Aktualisierung veralteter Hardware und Software. Verbesserung der Endpunkt-Erkennung bei „ “. Einführung wichtiger Identitäts- und Zugriffskontrollen. -Sicherheitssysteme mit Patches versehen.
Dies sind einige der Maßnahmen, die die für Informationssicherheit zuständigen Leiter (Chief Information Security Officers, CISOs) der staatlichen und kommunalen Behörden mit den Mitteln umgesetzt haben, die sie im ersten Jahr des Cybersicherheits-Förderprogramms im Rahmen von Präsident Bidens parteiübergreifendem Infrastrukturgesetz erhalten haben. Und die Antragsteller für das 2 . Jahr des Bundesprogramms warten derzeit darauf, zu erfahren, ob sie Fördermittel erhalten werden.
Sie können mehr tun, als nur abzuwarten. Aus dem holprigen Start des Programms lassen sich viele Lehren ziehen – und es gibt gute Gründe dafür, dass diese Einrichtungen nun mit der Planung für die nächste Phase beginnen sollten.
Zu behaupten, das mit 1 Milliarde US-Dollar dotierte „ State and Local Cybersecurity Grant Program“ (SLCGP), das im Jahr 2022 ins Leben gerufen wurde, sei reibungslos verlaufen, wäre möglicherweise übertrieben: Es gab gelegentlich Unklarheiten hinsichtlich der Teilnahmebedingungen und Zeitpläne; Stammesgemeinschaften wurden zu ihrem Leidwesen im ersten Jahr des Programms nicht einbezogen; und viele Fachleute fragen sich, ob das Programm über seine derzeitige Laufzeit von vier Jahren hinaus verlängert wird.
Trotz alledem bleiben Branchenbeobachter zuversichtlich und erklären, dass das SLCGP wie erwartet voranschreitet. Im Jahr 2022 beantragten die Bundesstaaten und US-Territorien Fördermittel in Höhe von 185 Millionen Dollar; im Jahr 2023, als 380 Millionen Dollar zur Verfügung standen, hielten 48 Bundesstaaten und sechs Territorien die Frist im September für die Einreichung detaillierter Cybersicherheitspläne bei der Cybersecurity and Infrastructure Security Agency (CISA) und der Federal Emergency Management Agency (FEMA) ein, die das Programm beaufsichtigen. Diese Pläne werden derzeit geprüft.
Auch wenn diejenigen, die in den letzten Monaten Vorschläge eingereicht haben, vielleicht das Gefühl haben, sich in der Wartezeit anderen Dingen zuwenden zu können, ist jetzt tatsächlich ein guter Zeitpunkt, um mit der Planung für das Jahr 3 zu beginnen. Im kommenden Jahr werden die SLCGP-Mittel allmählich zurückgehen (für das Geschäftsjahr 2024 stehen 300 Millionen Dollar zur Verfügung, für das Geschäftsjahr 2025 100 Millionen Dollar), was zu einem harten Wettbewerb führen wird. Je früher die Landes- und Kommunalverwaltungen sowie deren Sicherheitsverantwortliche die Vorteile des SLCGP einschätzen können – nun, da das Programm in seine „Jugendphase“ eintritt –, desto effektiver werden sie bei der Planung für die bevorstehende „Reifephase“ und möglicherweise auch für die Zeit danach sein, in der solche Mittel möglicherweise nicht mehr zur Verfügung stehen werden. In diesem Fall werden die Organisationen, die sich am frühesten vorbereitet haben, die besten Chancen haben, ihre Netzwerke und ihre Mitglieder zu schützen.
So funktioniert das SLCGP
Derzeit müssen Bundesländer, die Mittel aus dem SLCGP erhalten, sicherstellen, dass mindestens 80 % dieser Mittel an lokale Stellen weitergeleitet werden. Darüber hinaus müssen mindestens 25 % der im Rahmen des Zuschusses bereitgestellten Gesamtmittel an ländliche Gemeinden weitergeleitet werden. Jeder Bundesstaat veröffentlicht seine eigenen Verfahren und Fristen, nach denen die Kommunalverwaltungen die Fördermittel beantragen können.
„“Dieses Programm stärkt die Widerstandsfähigkeit unseres Landes.“Alaina Clark, stellvertretende Direktorin für die Einbindung von Interessengruppen, CISA
Bei den Stammesnationen verhält es sich etwas anders. Sie sollten ihre Cybersicherheitspläne Anfang dieses Monats im Rahmen des neu eingerichteten „Tribal Cybersecurity Grant Program“ (TCGP) der „ “ einreichen, das aus dem SLCGP hervorgegangen ist. Im Rahmen dieses Programms wurden rund 8 Millionen Dollar für die Stämme bereitgestellt. Je größer der Stamm ist, desto mehr Anspruch haben seine Mitglieder auf Leistungen.
Paula Starr, CIO der Cherokee Nation, erklärt, ihr Team bemühe sich derzeit aktiv um Fördermittel in Höhe von etwa 1 Million US-Dollar aus dem TCGP-Programm – allerdings mit gemischten Gefühlen. Einerseits benötigen sie das Geld. Die Cherokee Nation, die Behörden beaufsichtigt, welche Dienstleistungen für etwa 460 000 Stammesangehörige – viele davon in ländlichen Gemeinden – erbringen, hat ihre Cybersicherheitsmaßnahmen trotz knapper Haushaltsmittel verstärkt. Die Bundesmittel könnten also enorm hoch ausfallen, sagt sie.
Sie wünscht sich jedoch, man hätte die Stämme von Anfang an ebenso berücksichtigt wie alle anderen.
„Ich würde es sehr begrüßen, wenn die Stammesnationen in Zukunft die gleichen Möglichkeiten erhielten wie die Bundesstaaten , die Bezirke, , die Landkreise sowie die Kommunen im ganzen Land, was zusätzliche Finanzierungsmöglichkeiten betrifft, die dem Indian Country dabei helfen würden, den Anforderungen an die Cybersicherheit noch besser gerecht zu werden und den Schutz im Bereich der Cybersicherheit zu gewährleisten, den die Stammesnationen und ihre Bürger verdienen“, sagt sie.
Verteidigung gegen SLCGP-Fehler
Auf die Frage nach den Verzögerungen bei der Finanzierung der Stämme verteidigte Alaina Clark, stellvertretende Direktorin für Stakeholder-Einbindung bei der CISA, das Programm mit der Begründung, es ermutige Bundesstaaten, Stämme und Territorien dazu, strategische Cybersicherheitspläne einzureichen, die auf ihre jeweiligen Bedürfnisse zugeschnitten sind, und im Falle einer Genehmigung würden sie Fördermittel für Projekte erhalten.
“Sie möchten, dass die Kontinuität über die Laufzeit dieser Fördermittel hinausgewahrt bleibt; daher müssen wir dem Kongress irgendwann darlegen, dass es sich hierbei nicht lediglich um eine einmalige Finanzinvestition handeln darf.“Alex Whitaker, Leiter der Abteilung für Regierungsangelegenheiten bei der NASCIO
„Wir sind stolz auf die Arbeit, die wir in die Entwicklung eines neuen Programms gesteckt haben, das Ressourcen gezielt dort einsetzt, wo sie die größte Wirkung erzielen können“, sagt Clark. „Dieses Programm stärkt die Widerstandsfähigkeit unseres Landes, da die Bundesländer landesweite Cybersicherheitspläne und bewährte Verfahren entwickeln.“
Alex Whitaker, Leiter der Abteilung für Regierungsangelegenheiten bei der National Association of State Chief Information Officers (NASCIO), erklärt, dass das Programm bislang – abgesehen von einigen wenigen Fragen im Zusammenhang mit den Indianerstämmen und der Art und Weise, wie die Mittel an die Bundesländer und Kommunalverwaltungen weitergeleitet werden sollen – „ziemlich gut“ verläuft.
Ein längerfristiges Problem sei, so sagt er, dass das SLCGP nur bis zum Jahr 2026 läuft; daher sei schwer zu sagen, ob die Bundesstaaten, Kommunalverwaltungen, Stämme und Territorien in der Lage sein werden, die entsprechenden Maßnahmen nach Ablauf dieser Frist weiter zu finanzieren. Tatsächlich teilte ein CIO eines Bundesstaates der NASCIO mit, man zögere, ein neues Programm für Kommunalverwaltungen aufzugleisen, da dieses eingestellt werden müsste, falls die SLCGP-Finanzmittel nicht mehr zur Verfügung stünden.
„Man möchte Kontinuität über die Laufzeit dieser Fördermittel hinaus gewährleisten“, sagt er, „daher müssen wir dem Kongress irgendwann klarmachen, dass es sich hierbei nicht nur um eine einmalige Finanzinvestition handeln darf.“
Ein weiteres Problem, das gelegentlich zur Sprache kommt, ist, dass die im Rahmen des SLCGP bereitgestellten Mittel für Cybersicherheit nicht besonders hoch sind, insbesondere wenn man bedenkt, wie viel Zeit und Mühe die Sicherheitsteams in die Einwerbung dieser Mittel investieren. CISOs wie Ryan Murray, Leiter des „ “ im Bundesstaat Arizona, bemühen sich jedoch in der Regel um mehrere Bundeszuschüsse und gehen Partnerschaften mit anderen Bundesstaaten ein, um ihre Maßnahmen im Bereich der Cybersicherheit finanziell abzusichern. „Jedes bisschen hilft“, denken sie sich.
Wie Sie die SLCGP-Leistungen langfristig sichern können
Erfahrene Sicherheitsleiter optimieren Prozesse und reduzieren den Zeitaufwand mithilfe bewährter Verfahren, die sie wahrscheinlich anwenden werden, wenn sie sich im Herbst bei der nächsten Gelegenheit um Fördermittel bewerben. Dazu gehören:
- Laufende Aktualisierung der Cybersicherheitspläne: Da jedes Jahr etwa einen Monat nach Beginn des Antragsverfahrens ein aktualisierter Plan eingereicht werden muss, ist es nicht sinnvoll, mit der Erstellung bis zur letzten Minute zu warten. Genauso wie die Pläne zur Reaktion auf Vorfälle im Rahmen des „ “ ( ) regelmäßig aktualisiert werden müssen (,), sollten auch die Vorschläge zur Cybersicherheit für das SLCGP regelmäßig überwacht und bewertet werden. Das bedeutet, dass bereits jetzt Mitarbeiter ernannt und Verfahren eingeführt werden müssen, um die Pläne das ganze Jahr über zu aktualisieren.
- Gespräche mit Vertretern vor Ort: Um die Vorgabe zu erfüllen, dass die Mittel an die Kommunalverwaltungen weitergeleitet werden müssen, müssen die Bundesländer mit den Verantwortlichen der Landkreise und anderen Führungskräften darüber sprechen, welche Maßnahmen diese ergreifen müssen, um Anspruch auf die Mittel zu haben.
- Die Weiterentwicklung Ihrer landesweiten (WOS) „ “-Pläne unter – oder deren erstmalige Einführung: Sobald Sie begonnen haben, intensiver mit den Akteuren vor Ort zu kommunizieren, steigen Ihre Chancen, Zustimmung für eine neue WOS-Strategie zu erhalten oder Ihre bestehende Strategie anzupassen und zu verbessern. Behörden, die ihre Kräfte nicht bündeln, verpassen eine enorme Chance zur Zusammenarbeit, zum Datenaustausch und zur gerechten Verteilung der Lasten, die durch den Fachkräftemangel im Bereich der „ “ entstehen.
- Weitreichende Überlegungen: Nach dem Vorbild von Arizona müssen Bundesstaaten, Stämme und Territorien erkennen, dass Fördermittel keine einmaligen Maßnahmen sein müssen. Sobald ein nachhaltiges Modell etabliert ist, ist es möglich, weitere Fördermöglichkeiten auf Bundesebene zu erschließen.
Die meisten staatlichen Antragsteller für SLCGP-Mittel gehen davon aus, dass sie das Geld sinnvoll einsetzen werden, so Whitaker. Die von der „ “ durchgeführte NASCIO- 2023 -Umfrage zum Stand der CIOs ergab beispielsweise, dass die Antragsteller die Mittel zur Verbesserung von Schulungen zur Cybersicherheit, zur Endpunktüberwachung , zur Risikobewertung, zur Unterstützung der Migration auf .gov sowie zur Einführung der Multi-Faktor-Authentifizierung (MFA) verwenden werden.
Dies deckt sich mit den Vorstellungen, die Jon James, CISO der Cherokee Nation, für die von ihm betreuten Behörden hegt.
James sagt, dass Hacker die Stämme bis vor einigen Jahren weitgehend ignoriert hätten. Als sie jedoch ihre Angriffe auf Regierungs- und Gesundheitsnetzwerke verstärkten, stellten sie fest, dass auch die Stammesnationen über solche Netzwerke verfügten – und dass diese nur unzureichend geschützt waren. Infolgedessen begannen sie, vermehrt Angriffe gegen die Stämme zu starten.
Heute, nach der Einführung eines „umfassenden Cybersicherheitsprogramms“, so sagt er, befinde sich die Cherokee Nation in einer deutlich besseren Lage. Er warnt jedoch davor, dass es sich keiner der Stämme leisten kann, sich zurückzulehnen und zu entspannen. Sie müssen jede Gelegenheit nutzen, einschließlich Fördermittel wie das TCGP, um ihre Sicherheitslage zu verbessern, sagt er.
„Es ist wichtig, dass die Stämme erkennen, dass auch wir zur Zielscheibe gehören“, sagt er. „Wir müssen unsere allgemeine Sicherheitslage stärken, Risiken minimieren und einen besseren Überblick sowie eine bessere Kontrolle über die Schwachstellen unserer Endgeräte und unserer Netzwerkinfrastruktur erlangen.“
