Der Scope nach Cyber Essentials v3.3: was in die Bewertung gehört und was sich nicht ausklammern lässt

Problem in der Praxis

Die Versuchung, den Scope klein zu schneiden, ist groß, besonders wenn das Zertifikat nur für einen bestimmten UK-Auftrag gebraucht wird. Typisch sind drei Fehlgriffe: Die Cloud-Umgebung (etwa Office-Suite oder Plattformdienste) wird als "Sache des Anbieters" ausgenommen, Heimarbeitsplätze und private Geräte werden nicht betrachtet, und Administrationszugänge externer Dienstleister bleiben außen vor. Nach v3.3 sind das keine Gestaltungsspielräume, sondern Scope-Fehler, die spätestens bei einer Cyber-Essentials-Plus-Prüfung auffallen, weil dort der Scope technisch verifiziert wird.

CISO-Einordnung

Was nach v3.3 im Scope ist:

• Geräte und Software im Scope, die eingehende Netzwerkverbindungen von internetverbundenen Geräten annehmen können, ausgehende Verbindungen über das Internet aufbauen oder den Datenfluss zwischen solchen Geräten und dem Internet steuern.
• Endgeräte immer; ein Scope ohne Endgeräte ist nicht akzeptabel.
• Cloud-Dienste, auf denen Daten oder Dienste der Organisation liegen; v3.3 definiert Cloud-Dienste als bedarfsgerechte, skalierbare, auf geteilter Infrastruktur betriebene und über das Internet erreichbare Dienste, die über ein Konto genutzt werden und Daten der Organisation speichern oder verarbeiten.
• Private Geräte (BYOD), die auf Daten oder Dienste der Organisation zugreifen; ausgenommen sind Geräte, die nur für native Sprach- und Text-Apps oder MFA-Apps genutzt werden.
• Geräte für Heim- und Mobilarbeit; ein vom Arbeitgeber gestellter Router ist im Scope, andere Router nicht, dann ist eine Software-Firewall auf dem Gerät nötig; bei Nutzung eines Unternehmens-VPN liegt die Internetgrenze an der Unternehmensfirewall.
• Drahtlose Geräte, wenn sie über das Internet mit anderen Geräten kommunizieren können.
• Konten der Organisation, auch wenn Lieferanten, Auftragnehmer oder Managed Service Provider sie nutzen; bei extern verwalteten Diensten muss die Organisation die Einhaltung der Kontrollen bestätigen und belegen können.
• Endgeräte der Organisation, die Dritten überlassen werden; für Geräte, die der Organisation nicht gehören, unterscheidet v3.3 in einer Tabelle nach der Rolle des Nutzers; für Geräte außerhalb des Scopes bleibt die Organisation verantwortlich, sich zu vergewissern, dass Geräte mit Zugriff auf ihre Dienste und Daten richtig konfiguriert sind.
• Öffentlich verfügbare kommerzielle Webanwendungen; individuell entwickelte Bestandteile eigener Webanwendungen sind nicht im Scope, für sie verweist v3.3 auf den Software Security Code of Practice.

Die Verantwortung in der Cloud: Die antragstellende Organisation bleibt für alle Kontrollen verantwortlich; manche setzt je nach Servicemodell (IaaS, PaaS, SaaS) der Anbieter um. Wo der Anbieter eine Kontrolle übernimmt, muss das vertraglich oder in vertraglich in Bezug genommenen Dokumenten zugesagt sein, etwa über ein Shared-Responsibility-Modell. Die Benutzerzugriffskontrolle liegt in allen drei Modellen bei der Organisation.

Asset-Management ist keine eigene Kontrolle, hilft laut NCSC aber, alle fünf Kontrollen zu erfüllen.

Umsetzungsperspektive

• Scope-Entscheidung dokumentieren: ganze Organisation oder Sub-Set, mit Begründung, Netzgrenze, Standorten und verantwortlicher Einheit; mit der Zertifizierungsstelle vorab abstimmen.
• Cloud-Inventar führen: alle Dienste, in denen Organisationsdaten liegen, mit Servicemodell und vertraglicher Zuordnung der Kontrollen.
• Endgeräte erfassen: verwaltete Geräte, BYOD, Heimarbeit, überlassene Geräte.
• Dienstleisterzugänge prüfen: alle Konten der Organisation, die Externe nutzen, und Nachweise der externen Verwalter.
• Segregation belegen, wenn ein Sub-Set gewählt wird: Für Cyber Essentials Plus wird sie technisch verifiziert.

Typische Fehler

1. Cloud-Dienste werden ausgeschlossen, obwohl v3.3 das nicht zulässt.
2. Ein Scope ohne Endgeräte wird eingereicht.
3. BYOD und Heimarbeitsgeräte werden übersehen.
4. Konten, die Managed Service Provider nutzen, bleiben außen vor.
5. Ein Sub-Set wird behauptet, ohne dass es netztechnisch wirksam getrennt ist.

Risiken und Trade-offs

Ein enger Scope senkt Aufwand und Kosten, schwächt aber die Aussagekraft des Zertifikats und kann Kunden täuschen, die ein Organisationszertifikat erwarten; ein Scope über die ganze Organisation bietet laut NCSC den besten Schutz und das größte Kundenvertrauen. Bei Cloud-Diensten steht der Wunsch, Verantwortung an den Anbieter abzugeben, gegen die Regel, dass die Organisation verantwortlich bleibt und die Übernahme vertraglich belegt sein muss.

Entscheidungspunkte

• Ganze Organisation oder Sub-Set, und wie wird das begründet?
• Sind alle Cloud-Dienste mit Organisationsdaten erfasst und vertraglich zugeordnet?
• Sind Endgeräte, BYOD und Heimarbeit vollständig im Scope?
• Welche Konten nutzen Externe, und wie wird die Einhaltung belegt?
• Ist die Segregation eines Sub-Sets technisch nachweisbar?

Praktische Empfehlungen

1. Wählen Sie den Scope bewusst, bevorzugt über die ganze Organisation.
2. Erfassen Sie alle Cloud-Dienste und belegen Sie die Kontrollverteilung vertraglich.
3. Nehmen Sie Endgeräte einschließlich BYOD und Heimarbeit vollständig auf.
4. Beziehen Sie Dienstleisterkonten ein und verlangen Sie Nachweise.
5. Belegen Sie die Trennung eines Sub-Sets technisch.

Relevante Normreferenzen

• NCSC, Cyber Essentials: Requirements for IT Infrastructure v3.3, Abschnitt B (Definitionen) und D (Scope); Open Government Licence v3.0.
• NCSC, Cyber Essentials Plus Test Specification v3.2 (Verifikation von Scope und Sub-Set-Trennung).