Einhaltung des Pakistan Information Security Framework (PISF)
Das Pakistan Information Security Framework (PISF) definiert nationale Cybersecurity-Kontrollen, darunter Web Application Security und einen sicheren SDLC. Erfahren Sie, wie ImmuniWeb Ihnen bei der Compliance hilft.
Einhaltung des Pakistan Information Security Framework (PISF)
Das Pakistan Information Security Framework (PISF) ist der nationale Cybersecurity Framework, der von PKCERT, dem National Computer Emergency Response Team (NCERT) Pakistans, veröffentlicht wurde. Es gruppiert Sicherheitsanforderungen in Domains und Controls, die Organisationen übernehmen – und bei Audits nachweisen – müssen, um ihre Systeme, Anwendungen und Daten zu schützen. Davon sind die Application-Security-Controls unter Domain 11 direkt relevant für jede Organisation, die Web- und mobile Anwendungen entwickelt oder betreibt. Der offizielle Framework ist auf der PKCERT-Website (pkcert.gov.pk) veröffentlicht.
Was ist das Pakistan Information Security Framework (PISF)?
PISF ist Pakistans nationales Framework für Informationssicherheit, veröffentlicht von PKCERT (dem National CERT, 2024 gegründet und dem Kabinettsamt unterstellt). Es übersetzt nationale Erwartungen an die Cybersecurity in ein strukturiertes System von Domänen, wobei jede spezifische, überprüfbare Controls enthält, die Organisationen implementieren, um ihre Informationsassets zu schützen.
PISF ist auf die praktische Umsetzung ausgelegt: Organisationen führen eine Lückenanalyse anhand der Kontrollen durch, erstellen einen Umsetzungsplan und bereiten sich auf formelle Audits vor. Zur Unterstützung hat PKCERT ein Registrierungsverfahren für Cybersicherheitsberater in den Bereichen IT-Sicherheit, OT-Sicherheit (Operational Technology) und Cloud-Sicherheit eingeführt, das in professionelle Stufen unterteilt ist – damit Lückenanalysen und Audit-Vorbereitungen nach einem einheitlichen Standard durchgeführt werden.
PISF ist Teil der umfassenderen Cybersicherheitsreformen Pakistans, einschließlich des Cybersecurity Act 2025, der die National Cybersecurity Authority (NCA) etabliert und das Mandat von PKCERT für nationale Incident Response und Threat Intelligence erweitert.
Wie sich PISF in Pakistans Cybersicherheitslandschaft einordnet
PISF steht nicht isoliert. Es ergänzt nationale Initiativen und sektorale Vorschriften und ist konzeptionell mit internationalen Standards abgestimmt, was es Organisationen vertraut macht, die bereits an ISO 27001 oder NIST arbeiten:
- PKCERT & NCA: Nationale Incident Response, Advisories und Threat Intelligence; PISF ist das Control Framework, an das sich Organisationen ausrichten.
- Cybersecurity Act 2025: errichtet die National Cybersecurity Authority und verschärft die nationalen Pflichten.
- Sektorerwartungen: Finanzinstitute müssen sich zudem an die Sicherheitserwartungen der State Bank of Pakistan halten; der PISF bildet eine branchenübergreifende gemeinsame Grundlage.
- Internationale Ausrichtung: Das Kontroll- und Domänenmodell des PISF spiegelt ISO/IEC 27001 und das NIST Cybersecurity Framework wider, und seine Anwendungssicherheitskontrollen lassen sich eindeutig den OWASP Top 10 und den Best Practices für einen sicheren SDLC zuordnen.
Wer muss die PISF einhalten?
PISF richtet sich an Organisationen, deren Sicherheit die nationale Resilienz wesentlich beeinflusst, sowie an deren Lieferanten:
- Behörden und Einrichtungen des öffentlichen Sektors.
- Betreiber kritischer nationaler Infrastrukturen (Energie, Telekommunikation, Verkehr usw.).
- Finanzdienstleistungen — Banken und Fintech, ergänzt die Anforderungen der State Bank of Pakistan.
- Technologieanbieter und -hersteller, die Systeme und Anwendungen für die oben genannten entwickeln oder betreiben.
In der Praxis ist Compliance ein Zyklus: eine Lückenanalyse gegen die PISF-Kontrollen, ein Implementierungsplan zur Schließung von Lücken, die Sammlung von Nachweisen, ein formelles Audit und eine kontinuierliche Überwachung. Jede Organisation, die internetorientierte Web- und Mobilanwendungen entwickelt oder betreibt, die sensible Daten verarbeiten, muss die Anwendungssicherheitskontrollen von Domain 11 erfüllen.
Wie PISF strukturiert ist: Domänen und Kontrollen
PISF strukturiert die Anforderungen in nummerierte Domänen, die jeweils einzelne, durch Codes identifizierte Kontrollen enthalten (beispielsweise ist die auf dieser Seite genannte Anwendungssicherheits-Domäne die Domäne 11). Kontrollen beschreiben eine spezifische, überprüfbare Erwartung – was vorhanden und gegenüber einem Auditor nachweisbar sein muss.
Diese Seite konzentriert sich auf die beiden für die Application Security relevantesten Controls: EDC-WAS-07.6 (Web Application Security) und ESSDLC-SDLC-2.1 (Secure Software Development Life Cycle). Der genaue Wortlaut jedes Controls sollte stets dem offiziellen PISF-Dokument entnommen werden, das von PKCERT veröffentlicht wurde.
PISF-Anforderungen an die Anwendungssicherheit im Detail
EDC-WAS-07.6 — Web Application Security
Diese Kontrolle befasst sich mit der Sicherheit von Webanwendungen: Von Organisationen wird erwartet, dass sie Webanwendungen vor gängigen Schwachstellen schützen und diese regelmäßig testen. In der Praxis bedeutet dies, Schutzmaßnahmen gegen die OWASP Top 10 (Injection, fehlerhafte Zugriffskontrolle, Authentifizierungsfehler und mehr) zu ergreifen, Eingaben zu validieren und Ausgaben zu kodieren, Sitzungen und APIs zu sichern sowie durch Tests zu überprüfen, ob diese Schutzmaßnahmen vor und nach der Freigabe tatsächlich wirksam sind.
ESSDLC-SDLC-2.1 – Secure Software Development Life Cycle
Diese Control verlangt, dass Security im gesamten Software Development Life Cycle (SDLC) integriert wird, anstatt sie erst am Ende nachzurüsten. Das bedeutet Threat Modelling und Sicherheitsanforderungen im Vorfeld, Secure Coding und Code Review während der Entwicklung, Security Testing vor der Veröffentlichung sowie kontinuierliches Testing in CI/CD – der „Shift-Left“-Ansatz, auch bekannt als DevSecOps.
Häufige Webanwendungsschwachstellen, die PISF von Ihnen behoben haben möchte
Die Anwendungssicherheitskontrollen entsprechen eng der OWASP Top 10 – der branchenüblichen Liste der kritischsten Webanwendungsrisiken. Sowohl Prüfer als auch Angreifer suchen danach:
- Broken Access Control — Nutzer erreichen Daten oder Aktionen, auf die sie keinen Zugriff haben sollten.
- Kryptografische Fehler – schwache oder fehlende Verschlüsselung, die sensible Daten offenlegt.
- Injection — SQL-, Befehls- oder andere Injektionen über unvalidierte Eingaben.
- Insecure Design — fehlende Sicherheitskontrollen durch Design, nicht nur durch Bugs.
- Sicherheitsmiskonfiguration — Standard-, unvollständige oder unsichere Konfiguration.
- Anfällige und veraltete Komponenten — ungepatchte Bibliotheken und Frameworks.
- Identification & Authentication Failures — schwache Login-, Session- oder Credential-Handhabung.
- Software- und Datenintegritätsfehler — nicht vertrauenswürdige Updates, unsichere CI/CD-Pipelines.
- Mängel in der Sicherheitsprotokollierung und -überwachung — Angriffe, die unentdeckt bleiben.
- Server-Side Request Forgery (SSRF) — der Server wird dazu gebracht, bösartige Anfragen zu stellen.
Für mobile Apps ist die entsprechende Referenz die OWASP Mobile Top 10 (unsichere Datenspeicherung, unsichere Kommunikation, schwache Kryptografie usw.). Um diese Probleme zuverlässig zu finden, muss die laufende Anwendung getestet werden – nicht nur die Dokumentation überprüft werden.
Aufbau eines sicheren SDLC für PISF (ESSDLC-SDLC-2.1)
Ein sicherer SDLC integriert eine Sicherheitsaktivität in jede Phase. Dies ist es, was ein Auditor als Nachweis erwartet:
| SDLC-Phase | Sicherheitsaktivität | ImmuniWeb |
|---|---|---|
| Anforderungen | Sicherheitsanforderungen, Bedrohungsmodellierung | - |
| Design | Überprüfung der sicheren Architektur und des Designs | - |
| Implementierung | Sichere Coding-Standards, Code Review | - |
| Test | DAST, manuelle Penetrationstests | On-Demand, Neuron, MobileSuite, Neuron Mobile |
| Release / CI-CD | Automatisierte Test-Gates in der Pipeline | Continuous |
| Operations | Kontinuierliches Scannen, periodische Retests, ASM | Continuous, Discovery |
So bereiten Sie sich auf ein PISF-Audit vor (Schritt für Schritt)
- Erstellen Sie einen Überblick über Ihre Assets. Nehmen Sie eine Bestandsaufnahme von internetexponierten Web-Apps, APIs und mobilen Apps mit Attack Surface Management (ImmuniWeb Discovery).
- Führen Sie eine Lückenanalyse Ihrer Anwendungen anhand der Domain 11 Controls (Web-App-Security, Secure SDLC) durch.
- Testen Sie Webanwendungen mit manuellen Penetrationstests (On-Demand) und automatisierten Scans (Neuron).
- Testen Sie mobile Anwendungen mit MobileSuite und Neuron Mobile.
- Beheben und erneut testen mithilfe von umsetzbaren, False-Positiv-freien Berichten, um Audit-Nachweise zu erstellen.
- Betten Sie Tests in CI/CD mit Continuous ein, um die secure-SDLC-Kontrolle fortlaufend zu erfüllen.
- Aufbewahren Sie Nachweise durch kontinuierliche Überwachung und regelmäßige Wiederholungstests zwischen Audits.
Wie ImmuniWeb Ihnen hilft, PISF-Konformität zu erreichen
ImmuniWeb unterstützt direkt die Anwendungssicherheitskontrollen von Domain 11 mit Tests, die klare, prüffähige Nachweise liefern.
| Anforderung | Was erforderlich ist | ImmuniWeb-Produkte |
|---|---|---|
| EDC-WAS-07.6 | Sichern Sie Webanwendungen und testen Sie sie regelmäßig auf Schwachstellen (OWASP Top 10), mit zeitnaher Behebung. | ImmuniWeb On-Demand, Neuron, Continuous |
| ESSDLC-SDLC-2.1 | Sicherheitstests in jede Phase des SDLC integrieren (DevSecOps, CI/CD). | ImmuniWeb Continuous, Neuron, On-Demand |
ImmuniWeb On-Demand bietet manuelle Penetrationstests für Webanwendungen mit einer SLA mit Null False Positives und audit-reifen Berichten an. ImmuniWeb Neuron und Neuron Mobile bieten automatisiertes Web- und Mobile-Scanning. ImmuniWeb MobileSuite umfasst vollständige Mobile-Penetrationstests. ImmuniWeb Continuous integriert Tests in CI/CD für einen sicheren SDLC, und ImmuniWeb Discovery erfasst Ihre externe Angriffsfläche, sodass keine Anwendung ungetestet bleibt.
PISF vs. internationale Frameworks
Wenn Sie bereits nach internationalen Standards arbeiten, wird Ihnen PISF vertraut vorkommen – und dieselben ImmuniWeb-Tests unterstützen sie alle:
| Framework | Aspekt der Anwendungssicherheit | Wie ImmuniWeb abbildet |
|---|---|---|
| Pakistan) | Bereich 11: Web-App-Sicherheit + sicheres SDLC | Web-/Mobile-Penetrationstests, Scans, CI/CD-Tests |
| ISO/IEC 27001 | Anhang A technische Kontrollen | Penetrationstests und Scanning als Kontrollevidenz |
| NIST CSF 2.0 | Schutz-/Erkennungsfunktionen | Anwendungstests und kontinuierliche Überwachung |
| PCI DSS 4.0.1 | Anforderung 6 (Secure Dev) & Anforderung 11 (Testing) | Web-App-Pentest + Vulnerability Scanning |
| OWASP ASVS | Verifikationsstufen für Webanwendungen | ASVS-konformes Testing |
Penetrationstests vs. Sicherheitsscans für PISF
Beides ist erforderlich. Automatisierte Scans (DAST) bieten eine breite und häufige Abdeckung und sind ideal für kontinuierliche Tests in CI/CD-Umgebungen. Manuelle Penetrationstests finden Schwachstellen in der Business-Logic und komplexe Schwachstellen, die Scanner übersehen, und liefern die von Auditoren erwartete Tiefe. Für PISF: Kombinieren Sie Continuous Scanning mit periodischen manuellen Penetrationstests und testen Sie nach signifikanten Änderungen erneut.
PISF-Compliance-Checkliste (Anwendungssicherheit)
- Vollständiges Inventar von internetexponierten Webanwendungen, APIs und mobilen Apps
- Webanwendungen, die nach OWASP Top 10 getestet wurden
- Mobile Anwendungen, die gegen die OWASP Mobile Top 10 getestet wurden
- In die CI/CD-Pipeline integrierte Sicherheitstests (sicheres SDLC)
- Findings behoben und erneut getestet, wobei die Belege aufbewahrt werden
- Kontinuierliche Überwachung und regelmäßige Nachtests sind etabliert
- Audit-fähige Berichte, die den Domain 11-Kontrollen zugeordnet sind
Warum die PISF-Compliance wichtig ist
PISF wird in Pakistan zum gemeinsamen Referenzstandard für Security Maturity, insbesondere im öffentlichen Sektor, bei kritischen Infrastrukturen und im Finanzsektor. Der Nachweis der Konformität unterstützt Regierungsaufträge und Unternehmensverträge, Audits sowie regulatorische Beziehungen und signalisiert Partnern und Kunden Vertrauenswürdigkeit.
Es betrifft auch reales Risiko. Pakistan hat bereits hochkarätige Datenexposures erlebt, und Web- und Mobile-Anwendungen bleiben unter den am meisten ausgebeuteten Einfallstürmen für Angreifer. Die Erfüllung der Domain 11 Controls – durch echte Tests, nicht durch Papierkram – reduziert die Chance auf einen Breach, Service-Unterbrechungen, finanzielle Verluste und Reputationsschäden erheblich.
Häufig gestellte Fragen
Glossary
- PKCERT — Pakistans National Computer Emergency Response Team — Herausgeber von PISF.
- NCA — Nationale Cybersicherheitsbehörde, errichtet gemäß dem Cybersecurity Act 2025.
- Domain / Control — PISF gruppiert Anforderungen in Domains; jede Control ist eine spezifische, überprüfbare Erwartung.
- Secure SDLC — Ein Software Development Life Cycle, in dem jede Phase eine Security Activity integriert.
- DAST – Dynamic Application Security Testing – Test einer laufenden Anwendung auf Schwachstellen.
- Penetration Testing — Manuelle, von Experten geleitete Tests, die komplexe und geschäftslogikbasierte Schwachstellen finden.
- OWASP Top 10 — Die branchenübliche Liste der kritischsten Sicherheitsrisiken für Webanwendungen.
- Gap Assessment — Eine Überprüfung der aktuellen Kontrollen anhand des PISF, um vor einem Audit festzustellen, was fehlt.