Cybersicherheits- und Resilienzmethode (CSRM)

Das BACS hat eine Cybersicherheits- und Resilienzmethode (CSRM) entwickelt, die von Organisationen und Unternehmen genutzt werden kann, um ihre Cybersicherheit und Resilienz zu stärken.

Mit der zunehmenden Digitalisierung von Gesellschaft und Wirtschaft stellt auch die Gewährleistung von Cybersicherheit und Resilienz eine immer grösser werdende Herausforderung dar. Obwohl es zahlreiche Standards, Empfehlungen und Modelle rund um die Thematik Cyberresilienz gibt, ist Organisationen und Unternehmen häufig nicht bekannt, wie sie das Thema angehen und ihre Cybersicherheit und Resilienz stärken und nachhaltig verbessern können. Es fehlen konkrete und praktikable Vorgaben und Orientierungshilfen.

Vor diesem Hintergrund schlägt das BACS mit seiner Cybersicherheits- und Resilienzmethode (CSRM) eine strukturierte Vorgehensweise in fünf Schritten vor. Diese erlaubt es Organisationen und Unternehmen, unabhängig von Grösse und Branchenzugehörigkeit, ihre Cybersicherheit und Resilienz zu stärken und nachhaltig zu verbessern.

Schrittweises Vorgehen

Die Methode basiert auf einem erweiterten Grundschutzansatz und umfasst die folgenden Schritte:

Schritt 1

Analyse der wichtigen Tätigkeiten und Geschäfts- und Produktionsprozesse der Organisation oder des Unternehmens.

Schritt 2

Bestimmung der diesen Tätigkeiten und Prozessen zudienenden Informatikmittel und Aggregation zu sogenannten Informatikschutzobjekten.

Schritt 3

Ermittlung des Schutzbedarfs für jedes Informatikschutzobjekt. Im einfachsten Fall handelt es sich um einen binären Entscheid, ob das Informatikschutzobjekt einen erhöhten Schutzbedarf aufweist oder nicht.

Schritt 4

Erstellung eines Sicherheitskonzepts für jedes Informatikschutzobjekt mit erhöhtem Schutzbedarf. Es beschreibt, wie den relevanten Sicherheitsbedrohungen sinnvollerweise zu begegnen ist.

Schritt 5

Umsetzung der technischen und organisatorischen Massnahmen (TOM) des Grundschutzes, sowie der in den Sicherheitskonzepten ausgewiesenen zusätzlichen TOMs.

Prioritätsgesteuertes und iteratives Vorgehen

Obwohl das Vorgehen schrittweise beschrieben ist, kann sich im Einzelfall ein prioritätsgesteuertes und iteratives Vorgehen besser eignen, in dem zunächst die wichtigsten Prozesse und Informatikschutzobjekte behandelt und die weniger wichtigen Prozesse und Informatikschutzobjekte zunächst noch zurückgestellt werden. Ein solches Vorgehen ist zwar nicht optimal, weil viele Informatikschutzobjekte miteinander verbunden sind und damit Abhängigkeiten existieren, die in den Sicherheitskonzepten mit zu berücksichtigen sind. Trotzdem kann sich ein solches Vorgehen aus der Sicht der Praktikabilität anbieten.

Weiterentwicklung der CSRM-Methode

In Zusammenarbeit mit ausgewählten Partnern und interessierten Kreisen wird die CSRM derzeit ausgetestet und weiterentwickelt. Die CSRM wird der Öffentlichkeit in Form einer Empfehlung zur Verfügung gestellt. Bei Bedarf können Branchenverbände die Methode aufgreifen und ihren Mitgliedern empfehlen. Regulatoren haben die Möglichkeit, die Methode ihren Bedürfnissen entsprechend anzupassen, zu präzisieren und im Rahmen ihrer Zuständigkeit als verbindlich zu erklären. Dies kann komplementär oder als Ersatz des Minimalstandards zur Verbesserung der IKT-Resilienz erfolgen, der vom Bundesamt für Wirtschaftliche Landesversorgung (BWL) herausgegeben worden ist.

Dokumente

Feedback-Formular

Gerne möchten wir Ihre Meinung zur CSRM-Methode erfahren, damit wir in Zukunft solche Produkte besser an Ihre Bedürfnisse anpassen können. Wir wären Ihnen dankbar, wenn Sie dazu die folgenden Fragen beantworten könnten (Dauer: ca. 2 min.). Senden Sie uns anschliessend das Formular, indem Sie auf «Senden» klicken.