Charles Denyer war während des größten Teils seiner beruflichen Laufbahn entweder direkt oder als Berater für das Verteidigungsministerium sowie für 17 US-amerikanische und internationale Geheimdienste tätig.
Aus diesem Grund steht er den jüngsten Anordnungen des „ “ skeptisch gegenüber, in denen US-Behörden angewiesen werden, bekannte Software-Sicherheitslücken unverzüglich zu beheben, wie beispielsweise den jüngsten Hack des Open-Source-Programms „ Log4j “. Die Richtlinien schreiben vor, dass die Installation von Patches innerhalb weniger Wochen oder Monate erfolgen muss.
Denyer, der Führungskräfte aus der Wirtschaft in den Bereichen Cybersicherheit, Cyberhygiene und Compliance-Fragen berät, erklärt, dass Bundesbehörden „schwieriger [als private Unternehmen] zu korrigieren und zu verwalten sind“. „Das Genehmigungsverfahren für Sicherheitstools und -lösungen sowie der Implementierungsprozess verlaufen äußerst langsam und bürokratisch.“
Zu diesen Problemen kommt hinzu, dass die Bundesbehörden derzeit unter einem Fachkräftemangel im Bereich Cybersicherheit leiden und talentierte Mitarbeiter an besser bezahlte Stellen in der Privatwirtschaft verlieren. (Einer Schätzung zufolge sind 36 000 Stellen im Bereich Cybersicherheit im öffentlichen Dienst nach wie vor unbesetzt, darunter allein 1 700 Stellen im Ministerium für Innere Sicherheit.) Das bedeutet, dass weniger Fachkräfte zur Verfügung stehen, um sich mit der komplexen Netzwerkinfrastruktur der Regierung sowie den oft veralteten Legacy-Tools und -Systemen auseinanderzusetzen. Aufsichtsbehörden haben diesen Systemen seit Jahren schlechte Noten erteilt.
„Ich bin mir nicht sicher, ob die Verantwortlichen das Problem verstehen“, sagt Nichoel Brooks, Leiter des Bereichs Bundesbehörden bei der Beratungsfirma Optiv Security und ehemaliger Oberst der US-Armee, der die Modernisierung des Nachrichtendienstes leitete. „Es läuft darauf hinaus, sich dieses Problem vor Augen zu führen. „Die Folge für die Bundesbehörden ist, dass selbst unter den besten Umständen nicht genügend Personal zur Verfügung steht, um alle Aufgaben zu bewältigen.“
Während Agenturen ihre Einstellungsverfahren neu ausrichten und ihre Technologie-Stacks straffen, können sie bereits jetzt drei Maßnahmen zur Cyberhygiene ergreifen, um mehr Transparenz zu gewinnen und ihre Netzwerke zu sichern.
1. Stellen Sie sicher, dass Sie die gesamte IT-Umgebung überwachen und scannen können
Jede Bundesbehörde ist einzigartig. Doch sie alle haben dieselbe Schwachstelle: eine uneinheitliche IT-Umgebung aus neuen und alten Systemen, die sich auf lokale und cloudbasierte Plattformen verteilt. Darüber hinaus hat die massive Umstellung auf Homeoffice dazu geführt, dass immer mehr nicht verwaltete Endgeräte entstanden sind. Dies hat wiederum die Transparenz im Netzwerk beeinträchtigt. Schließlich ist es unmöglich, das zu verwalten und zu schützen, was Organisationen nicht sehen können.
“„Die Bundesbehörden verfügen selbst unter den besten Umständen nicht über genügend Personal, um alle Aufgaben zu bewältigen.“Nichoel Brooks, ehemaliger Oberst der US-Armee und Leiter des Bereichs Bundesdienst bei Optiv Security
Und zahlreiche Fachleute aus den Bereichen Cybersicherheit und IT arbeiten im Dunkeln. Etwa 75 % der von PwC im Rahmen seiner Studie „ “ ( 2022 Global Digital Trust Insights Survey, ) befragten IT-Führungskräfte geben an, dass ihre Technologie-, Daten- und Betriebsumgebungen zu komplex sind, was ihre Fähigkeit beeinträchtigt, Netzwerke in Echtzeit zu überwachen. Ein komplexes und undurchsichtiges Umfeld erschwert den Behörden die Umsetzung der Bundesrichtlinien.
Die Echtzeitüberwachung von Netzwerken und Endgeräten und damit eine verbesserte Sicherheitserkennung erfordert mehr als nur Personal, das auf Warnmeldungen achtet. „Kein Mensch ist dazu in der Lage“, sagt Andrew Plato, der seit 25 Jahren als Pionier im Bereich Sicherheit tätig ist und als Geschäftsführer des Dienstleistungsunternehmens Zenaciti fungiert. „Das ist eine völlig unmögliche Aufgabe – sei es für eine Person oder für hundert.“ „Das übersteigt die kognitiven Fähigkeiten des Menschen.“
Die Einbindung von Automatisierung und künstlicher Intelligenz in die Überwachung von „ “ ( ) kann dabei helfen – mit Software, die nach ungewöhnlichen Verhaltensmustern sucht und nicht nur nach bestehenden Signaturen bekannter Angriffe und Schwachstellen –, um anschließend die Mitarbeiter im Security Operations Center eines Unternehmens zu alarmieren.
„Man muss Technologien und Automatisierungslösungen einsetzen, die in Echtzeit scannen und Unregelmäßigkeiten erkennen können, damit die Mitarbeiter diese anschließend nachprüfen können“, erklärt Plato. Dafür sind nach wie vor genügend Mitarbeiter erforderlich, was bedeutet, dass sich die Bundesbehörden dazu verpflichten müssen, Mitarbeiter auszubilden, zu binden und zu belohnen.
2. Daten auf Plattformen und in Ökosystemen zusammenführen
Altsysteme stützen sich auf zu viele isolierte Einzellösungen. Sie arbeiten nicht immer gut zusammen oder vertreten dieselbe Sichtweise auf das Netzwerk.
“Das „Tool-Chaos“ bereitet Unternehmen große Probleme. In einer Umfrage gaben 55 % der IT-Entscheidungsträger an, 20 oder mehr Tools in den Bereichen Sicherheit und Betrieb zu nutzen, wobei 70 % angaben, dass diese Tools nicht vollständig integriert seien. Eine Vielzahl lose gekoppelter Punktlösungen im Bereich „ “ ( ) verursacht zusätzliche Kosten und Komplexität, die letztendlich die Fähigkeit eines Unternehmens beeinträchtigen, Sicherheitsverletzungen zu erkennen und darauf zu reagieren.
Unternehmen müssen die Kernabläufe und Sicherheitsfunktionen des Teams auf einer einzigen Plattform bündeln. Diese Plattform muss jedem Teammitglied denselben umfassenden Echtzeit-Überblick über seine Umgebung bieten und ihre Funktionalität durch ein Ökosystem aus optimierten Lösungen erweitern, die nahtlos miteinander zusammenarbeiten.
Eine Bundesnorm, „ : Managing Information Security Risk“ (NIST SP 800-39), schreibt „ein integriertes, organisationsweites Programm zum Management von Informationssicherheitsrisiken vor, die sich aus dem Betrieb und der Nutzung von Informationssystemen der Bundesbehörden ergeben und die den Betriebsablauf der Organisation, … ihre Vermögenswerte, Einzelpersonen, andere Organisationen sowie die Nation betreffen.“ Ein wirksames Risikomanagement, so heißt es, erfordert einen umfassenden Ansatz, der drei Risikoebenen berücksichtigt: den Auftrag und die Strategien einer Organisation, ihre Geschäftsprozesse sowie ihre einzelnen IT-Systeme.
Durch die Zusammenführung ihrer Einzelanwendungen zu Plattformen und den Aufbau interoperabler Ökosysteme können Teams die Anzahl der benötigten Tools verringern und so ihre Kosten, Komplexität und Risiken senken. Zudem können sie die Anzahl der Schnittstellen reduzieren, die sie für ihre Sicherheitsfunktionen nutzen, und die Komplexität, den Aufwand sowie die Reibungsverluste zwischen den Teams minimieren, die zusammenarbeiten müssen, um die Sicherheit des Unternehmens zu gewährleisten. Auf diese Weise schaffen sie eine einzige, umfassende Quelle der Wahrheit über ihr Netzwerk, verbessern die Nutzung und Effektivität ihrer Tools und steigern die Rentabilität ihrer Investitionen.
3. Integrieren Sie das Zero-Trust-Konzept in die gesamte IT-Infrastruktur
Schließlich müssen Organisationen eine „ “-Zero-Trust-Strategie umsetzen – dies ist möglicherweise der schwierigste Aspekt der Bundesrichtlinien. „Zero Trust ist nicht nur eine Technologie“, sagt Plato von Zenaciti. „Man kann nicht einfach ein altes System nehmen und ‚Zero Trust‘ darauf anwenden – damit bringt man alles zum Erliegen“, sagt er. „Das ist nichts, was das bestbezahlte Team bei Google in 90 Tagen schaffen wird.“
“„Man kann nicht einfach ein altes System nehmen und ‚Zero Trust‘ darauf anwenden – damit bringt man alles zum Erliegen.“Andrew Plato, Geschäftsführer von Zenaciti
„Zero Trust“ ist eine völlig neue Architektur und ein neuer Ansatz zur Verwaltung der IT-Infrastruktur. „Man kann nicht einfach ein Zero-Trust-Produkt kaufen“, sagt Plato. Man muss diesen Ansatz in alle Bereiche integrieren – und das in einem Umfeld, in dem die Behörden nicht unbedingt gut zusammenarbeiten und auf „ihren eigenen Systemintegratoren und ihren eigenen Plattformen“ bestehen.
Die meisten Organisationen, die sich durch die Umsetzung des Zero-Trust-Ansatzes auszeichnen, erkennen letztendlich, dass es sich dabei nicht um einen Zustand der Vollkommenheit handelt. Sicherheit ist vielmehr ein Ziel. Das ist ein Prozess. Das ist ein erstrebenswertes Ziel.
Doch dies ist etwas, was die Regierung erreichen kann. „Der Grund, warum ich glaube, dass die Verordnung mit großer Wahrscheinlichkeit in Kraft treten wird, ist, dass sie weitgehend in den Bereich fällt, den sie kontrollieren“, sagt Eric Noonan, Geschäftsführer von CyberSheath Services und ehemaliger CISO bei BAE Systems. „Damit wird kein neues rechtliches Terrain betreten.“
Noonan erklärt, dass die Richtlinien möglicherweise nicht genau nach dem von der Regierung vorgegebenen Zeitplan umgesetzt werden. Stattdessen „sollen sie alle dazu dienen, die Sache voranzubringen“, sagt er.
Letztendlich werden Behörden, die zügig handeln, um die richtigen Systeme und Strategien einzuführen, weitaus besser in der Lage sein, Kriminelle von sensiblen staatlichen Systemen und Daten fernzuhalten.