Organisationen, die mit kontrollierten, nicht als geheim eingestuften Informationen (CUI) und kontrollierten sensiblen Informationen (CSI) umgehen – darunter viele Forschungseinrichtungen im Hochschulbereich –, sind ständigen Bedrohungen durch böswillige Akteure ausgesetzt. So hat beispielsweise das Justizministerium im Jahr 2018 neun iranische Hacker angeklagt, mehr als 31 Terabyte an Daten von über 300 Hochschulen gestohlen zu haben. Berichten zufolge belief sich der Gesamtwert des gestohlenen geistigen Eigentums auf mehr als 3 Milliarden Dollar.
Das Verteidigungsministerium schreibt vor, dass diese Einrichtungen – darunter die universitären Forschungszentren ( , University Affiliated Research Centers – UARCs) und die staatlich finanzierten Forschungs- und Entwicklungszentren (Federally Funded Research and Development Centers – FFRDCs) –, die staatliche Fördermittel für die Durchführung von Forschungsarbeiten (und den Umgang mit CUI/CSI) erhalten, in Kürze ebenso wie die Gemeinschaft der Bundesauftragnehmer die Anforderungen der „DoD Cybersecurity Maturity Model Certification“ (CMMC) erfüllen müssen. Die neuen Richtlinien sollen voraussichtlich im Herbst des Jahres 2020 in Kraft treten.
Eine geschulte, akkreditierte unabhängige Organisation, die als „Controlled Third Party Assessment Organization“ (C3PAO) bezeichnet wird, wird jeden Auftragnehmer oder jede Forschungseinrichtung prüfen, die Einhaltung einer Reihe von Anforderungen an die Cybersicherheit und bewährter Verfahren überprüfen und der Organisation einen Reifegrad im Bereich Cybersicherheit zuweisen.
Wie das CMMC die Cyber-Reife bewertet
Das CMMC-Modell „ “ ( ) bewertet die Cybersicherheit anhand von fünf Stufen. Jede Stufe umfasst eine Reihe von Prozessen und Vorgehensweisen, die von „durchgeführt“ auf Stufe 1 bis hin zu „optimiert“ auf Stufe 5 reichen. Jede Organisation muss nicht nur nachweisen, dass die betreffende Vorgehensweise institutionalisiert ist, sondern auch, dass alle für eine bestimmte Stufe sowie für alle vorangehenden Stufen erforderlichen Vorgehensweisen kontinuierlich umgesetzt werden.
Der Prüfungsprozess berücksichtigt eine Reihe weiterer Faktoren, darunter die Art und die Sensibilität der verarbeiteten Informationen, Bedrohungen sowie die Komplexität der Umsetzung.
Ungeachtet des Namens des Modells handelt es sich hierbei nicht um eine reine Abhakübung zur Einhaltung von Vorschriften. Das Verfahren bietet eine Möglichkeit, die Cybersicherheitsmaßnahmen besser auf die Art und die Sensibilität der Informationen sowie auf die damit verbundenen Bedrohungen abzustimmen.
Die Herausforderungen des CMMC für den Hochschulbereich
In der Vergangenheit verfügten viele FFDRCs und UARCs über keine zentralisierten Kontrollmechanismen und waren selbst für die Umsetzung, Überwachung und Zertifizierung der Sicherheit ihrer eigenen IT-Systeme sowie der darin gespeicherten CUI/CSI des Verteidigungsministeriums verantwortlich.
Um die CMMC-Richtlinien einzuhalten, werden viele dieser Einrichtungen heute auf ihre zentralen IT-Teams oder externe Unternehmen zurückgreifen müssen, um die erforderliche IT-Infrastruktur aufzubauen, die den CMMC-Standards entspricht und sensible Informationen vor böswilligen Akteuren schützt.
Vielen fehlen die erforderlichen grundlegenden Maßnahmen zur Cyberhygiene , und die meisten verfügen nicht über den notwendigen Überblick über ihr gesamtes Netzwerk – wie wir wissen, können wir nicht kontrollieren, was wir nicht sehen können. Das Team benötigt einen lückenlosen und kontinuierlichen Überblick über alle Ressourcen im Netzwerk (ein Ziel, das in der Welt des Internets der Dinge (IoT) und von „Bring Your Own Device“ (BYOD) immer komplexer wird).
Leider haben die Hochschulen – wenn auch in bester Absicht – die letzte Hürde errichtet. Bei ihren Bemühungen, einzelne Schwachstellen in der Cybersicherheit zu beheben, haben die meisten Unternehmen ein komplexes Flickwerk aus Einzelprodukten implementiert, die nicht miteinander kompatibel sind, deren Verwaltung und Aktualisierung schwierig ist und die dem IT-Führungsteam keinen umfassenden Überblick über die Bedrohungen bieten. Komplexität ist gleich Risiko plus Kosten. Sollten Institutionen weiterhin neue bzw. andere Einzelprodukte zur Lösung einzelner Probleme einführen, werden sie dadurch die Komplexität, die Kosten und das Risiko erhöhen. Zudem werden sie nicht die erforderliche Transparenz erreichen, um Risiken zu steuern und die CMMC-Anforderungen zu erfüllen.
Wie Tanium bei der Einhaltung der CMMC-Vorgaben hilft
Hochschuleinrichtungen benötigen die Möglichkeit, den Status der Netzwerksicherheit gemäß den CMMC-Anforderungen nahezu in Echtzeit zu überwachen und zu dokumentieren. Tanium hilft dabei, Risiken und Schwachstellen nicht nur zu identifizieren, sondern auch unternehmensweit zu bündeln und zu priorisieren sowie nahezu in Echtzeit Maßnahmen zur Reaktion und Behebung zu ergreifen.
Tanium führt nahezu sofortige Abfragen der Umgebung durch, wobei Millionen von Endgeräten gleichzeitig erfasst werden, und erstellt Dashboards mit Berichten nahezu in Echtzeit. Dies sorgt für Schnelligkeit und Transparenz, sodass Sie Probleme beheben, Änderungen zügig vornehmen und Risiken minimieren können. Tanium ermöglicht zudem eine kontinuierliche Überwachung der Einhaltung der festgelegten Benchmarks, wodurch ebenfalls Risiken reduziert werden.
Die Einhaltung der CMMC-Vorgaben ist einer der vielen Aspekte, die CISOs schlaflose Nächte bereiten. Im Falle von Forschungsuniversitäten könnte die Nichteinhaltung der CMMC-Anforderungen die Gewährung von Fördermitteln durch das Verteidigungsministerium gefährden. Mit den Endpunktmanagement-Lösungen „ “ von Tanium haben CISOs jedoch eine Sorge weniger. Diese Lösungen tragen dazu bei, die Komplexität zu verringern, die Effizienz zu steigern und die Kluft zwischen Betriebs- und Sicherheitsteams zu überbrücken. Zudem bieten sie CISOs eine zentrale Plattform, um ihre Umgebung zu überblicken und sich auf künftige CMMC-Audits vorzubereiten.
Tanium is not a C3PAO assessor – but we provide customers with high-fidelity insight into the cyber hygiene required for CMMC compliance. Zu den Bewertungsbereichen zählen unter anderem:
Erfassung und Berichterstattung von Vermögenswerten
Tanium bietet zuverlässige Funktionen zur Erfassung und Berichterstellung von Assets. Mit dem Aufkommen des IoT und von BYOD besteht die Gefahr, dass sich (zahlreiche) unbekannte Geräte im Netzwerk befinden. Wenn wir unsere Erkennungs- und Bestandserfassungstools in der Umgebung eines Unternehmens einsetzen, identifizieren wir häufig weitere 12 bis 20 Prozent unbekannter Geräte.
Umfassende Bedrohungsüberwachung
Die einheitliche Endpunktverwaltung und -sicherheit von Tanium bietet eine umfassende Überwachung von Bedrohungen mit detaillierter Analyse von Vorfällen über eine einzige Plattform, um Bedrohungen zu identifizieren, zu isolieren und zu mindern – und um zu überprüfen, ob sie behoben wurden.
Da Tanium nahezu augenblickliche Abfragen der Infrastruktur der Einrichtung durchführt, dabei Millionen von Endgeräten gleichzeitig auswertet und analysiert sowie die Informationen in Dashboards für die Compliance-Berichterstattung einspeist, hat die Universität die besten Chancen, den Verlust von wertvollem geistigem Eigentum sowie von CUI/CSI zu verhindern.
Transparenz, Kontrolle und Compliance: Vorbereitung auf das CMMC
Während der Prüfungsablauf noch festgelegt wird, werden voraussichtlich C3PAO Prüfer mit der Begutachtung an renommierten Forschungseinrichtungen beginnen, die weithin dafür bekannt sind, Forschung zu betreiben, deren Ergebnisse zu CUI oder CSI führen.
Wenn Sie die Bereitschaft Ihrer Einrichtung für das CMMC-Audit bewerten, sollten Sie zunächst die folgenden Fragen berücksichtigen:
- Wie viele Computer befinden sich in Ihrem Netzwerk? Und sind sie dazu berechtigt, sich dort aufzuhalten?
- Welche Anwendungen sind installiert? Und sind diese alle auf dem neuesten Stand?
- Was tun die Nutzer? Und ist dies zulässig?
- Wie sicher fühlen Sie sich hinsichtlich Ihrer Situation in Bezug auf Patches, Sicherheitslücken und Risiken?
- Wurden Sie kürzlich Opfer eines Datenlecks oder einer Betriebsstörung, die hätte verhindert werden können?
Die CMMC-Zertifizierung ist für Forschungseinrichtungen im Hochschulbereich von entscheidender Bedeutung, um ihre bahnbrechende Forschung fortzusetzen. Eine leistungsfähige zentrale IT-Infrastruktur ist sowohl für den Schutz sensibler Forschungsdaten als auch für die Erkennung, Prävention und Minderung von Cyberrisiken von entscheidender Bedeutung.
Um mehr darüber zu erfahren, wie Tanium mit Hochschulen zusammenarbeitet, besuchen Sie bitte , https://www.tanium.com/solutions/higher-education/, und .
