Security Technical Implementation Guide
Auch bekannt als:Technische Sicherheitsimplementierungsrichtlinie · STIG
Security Technical Implementation Guide: Detaillierte Härtungsvorgabe des US-Verteidigungsumfelds für Systeme und Produkte. Der Begriff ist für die Bewertung und Gestaltung moderner SicherheitsarchitekturenSecurity ArchitectureStrukturierte Gestaltung von Sicherheitskontrollen, Vertrauensgrenzen, Datenflüssen und betrieblichen Verantwortlichkeiten. relevant und sollte im jeweiligen technischen und organisatorischen Kontext angewendet werden.
Funktionsweise und Einordnung
Security Technical Implementation Guide ordnet Sicherheit in den Lebenszyklus von Software und technischen Änderungen ein. Anforderungen, Architekturentscheidungen, Implementierung, Tests, Auslieferung und Wartung beeinflussen sich gegenseitig. Je früher eine Schwachstelle oder unsichere Annahme erkannt wird, desto gezielter lässt sie sich beheben, ohne allein auf nachgelagerte Schutzprodukte angewiesen zu sein.
Bedeutung in der Praxis
Praktisch benötigt dies klare Qualitätskriterien, überprüfbare Änderungen und eine nachvollziehbare Lieferkette. Automatisierte Prüfungen liefern schnelle Rückmeldung, ersetzen aber weder Bedrohungsmodellierung noch manuelle Analyse sicherheitskritischer Logik. Abhängigkeiten, Build-Systeme, Artefakte und Secrets müssen ebenso geschützt werden wie der Quellcode; Erkenntnisse aus Betrieb und Vorfällen fließen zurück in den Entwicklungsprozess.
Verwandte Begriffe
- SystemhärtungHardeningReduziert die Angriffsfläche durch sichere Konfiguration und Deaktivierung unnötiger Funktionen.: Reduziert die Angriffsfläche durch sichere Konfiguration und Deaktivierung unnötiger Funktionen.
- Sichere GrundkonfigurationBaseline ConfigurationDefinierter Sollzustand für sichere Systemeinstellungen und zugelassene Komponenten.: Definierter Sollzustand für sichere Systemeinstellungen und zugelassene Komponenten.
- SicherheitsfehlkonfigurationSecurity MisconfigurationUnsichere oder unvollständige Konfiguration von Systemen, Anwendungen oder Cloud-Diensten.: Unsichere oder unvollständige Konfiguration von Systemen, Anwendungen oder Cloud-Diensten.
- NIST-Rahmenwerk für CybersicherheitNIST Cybersecurity FrameworkRahmenwerk zur Strukturierung von Cyberrisikomanagement über zentrale Sicherheitsfunktionen.: Rahmenwerk zur Strukturierung von Cyberrisikomanagement über zentrale Sicherheitsfunktionen.