An Geschichten aus dem Bereich der Cybersicherheit hat es noch nie gemangelt, und das Jahr 2022 hielt einige echte Knüller bereit.
Diebe haben im Dark Web Daten zu mehr als 1 Millionen gestohlener Kreditkarten veröffentlicht , Sammelklagen wurden nach Datenpannen gegen große Unternehmen angestrengt, und Unternehmen mussten Diebstähle personenbezogener Daten hinnehmen, von denen Millionen von Kunden betroffen waren.
Auch wenn sich die Namen der Beteiligten ändern und das Ausmaß der Vorfälle mal größer, mal kleiner ausfällt, sind solche Geschichten leider zur Normalität geworden. Für CISOs sind künftig jene Ereignisse von Bedeutung, die den größten Einfluss auf die digitalen Risiken von Unternehmen haben werden, darunter völlig neue Trends sowie wichtige Faktoren, die bestehende Trends prägen.
Vor diesem Hintergrund wirft „ “-Ansprechpartner einen Blick auf die bedeutendsten Geschichten des Jahres 2022.
Die Sicherheit der Software-Lieferkette wurde verbessert
Seit dem „ “-Angriff auf die Lieferkette von SolarWinds im Jahr 2020 und dem als „ “ Log4j bekannten Zero-Day-Exploit, dessen Folgen Unternehmen noch bis weit ins Jahr 2022 hinein beseitigten, ist den Führungskräften überall bewusst geworden, wie stark sie von der Software abhängig sind, die die Grundlage moderner Unternehmen bildet.
“Sie müssen Ihre Lieferkette verstehen. Außerdem müssen Sie alle Ihre Softwarekomponenten sowie die Ihrer Anbieter genau kennen.”Nick Selby, Vizepräsident des Geschäftsbereichs Software-Assurance bei Trail of Bits
Die Software-Lieferkette „ “ umfasst im Wesentlichen nahezu alle Aspekte der Softwareentwicklung und -beschaffung, von der Sicherheit von Open-Source-Anwendungen und -Bibliotheken bis hin zu Produkten von Drittanbietern. Dazu gehören auch die Sicherheitsmaßnahmen und die Infrastruktur von sowie von Drittanbietern .
Angetrieben durch die Notwendigkeit einer erhöhten Sicherheit in der Software-Lieferkette erreichten Software-Stücklisten (SBOMs) – also Verzeichnisse der in Produkten enthaltenen Softwarekomponenten – in diesem Jahr ein bisher unerreichtes Maß an Verbreitung. Als Beispiel für die Dringlichkeit, Maßnahmen zu ergreifen, schreibt die von Präsident Biden erlassene Verordnung Nr. 2021 „ “ ( ) zur Verbesserung der Cybersicherheit der Nation vor, dass Anbieter, die Software an die Bundesregierung liefern, für alle Bestandteile ihrer Produkte eine SBOM beifügen müssen.
Das Fazit: „Das Verständnis von Software-Abhängigkeiten ist von entscheidender Bedeutung“, sagt Nick Selby, Vizepräsident des Bereichs Software Assurance bei der Software-Sicherheitsberatung Trail of Bits. „Sie müssen Ihre Lieferkette verstehen. „Und Sie müssen alle Softwarekomponenten kennen, über die Sie verfügen, ebenso wie die Ihrer Anbieter.“ Er erklärt, dass Drittanbieter, sofern sie nicht über eine vollständige SBOM verfügen, eine Liste der Abhängigkeiten in ihren Bibliotheken vorlegen müssen. Das zeigt Ihnen als Käufer, dass das Unternehmen ein gewisses Maß an Kontrolle über den Code hat, der in das von ihm verkaufte Produkt einfließt.
Der Hackerangriff auf Uber versetzte die CISOs in Alarmbereitschaft
CISOs in den gesamten USA nahmen im Oktober Kenntnis davon, als der ehemalige CISO von Uber (und ehemalige Bundesstaatsanwalt) wegen der Anklagepunkte der Behinderung der Justiz und der Verschleierung einer bekannten Straftat v , verurteilt wurde.
“[Das Verschweigen eines Verstoßes] bedeutet nicht lediglich, etwas zu vertuschen, das für Sie oder für das Unternehmen peinlich ist.“Mark Rasch, Rechtsanwalt und ehemaliger Bundesstaatsanwalt, Kohrman Jackson & Krantz
Die Verurteilungen gingen auf Zahlungen zurück, die er im Rahmen einer Geheimhaltungsvereinbarung (NDA) an die Angreifer im Zusammenhang mit einem digitalen Einbruch in das System 2016 geleistet hatte. Der ehemalige CISO von Uber, Joseph Sullivan, machte geltend, die Zahlungen seien Teil des Bug-Bounty-Programms von Uber gewesen. Die Bundesstaatsanwaltschaft erklärte, bei den Handlungen habe es sich um eine Bestechung und eine Vertuschung gehandelt, und dass Sullivan die Hacker gebeten habe, ihren Hackerangriff geheim zu halten und zu leugnen, dass sie Daten gestohlen hätten. Insbesondere stand Uber zu diesem Zeitpunkt noch im Rahmen einer Untersuchung der FTC wegen eines früheren Datenlecks unter Beobachtung.
Viele CISOs werteten das Urteil als Warnung, dass die Bundesregierung gegen CISOs strafrechtlich vorgehen wird, wenn diese eine Datenschutzverletzung nicht offenlegen. Tatsächlich ging es bei dem Urteil um die Vertuschung eines Verstoßes, der nach Feststellung des Justizministeriums offener hätte offengelegt und behandelt werden müssen.
Das Fazit: Rechtsexperten empfehlen, dass CISOs detaillierte Aufzeichnungen über Sicherheitsvorfälle führen und bei der Kommunikation per E-Mail sowie über andere Kanäle stets so vorgehen, als ob Aufsichtsbehörden, Richter und Geschworene diese Korrespondenz letztendlich lesen könnten.
Mark Rasch, ehemaliger Bundesstaatsanwalt und Rechtsanwalt bei der Kanzlei Kohrman Jackson & Krantz, rät Führungskräften, im Hinblick auf etwaige Datenschutzverletzungen oder Bug-Bounty-Programme in ihrem Unternehmen offen und ehrlich zu sein. In einem Interview im Podcast „ Security Current“ (, , ) erklärte er, dass Führungskräfte – selbst wenn sich eine Organisation dafür entscheiden sollte, einen Sicherheitsvorfall nicht zu melden – zumindest nachweisen sollten, dass der Entscheidungsprozess, der zu dieser Entscheidung geführt hat, stichhaltig war.
[Lesen Sie auch: Warum Bug-Bounty-Jäger enorme Prämien erhalten]
„Hier geht es nicht nur darum, etwas zu vertuschen, das für Sie oder für das Unternehmen peinlich ist“, sagte er. „Es gibt eine fundierte Entscheidung darüber, warum Sie eine Datenpanne melden oder nicht melden.“ „Sie sollten außerdem darauf achten, dass Sie Ihre Entscheidungen auf der Grundlage einer rechtlichen Beratung treffen.“
Die Risiken im Zusammenhang mit Firmware haben zugenommen
In Ausgabe 2021 haben wir über „ “-Hacks berichtet, die auf Firmware- abzielen, welche die Interaktion zwischen Computerhardware und dem Betriebssystem steuern. Sicherheitslücken in der Firmware ermöglichen einen beneidenswerten Zugang zum Unternehmen.
Bereits im Jahr 2022 hatten Sicherheitsforscher einen ausgeklügelten Hack namens „ “ (CosmicStrand) identifiziert, der es Angreifern ermöglicht, Firmware heimlich zu infizieren. Darüber hinaus kam es im Laufe des Jahres zu Firmware-Angriffen, bei denen Schwachstellen im Zusammenhang mit „ “ ( ) ausgenutzt wurden, von denen mehr als 70 Lenovo-Laptop-Modelle betroffen waren, sowie Schwachstellen im Zusammenhang mit „ “ ( ), die Betriebstechnologien und Geräte des Internets der Dinge (IoT) gefährdeten.
Das Fazit: „Die Absicherung der Firmware-Ebene wird oft übersehen, stellt jedoch einen Single Point of Failure in Geräten dar und ist eine der heimlichsten Methoden, mit denen ein Angreifer Geräte in großem Umfang kompromittieren kann“, so ein Bericht der „ “ des US-Heimatschutzministeriums und des US-Handelsministeriums.
Unternehmen müssen zumindest sicherstellen, dass sie die technischen Anforderungen der aktuellsten UEFI-Spezifikationen (Unified Extensible Firmware Interface) umsetzen und dass Funktionen wie „UEFI Secure Boot“ vorhanden sind. Tools wie CHIPSEC können genutzt werden, um im Rahmen der Sorgfaltspflicht vor dem Erwerb von Produkten Sicherheitsüberprüfungen der Firmware durchzuführen.
Die wirtschaftliche Unsicherheit stieg sprunghaft an
Zwar kann niemand genau sagen, wie stark die Gegenwinde, denen die US-Wirtschaft im Jahr 2023 ausgesetzt sein wird, zunehmen werden, doch herrscht unter Ökonomen weitgehende Einigkeit darüber, dass das Land auf eine Rezession zusteuert oder zumindest auf eine Phase, in der das Wirtschaftswachstum von erheblichen Turbulenzen geprägt sein wird. Deutlich gestiegene Preise, Probleme in der Lieferkette und geopolitische Spannungen haben das Wachstum erheblich gebremst.
[Lesen Sie auch: 5 große Fehler, die CISOs in einer Konjunkturflaute vermeiden sollten]
Die wirtschaftliche Unsicherheit wird zwangsläufig Druck auf die Sicherheitsbudgets ausüben, auch wenn die Risiken im Zusammenhang mit Cyberangriffen weiter zunehmen. „Nutzen Sie dies als Gelegenheit zur Optimierung“, rät Andy Ellis, ehemaliger CSO bei Akamai Technologies und derzeit operativer Partner bei YL Ventures.
Das Fazit: Sicherheitsverantwortliche sollten die Effizienz so weit wie möglich steigern, dies jedoch auf die effektivste und risikoärmste Art und Weise tun. Sollten die CISOs jedoch letztendlich zu Einsparungen aufgefordert werden, werden sie gezwungen sein, Bereiche zu finden, in denen Einsparungen vorgenommen werden können.
„Es ist schmerzhaft, aber man findet immer Wege, noch tiefer zu schneiden“, sagt Ellis. Eine sinnvolle Maßnahme für den CISO besteht darin, sich an Kollegen und Interessengruppen zu wenden und zwei Fragen zu stellen: Was tun wir, worin sehen Sie keinen Nutzen? Und was unterlassen wir, von dem Sie glauben, dass es einfach und sinnvoll wäre?
In ganz Europa brach ein Cyberkrieg aus
Zwar haben sich die Cyberangriffe im Russland-Ukraine-Krieg größtenteils auf die Ukraine beschränkt – mit einigen Ausnahmen, die die westliche Infrastruktur betreffen –, doch ist es noch zu früh, um zu sagen, ob es an der digitalen Front ruhig bleiben wird. Sollten sich die Feindseligkeiten jedoch ausweiten, ist die Wahrscheinlichkeit groß, dass sie online ihren Anfang nehmen. Die russischen Cyberangriffe in den ersten Tagen des Krieges richteten sich gegen die kritische Kommunikationsinfrastruktur der Ukraine.
“Verfügen Sie über einen guten Notfallplan? Unterhalten Sie Arbeitsbeziehungen zur örtlichen FBI-Dienststelle? Falls nicht, entwickeln Sie eine.”Andrew Storms, Vizepräsident für Sicherheit bei Replicated
Bereits vor dem Einmarsch Russlands warnte das US-Ministerium für Innere Sicherheit US-amerikanische Organisationen, insbesondere solche, die im Bereich der kritischen Infrastruktur tätig sind, sich auf Distributed-Denial-of-Service-Angriffe (DDoS) oder sogar noch zerstörerischere Angriffe vorzubereiten. Diese Angriffe – oder heimliche Vorbereitungen dafür – könnten bereits im Gange sein.
„Wenn man sich mit von Nationalstaaten unterstützten Aktivitäten befasst – seien es physische oder Cyberangriffe –, wird man nie ein vollständiges Verständnis davon erlangen, was tatsächlich vor sich geht, da diejenigen, die Bescheid wissen, ihr Wissen nicht preisgeben werden“, sagt Andrew Storms, Vizepräsident für Sicherheit beim Plattformanbieter Replicated. „Ich halte es nicht für klug, anzunehmen, dass es vorbei ist oder dass es nicht zu groß angelegten Angriffen kommen wird.“
Das Fazit: Machen Sie sich daran, Sicherheitslücken zu schließen. „Prüfen Sie Ihre Sicherheitslage gründlich und achten Sie auf die wesentlichen Maßnahmen, die vorhanden sein sollten, aber möglicherweise noch nicht vollständig umgesetzt sind“, sagt Storms von Replicated. „Verfügen Sie über einen guten Notfallwiederherstellungsplan für „ “? Unterhalten Sie Arbeitsbeziehungen zur örtlichen FBI-Dienststelle? „Falls nicht, entwickeln Sie eine.“
Das ist zu jeder Zeit ein hervorragender Ratschlag, nicht nur in einer Zeit zunehmender digitaler Bedrohungen. Zwar weiß niemand, welche Entwicklungen im Bereich der Sicherheit das Jahr 2023 mit sich bringen wird, doch Führungskräfte, die aus den Lehren des Jahres 2022 lernen, werden sicherlich besser auf alles vorbereitet sein, was auch immer kommen mag.
