NCSC veröffentlicht aktualisierte Leitlinien für den sicheren Datentransfer zwischen Domänen

Das britische National Cyber Security Centre (NCSC) hat neue Leitlinien veröffentlicht, die das Verständnis und die Einführung von Technologien für den Datentransfer zwischen Domänen in Behörden, Unternehmen und der breiteren Sicherheitsgemeinschaft erleichtern sollen.

Domänenübergreifende Systeme werden eingesetzt, um Daten sicher zwischen Umgebungen mit unterschiedlichen Vertrauensniveaus zu übertragen. Sie sind im Verteidigungs- und Nachrichtendienstbereich bereits weit verbreitet. Nach Angaben des NCSC hat sich der Bedarf jedoch ausgeweitet, da immer mehr Sektoren gezielten Angriffen und komplexen Risiken in der Lieferkette ausgesetzt sind.

Warum die Leitlinien geändert wurden

Nach Angaben des NCSC betreiben moderne Organisationen häufig miteinander verbundene Systeme, die ursprünglich nicht für eine sichere Zusammenarbeit konzipiert wurden. Gleichzeitig werden Angreifer immer leistungsfähiger, und es wird erwartet, dass Fortschritte bei der künstlichen Intelligenz die Suche nach Schwachstellen und deren Ausnutzung beschleunigen. Diese Kombination bedeutet laut der Behörde, dass die Sicherheit domänenübergreifender Systeme nun für Organisationen relevant ist, die hochsensible Daten, wertvolles geistiges Eigentum oder kritische Dienste verarbeiten.

Das überarbeitete Material wendet sich von festen Produktkategorien ab und konzentriert sich stattdessen auf die Gesamtarchitektur, die zur Unterstützung sicherer Geschäftsprozesse erforderlich ist. Beispiele sind der Dokumententransfer, Videokommunikation und die Integration von Diensten, die in anderen Umgebungen gehostet werden, unter anderem über APIs.

Was die neuen Leitlinien abdecken

Das NCSC erklärt, dass der aktualisierte Ansatz auf dem Verständnis von Datenflüssen, Systemverbindungen und den Bedrohungen basiert, die sowohl für einzelne Systeme als auch für miteinander verbundene Umgebungen relevant sind. Außerdem erläutert er zentrale Konzepte wie Vertrauenszonen, Vertrauensgrenzen und Kontrollpunkte und betont mehrschichtige Kontrollen statt der Abhängigkeit von einer einzigen Schutzmaßnahme.

• Wie domänenübergreifende Funktionen in das End-to-End-Design von Systemen integriert werden
• Die Rolle von Vertrauenszonen und Kontrollpunkten
• Warum die Sicherheitsgewährleistung den gesamten Datenfluss abdecken sollte
• Wie Bedrohungen in miteinander verbundenen Umgebungen bewertet werden sollten

Die neuen Leitlinien ersetzen bei der Entwicklung neuer End-to-End-Architekturen weitgehend die älteren Sicherheitsprinzipien des NCSC für das Design domänenübergreifender Lösungen. Diese Prinzipien werden kurzfristig weiterhin im Rahmen des prozessbasierten Assurance-Verfahrens des NCSC verwendet.

Auch bestehende Entwurfsmuster für den Import und Export werden schrittweise ausgemustert; neue domänenübergreifende Muster werden zu einem späteren Zeitpunkt erwartet.

Wie es weitergeht

Das NCSC erklärte, dass es die Leitlinien um weitere praktische Inhalte ergänzen will. Dazu gehören schrittweise Anleitungen zur Architektur, Empfehlungen für die Auswahl geeigneter Technologien und standardisierte Muster, die für verschiedene Anwendungsfälle wiederverwendet werden können.