TTS trax 6.4.0 Release
Update: Neu in 6.4
Multi-Compliance: Viele Vorgaben. Ein ISMS.
NIS-2, ISO 27001, CRA und weitere Regelwerke – die Anforderungen an die Informationssicherheit wachsen. Doch bedeutet jede neue Vorgabe auch, dass Unternehmen neue Maßnahmen benötigen? Oder erfüllen sie viele Anforderungen bereits, ohne es auf den ersten Blick zu erkennen? Mit dem neuen Release 6.4 von TTS trax schaffen wir die Grundlage für eine effizientere Multi-Compliance. Durch die neue Katalogstruktur können Sie Maßnahmen zentral verwalten und mit Anforderungen aus unterschiedlichen Regelwerken verknüpfen. So nutzen Sie bestehende Maßnahmen gezielt für mehrere Normen, reduzieren Doppelarbeit und behalten den Überblick über Ihre Compliance.
Die Neuerungen im Überblick:
- Maßnahmenkataloge: Verwalten Sie Maßnahmen-Templates zentral und nutzen Sie diese zur Umsetzung von Anforderungen aus verschiedenen Regelwerken.
- Flexibles Mapping: Verknüpfen Sie Maßnahmen-Templates mit Anforderungen aus unterschiedlichen Katalogen und schaffen Sie Transparenz darüber, welche Maßnahmen zur Erfüllung mehrerer Normen beitragen.
- Erweiterte Compliance-Auswertung: Werten Sie unterschiedliche Anforderungskataloge im SoA-Radar aus und vergleichen Sie deren Compliance-Status im neuen Dashboard-Widget.
Wie sich Multi-Compliance strategisch denken lässt, beleuchtet Dr. Stefan Ransom in seinem Artikel Viele Vorgaben. Ein angemessenes Sicherheitskonzept (Externer Link).
Release-Video
Eine Zusammenfassung der wichtigsten Veränderungen finden Sie auch im folgenden Video (Inhalt von externer Plattform):
Anforderungskataloge und Maßnahmenkataloge
Die bisherigen Anforderungskataloge werden in zwei Bereiche aufgeteilt: Anforderungskataloge und Maßnahmenkataloge.
Anforderungskataloge enthalten wie bisher Anforderungen aus Gesetzen, Normen und anderen Regelwerken, beispielsweise ISO 27001 oder NIS-2. Sie beschreiben, was ein Unternehmen erreichen oder sicherstellen muss. Da Anforderungen teilweise abstrakt formuliert sind, geben sie nicht immer unmittelbar vor, wie die Umsetzung im Unternehmen erfolgen soll.
Maßnahmenkataloge enthalten Maßnahmen-Templates, mit denen Unternehmen beschreiben, wie sie Anforderungen konkret umsetzen. Ein Maßnahmen-Template beschreibt beispielsweise, wie Zugriffsrechte vergeben und überprüft werden oder wie Sicherheitsvorfälle behandelt werden.
Zwischen Anforderungen und Maßnahmen-Templates können flexible Zuordnungen hergestellt werden:
- Maßnahmen-Templates eines Maßnahmenkatalogs können die Anforderungen eines Anforderungskatalogs 1:1 abbilden. Diese Option wird bei der Migration während des Updates verwendet, weil sie wenigsten in das bestehende System eingreift.
- Eine Anforderung kann durch mehrere Maßnahmen-Templates abgedeckt werden.
- Ein Maßnahmen-Template kann mehreren Anforderungen aus unterschiedlichen Regelwerken zugeordnet werden.
Konkrete Maßnahmen für einen anwendungsbereich werden nun nicht mehr direkt von den Anforderungen, sondern von den Maßnahmen-Templates abgeleitet. An der eigentlichen Vorgehensweise ändert sich dabei aber nichts. Dazu gehören übergreifende Maßnahmen sowie Maßnahmen, die im Rahmen des Risikomanagements umgesetzt werden. Durch die Verknüpfung mit den Anforderungen entsteht dabei die Auswertbarkeit der Anforderungen einer Norm über die SoA.
So entsteht eine gemeinsame Grundlage für Multi-Compliance: Die betriebliche Umsetzung wird zentral beschrieben und gepflegt, während ihre Bedeutung für unterschiedliche Regelwerke separat bewertet werden kann.
Mapping: Maßnahmen-Templates mit Anforderungen verknüpfen
Um den Übergang in die neue Katalogstruktur möglichst reibungslos zu gestalten, werden ihre bisherigen Anforderungskataloge 1:1 auf die neu angelegten Maßnahmenkataloge gemappt.
Ein Mapping-Editor erlaubt Ihnen aber auch die individuelle Zuordnung vom Maßnahmen-Templates zu Anforderungen. Je nach dem, ob Sie das Mapping über die Bearbeitung eines Maßnahmen- oder eines Anforderungskatalogs wählen Sie zunächst den Anforderungs- oder Maßnahmenkatalog, für den Sie eine Zuordnung herstellen wollen, und ordnen anschließend den Anforderungen die gewünschten Maßnahmen-Templates aus dem aktuellen, bzw. gewählten Maßnahmenkatalog zu, oder entfernen eine bestehende Zuordnung.
Einmal erstellte Mappings können Sie anschließend exportieren (.json-Format) und später durch Import wieder herstellen.
Dashboard: Neue Option im SoA-Widget, Neues Widget Compliance-Status
Im SoA-Radar im Dashboard können Sie nun festlegen, welche Anforderungskataloge in die Anzeige aufgenommen werden sollen.
Ein neues Compliance-Status-Widget SoA Compliance Status stellt die wichtigsten Kennzahlen für jeden ausgewählten Katalog gegenüber. Dazu gehören der Erfüllungsgrad sowie die Anzahl der geplanten und umgesetzten Anforderungen.
Hinweise zur Migration
Bei der Migration wird für jeden bestehenden Anforderungskatalog zusätzlich ein gleichnamiger Maßnahmenkatalog erstellt. Damit wird die bisherige Katalogstruktur in das neue Modell überführt. Unmittelbar nach der Migration sind zunächst keine manuellen Anpassungen durch die Anwender vorgesehen.
Beispiel: ISO 27001
Für den bisherigen Anforderungskatalog „ISO 27001“ wird zusätzlich ein Maßnahmenkatalog „ISO 27001“ mit Maßnahmen-Templates angelegt. Die bestehenden Maßnahmen und Anforderungen werden über die neue Ebene der Maßnahmen-Templates miteinander verknüpft.
Auch die Zuordnung im Anwendungsbereich ändert sich: Anstelle der bisherigen Anforderungskataloge werden nun Maßnahmenkataloge dem Anwendungsbereich zugewiesen. Aus diesen Katalogen (genauer den Maßnahmen-Templates darin) können wie gewohnt konkrete Maßnahmen abgeleitet werden.
Bei der Erstellung einer Statement of Applicability (SoA) können jetzt mehrere Anforderungskataloge ausgewählt werden. Der Status der Anforderungen wird anhand der zugeordneten Maßnahmen-Templates bzw. des Umsetzungsstands der daraus abgeleiteten konkreten Maßnahmen im jeweiligen Anwendungsbereich ermittelt.
Die Migration schafft damit die Grundlage für das neue Mapping. Um vorhandene Maßnahmen künftig effizienter für mehrere Regelwerke zu nutzen, empfiehlt es sich, die bestehende Katalogstruktur anschließend zu überprüfen und bei Bedarf zu bereinigen.