Kontrollkatalog
NIST SP 800-53 Rev. 5
Kontrollkatalog für überprüfbare Sicherheits- und Datenschutzmaßnahmen.
Auf dieser Seite
Zweck, Umfang und Autorität
Auswählen und anpassen, nicht alles implementieren. 800-53B behandelt Baselines, 800-53A Prüfverfahren. NIST nennt Release 5.2.0 zusätzlich zu Rev. 5; verwendeten Stand dokumentieren, nicht nur das ursprüngliche PDF. [1]
Prinzipien und operative Logik [1]
1. Struktur und Parameter
Kontrolle, Erweiterungen und Erläuterung lesen. Häufigkeiten, Rollen und Auswahlwerte festlegen; nicht jede Erweiterung gilt überall.
2. Funktion und Assurance
Schutzwirkung und Nachweisvertrauen anhand Richtlinien, Konfiguration, Beobachtung und Tests prüfen.
3. Verantwortung und Vererbung
Gemeinsame, systemspezifische und hybride Kontrollen unterscheiden; Umsetzung, Betrieb und Prüfung zuweisen.
4. Beispiele
AC-2 Konten; AC-6 minimale Rechte; AU-6 Protokollanalyse; CM-2 Basiskonfiguration; CP-4 Notfalltests; IR-4 Vorfallbehandlung. Keine ausreichende Baseline.
Die 20 Kontrollfamilien [1]
| ID | Die 20 Kontrollfamilien | Managementfrage |
|---|---|---|
| AC | Zugriff | Wer greift worauf zu und wer prüft? |
| AT | Bewusstsein und Schulung | Können Personen ihre Sicherheitsaufgaben erfüllen? |
| AU | Audit und Verantwortlichkeit | Lässt sich Aktivität nachvollziehen und prüfen? |
| CA | Bewertung, Autorisierung, Überwachung | Wer testet und akzeptiert Risiko? |
| CM | Konfiguration | Was ist genehmigt und wie wird Drift behandelt? |
| CP | Notfallplanung | Können wesentliche Funktionen wieder anlaufen? |
| IA | Identifikation und Authentisierung | Wie wird Identität festgestellt und geprüft? |
| IR | Vorfallreaktion | Wer koordiniert Behandlung und Eskalation? |
| MA | Wartung | Wie wird auch Fernwartung kontrolliert? |
| MP | Medienschutz | Wie werden Medien transportiert und bereinigt? |
| PE | Physischer und Umweltschutz | Wie werden Einrichtungen und Versorgung geschützt? |
| PL | Planung | Sind Sicherheits- und Datenschutzvorkehrungen dokumentiert? |
| PM | Programmmanagement | Wer steuert Ressourcen und Aufsicht? |
| PS | Personalsicherheit | Wie werden Rechte bei Personalwechseln angepasst? |
| PT | Personendaten und Transparenz | Warum werden Daten verarbeitet und wie wird informiert? |
| RA | Risikobewertung | Welche Bedrohungen und Folgen bestimmen Prioritäten? |
| SA | Beschaffung | Begleiten Anforderungen Einkauf und Entwicklung? |
| SC | System- und Kommunikationsschutz | Wie werden Grenzen und Kommunikation geschützt? |
| SI | Integrität | Wie werden Fehler, Angriffe und Integritätsprobleme behandelt? |
| SR | Lieferkettenrisiko | Wie werden Lieferanten- und Produktabhängigkeiten bewertet? |
Anwendung · redaktionelle Empfehlungen
Arbeitsblatt: Kennung/Release, Anwendbarkeit, Parameter, Verantwortliche, Vererbung, Evidenz, Ergebnis und Frist. Privilegiertes Konto von Genehmigung bis Löschung prüfen.
CISO-Evidenz · vorgeschlagenes Prüfpaket
Genehmigter Zustand und Driftüberwachung, Wiederherstellungstests mit Korrekturen, nutzbare Protokolle und Auswertung. Ausnahmen durch den Risikoprozess dokumentieren.
Fehler und Grenzen
Richtlinientext ist keine Umsetzung; Mappings beweisen keine Gleichwertigkeit. Die 20 Familien und Beispiele ersetzen nicht sämtliche Kontrollen und Erweiterungen.
Offizielle Quellen und Lesepfad
Abschnitte im Original: Chapter 2; Chapter 3 control families; official release notes.
Eigener Studienkommentar, keine vollständige Reproduktion. Einzelne Anforderungen, Erweiterungen, Bedingungen und Ausnahmen im Original prüfen. Anwendbarkeit hängt von Organisation und geltenden Verpflichtungen ab.