Wenn ein Verkehrsflugzeug abstürzt, eilen Ermittler der Bundesluftfahrtbehörde zum Unfallort und versuchen, die Ursachen und Umstände des Unglücks aufzuklären. Ihre Erkenntnisse sollen der Öffentlichkeit und der Luftfahrtbranche als Informationsgrundlage dienen – und dazu beitragen, ähnliche Unfälle zu vermeiden, unabhängig davon, ob diese auf kriminelle Absicht, menschliches Versagen oder technische Störungen zurückzuführen sind.
Was Cyberangriffe betrifft, gibt es jedoch keine solche Behörde, die ähnliche Überprüfungen durchführt und wichtige Informationen weitergibt. Das wird sich bald ändern. Nach dem „ “-Angriff auf SolarWinds – bei dem Hacker in rund 300 Unternehmen und neun Bundesbehörden eindrangen und dessen Beseitigungskosten sich auf rund 100 Milliarden US-Dollar beliefen – plant die Biden-Regierung die Einrichtung eines Ausschusses zur Überprüfung von Cybersicherheitsvorfällen.
[Lesen Sie auch: Was ist Cyber-Resilienz?]
Gemäß einer in Kürze zu erlassenden Verordnung des „ “ () wären Auftragnehmer im Bereich Regierungssoftware verpflichtet, Cybervorfälle unverzüglich einer neuen Stelle innerhalb des Ministeriums für Innere Sicherheit zu melden. Diese Behörde würde dem National Transportation Safety Board (NTSB) ähneln, das Unfälle in der Zivilluftfahrt und andere Unfälle untersucht und Sicherheitsempfehlungen ausspricht.
Ziel der Bundesrichtlinie, die voraussichtlich neue Vorschriften zur Einhaltung von Softwaresicherheitsstandards enthalten wird, ist es, die Regierungs en dabei zu unterstützen, Cybersicherheitsvorfälle zu erkennen und darauf zu reagieren . Außerdem soll die Maßnahme die Sicherheit der Lieferkette fördern und Auftragnehmer des Bundes dazu anhalten, ihre Abwehrmaßnahmen zu verbessern.
Es wird jedoch erwartet, dass die neuen Anforderungen an Auftragnehmer des Bundes weitreichendere Auswirkungen haben werden. Sicherheitsexperten gehen davon aus, dass sich diese Entwicklungen in den Vorstandsetagen und Führungsetagen von Unternehmen durchsetzen werden, da große wie kleine Unternehmen bestrebt sind, neue Sicherheitsmaßnahmen einzuführen, Risiken zu minimieren, kostspielige Betriebsunterbrechungen zu vermeiden und transparenter zu werden, um Aufträge zu gewinnen und das Vertrauen der Kunden zu stärken.
„Der Ansatz der Regierung wird den privaten Sektor wahrscheinlich dazu anregen, ähnliche Meldepflichten einzuführen“, sagt Chris Hallenbeck , Chief Information Security Officer (CISO) für Nord- und Südamerika bei Tanium, . „Welches Unternehmen möchte schon dasjenige sein, das weniger transparent ist?“
Tatsächlich verfolgen CISOs heutzutage einen proaktiven Ansatz, um ihre Unternehmen und ihre Branchen zu stärken. Sie konzentrieren sich auf drei entscheidende Bereiche: strengere Kontrollen bei der Softwareentwicklung, eine bessere Transparenz in ihren Unternehmensnetzwerken und einen verbesserten Informationsaustausch.
Was bietet „ “ – Ihre Software für „ “?
Genau wie die Zutatenliste auf einer Lebensmittelverpackung muss die Software-Stückliste ( , SBOM) eines Softwareanbieters jede Komponente klar und genau auflisten und deren Herkunft angeben. Dies ist ein wesentlicher Bestandteil des Lieferkettenmanagements. Dies hilft dem Anbieter dabei, sicherzustellen, dass die Softwarekomponenten auf dem neuesten Stand sind, und ermöglicht es dem Käufer, Schwachstellenanalysen durchzuführen, um das Software-Risiko zu bewerten.
„Es ist einfach zu leicht, Software aus unbekannten und möglicherweise bösartigen Quellen zu integrieren.““Frank Dickson, Vizepräsident für Programmfragen bei IDC
„Wenn ich einen Softwareanbieter bitte, eine SBOM zu erstellen, und dieser dazu offenbar nicht in der Lage ist, werde ich seine Softwareentwicklungspraktiken in Frage stellen“, sagte Sounil Yu, CISO und Forschungsleiter bei JupiterOne. „Allein die Tatsache, dass sie problemlos eine SBOM erstellen können, gibt mir die Gewissheit, dass ihre Softwareentwicklungspraktiken modern und ausgereift genug sind, um einer Vielzahl gängiger Probleme im Zusammenhang mit anfälliger oder schlecht gewarteter Software entgegenzuwirken.“
Da Unternehmen Code-Repositorys wie die auf der Software-Kollaborationsplattform GitHub nutzen, hat die Überprüfung der Herkunft und Echtheit von Code zunehmend an Bedeutung gewonnen. „Es ist einfach zu leicht, Software aus unbekannten und möglicherweise bösartigen Quellen zu integrieren“, sagt Frank Dickson , Programm-Vizepräsident bei „“, der im Bereich Cybersicherheit für das Marktforschungs- und Beratungsunternehmen IDC tätig ist.
Zwar erhalten Unternehmen durch eine detailliertere SBOM einen besseren Überblick über die Software, aus der sich ihre Technologie zusammensetzt, doch könnten diese Details auch zu einer „Flut neuer Daten und Störsignale führen, von denen nicht alle verwertbar sein werden“, sagt David Wolpoff, Mitbegründer und Chief Technology Officer von Randori, einem Sicherheitsunternehmen, das Angriffe aus der Perspektive potenzieller Angreifer durchführt, um Kunden dabei zu helfen, Schwachstellen aufzuspüren.
[Lesen Sie auch: Was ist Patch-Management?]
Sofern sie dies nicht bereits getan haben, müssen sich Auftragnehmer der öffentlichen Hand auf die Komplexität einstellen, die strengere SBOM-Anforderungen für den Beschaffungsprozess des Bundes mit sich bringen werden. Letztendlich sollten sie jedoch von einem reibungsloseren Ablauf profitieren, sagt Window Snyder, ehemalige CISO bei Square, Inc. sowie Gründerin und Geschäftsführerin des auf Computernetzwerksicherheit spezialisierten Unternehmens Thistle Technologies.
Eine von der Regierung vorgeschriebene SBOM „könnte sehr hilfreich sein, indem sie genau darlegt, was im Rahmen des Patch- und Schwachstellenmanagements zu tun ist“, sagt sie. „Dies wird den Sicherheitsteams dabei helfen, sich mit den weniger wichtigen Themen zu befassen, die zwar nicht in der Fachpresse behandelt werden, die sie aber dennoch angehen möchten.“ „Wenn es gut funktioniert, kann es durch [Automatisierung] den Aufwand für das Patch-Management messbar von 30 Tagen auf 15 Tage reduzieren.“
Man kann nur das verwalten, was man sieht
Gemäß den voraussichtlichen Bestimmungen der bevorstehenden Durchführungsverordnung müssen Software-Auftragnehmer der Regierung diese unverzüglich benachrichtigen, wenn sie eine Sicherheitsverletzung oder einen anderen Sicherheitsvorfall feststellen. Um diese Anforderung zu erfüllen, müssen Anbieter jedoch die Transparenz in ihren Netzwerken und bei ihren Ressourcen verbessern.
Wie es in der Branche so schön heißt: Was man nicht sieht, kann man auch nicht steuern.
Auf operativer Ebene bedeutet Transparenz, sich einen umfassenden Überblick über alle Computer- und Datenressourcen innerhalb der IT-Umgebung eines Unternehmens zu verschaffen. Transparenz bedeutet auch, einen Überblick darüber zu haben, welche Endpunkte oder Geräte zu einem bestimmten Zeitpunkt anfällig sind, damit das Sicherheitsteam fundierte Entscheidungen zur Behebung der Probleme treffen kann. Dank einer besseren Transparenz können Unternehmen Sicherheitsvorfälle effektiver bewältigen und sich auf die Qualität ihrer Daten für die aufsichtsrechtliche Berichterstattung verlassen.
„. Was wir tun müssen, ist, die Sicherheit einer Organisation zu erhöhen, um die Wahrscheinlichkeit eines Sicherheitsvorfalls von vornherein zu verringern.“Chris Hallenbeck, CISO für Nord- und Südamerika bei Tanium
Dennoch stellt die Gewährleistung der Transparenz nach wie vor eine Herausforderung dar, insbesondere nachdem die Pandemie die Angriffsfläche vergrößert hat, indem sie die Anzahl der Endpunkte und Ressourcen erhöht hat, die geschützt werden müssen. A 2020 Tanium survey of 750 IT decision-makers found that nearly all—some 94%—have discovered endpoints that were previously unknown, a startling lack of visibility that could lead to compliance violations.
Hallenbeck von Tanium würde es begrüßen, wenn sich die neue Durchführungsverordnung stärker auf die Verbesserung der Sicherheit vor einem Angriff konzentrieren würde, anstatt erst im Nachhinein. „Was wir tun müssen, ist, die Sicherheit einer Organisation zu erhöhen, um die Wahrscheinlichkeit eines Sicherheitsvorfalls von vornherein zu verringern“, sagte er und fügte hinzu, dass Unternehmen, die einen Überblick über ihre IT-Umgebungen haben, proaktiver und produktiver agieren können.
Um einen guten Überblick zu gewinnen, müssen Sicherheitsteams ein Bedrohungsmodell entwickeln, das die Risiken ihrer Organisation in Bezug auf potenzielle Angriffe abbildet. Dieses Modell muss sich auf hochwertige Vermögenswerte und geschäftskritische Funktionen beziehen. Darüber hinaus müssen Sicherheits- und IT-Teams in der Lage sein, Fragen dazu zu beantworten, wo Daten gespeichert sind, welche Betriebssysteme zum Einsatz kommen und ob diese Systeme Cloud-Dienste oder lokale Server und Netzwerkinfrastruktur nutzen. Ohne diese Informationen verfügt ein Unternehmen nicht über die notwendigen Einblicke, um fundierte Entscheidungen hinsichtlich Personalausstattung und Werkzeugauswahl zu treffen, wodurch es anfälliger für Sicherheitsverletzungen wird.
[Lesen Sie auch: Wie CIOs in der öffentlichen Verwaltung eine strengere Rolle einnehmen können]
„Sobald ein Unternehmen seine geschäftlichen Arbeitsabläufe versteht“, so Chris Morales, CISO beim Anbieter für Sicherheits-, Netzwerk- und IT-Betriebslösungen Netenrich, „kann es Transparenz schaffen, um sicherzustellen, dass der gesamte Arbeitsablauf auf solche Verhaltensweisen von Angreifern überwacht wird, die auftreten können oder werden.“
Bereiten Sie sich darauf vor, etwas zu teilen
Die Frist für die Meldung eines Datenschutzverstoßes an die Regierung wird voraussichtlich 72 Stunden betragen, ähnlich wie in der Datenschutz-Grundverordnung der Europäischen Union (DSGVO) . Morales ist jedoch der Ansicht, dass die Softwarebranche auf kritische Bedrohungen mit weitreichenden Auswirkungen „innerhalb weniger Minuten“ reagieren könnte und sollte.
„Sicherheit ist ein Wettlauf zwischen Verteidiger und Angreifer“, sagt er, wobei die Reaktionsgeschwindigkeit „der entscheidende Faktor bei der Eindämmung eines Sicherheitsvorfalls“ sei. Der Verteidiger muss den Angreifer erkennen und reagieren, bevor dieser sein Ziel erreicht. „Eine verspätete Meldung“, fügt er hinzu, „bremst lediglich die Guten aus.“
Selbst wenn die Meldung ordnungsgemäß und zügig erfolgt, steht die Regierung bei dem Versuch, ein Cyber-Äquivalent zur NTSB zu schaffen, vor Hindernissen. Dazu muss sie private Unternehmen, für die viel geistiges Eigentum auf dem Spiel steht, davon überzeugen, Informationen weiterzugeben.
Obwohl sich die Bundesbehörde „ “ (Cybersecurity & Infrastructure Security Agency, CISA) zu einem starken Fürsprecher sowohl für den privaten als auch für den öffentlichen Sektor entwickelt hat, haben Unternehmen beklagt, dass der Informationsaustausch eine Einbahnstraße sei – eine Herausforderung, die die Regierung durch die Schaffung eines bidirektionalen Informationsflusses bewältigen muss.
„Die Beziehung ist gut, aber Transparenz ist ebenfalls wichtig“, sagte Joseph Carson, beratender CISO bei ThycoticCentrify, einem Anbieter von Lösungen für das Privilegierte-Zugriffsmanagement. „Die CISA engagiert sich mittlerweile stärker und handelt proaktiver, und das ist gut so – ein Zeichen dafür, dass Cybersicherheit am besten funktioniert, wenn man Angriffe verhindern kann, anstatt immer erst im Nachhinein die Folgen zu beseitigen.“
Zu den bewährten Vorgehensweisen, die Sicherheitsexperten für den Informationsaustausch über Vorfälle empfehlen, gehören:
- Betrachten Sie jeden Vorfall als Chance zur Verbesserung.
- Vermeiden Sie Schuldzuweisungen und konzentrieren Sie sich stattdessen auf systemische Schwachstellen und die eigentlichen Ursachen.
- Fördern und belohnen Sie den Austausch über erfolgreiche Nachbesprechungen.
Die Durchführung von „ “ – also konstruktiven und vorurteilsfreien Nachanalysen – bei allen Arten von Vorfällen, so Sounil Yu von JupiterOne, bereitet ein Unternehmen darauf vor, kritische Sicherheitsvorfälle zu bewältigen. „Sicherheit ist nur eine Art von Vorfall“, sagt er. „Wenn eine Organisation die Praktiken der schuldfreien Nachbesprechungen einführt, wird sie wahrscheinlich gut darauf vorbereitet sein, alle Anforderungen zu erfüllen, die sich aus der [Verfügung] ergeben.“
Schuldfreie Nachbesprechungen stellen zudem sicher, dass die aus einem Vorfall gewonnenen Erkenntnisse nicht in Vergessenheit geraten. Zudem bieten sie die Möglichkeit, diese Erkenntnisse in zukünftige Softwareentwürfe einfließen zu lassen. „Das ist eine großartige Investition in das Überleben des Unternehmens“, sagt Yu. Als Nebeneffekt bereiten objektive Nachbetrachtungen Unternehmen bereits heute auf die Zukunft einer Prüfbehörde im Stil der NTSB im Bereich der Cybersicherheit vor. Eine solche Stelle, die sich der Durchführung einwandfreier Nachuntersuchungen widmet und sich konsequent darauf konzentriert, die Ursachen eines schwerwiegenden Sicherheitsvorfalls lückenlos aufzuklären, könnte die Sicherheit innerhalb von Organisationen und entlang der gesamten Lieferkette verbessern.
