortiert, wie viele der elf Frameworks eine Anforderung auf sie abbilden. Das untere Ende dieser Liste ist der Bereich, in dem ein framework-getriebenes Programm am ehesten blinde Flecken hat.

Die am wenigsten geforderten Themen

Thema	Zugeordnet in	Keine Zuordnung in
DNS-Sicherheit	4 von 11	SOC 2, PCI DSS, CMMC, HIPAA, GDPR, NIS2, Essential Eight
API-Sicherheit	5 von 11	SOC 2, CMMC, HIPAA, GDPR, NIS2, Essential Eight
Geschäftsumfeld	5 von 11	CIS v8.1, CMMC, HIPAA, GDPR, NIS2, Essential Eight
Threat Intelligence	5 von 11	CIS v8.1, SOC 2, HIPAA, GDPR, NIS2, Essential Eight
WAF	6 von 11	CMMC, HIPAA, GDPR, NIS2, Essential Eight
Forensik	7 von 11	CIS v8.1, HIPAA, GDPR, Essential Eight
Kommunikation	7 von 11	PCI DSS, HIPAA, GDPR, Essential Eight
Mobile Security	7 von 11	PCI DSS, GDPR, NIS2, Essential Eight
Webanwendungssicherheit	7 von 11	HIPAA, GDPR, NIS2, Essential Eight
Angriffserkennung	8 von 11	HIPAA, GDPR, Essential Eight

Warum diese Themen fehlen

Frameworks sind auf einer Ebene oberhalb der Technik formuliert. ISO 27001, SOC 2 und DSGVO (GDPR) beschreiben Ergebnisse („Informationen in Netzwerken schützen“, „sichere Entwicklung“), die für jede Technologie gelten, und nennen daher selten DNS, APIs oder Web Application Firewalls beim Namen. Diese Themen sind implizit abgedeckt, durch übergreifende Kontrollen, sofern Ihre Risikobewertung sie einbezieht.

Frameworks hinken der Bedrohungslage hinterher. Viele wurden entworfen, als der Perimeter eine Firewall war und Anwendungen installierte Software. APIs, cloudgehostete Webanwendungen und DNS-Missbrauch wurden häufige Angriffspfade schneller, als Standards überarbeitet wurden. ISO 27001:2022 hat Threat Intelligence und Web-Filterung als neue Kontrollen aufgenommen; CSF 2.0 stärkte Lieferketten- und Plattformsicherheit. Andere hinken noch hinterher.

Einige Themen sind Kontext, keine Kontrollen. „Geschäftsumfeld“ (das Verständnis Ihrer Mission, Stakeholder und Abhängigkeiten) ist Governance-Grundlagenarbeit. Frameworks setzen sie voraus, statt sie zu verlangen.

Warum das wichtig ist

Angreifer lesen keine Frameworks. Einige der am wenigsten geforderten Themen gehören in der Praxis zu den am häufigsten ausgenutzten: exponierte APIs, verwundbare Webanwendungen und DNS-Manipulation. Ein Programm, das nur umsetzt, wonach Prüfer fragen, kann jedes Audit bestehen und diese Lücken trotzdem offen lassen.

Die Themen am unteren Ende der Liste sind der Punkt, an dem Ihre eigene Risikobewertung die Arbeit leisten muss, die die Frameworks nicht leisten.

Wichtigste Erkenntnisse

• DNS-Sicherheit, Threat Intelligence, API-Sicherheit und der Schutz von Webanwendungen werden von den wenigsten Frameworks verlangt, die wir abbilden.
• Das liegt vor allem daran, dass Frameworks oberhalb der Technik formuliert und nur langsam überarbeitet werden, nicht daran, dass diese Themen weniger wichtig wären.
• Mehrere der am wenigsten geforderten Themen gehören in der Praxis zu den am häufigsten ausgenutzten Angriffspfaden.
• Ihre eigene Risikobewertung muss abdecken, was Frameworks auslassen, und eine begründete Entscheidung sollte in jedem Fall dokumentiert werden.

Was zu tun ist

• Prüfen Sie das untere Ende der Liste gegen Ihre eigene Angriffsfläche. Wenn Sie öffentliche APIs oder Webanwendungen betreiben, sind API-Sicherheit und Websicherheit relevant, unabhängig davon, was Ihre Frameworks sagen.
• Nutzen Sie das spezifischste Framework, das ein Thema abdeckt, als Ihren Maßstab, auch wenn Sie nicht dagegen zertifiziert sind. Die CIS Controls und PCI DSS sind bei technischen Themen oft spezifischer als ISO 27001; die Themenseiten zeigen, wer was verlangt.
• Dokumentieren Sie die Entscheidung. Wenn Ihre Risikobewertung zu dem Schluss kommt, dass ein Thema nicht zutrifft, halten Sie den Grund fest. Prüfer akzeptieren einen begründeten Ausschluss; Angreifer kümmert es in beiden Fällen nicht.

Die Abdeckungsmatrix zeigt alle fünfzig Themen gegen alle elf Frameworks auf einen Blick. Für das gegenüberliegende Ende der Liste siehe die Themen, die alle Frameworks teilen.

Fragen

Welche Sicherheitsthemen verlangen die wenigsten Frameworks?

In den Daten von ControlMapping werden DNS-Sicherheit, Threat Intelligence, API-Sicherheit, Geschäftsumfeld und Web Application Firewalls in den wenigsten der 11 Frameworks abgebildet.

Wenn ein Framework eine Kontrolle nicht verlangt, kann ich sie auslassen?

Unter Compliance-Gesichtspunkten vielleicht; unter Sicherheitsgesichtspunkten selten. Die meisten Frameworks sind risikobasiert, daher bedeutet ein fehlendes Thema meist ‚durch Ihre Risikobewertung abgedeckt‘, nicht ‚unnötig‘.

Welches Framework deckt API-Sicherheit am besten ab?

Keines deckt sie umfassend ab. Die Anforderungen der CIS Controls zur Sicherheit von Anwendungssoftware sowie die Anforderungen von PCI DSS zu sicherer Entwicklung und öffentlich zugänglichen Webanwendungen gehören zu den spezifischsten; das OWASP API Security Top 10 ist die übliche technische Referenz.