Die USA öffnen sich wieder, doch die Lage ist noch weit davon entfernt, „normal“ zu sein. Staatliche und kommunale Behörden sowie Bildungseinrichtungen (SLED) passen ihre Arbeitsabläufe und logistischen Abläufe an, um der Rückkehr der Mitarbeiter in die Büros und der Schüler in die Schulen Rechnung zu tragen. Und um die jüngsten Herausforderungen in den Bereichen Betrieb und Sicherheit zu bewältigen, ist Unterstützung in Form neuer Finanzmittel der Bundesregierung auf dem Weg.
Das Gesetz „ “ (American Rescue Plan Act) (wird in einem neuen Tab geöffnet), das am März 2021 unterzeichnet wurde, verspricht den SLED-Organisationen neue Bundesmittel für ihre Betriebsbudgets sowie neue Investitionen in die Cybersicherheit.
Die Mittel sind noch nicht eingetroffen, was den SLED-Organisationen Zeit gibt, sich auf deren Eintreffen vorzubereiten. Nun ist es an der Zeit, die aktuellen IT-Anforderungen und -Kapazitäten zu bewerten und strategische Pläne für die Zukunft zu erstellen.
Durch die Rationalisierung der aktuellen IT-Investitionen, die Optimierung bewährter Lösungen sowie die Stilllegung oder Weiterentwicklung nicht funktionierender Lösungen können sich SLED-Organisationen darauf vorbereiten, die Mittel aus dem „American Rescue Plan Act“ bestmöglich zu nutzen, sobald diese im Laufe dieses Jahres zur Verfügung stehen.
In einem früheren Blogbeitrag von „ “ unter (wird in einem neuen Tab geöffnet) habe ich SLED-Organisationen empfohlen, zunächst eine Bestandsaufnahme der aktuellen IT-Ressourcen vorzunehmen, die IT-Tools zu straffen und einen Plan zur Unterstützung von Endgeräten in einer hybriden Homeoffice-Umgebung (WFH) auf unbestimmte Zeit zu entwickeln.
In diesem neuen Beitrag gehe ich auf zwei weitere Bereiche ein, mit denen sich SLED-Organisationen befassen sollten:
Einhaltung der Datenschutzanforderungen und -vorschriften
Um die Einhaltung behördlicher Vorschriften zu gewährleisten und bewährte IT-Verfahren zu befolgen, müssen SLED-Organisationen die vertraulichen Daten, die sie erheben, speichern und verwalten, schützen. Zudem müssen sie sich mit einer wachsenden Zahl von Datenschutzvorschriften auf Bundesebene vertraut machen und diese möglicherweise einhalten, darunter PCI, , HIPAA (öffnet in einem neuen Tab),, , , NIST 800-171 (öffnet in einem neuen Tab),, sowie , IRS 1075 (öffnet in einem neuen Tab),und . Darüber hinaus verabschieden viele Bundesländer eigene Datenschutzgesetze, die der europäischen Datenschutz-Grundverordnung (DSGVO) ähneln. Zudem müssen sie Maßnahmen zum Datenschutz einführen, um das Vertrauen ihrer Wähler zu gewinnen und zu bewahren.
Bekämpfung von Cybersicherheitsbedrohungen und Stärkung der IT-Sicherheitsmaßnahmen
Cyberbedrohungen nehmen hinsichtlich ihrer Vielfalt, Schwere und Raffinesse zu. Die Angriffsziele haben sich von Unternehmensnetzwerken auf die nationale Infrastruktur ausgeweitet. Dies liegt zum Teil daran, dass zu den heutigen Angreifern sowohl Nationalstaaten als auch kriminelle Vereinigungen gehören, die alle über reichlich Geld, Mittel und Geduld verfügen. Unterdessen sind SLED-Organisationen stärker gefährdet als je zuvor, da ihre Mitarbeiter im Homeoffice arbeiten und sich damit außerhalb des Schutzes herkömmlicher Sicherheitsperimeter befinden.
SLED-Organisationen sollten sich jetzt die Zeit nehmen, ihre IT-Tools und -Verfahren im Hinblick auf Datenschutz und Cybersicherheit zu überprüfen. Es macht keinen Sinn, neue Bundesmittel in veraltete Technologien und Vorgehensweisen zu investieren, die nicht so funktionieren, wie sie sollten. Entfernen Sie stattdessen das Alte, optimieren Sie das, was Sie behalten, und legen Sie den Grundstein für etwaige neue Investitionen, die Sie identifizieren.
Im Folgenden finden Sie einige Empfehlungen zur Bewertung der Fähigkeiten Ihrer IT-Organisation in den Bereichen Datenschutz, Einhaltung gesetzlicher Vorschriften und Cybersicherheit.
SLED-Organisationen, Datenschutz und Einhaltung gesetzlicher Vorschriften
Der Datenschutz ist nicht nur wichtig, um die Ziele des „American Rescue Plan“ zur Stärkung der Cybersicherheit zu erreichen, sondern auch, um das Vertrauen der Wähler zu gewinnen.
Wenn Sie zeigen, dass Sie den Datenschutz ernst nehmen, geben Sie Ihren Kunden das Vertrauen, auf die von Ihnen angebotenen digitalen Dienste zu vertrauen.
Hier finden Sie einige Fragen, die Sie sich stellen sollten, wenn Sie die Stärken und Schwächen Ihres Unternehmens in Bezug auf Datenschutz und die Einhaltung gesetzlicher Vorschriften bewerten:
- Wie bewertet Ihr Unternehmen derzeit seine Datenschutzrisiken?
- Hat Ihr IT-Team alle Arten von Daten ermittelt, die geschützt werden müssen?
- Falls ja, hat Ihr IT-Team alle Datenspeicher und Anwendungen identifiziert, in denen sich diese Daten möglicherweise befinden?
- Können Sie die Zugriffsrechte der Benutzer geräte- und dienstübergreifend systematisch nachverfolgen, um den Zugriff auf sensible Daten ausschließlich auf autorisierte Benutzer zu beschränken?
- Wie messen Sie die Einhaltung der Vorschriften?
- Wie stellt Ihre Organisation die Einhaltung aller relevanten Vorschriften und Richtlinien sicher?
- Führt Ihr Unternehmen regelmäßige Prüfungen zur Einhaltung gesetzlicher Vorschriften durch?
- Ist Ihr IT-Team in der Lage, umfassende Berichte zur Compliance zu erstellen, ohne auf manuelle Prozesse, Tabellenkalkulationen und Vermutungen zurückgreifen zu müssen?
- Falls ja, werden diese Berichte an die Führungskräfte und das IT-Sicherheitsteam weitergeleitet?
- Können Sie auf auftretende Risiken schnell reagieren?
- Falls ein Sicherheitsangriff die Vertraulichkeit oder Integrität der Daten Ihres Unternehmens gefährdet, wie schnell können Sie die betroffenen Endgeräte unter Quarantäne stellen und den Angriff abwehren?
Beantworten Sie diese Fragen und legen Sie anschließend fest, welche Änderungen Sie vornehmen sollten, um den Datenschutz in Ihrem Unternehmen zu verbessern. Möchten Sie beispielsweise den Überblick über die Endgeräte Ihrer Mitarbeiter verbessern? Die Schulung der Mitarbeiter zu bewährten Verfahren und Sicherheitsbedrohungen verbessern? Die Aktivitäten der Mitarbeiter genauer überwachen, um mögliche Verstöße gegen gesetzliche Vorschriften aufzudecken?
Ermitteln Sie, was Sie jetzt ändern und optimieren können, um den Datenschutzanforderungen gerecht zu werden und den Ruf Ihres Unternehmens als vertrauenswürdiger Hüter vertraulicher Daten zu wahren.
SLED-Organisationen und Cybersicherheit
Die Cybersicherheit ist ein zentraler Schwerpunkt des „American Rescue Plan“. Sobald Unternehmen auf Remote-Arbeit umstellten, nahmen die Cyberbedrohungen zu. In einer Umfrage von „ 2020 “ unter (wird in einem neuen Tab geöffnet) gaben 63 % der Chief Information Security Officers (CISOs) an, dass die Zahl der Angriffe zugenommen habe.
Gleichzeitig gaben 58 % an, besorgt zu sein, dass Mitarbeiter im Homeoffice die Sicherheitsrichtlinien nicht einhielten, und 36 % berichteten von mangelnder Transparenz hinsichtlich der IT-Ressourcen, wie beispielsweise der Endgeräte der Mitarbeiter.
Ohne Einblick in die Endgeräte der Mitarbeiter können IT-Teams Bedrohungen nicht erkennen und abwehren.
Beantworten Sie die folgenden Fragen, um die Stärken und Schwächen Ihrer Organisation im Bereich der IT-Sicherheit zu bewerten:
- Verfügen Sie über einen umfassenden Überblick über Ihre Endgeräte, einschließlich der Geräte, die Ihre Mitarbeiter im Homeoffice nutzen?
- Haben Sie einen Überblick über die Anwendungen und Dienste, mit denen diese Endgeräte in der Cloud verbunden sind?
- Können Sie Endpunktdaten in Echtzeit erfassen? Falls nicht, wie aktuell sind Ihre Daten? Wird der Müll einmal täglich abgeholt? Einmal pro Woche? Wenn Sie Endpunktdaten nur einmal pro Woche erfassen, sind Sie dann bereit, die Cybersicherheitsrisiken in Kauf zu nehmen, die damit verbunden sind, dass Ihre Daten zu Sicherheitsbedrohungen bereits eine Woche alt sind?
- Hängen Ihre IT-Sicherheitsmaßnahmen davon ab, ob Endgeräte über ein lokales Netzwerk (LAN) oder ein virtuelles privates Netzwerk (VPN) verbunden sind? Oder lassen sie sich mit den heutigen Remote-Mitarbeitern kombinieren, die nur selten über LANs und VPNs verbunden sind?
- Können Sie bei Sicherheitsvorfällen schnell reagieren und Bedrohungen abwehren, bevor sie sich auf andere Endgeräte ausbreiten?
- Können Sie die von den Mitarbeitern genutzten Endgeräte automatisch scannen, Schwachstellen identifizieren und die Endgeräte aktualisieren, um diese Schwachstellen zu beseitigen?
- Über welche Mittel verfügt Ihre Organisation, um Angriffe zu erkennen und zu beseitigen, die möglicherweise bereits seit 90 Tagen oder länger andauern?
Beantworten Sie diese Fragen, um die Schwachstellen in Ihren derzeitigen IT-Sicherheitsmaßnahmen oder -Tools zu ermitteln. Ermitteln Sie anschließend, was gegebenenfalls ersetzt, ergänzt oder optimiert werden muss.
Zum Beispiel:
- Müssen Sie Ihre Richtlinien und Abläufe anpassen, da ein Teil Ihrer Belegschaft nun dauerhaft im Homeoffice arbeitet?
- Verfügen Sie über die erforderlichen Instrumente und Verfahren, um die neuesten behördlichen Vorschriften einzuhalten?
- Falls Sie Ihre derzeitigen IT-Sicherheitstools beibehalten, könnten Sie diese dann problemlos durch weitere Tools ergänzen, um Ihre Gesamtsicherheit zu stärken und zu optimieren?
Überprüfen und optimieren Sie jetzt Ihre IT-Sicherheits- und Datenschutzmaßnahmen, damit Sie die neuen Bundesmittel produktiv einsetzen können – und für die Zukunft gerüstet sind.
Erfahren Sie mehr über die Angebote von Tanium für SLED-Organisationen (wird in einem neuen Tab geöffnet).
Lesen Sie hier die bisherigen Beiträge dieser Reihe nach:
