Vor kurzem unternahm die National Association of State Chief Information Officers (NASCIO) den ungewöhnlichen Schritt, einen vorgeschlagenen Bundesgesetzentwurf öffentlich zu unterstützen, in diesem Fall den „State and Local Cybersecurity Government Act of 2019“. Dieser Gesetzentwurf, der im Juni von einer parteiübergreifenden Arbeitsgruppe eingebracht wurde, würde das Gesetz über die innere Sicherheit von 2002 ändern, um die Zusammenarbeit sowie den Austausch von Ressourcen zwischen Bundes-, Landes- und Kommunalbehörden zu verbessern und so der Flut von Cyberangriffen Einhalt zu gebieten.
Es ist leicht nachvollziehbar, warum diese Unterstützung so viel Aufmerksamkeit erregt hat. Die NASCIO bezeichnet Cybersicherheit als die wichtigste technologische Herausforderung für die US-Bundesstaaten, und es vergeht kaum eine Woche, in der nicht eine staatliche oder kommunale Behörde wegen eines neu aufgedeckten Angriffs in die Schlagzeilen gerät – die andauernden Aufräumarbeiten nach dem Ransomware-Angriff in Baltimore sind nur ein Beispiel dafür.
Als ich jedoch sowohl den Gesetzentwurf als auch die befürwortende Stellungnahme der NASCIO dazu durchlas, fiel mir etwas Fragwürdiges ins Auge.
Wie StateScoop berichtete: „Der Zugang zu neuen Finanzmitteln und Technologien des Bundes wäre ein Glücksfall für die CIOs der Bundesländer …, die Schwierigkeiten haben, ihre Maßnahmen zur Cybersicherheit angemessen zu finanzieren.“ Den Kennzahlen der NASCIO zufolge verfügen die meisten Bundesstaaten über kein eigenes Budget für Cybersicherheit, was bedeutet, dass die Mittel aus den allgemeinen IT-Haushaltsmitteln bestritten werden müssen … Die CIOs und CISOs verfügen nicht über genügend Personal, um sicherzustellen, dass sie jeder Bedrohung, der sie ausgesetzt sind, begegnen können.“
All das ist zwar zutreffend, aber problematisch. Für staatliche und kommunale Behörden mag es wie ein Glücksfall erscheinen, über die Ressourcen zu verfügen, um zusätzlich zu den Teilen des bestehenden Technologie-Stacks, die ungenutzt bleiben oder nicht ordnungsgemäß eingesetzt werden, weitere Technologien anzuschaffen; doch dies wird die grundlegenden Herausforderungen nicht lösen, die sie überhaupt erst anfällig für Störungen machen. Sie können sich nicht einfach „freikaufen“, um Bedrohungsvektoren zu umgehen; die meisten erfolgreichen Sicherheitsverletzungen treten auf, weil Unternehmen nicht die richtigen Maßnahmen ergriffen haben, um ihre IT-Sicherheit zu verbessern, Sicherheitslücken zu schließen und ihre Umgebungen ordnungsgemäß für den Zugriff nach dem Prinzip der geringsten Berechtigungen zu konfigurieren.
Wie mir unser CISO für Amerika, Chris Hallenbeck, erklärte, lässt sich diese Gesetzgebung unter anderem so betrachten, dass sie CIOs besser rüsten würde. Eine weitere Möglichkeit besteht darin, dass es zu gegenseitigen Schuldzuweisungen kommen würde, wenn etwas Schlimmes passiert.
„CIOs können ihr IT-Budget durch staatliche Mittel aufstocken oder Vorfälle darauf zurückführen, dass sie nicht das erhalten haben, was ihnen von der Bundesregierung versprochen wurde“, sagte Chris. „Nun handeln die meisten CIOs der Bundesländer mit höchster Integrität und möchten ihre Systeme und Bürger vor unerbittlichen und allgegenwärtigen Cyberbedrohungen schützen. „Doch in seiner derzeitigen Form fördert der Gesetzentwurf nicht das richtige Verhalten, das letztendlich dazu führen wird, dass ihre Umgebungen widerstandsfähiger gegenüber Störungen werden.“
Benötigen Sie all diese Werkzeuge? Sind dies die richtigen Werkzeuge?
Wie Chris anmerkt, würde eine Entlastung des Haushalts mehr Nutzen bringen, wenn sie gezielt in die richtigen Bereiche fließt. Sollten die Bundesländer Bundesmittel erhalten, könnten sie diese für Bereiche ausgeben, die im Zusammenhang mit der IT-Sicherheit bisher unterfinanziert oder weitgehend vernachlässigt wurden, insbesondere für das Patch-Management, die Bestandsaufnahme der IT-Ressourcen und die Zugriffskontrolle. Behörden sind sich bewusst, dass sie in diesen Bereichen Verbesserungen vornehmen müssen; Phase 1 des „Continuous Diagnostics and Mitigation“ (CDM)-Programms des DHS ist eine der derzeit laufenden Initiativen. Wir sollten jedoch sicherstellen, dass Kontrollmechanismen vorhanden sind, die dafür sorgen, dass CIOs und CISOs im Falle eines Vorfalls für die Ergebnisse zur Rechenschaft gezogen werden und nicht gegenseitig die Schuld zuschieben.
Unsere SLED-Teams hier bei Tanium verbringen viel Zeit mit Technologieverantwortlichen auf Landes- und Kommunalebene, die in eine Vielzahl von Einzelprodukten und Sicherheitstools investiert haben, von Störfällen betroffen sind und anschließend Wochen, Monate oder sogar Jahre mit hitzigen Diskussionen mit ihren Anbietern verbringen, in denen sie sich fragen, warum diese Tools nicht geholfen haben. Die Bereitstellung weiterer Ressourcen für die Sicherheit und den IT-Betrieb löst die Probleme nicht. Letztendlich kommt es immer noch darauf an, einen Plan unter Berücksichtigung der richtigen Ziele umzusetzen.
Technische Unterstützung durch die Bundesregierung würde den größten Nutzen bringen, wenn die Bundesländer diese für Schulungen und Bewertungen einsetzen würden. Dazu gehören unter anderem die Ermittlung von Hygieneinitiativen sowie die Durchführung einer Lückenanalyse, um zu ermitteln, wo sich die derzeit eingesetzten Instrumente überschneiden und welche Funktionen infolgedessen noch fehlen. Vorausschauend handelnde CIOs und CISOs auf Landesebene könnten diese Analyse als Gelegenheit nutzen, ihre Tools zu konsolidieren und deren Gesamtzahl zu reduzieren.
Über die richtigen Dinge berichten
Die wichtigste Frage, die ich zu diesem Gesetzentwurf habe, ist, welche Meldepflichten die neue Gesetzgebung vorsehen wird. Das Ministerium für Innere Sicherheit stellt den Bundesstaaten bereits heute umfangreiche technische Unterstützung und Schulungsangebote zur Verfügung. Das Gesetz sieht ausdrücklich vor, dass das DHS dem Senatsausschuss für innere Sicherheit und Regierungsangelegenheiten (HSGAC) alle zwei Jahre über die Sicherheitslage in jedem einzelnen Bundesstaat Bericht erstattet.
Das DHS wird jedoch nur in dem Umfang Bericht erstatten können, in dem die Bundesländer freiwillig aussagekräftige Daten zur Verfügung stellen, und die Bundesländer werden keinen Anreiz zur Berichterstattung haben, wenn sie der Ansicht sind, dass der Kongress diese Daten lediglich mit denen anderer Bundesländer vergleichen wird. Wenn das DHS die Meldepflicht wirksam gestalten möchte – und den Bundesländern dabei helfen will, die Sicherheit ihrer IT-Umgebungen tatsächlich zu verbessern –, sollte der Gesetzentwurf eine Meldepflicht vorsehen, sofern die Bundesländer Zugang zu Bundesmitteln erhalten möchten. Dies kann aggregiert erfolgen.
Sollte sich bei der Messung herausstellen, dass einige Bundesländer trotz finanzieller Mittel und Zugang zu Ressourcen erheblich hinterherhinken, so ist die Gesetzgebung dahingehend zu überarbeiten, dass eine spezifische, nach Bundesländern aufgeschlüsselte Berichterstattung vorgeschrieben wird. Vor allem aber sollte es bei dieser Gesetzgebung darum gehen, Anreize für das richtige Verhalten zu schaffen, um die Herausforderungen durch unaufhörliche Cyberangriffe tatsächlich zu bewältigen.
Sie können nicht schützen, was Sie nicht sehen
Technologieführer auf Landesebene werden – wie alle Technologieführer – mit Werbebotschaften und leeren Versprechungen von Anbietern jeder Größe überschüttet, die ihnen versichern, ihre Probleme durch den Kauf der neuesten Tools und Dienstleistungen lösen zu können. Wenn Führungskräfte jedoch mit begrenzten Budgets, Personalmangel und mitunter unzuverlässiger Technologie konfrontiert sind, müssen sie fundiertere Entscheidungen treffen und in das investieren, was ihre Organisationen tatsächlich widerstandsfähiger gegenüber Störungen macht.
Tanium bietet eine echte Plattformlösung, die es SLED-Organisationen ermöglicht, ihre Cyberhygiene durch Echtzeit-Transparenz und -Kontrolle über Endgeräte zu verbessern. Weitere Informationen finden Sie unter , sowie auf unserer Ressourcenseite für Landes- und Kommunalverwaltungen unter.
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
Über den Autor „“: Tyker Fagg ist Vizepräsident für Programme im Bereich der US-Bundesstaaten, Kommunalverwaltungen und des Bildungswesens bei Tanium.
