CCN-Tools für das ENS: PILAR, INES, CLARA und AMPARO.

Kurz zusammengefasst: Das Nationale Kryptologiezentrum (CCN) veröffentlicht eigene Werkzeuge für die Arbeit mit dem ENS (spanisches nationales Sicherheitsschema für Informationssicherheit), und jedes deckt eine Phase des Zyklus ab: PILAR berechnet die Risiken nach der MAGERIT-Methodik, AMPARO begleitet die Umsetzung der Maßnahmen und erstellt die Anwendbarkeitserklärung, CLARA prüft die Härtung Ihrer Windows- und Linux-Systeme, INES erfasst den jährlichen Bericht zum Sicherheitsstatus, und LUCIA verwaltet die Vorfälle. Verwechseln Sie diese nicht mit dem CPSTIC-Katalog, der etwas anderes ist: qualifizierte kommerzielle Produkte, keine Anwendungen des Zentrums selbst. Keines dieser Werkzeuge ist verpflichtend außer INES; die übrigen sind eine ausgezeichnete Abkürzung, vor allem für lokale Verwaltungen oder KMU ohne Lizenzbudget.

Die Werkzeuge des CCN für das ENS sind ein Ökosystem aus kostenlosen oder zugangsregulierten Anwendungen, die den gesamten Compliance-Zyklus abdecken: PILAR für die Risikoanalyse, AMPARO für die Anpassung und die Anwendbarkeitserklärung, CLARA für das Audit der technischen Konfiguration und INES für die Meldung des Sicherheitsstatus. Hier erkläre ich, was jedes einzelne leistet, in welche Phase es passt und wie der Zugang erfolgt.

Wenn eine Organisation zum ersten Mal beginnt, das ENS umzusetzen, bekomme ich fast immer dieselbe Frage gestellt: „Mit welcher Software mache ich das?“ Die gute Nachricht ist, dass das CCN selbst eine Reihe von Werkzeugen bereitstellt, viele davon kostenlos, die den Compliance-Zyklus von Anfang bis Ende abdecken. Die schlechte Nachricht ist, dass ihre Namen — PILAR, INES, CLARA, AMPARO, LUCIA — für Neueinsteiger nichtssagend sind, und es ist leicht, nach dem falschen Werkzeug zu fragen. Dies ist die Landkarte, die ich mir am ersten Tag gewünscht hätte.

Welche Werkzeuge bietet das CCN für die Einhaltung des ENS?

Das CCN unterhält ein Ökosystem von Cybersicherheitslösungen, von denen ein Teil speziell für den Zyklus des ENS konzipiert ist. Die fünf, die Sie bei der Anpassung und der laufenden Aufrechterhaltung tatsächlich nutzen, sind:

• PILAR. Risikoanalyse und -management nach der MAGERIT-Methodik.
• AMPARO. Assistent zur Umsetzung von Maßnahmen und Erstellung der Anwendbarkeitserklärung.
• CLARA. Technisches Audit der Sicherheitskonfiguration Ihrer Systeme.
• INES. Plattform zur jährlichen Meldung des Sicherheitsstatus an das CCN.
• LUCIA. Verwaltung und Koordination von Vorfällen mit dem staatlichen CERT.

Ein Hinweis, bevor wir fortfahren, denn dies ist die häufigste Verwechslung: Diese Werkzeuge sind nicht der CPSTIC-Katalog des CCN. Der CPSTIC ist eine Liste kommerzieller Sicherheitsprodukte — Firewalls, Antivirenprogramme, Verschlüsselungsgeräte —, die für den Einsatz im Rahmen des ENS zugelassen oder qualifiziert sind. Die Werkzeuge in diesem Artikel sind Anwendungen des Zentrums selbst, um Ihre Compliance zu verwalten, keine Produkte, die Sie kaufen und in der Produktivumgebung installieren. Wenn Sie ein zertifiziertes Produkt auswählen, ist das ein anderer Weg: Ich erkläre ihn im Beitrag zum Unterschied zwischen zugelassenem und qualifiziertem Produkt.

PILAR: Risikoanalyse und -management mit MAGERIT

PILAR ist das altbewährte Werkzeug des CCN und wahrscheinlich dasjenige, das Sie am häufigsten nutzen werden. Es automatisiert die MAGERIT-Risikoanalyse für das ENS: Es geht von Ihren Assets aus, weist ihnen Bedrohungen und Schutzmaßnahmen aus einem vordefinierten Katalog zu, pflegt die Abhängigkeitsmatrix und berechnet das intrinsische und das Restrisiko, während Sie die Werte anpassen.

• Was es leistet. Es bildet die Risikoanalyse und das Risikomanagement eines Informationssystems nach MAGERIT ab, der offiziellen Methodik der spanischen Verwaltung. Es ist der schnellste Weg, die vom ENS geforderte formale Risikoanalyse zu erstellen.
• In welche ENS-Phase es passt. Beim Start und bei jeder Überprüfung: Die Risikoanalyse ist die Grundlage, auf der Sie entscheiden, welche Maßnahmen anzuwenden sind. Sie kehren immer wieder zu ihr zurück, sobald sich das System ändert.
• Wer es nutzen kann und wie der Zugang erfolgt. Für den spanischen öffentlichen Sektor gibt es kostenlose Lizenzen, die beim CCN beantragt werden, sowie kostenpflichtige Lizenzen für die private oder kommerzielle Nutzung. Es gibt eine abgespeckte Version, µPILAR, die für kleine Einrichtungen gedacht ist, die nicht die volle Leistungsfähigkeit der Komplettversion benötigen.
• Die Einschätzung des Beraters. PILAR ist nicht verpflichtend. Das ENS verlangt eine formale Risikoanalyse, kein konkretes Werkzeug; andere gut dokumentierte gleichwertige Methodiken werden akzeptiert. Für ein KMU, das MAGERIT zum ersten Mal Schritt für Schritt angeht, spart der Einstieg mit PILAR jedoch Wochen gegenüber dem Aufbau einer Tabellenkalkulation von Grund auf.

INES: der nationale Bericht zum Sicherheitsstatus

Wenn PILAR das Werkzeug ist, das Sie am häufigsten verwenden, ist INES dasjenige, das Sie nicht überspringen können. Es ist die Plattform, über die die dem Anwendungsbereich des ENS unterliegenden Einrichtungen dem CCN ihren Compliance-Grad und ihre Sicherheitsindikatoren melden, und die Meldung erfolgt jährlich.

• Was es leistet. Es erfasst den Nationalen Bericht zum Sicherheitsstatus: grundlegende Kennzahlen, Charakterisierung der Assets, Grad der ENS-Konformität sowie Daten zur Sicherheitsorganisation, zum Vorfallmanagement und zu ausgelagerten Diensten. Das CCN aggregiert diese Daten, um ein Gesamtbild des Sicherheitsstatus des öffentlichen Sektors zu erhalten.
• In welche ENS-Phase es passt. In der laufenden Überwachung und der kontinuierlichen Verbesserung, sobald die Anpassung abgeschlossen ist. Es handelt sich um eine wiederkehrende Verpflichtung, keine einmalige Formalität.
• Wer es nutzen kann und wie der Zugang erfolgt. Die dem Anwendungsbereich unterliegenden Einrichtungen greifen mit Zugangsdaten innerhalb der jährlichen Frist für die Dateneingabe auf die Plattform des CCN zu. Grundlage ist der Leitfaden CCN-STIC 824.
• Die Einschätzung des Beraters. Für kleine lokale Einrichtungen ist INES oft der erste echte Berührungspunkt mit dem ENS. Ich gehe darauf im Leitfaden zur Selbstbewertung und INES für kleine Gemeinden näher ein, wo Meldung und Selbstbewertung der grundlegenden Konformität Hand in Hand gehen.

CLARA: Audit der Konfiguration Ihrer Systeme

CLARA steigt auf die technische Ebene hinab. Während PILAR und AMPARO sich mit der Dokumentation und den Managementmaßnahmen befassen, überprüft CLARA, wie Ihre Systeme tatsächlich konfiguriert sind: Sie prüft die Härtung anhand der Sicherheitsvorlagen des ENS.

• Was es leistet. Es prüft die Sicherheitskonfiguration von Windows- und Linux-Systemen (es gibt für jedes eine eigene Version) und misst den Konformitätsgrad anhand der CCN-STIC-Härtungsleitfäden. Es erstellt zwei Berichte: einen technischen mit dem Detail der Kontrollen und Lücken sowie einen zusammenfassenden für die Geschäftsleitung.
• In welche ENS-Phase es passt. In der technischen Verifizierung und bei der Vorbereitung des Audits. Es zeigt Ihnen, bevor der Auditor eintrifft, wo Sie auf Konfigurationsebene noch nicht konform sind.
• Wer es nutzen kann und wie der Zugang erfolgt. Es gehört zu den am wenigsten eingeschränkten Werkzeugen: Es wird aus dem Tool-Bereich des CCN-CERT heruntergeladen und von Sicherheitsverantwortlichen sowohl öffentlicher Einrichtungen als auch privater Unternehmen genutzt. Es gibt eine Version für das ENS und eine Version für Verschlusssachensysteme.
• Die Einschätzung des Beraters. CLARA ist ein Thermometer, kein Zauberknopf: Es zeigt Ihnen die Abweichungen auf, aber deren Behebung ist Aufgabe Ihres IT-Systemteams gemäß den technischen Sicherheitsanweisungen und CCN-STIC-Leitfäden. Führen Sie es frühzeitig aus, nicht erst am Vorabend des Audits, damit genug Zeit zur Behebung bleibt.

AMPARO: ENS-Anpassung und Anwendbarkeitserklärung

AMPARO ist der Umsetzungsassistent. Es begleitet die Einrichtung durch den ENS-Anpassungsprozess und hilft Ihnen, sobald Sie die Maßnahmen umgesetzt haben, die Konformität zu formalisieren.

• Was es leistet. Es leitet die Umsetzung der Sicherheitsmaßnahmen an und ermöglicht die Bewertung des Systemzustands. Für die Kategorie BASIS erzeugt es automatisch die Anwendbarkeitserklärung, das Dokument, das festhält, welche Maßnahmen je nach Kategorie des Systems gelten. Außerdem fungiert es als Treffpunkt zwischen der Organisation, den Zertifizierungsstellen und den Auditoren.
• In welche ENS-Phase es passt. In der Anpassungs- und Umsetzungsphase, zwischen der Risikoanalyse und dem Konformitätsaudit. Es ist die Brücke, die alles Vorherige zu einer vorzeigbaren Akte ordnet.
• Wer es nutzen kann und wie der Zugang erfolgt. Es richtet sich an Einrichtungen im Anwendungsbereich des ENS und ist in der Governance-Umgebung des CCN mit INES verknüpft. Der Zugang wird über die entsprechenden Portale nach vorheriger Registrierung verwaltet.
• Die Einschätzung des Beraters. Die automatische Erstellung der Anwendbarkeitserklärung ist für die Basiskategorie sehr bequem, ersetzt aber nicht die fachliche Beurteilung: In den Kategorien MITTEL und HOCH müssen Ausschlüsse und Verstärkungen begründet werden. Wenn Sie eine Selbstbewertung planen, passt dies zur ENS-Konformitätserklärung auf Basisniveau.

Weitere Werkzeuge des CCN-CERT-Ökosystems: LUCIA, ANA und Co.

Der Katalog des CCN geht weit über die Anpassung hinaus. Diese Werkzeuge kommen ins Spiel, sobald Sie in den täglichen Betrieb übergehen, auch wenn nicht alle für die Zertifizierung erforderlich sind:

• LUCIA. Verwaltung und Koordination von Cyber-Vorfällen. Mit diesem Werkzeug melden und verfolgen die Einrichtungen im Anwendungsbereich des ENS ihre Vorfälle zentral und koordinieren sich mit dem staatlichen CERT, unter Verwendung von an ENISA angelehnten Taxonomien. Es ist das operative Element des Vorfallmanagements im Rahmen des ENS.
• ANA. Automatisierung und Standardisierung von Audits, ausgerichtet auf das zentrale und fortlaufende Schwachstellenmanagement.
• SOC und Erkennung. Werkzeuge wie CARMEN (Erkennung fortgeschrittener Bedrohungen im Netzwerkverkehr), GLORIA (Verwaltung von Ereignissen und Vorfällen) oder REYES (Austausch von Cyber-Bedrohungsinformationen) sind auf den Betrieb eines Security Operations Center ausgerichtet. Sie sind leistungsstark, gehen aber über das hinaus, was eine ENS-Anpassung der Kategorie Basis oder Mittel benötigt: Machen Sie sich anfangs keine Gedanken darüber.

Die Faustregel: Für die Anpassung reichen PILAR, AMPARO, CLARA und INES aus; LUCIA und die übrigen kommen ins Spiel, sobald Sie in den Sicherheitsbetrieb übergehen.

Welches CCN-Werkzeug in welcher ENS-Phase einsetzen

Dies ist die Tabelle, mit der ich jedes Werkzeug seinem Moment im Zyklus zuordne, samt Marktalternative für den Fall, dass die Lösung des CCN in Ihrem Fall nicht passt.

CCN-Werkzeug oder kommerzielle Lösung? Eine Entscheidungshilfe

Es gibt keine einheitliche Antwort. Dies sind die Kriterien, die ich bei der Empfehlung der einen oder anderen Option anwende:

• Budget und Anwendungsbereich. Wenn Sie zum öffentlichen Sektor gehören, sind die Werkzeuge des CCN kostenlos oder zugangsreguliert und exakt auf die Norm abgestimmt: der Standard-Ausgangspunkt. Wenn Sie ein privates Unternehmen außerhalb einer öffentlichen Ausschreibung sind, sind manche Lizenzen kostenpflichtig, und eine kommerzielle GRC-Lösung kann sich lohnen.
• Reifegrad des Teams. Die Werkzeuge des CCN setzen voraus, dass jemand MAGERIT, die Härtung und die Konformität versteht. Eine kommerzielle Lösung mit Support und Automatisierung kann in einem kleinen Team ohne eigenes technisches Profil mehr leisten.
• Integration. Wenn Sie bereits ein SOC oder eine GRC-Plattform betreiben, vermeidet die Konsolidierung in einer einzigen Umgebung Silos. Wenn Sie bei null anfangen, bieten Ihnen die Werkzeuge des CCN einen vollständigen Zyklus ohne Lizenzkosten.
• Verpflichtungsgrad. Bei INES gibt es nichts zu verhandeln: Es ist der offizielle Meldeweg und hat keinen Ersatz. Die übrigen Werkzeuge sind Mittel zum Zweck, und dort haben Sie tatsächlich die Wahl.

Welche Werkzeuge je nach Organisation priorisieren

Kleine Gemeinde oder lokale Einrichtung

Beginnen Sie mit dem Minimum: µPILAR für die Risikoanalyse, AMPARO für die grundlegende Konformität und INES für die jährliche Meldung. CLARA kommt hinzu, sobald jemand den technischen Bericht interpretieren kann. Dies ist das Szenario, in dem die kostenlosen Werkzeuge des CCN am meisten glänzen, weil kein Budget für Lizenzen vorhanden ist.

KMU, das Lieferant der Verwaltung werden möchte

Sie müssen Konformität nachweisen, um an Ausschreibungen teilzunehmen, daher liegt der Schwerpunkt auf PILAR plus AMPARO, dazu CLARA, um bei der Auditierung keine Konfigurationsüberraschungen zu erleben. Wenn die Ausschreibungsunterlagen konkrete Produkte verlangen, kommt der CPSTIC ins Spiel, nicht diese Werkzeuge. Wird der Fall komplizierter, ist das der Moment, sich auf eine ENS-Beratung zu stützen.

Mittelgroße Behörde mit eigenem Team

Hier ist der vollständige Zyklus des CCN sinnvoll, ergänzt um die operative Ebene: LUCIA für Vorfälle und ANA für Schwachstellen, zusätzlich zu PILAR, AMPARO, CLARA und INES. Wenn Sie sich auf die Zertifizierung vorbereiten, lohnt es sich, zunächst den ENS-Zertifizierungsprozess zu strukturieren und jedes Werkzeug seinem Meilenstein zuzuordnen.

Fazit: Das Werkzeug ist Mittel zum Zweck, nicht das Ziel

Die Werkzeuge des CCN nehmen Ihnen viel Reibung ab, aber sie erfüllen das ENS nicht für Sie. PILAR berechnet das Risiko, aber Sie entscheiden, welche Maßnahmen anzuwenden sind; CLARA erkennt die Abweichung, aber deren Behebung ist Aufgabe der IT; AMPARO ordnet die Akte, aber die Konformität trägt Ihre fachliche Beurteilung. Richtig eingesetzt, sparen sie Ihnen Monate und einiges an Lizenzkosten. Missverstanden, erzeugen sie das falsche Gefühl, das Ausfüllen der Vorlage sei bereits die Erfüllung.

Wenn Sie nicht sicher sind, wo Sie anfangen sollen, mit welchem Werkzeug oder in welcher Reihenfolge, erzählen Sie mir von Ihrem Fall, und wir schauen es uns gemeinsam an, unverbindlich.

Muss sich Ihr Unternehmen an das ENS anpassen oder zertifizieren lassen, um an Ausschreibungen teilzunehmen oder Lieferant der Verwaltung zu werden? Erfahren Sie mehr über meinen ENS-Beratungsservice, und ich begleite Sie durch den gesamten Zyklus.

Häufig gestellte Fragen zu den CCN-Werkzeugen für das ENS

Welche Werkzeuge bietet das CCN für die Einhaltung des ENS?

Das CCN unterhält ein Ökosystem von Cybersicherheitslösungen, von denen ein Teil speziell für den Zyklus des ENS konzipiert ist. Die fünf, die Sie bei der Anpassung und der laufenden Aufrechterhaltung tatsächlich nutzen, sind:

Quellen

• CCN-CERT · Sicherheitslösungen.
• PILAR-Portal · Risikoanalyse und -management.
• CCN-CERT · CLARA (Konfigurationsaudit).
• CCN-CERT · AMPARO (ENS-Anpassung).
• CCN-CERT · LUCIA (Vorfallmanagement).
• ENS-Portal · Nationales Kryptologiezentrum.
• Königliches Dekret 311/2022 (ENS) · BOE.

Inhalt erstellt von Ángel Ortega Castro für angelortegacastro.com. Informativer Inhalt; für Lizenzbedingungen oder Zugangsvoraussetzungen zu einem dieser Werkzeuge prüfen Sie bitte direkt die offiziellen Portale von CCN-CERT und ENS.