Staatliche CISOs an die Bundesbehörden: Zeigt uns das Geld

Ryan Murray liebt es, wenn ein Plan aufgeht.

Als stellvertretender Chief Information Security Officer (CISO) des Bundesstaates Arizona hat Murray alle Hände voll zu tun, die überwiegend ländlichen Gemeinden im gesamten Bundesstaat vor Herausforderungen im Bereich der Cybersicherheit zu schützen.

Vor drei Jahren machte sich seine Abteilung daher daran, die größtenteils veralteten und in einigen Fällen gar nicht vorhandenen lokalen IT-Cybersicherheitssysteme mithilfe einer Kombination aus Bundeszuschüssen und Landesmitteln zu modernisieren. Bei einem Treffen mit Vertretern des Landkreises, der Stadt und der Stammesgemeinschaften ermittelte sein Team die Bedürfnisse und Probleme, um zu verstehen, in welchen Bereichen Verbesserungen am dringendsten erforderlich waren. Als dann Fördermittel von Behörden wie dem Ministerium für Innere Sicherheit (DHS) bereitgestellt wurden, war Murrays Büro in der Lage, diese schneller und effizienter zu beantragen.

Gleichzeitig gelang es seinem Team, die Informationen, die sie von lokalen Behörden erhalten hatten, zu nutzen, um moderne Cybersicherheits-Tools und -Dienstleistungen zu einem Vorzugspreis (im Rahmen bestimmter Rahmenverträge mit Anbietern und staatlicher Verträge) zu erwerben und diese Lösungen anschließend den finanzschwachen Kommunalverwaltungen kostenlos zur Verfügung zu stellen.

Murray erklärt, dass dieses Modell Arizona in eine gute Ausgangsposition versetzt, um einen Teil der 1 Milliarde US-Dollar an Mitteln für Cybersicherheit zu erhalten, die in dem parteiübergreifenden Infrastrukturgesetz vorgesehen sind, das Präsident Biden im November unterzeichnet hat.

„Wir haben diese Prozesse vereinfacht, was von großer Bedeutung sein wird, da wir noch nicht wissen, wann die Mittel zur Verfügung gestellt werden und welche Anforderungen gelten werden“, sagt Murray.

Bekämpfung von Unklarheiten im Bereich der Cybersicherheit

Staatliche und kommunale Amtsträger, die erwägen, ihren Anteil an den Mitteln für Cybersicherheit im Rahmen des Infrastrukturgesetzes zu beantragen, sollten dem Beispiel Arizonas folgen und bereits jetzt einige Vorbereitungen treffen.

„Das Wichtigste, was die Bundesstaaten derzeit benötigen, sind Leitlinien der CISA dazu, wie sie die Mittel einsetzen können.“

Alex Whitaker, Leiter der Abteilung für Regierungsangelegenheiten bei der NASCIO

Das liegt daran, dass zwar jeder weiß, dass das Geld kommen wird, aber nicht viel Zeit bleiben wird, um es zu ergattern. Die Mittel werden über einen Zeitraum von vier Jahren bereitgestellt, wobei im Jahr 2022 200 Millionen Dollar, im Jahr 2023 400 Millionen Dollar, im Jahr 2024 300 Millionen Dollar und im Jahr 2025 100 Millionen Dollar zur Verfügung stehen.

Es war erwartet worden, dass die Behörde für Cybersicherheit und Infrastruktur (CISA) ihre Bekanntmachung über Fördermöglichkeiten (Notice of Funding Opportunity, NOFO) für die erste Fördertranche im Frühsommer veröffentlichen würde, doch es scheint, als könnte sich dies auf den Spätsommer verschieben. Das bedeutet, dass den Landes- und Kommunalverwaltungen möglicherweise nur ein Monat oder weniger zur Verfügung steht, um die Anträge auszufüllen und einzureichen, da die Auszahlung im Rahmen des Programms 2022 bis zum Ende des Haushaltsjahres der Bundesregierung am 30. September erfolgen soll.

Das Ausfüllen von Behördenanträgen ist selten einfach. In der Tat gibt es zahlreiche Hürden.

So sehen die Vorschriften beispielsweise vor, dass 80 % der Fördermittel an die Kommunen fließen müssen, was bedeutet, dass die Bundesländer über Mechanismen verfügen müssen, um dies zu gewährleisten. Zudem müssen sie bereit sein, die Fördermittel durch eigene Mittel zu ergänzen, beginnend mit 10 % im Jahr 2022 und mit einer jährlichen Erhöhung um 10 Prozentpunkte bis zum Jahr 2025. Zudem müssen sie Cybersicherheitspläne vorlegen, in denen dargelegt wird, wie die Mittel verteilt und verwendet werden sollen.

[Lesen Sie auch: 5 Strategien, mit denen CIOs staatlicher Behörden ihre Belegschaft neu ausrichten können]

Da die CISA bislang noch nicht öffentlich festgelegt hat, wie die Mittel verwendet werden könnten – und von wem –, ist dies zugegebenermaßen eine große Herausforderung. Dennoch treiben viele fortschrittliche CIOs und CISOs auf Landesebene diese Entwicklung dennoch voran.

„Das Wichtigste, was die Bundesstaaten derzeit benötigen, sind Leitlinien der CISA dazu, wie sie die Mittel einsetzen können“, sagt Alex Whitaker, Leiter für Regierungsangelegenheiten bei der National Association of State Chief Information Officers (NASCIO). „Aber sie sitzen nicht untätig herum. „Die Interessierten arbeiten derzeit an ihren Cybersicherheitsplänen und bemühen sich, Vertreter der lokalen Bevölkerung einzubeziehen, um deren Bedürfnisse zu ermitteln.“

Die staatlichen Fördermittel für Cybersicherheit sind den Aufwand wert

„Nicht jeder Bundesstaat wird daran interessiert sein, Mittel für die Infrastruktur zu beantragen“, so Whitaker. Letztendlich stehen über einen Zeitraum von vier Jahren lediglich 1 Milliarde Dollar zur Verfügung, die auf 50 Bundesstaaten aufzuteilen sind. „Und da die Bundesländer in dieser Zeit Millionen Dollar an Gegenfinanzierungsmitteln beisteuern müssen, könnten einige zu dem Schluss kommen: ‚Das lohnt sich für uns eigentlich nicht – das ist einfach zu viel Aufwand‘“, sagt er.

Gleichzeitig, so Whitaker, bestehe bei den Landes- und Kommunalverwaltungen ein „enormer Bedarf“ an der Modernisierung der IT-Sicherheitssysteme. Insbesondere viele Kommunalverwaltungen nutzen nach wie vor veraltete Hardware und Software, deren Sicherheitsfunktionen und -merkmale längst überholt sind, sagt er. Andere aktualisieren wichtige Systeme nicht regelmäßig oder installieren keine Patches, wodurch diese anfälliger für Ransomware und andere böswillige Angriffe werden. Wieder andere nutzen ein Sammelsurium isolierter Tools, um zu erkennen und zu verstehen, wo sich Daten befinden und wer darauf zugreift. Zudem fehlen bei vielen Unternehmen aktuelle Identitäts- und Zugriffskontrollen, wie beispielsweise die Multi-Faktor-Authentifizierung (MFA) von , die dazu beitragen können, die Schwachstellen bei Benutzernamen und Passwörtern auszugleichen.

Jennifer Pittman-Leeper, Customer Engagement Manager bei Tanium, erklärt, dass die meisten CIOs und CISOs auf Landes- und Kommunalebene wissen, dass ihre IT-Sicherheitssysteme nicht den Anforderungen entsprechen: „Wenn die heutigen Tools und Technologien für die Bundesländer und Kommunen wirklich funktionieren würden, bräuchten sie dieses Geld nicht“, sagt sie. „Es funktioniert nicht, und das wissen sie auch.“

[Lesen Sie auch: Staatliche Behörden holen im Bereich Cybersicherheit auf]

Daher sollten diejenigen, die Fördermöglichkeiten wie die Zuschüsse für Cybersicherheit im Rahmen des neuen Infrastrukturgesetzes ablehnen, diese noch einmal genauer unter die Lupe nehmen.

„Sie müssen in die Modernisierung ihrer Technologien investieren“, sagt sie. „Diese Bundesmittel können den Bundesländern dabei helfen, ihre Bemühungen auf die nächste Stufe zu heben – was für manche bereits eine grundlegende Stufe darstellt.“ „Man sollte einem geschenkten Gaul nicht ins Maul schauen.“

Das „Pflaster“ der Cybersicherheit abreißen

Staatliche Behörden müssen „das Pflaster abreißen“, so Pittman-Leeper, und wo immer möglich Finanzmittel sichern, um ihre komplexen Rahmenbedingungen besser zu verstehen und damit zu beginnen, diese in den Griff zu bekommen.

„“ Es ist kein Zauberstab. Aber es ist ein Anfang, und irgendwo muss man ja anfangen.”

Jennifer Pittman-Leeper, Managerin für Kundenbindung bei Tanium

Für jene CIOs und CISOs, die mit den Vorbereitungen noch im Rückstand sind, aber an einer Förderung im Rahmen dieses Infrastrukturgesetzes interessiert sind – hier einige schnelle Ansätze:

• Holen Sie Ihren Cybersicherheitsplan wieder hervor: Um bestimmte Meilensteine zu erreichen, sollten Sie unbedingt eine Strategie sowie konkrete Maßnahmen für den gesamten vierjährigen Zeitraum des Plans vorsehen.
• Sprechen Sie mit den Einheimischen: Der Cybersicherheitsplan sollte klar definieren, wie der Staat die lokalen Bemühungen im Bereich der Cybersicherheit unterstützen wird. Dies ist nur möglich, wenn die Prioritäten und Herausforderungen auf Kreis-, Stadt- und Stammesebene aktiv erörtert werden. Selbst wenn ein Bundesland beispielsweise moderne Instrumente zur Verfügung stellt, verfügt eine Gemeinde möglicherweise nicht über die notwendigen Mittel, um diese umzusetzen. Dies könnte darauf hindeuten, dass sie mehr Schulungen, Unterstützung oder Hilfe von einem externen Anbieter von Managed Security Services (MSSP) benötigen.

[Lesen Sie auch: Jeder Mitarbeiter muss nun Teil des Cybersicherheitsteams sein]

• Aufklären und für die Notwendigkeit werben: Die meisten CIOs und CISOs sind sich dessen bewusst, doch können sie im luftleeren Raum keinen Erfolg erzielen. Wenn man sich um Bundesmittel bemüht, ist es von entscheidender Bedeutung, den Politikern die Gründe dafür zu erläutern. Pittman-Leeper weist darauf hin, dass sie die Notwendigkeit höherer Haushaltsmittel und schrittweiser Finanzierungen verstehen müssen, damit im Falle erfolgreicher Förderanträge diese Mittel anschließend nicht wieder aus dem Haushalt abgezogen werden.
  Zudem wird Regierungsvertretern die Bedeutung der Finanzierung von Cybersicherheits-Upgrades für veraltete IT-Systeme auf Landes- und Kommunalebene verdeutlicht.
  In Arizona, so Murray, sind im Staatshaushalt mit Unterstützung von Gouverneur Doug Ducey 10 Millionen Dollar vorgesehen, um Kommunalverwaltungen und Schulbezirken der Klassenstufen K–12 dabei zu helfen, ihre Sicherheitsvorkehrungen zu verbessern.
• Denken Sie über den Tellerrand hinaus: Nehmen Sie sich ein Beispiel an Arizona und erkennen Sie, dass Fördermittel keine einmaligen Maßnahmen sein müssen. Mit einem nachhaltigen Modell ist es möglich, alle Arten von Fördermöglichkeiten auf Bundesebene in Anspruch zu nehmen. So hat das DHS beispielsweise kürzlich Fördermittel in Höhe von 1,6 Milliarden Dollar für Maßnahmen zur Terrorismusabwehr angekündigt. Ein Teil dieser Mittel kann für Maßnahmen im Bereich der Cybersicherheit verwendet werden. Es überrascht nicht, dass Murrays Team sich mit den Kommunalverwaltungen abgestimmt hat, um auch diese Fördermittel zu beantragen.
• Kooperation mit anderen Bundesländern: Der Zeit- und Arbeitsaufwand sowie die Investitionen, die mit der Einwerbung von Fördermitteln für die Cybersicherheit der Infrastruktur verbunden sind, mögen nach wie vor abschreckend wirken. Murray aus Arizona erklärt jedoch, sein Team stehe im Austausch mit Kollegen aus anderen Bundesstaaten, darunter Texas und New Mexico, um Möglichkeiten zur Bündelung von Finanzmitteln zur Deckung ihrer gemeinsamen Bedürfnisse zu erörtern. Zwar ist es möglich, dass die Richtlinien der CISA diesen Ansatz zunichte machen könnten (auch dies steht noch nicht fest). Ein unkonventioneller Denkansatz könnte jedoch nach der Finanzierung zahlreiche neue Möglichkeiten eröffnen.

[Lesen Sie auch: Es ist an der Zeit, auch die Cyber-Infrastruktur der USA zu sanieren]

Pittman-Leeper erklärt, dass die CIOs und CISOs der Bundesländer – ganz gleich, wie sie zu den Cybersicherheitszuschüssen des Bundes stehen – diese wahrscheinlich früher oder später in Anspruch nehmen müssen.

„Die Cybersicherheit ist seit einiger Zeit ein unterfinanziertes Problem, und das Problem wird nicht kleiner“, sagt sie. „Die CIOs und CISOs der Bundesländer, die sich um diese Art der Finanzierung bemühen, sind realistisch genug, um zu wissen, dass es sich dabei nicht um einen Zauberstab handelt.“ „Aber es ist ein Anfang, und irgendwo muss man ja anfangen.“