Australiens „Essential Eight“ mag zwar das vorherrschende Cybersicherheits-Rahmenwerk sein, das von Regierungsstellen und Unternehmen in Australien genutzt wird, doch ist sein mehrstufiges Modell, das acht weit gefasste Kontrollbereiche abdeckt, so komplex, dass die -Einhaltungsquoten nach wie vor sehr niedrig sind. Selbst finanziell gut ausgestattete staatliche Organisationen haben Schwierigkeiten, die Anforderungen zu erfüllen.
KI und Automatisierungs n könnten wesentlich dazu beitragen, diesen Trend umzukehren. Und Experten für Cybersicherheit betonen, dass eine solche Kehrtwende nicht früh genug erfolgen kann.
Betrachten Sie die jüngsten (enttäuschenden) Daten aus dem öffentlichen Sektor Australiens: Der Anteil der staatlichen Organisationen, die Stufe zwei des Reifegradmodells „Essential Eight“ erfüllen, sank von 25 % im Jahr 2023 auf 15 % im Jahr 2024, so das Australian Signals Directorate (ASD), der Nachrichtendienst, der für die Cybersicherheit zuständig ist und die acht Strategien zur Risikominderung entwickelt hat.
Das Reifegradmodell umfasst vier Stufen – verwirrenderweise beginnt die Skala bei Stufe Null, was faktisch einer ungenügenden Bewertung entspricht. Dann gibt es noch die Stufen eins, zwei und drei, womit Stufe zwei die zweithöchste Stufe ist. Alle Einrichtungen der australischen Regierung, die nicht zum Commonwealth gehören (Ministerien, Behörden und andere Stellen, die als Teil der übergeordneten Regierungsstruktur und nicht als eigenständige juristische Personen agieren), müssen die Anforderungen der Stufe 2 erfüllen.
Der Rückgang bei der Einhaltung der Anforderungen der Stufe 2 könnte auf eine Aktualisierung zurückzuführen sein, die die ASD Ende 2023 am Modell vorgenommen hat und die einige Unternehmen wahrscheinlich zurückgeworfen hat. Zu den wichtigsten Schwerpunkten zählten die Optimierung der Zeitpläne für die Installation von Patches, die verstärkte Einführung von Phishing--resistenten Multi-Faktor-Authentifizierungsverfahren (MFA) sowie die Durchführung von Maßnahmen zur Erkennung und Reaktion auf Sicherheitsvorfälle für die mit dem Internet verbundene Infrastruktur. Dennoch waren die 2023 -Tarife kein Grund zum Prahlen. Unterdessen werden private Unternehmen lediglich dazu aufgefordert , die „Essential Eight“-Maßnahmen einzuhalten. Während große multinationale Konzerne mit umfangreichen Budgets und großen Sicherheitsteams vielleicht zumindest eine Chance haben, stehen kleine und mittelständische Unternehmen angesichts solcher empfohlenen Rahmenwerke vor enormen Herausforderungen .
Trotz dieser verwirrenden Komplexität hat die „Essential Eight“ nach wie vor das Sagen. Wie?
Es handelt sich dabei um eines von fünf Rahmenwerken, die australische, US-amerikanische und internationale Standards abdecken und die Unternehmen in Australien nutzen können, um die Einhaltung von Cybersicherheitsvorschriften nachzuweisen, wie dies in den Rechtsvorschriften zur Sicherheit kritischer Infrastrukturen (SOCI) festgelegt ist, die im Jahr 2018 vom australischen Innenministerium verkündet und im vergangenen Jahr aktualisiert wurden. Eine große Zahl von in Australien ansässigen Unternehmen entscheidet sich für die „Essential Eight“, höchstwahrscheinlich „weil die Regierung damit vertraut ist“, so Paul Foley, Geschäftsführer für Governance, Risiko und Compliance beim in Melbourne ansässigen IT-Dienstleistungsunternehmen CyberCX. Die Terminologie und Struktur der „Essential Eight“ haben sich für Regierungsbeamte als Standard bei der Erörterung von Cybersicherheitskapazitäten etabliert; daher ist es für Unternehmen, die mit Regierungsbehörden zusammenarbeiten möchten, sinnvoll, sich an diese Grundsätze zu halten.
[Read also: Cybersecurity frameworks—10 popular standards explained, from HIPAA to NIST to GDPR]
Demzufolge neigen Unternehmen – ob man es nun gut findet oder nicht – dazu, sich an die „Essential Eight“ zu halten, und haben anschließend Schwierigkeiten, deren komplexe Kontrollmaßnahmen umzusetzen. Könnte es mit Hilfe von Technologie einfacher sein? In gewisser Hinsicht ja, sagen Experten. Dank Innovationen, die von künstlicher Intelligenz bis hin zu „Infrastructure as Code“ (das eine softwarebasierte, programmatische Konfiguration der IT-Infrastruktur ermöglicht) reichen, stellen Unternehmen im öffentlichen und privaten Sektor fest, dass sie automatisierte Systeme einsetzen können, um die Arbeitslast zu verringern.
Warum „Essential Eight“ das „akzeptable Minimum“ darstellt
Automatisierung könnte die größte Hilfe für Unternehmen sein, die sich auf Stufe Null des „Essential Eight“-Modells befinden (man könnte diese Stufe auch als „Es geht nur noch aufwärts“ bezeichnen), was bedeutet, dass sie aufgrund von Schwachstellen in der Cybersicherheit für Angriffe völlig ungeschützt sind.
„, denn die Regierung versteht das.“Paul Foley, Geschäftsführer für Governance, Risiko und Compliance bei CyberCX, darüber, warum sich so viele Unternehmen trotz der Komplexität und der Herausforderungen bei der Einhaltung der Vorschriften nach wie vor vom „Essential Eight“ angezogen fühlen
Die Regierung definiert jede der übrigen Stufen anhand der Arten von Angreifern, gegen die sich ein Unternehmen, das diese Stufe erreicht, verteidigen könnte – angefangen bei unerfahrenen Hackern bis hin zu solchen mit größerer technischer Fachkenntnis. Eine Anforderung der Stufe zwei ist beispielsweise die Verwendung einer phishing-resistenten MFA zur Authentifizierung bei Systemen. Stufe drei richtet sich an diejenigen, die sich gegen stärkere Gegner verteidigen können.
Jede Stufe umfasst dieselben acht übergeordneten Kontrollbereiche: Anwendungskontrolle, , Anwendungs-Patching, , Betriebssystem-Patching, Konfiguration der Makroeinstellungen in Microsoft Office, Absicherung von Benutzeranwendungen, Einschränkung von Administratorrechten, MFA sowie regelmäßige Datensicherungen. Mit steigendem Niveau werden jedoch die Anforderungen in jedem dieser Bereiche immer höher.
„Ich habe schon seit der Einführung der ‚Essential Eight‘ immer wieder betont, dass diese das akzeptable Mindestmaß für ein Standardnetzwerk darstellen“, sagt Kieran Hynes, Gründer des IT-Beratungsunternehmens Willyama Services. Das liegt daran, dass so viele Unternehmen in Branchen tätig sind, die dem SOCI-Gesetz unterliegen, und sich für die „Essential Eight“ als Rahmenwerk entscheiden, an das sie sich halten. „Etwa 80 % der australischen Wirtschaft – wenn man Kleinst- und sehr kleine Unternehmen ausklammert – entfallen auf Dienstleistungsbranchen, die unter die SOCI-Gesetzgebung fallen würden“, sagt er.
Was kann die Umsetzung der „Essential Eight“ erleichtern? Automatisierung der kontinuierlichen Compliance
Inwiefern könnte Automatisierung dazu beitragen, die „Essential Eight“ überschaubarer zu gestalten? Möglicherweise im Zusammenhang mit dem Thema „kontinuierliche Compliance“ – einem Konzept, das einst eher ein Zielvorstellung war, in den letzten Jahren jedoch dank Fortschritten im Bereich „ “ (maschinelles Lernen), der zunehmenden Verbreitung von KI-Tools im Bereich Cybersicherheit sowie eines wachsenden Bewusstseins für die Vorteile der Echtzeit-Datenüberwachung und einer verbesserten Transparenz in Computernetzwerken immer besser umsetzbar geworden ist.
„Ich habe schon seit seiner Einführung immer wieder betont, dass die ‚Essential Eight‘ das minimal akzeptable Niveau für ein Standardnetzwerk darstellen.“”Kieran Hynes, Gründer von Willyama Services
Dieser Paradigmenwechsel von der traditionellen Compliance – mit ihren saisonalen Prüfungen und Mitarbeitern, die in einem hektischen Wettlauf um die Erfassung von Compliance-Daten von ihren täglichen Aufgaben abgezogen werden – hin zu einem strafferen Ansatz ist laut Experten bereits in vollem Gange. Im vergangenen Monat hat das US-Verteidigungsministerium die neue Vorschrift „ “ im Zusammenhang mit der „Cybersecurity Maturity Model Certification (CMMC)“ des „“ endgültig verabschiedet. Dabei handelt es sich um ein Rahmenwerk, das dem australischen „Essential Eight“ ähnelt und von Organisationen entlang der gesamten Verteidigungslieferkette die kontinuierliche Einhaltung der Vorgaben verlangt. Die Regelung tritt im nächsten Monat in Kraft.
Bei der herkömmlichen Compliance wurde ein punktueller Ansatz verfolgt, bei dem Prüfer ein System in regelmäßigen Abständen überprüfen, um festzustellen, inwieweit es den Anforderungen entspricht. Die Gefahr dabei ist ein sogenanntes „Compliance-Creep“, bei dem Änderungen an einem System dazu führen, dass dieses nicht mehr den Vorschriften entspricht, was jedoch erst bei der nächsten Prüfung bemerkt wird.
Ein Ansatz zur kontinuierlichen Compliance-Überwachung bewertet das System, um sicherzustellen, dass es jederzeit innerhalb der erforderlichen Rahmenbedingungen bleibt. Wann immer ein Prüfer zu Besuch kommt, kann das Sicherheitsteam sicher sein, dass alles ordnungsgemäß abläuft – und dies anhand der entsprechenden Unterlagen belegen.
Jamie Norton, Vorstandsmitglied der internationalen Kontrollorganisation ISACA, hebt die Vorteile hervor: „Gerade im Hinblick auf die Transparenz funktioniert die Automatisierung definitiv gut“, erklärt er. „Sie können Technologien einsetzen, um zu ermitteln und zu verstehen, inwieweit Sie in Ihrer gesamten Umgebung den ‚Essential Eight‘ entsprechen.“ Einige Unternehmen bieten solche Tools in Australien bereits an.
Trotz ihrer Vorteile bringt die kontinuierliche Einhaltung von Vorschriften eine Reihe einzigartiger Herausforderungen mit sich, die eine breite Einführung behindern könnten, insbesondere für kleinere Unternehmen mit knapperen Sicherheitsbudgets. Es besteht ein Unterschied zwischen der Überprüfung, inwieweit Sie die Vorschriften einhalten, und der Automatisierung von Kontrollmechanismen, die dafür sorgen, dass dies auch weiterhin der Fall ist. In einigen Bereichen ist es schwieriger, Maßnahmen zu ergreifen, um Einstellungen automatisch zu konfigurieren und Ihre Systeme im Blick zu behalten.
KI, Automatisierung und die „Essential Eight“: verborgene Komplexitäten
Einer der schwierigeren Bereiche ist die Anwendungskontrolle. Dies beinhaltet, dass die Anwendungen, die eine Organisation ausführen darf, auf diejenigen beschränkt werden, die auf einer Zulassungsliste aufgeführt sind. Es klingt einfach, ist aber trügerisch komplex.
„: Gerade im Hinblick auf die Transparenz funktioniert die Automatisierung definitiv gut.“ Sie können Technologien einsetzen, um zu messen und zu verstehen, inwieweit Sie in Ihrer gesamten Umgebung den „Essential Eight“ entsprechen.”Jamie Norton, Vorstandsmitglied der internationalen gemeinnützigen Organisation ISACA im Bereich Kontrollsysteme
„Sie müssen dies ständig aktualisieren, je nachdem, welche neuen Anwendungen veröffentlicht werden und welche neuen Bedrohungen auftreten“, sagt Norton. Jede Anwendung verfügt über mehrere Versionen, die ebenfalls entsprechend den unterschiedlichen Anforderungen der einzelnen Abteilungen verwaltet werden müssen. „Das ist etwas, was eine KI möglicherweise lernen könnte, wodurch die regelmäßige Aktualisierung dieser Konfiguration entfallen würde.“
Zwei weitere Kategorien der „Essential Eight“, die verborgene Herausforderungen bergen, sind die Aktualisierung von Anwendungen und die Installation von Patches für Betriebssysteme. Sowohl für Betriebssysteme als auch für Anwendungen erscheinen ständig zahlreiche Patches, die oft unterschiedliche Schweregrade aufweisen. Während eine zu langsame Installation von Patches bei zu erheblichen Risiken führt, kann die schnelle und undifferenzierte Installation von Patches potenziell schwerwiegende Auswirkungen auf Produktionssysteme haben. Manchmal können Betriebssystem-Patches zu Systemausfällen führen, weshalb automatisierte Patches ein Risiko darstellen.
Das Risiko, das mit der Installation von Patches verbunden ist, steigt mit zunehmender Anzahl unterschiedlicher Produkte in der Unternehmensinfrastruktur. Zudem nimmt die Anzahl der Systemabhängigkeiten zwischen diesen Produkten zu, was das Risiko von negativen Auswirkungen wie Kettenangriffen erhöht, bei denen Angreifer nacheinander mehrere Sicherheitslücken in verschiedenen Produkten ausnutzen.
Wie Foley hervorhebt, macht dies das Patchen zu einer Strategie der Risikobewertung. Um dieses Risiko zu bewerten, müssen alle oben genannten Faktoren sowie die Kritikalität einer Anwendung oder eines Betriebssystems innerhalb des Unternehmens berücksichtigt werden. Eine Anwendung, die den gesamten Produktionsprozess eines Unternehmens steuert, könnte für jemand anderen lediglich ein Protokollierungssystem sein.
Das erwartete Zeitfenster, in dem Unternehmen Software-Patches installieren müssen, verengt sich mit jeder Reifestufe des „Essential Eight“-Modells, wodurch das Problem an Komplexität gewinnt.
An dieser Stelle könnte KI ins Spiel kommen.
„Man braucht nach wie vor einen Menschen im Entscheidungsprozess“, sagt Foley, „aber wie lassen sich diese Entscheidungen schneller treffen?“ „Für das Patchen müssen Sie die Komplexität der Umgebung verstehen.“ KI könnte dieses Verständnis komplexer Anwendungsabhängigkeiten in der IT-Infrastruktur eines Unternehmens nutzen, um risikobasierte Bewertungen kritischer Systeme mit bestimmten Schwachstellen vorzunehmen. Anschließend könnte das Unternehmen diese Bewertungen den Analysten vorlegen, die dann die endgültige Entscheidung treffen würden.
Schnelle Erfolge – und Möglichkeiten, die Herausforderungen der Automatisierung zu bewältigen
Die Automatisierung bestimmter Aspekte der Cybersicherheit wird wahrscheinlich einfacher sein als die anderer. Besonders hervorzuheben ist die Notwendigkeit, Office-Makros einzuschränken.
„Es handelt sich um eine Gruppenrichtlinieneinstellung“, erklärt Foley. „Sie können dies auf Unternehmensebene festlegen, um Office-Makros zu deaktivieren.“ Das setzt natürlich voraus, dass alle Mitarbeiter darauf verzichten können. In einigen Bereichen, insbesondere im Finanzwesen, sind Arbeitnehmer auf Makros angewiesen, die über Jahre hinweg entwickelt wurden, um bestimmte Aufgaben ihrer Arbeit zu bewältigen. In solchen Fällen, so sagt er, sei es oft einfacher, bestimmte Abteilungen in ihren eigenen Bereichen des Netzwerks zu isolieren, um den Schadensumfang durch ein bösartiges Makro so gering wie möglich zu halten.
Ebenso erklärt Foley, dass die Durchsetzung der MFA zentral automatisiert werden sollte (vorausgesetzt, der Anwendungsanbieter unterstützt dies).
„Der Automatisierung stehen einige große Hürden im Weg“, so Foley. Für manche Organisationen sind es ihre eigenen Systeme, die sie behindern. „Wir stellen häufig fest, dass die Bundesregierung mit technischem Altlastenproblem zu kämpfen hat“, erklärt er.
[Lesen Sie auch: IT-Automatisierung – Funktionsweise, Vorteile und zukünftige Tools]
Systeme, die im Laufe der Jahre entwickelt wurden, verfügen möglicherweise nicht über die entsprechenden integrierten Automatisierungsfunktionen und schon gar nicht über einige der hier beschriebenen KI-gestützten Funktionen. Auch heterogene Systeme mit Komponenten verschiedener Anbieter, die nicht gut miteinander harmonieren, lassen sich nur schwer automatisieren. Aus diesem Grund nennt Willyamas Hynes die Cloud-Migration als einen möglichen Weg, um die Herausforderungen der Automatisierung zu bewältigen.
„Bei ‚Microsoft M365‘ tragen [die Kunden] keine wirkliche Verwaltungsverantwortung, da Microsoft alles für sie übernimmt“, erklärt er und führt ein Beispiel an. „Die Automatisierung erfolgt durch Microsoft.“ Sie müssen intern nichts unternehmen. „Das ist für die meisten Organisationen das sicherste Ergebnis.“
Die Automatisierung der Cybersicherheit ist wahrscheinlich ein Ansatz, bei dem man sich nach besten Kräften bemüht. Hynes verweist auf das Pareto-Prinzip, wonach man mit 20 % des Aufwands 80 % des Gewinns erzielen kann.
Danach, so sagt er, führe der Versuch, jede einzelne Sache zu automatisieren, zu mehr Komplexität und zu abnehmenden Erträgen. Wenn Sie sich jedoch für Systeme entscheiden, die von einer relativ kleinen Anzahl von Anbietern bereitgestellt oder verwaltet werden, und einen modernen Cybersicherheits-Stack aufbauen, haben Sie bessere Chancen, auf Funktionen zugreifen zu können, die Ihnen das Leben erleichtern und Sie der Einhaltung der „Essential Eight“ näherbringen.
