Weitreichend, tiefgreifend, historisch „“ – mit diesen Begriffen wird der neue Gesetzentwurf des Senats beschrieben, der am „ 2. März“ verabschiedet wurde und der Unternehmen mit kritischer Infrastruktur sowie zivile Bundesbehörden dazu verpflichtet, Cyberangriffe und Zahlungen im Zusammenhang mit Ransomware zu melden und einen risikobasierten Ansatz für die Cybersicherheit zu verfolgen.
Was beinhaltet das Gesetz zur Stärkung der amerikanischen Cybersicherheit von 2022?
Die drei Gesetzentwürfe im Rahmen des „ : Strengthening American Cybersecurity Act“ (), die der Senat einstimmig verabschiedet hat, warten nun auf ihre Verabschiedung im Repräsentantenhaus. Sie gelten für Unternehmen in kritischen Branchen, darunter Energie, Finanzdienstleistungen, Gesundheitswesen und Verkehr. Der Gesetzentwurf scheiterte im vergangenen Jahr im Senat.
Die kürzlich erfolgte Verabschiedung unterstreicht eine neue Dringlichkeit , die partei- und organisationsübergreifend im gesamten Westen zu spüren ist. „Dieser Gesetzentwurf ist von besonderer Bedeutung, da wir die Ukraine weiterhin unterstützen“, erklärte Senator Gary Peters (Demokrat aus Michigan), Vorsitzender des Senatsausschusses für innere Sicherheit und Regierungsangelegenheiten, kürzlich in einem Tweet. „Wir müssen uns weiterhin auf mögliche Vergeltungs-Cyberangriffe seitens der russischen Regierung vorbereiten“, fügte er hinzu.
Das letzte Mal, dass der Kongress ein Gesetz von derart weitreichender Tragweite verabschiedete, war im Jahr 2015, als ein Gesetz erlassen wurde, das Unternehmen dazu ermutigte, freiwillig Informationen über Hackerangriffe weiterzugeben (und ihnen im Gegenzug rechtlichen Schutz zusicherte). Das neue Gesetz verpflichtet Banken, medizinische Einrichtungen, Versorgungsunternehmen und andere Organisationen, einen „erheblichen Cybervorfall“ innerhalb von 72 Stunden an die Cybersecurity and Infrastructure Security Agency (CISA) zu melden – sowie etwaige Zahlungen an Ransomware-Erpresser innerhalb von 24 Stunden nach deren Leistung.
Das Ziel der Meldepflicht besteht darin, ein besseres Verständnis dafür zu gewinnen, wie viele und welche Arten von Cyberangriffen täglich auf US-amerikanische Organisationen verübt werden (etwas, womit sich Führungskräfte im Bereich Cybersicherheit seit Jahren schwer tun), und in der Lage zu sein, andere Einrichtungen, die möglicherweise gefährdet sind, zu warnen, wenn solche Hackerangriffe stattfinden.
Diese neue Gesetzgebung bedeutet sowohl für große als auch für kleine Organisationen eine entscheidende Veränderung. Endpoint, das regelmäßig über die Strategien, Kompetenzen und Prozesse berichtet, die Unternehmen benötigen, um im Cyberbereich widerstandsfähig zu sein, stellt drei der wichtigsten davon vor.
Verbessern Sie Ihre Cyber-Risikobewertung
Neben dem Berichtspflichten sieht der neueste Gesetzentwurf des Senats vor, dass die Regierung bei der Cybersicherheit einen risikobasierten Ansatz nach dem Prinzip „ “ verfolgt. Das bedeutet, dass Unternehmen eine genaue Bewertung des Cyberrisikos benötigen: . Zudem müssen sie Maßnahmen ergreifen (und Mittel für deren Umsetzung bereitstellen), die auf einer klaren Risikobewertung beruhen, einschließlich der Wahrscheinlichkeit eines Angriffs und der Folgen, die sich aus einer bestimmten Reaktion ergeben. Die Gesetzgeber hoffen, dass sich diese Vorgehensweise auch auf Unternehmen der Privatwirtschaft auswirken wird.
CISA-Leiterin Jen Easterly bezeichnete dies als „einen entscheidenden Schritt zur Gewährleistung der Sicherheit unseres Landes“.
“„Wir müssen uns weiterhin auf mögliche Vergeltungs-Cyberangriffe seitens der russischen Regierung vorbereiten.“Senator Gary Peters (Demokrat aus Michigan), Vorsitzender des Senatsausschusses für innere Sicherheit und staatliche Angelegenheiten
Die Gestaltung Ihrer Cybersicherheitsstrategie und die Senkung Ihres Cyberrisikos sind ein schrittweiser Prozess, der eine Vielzahl wesentlicher Komponenten umfasst. Die Bewertung des Cyberrisikos selbst ist nur eine dieser Komponenten. Die Risikobewertung eines Unternehmens wird durch eine Vielzahl weiterer Variablen beeinflusst , die Maßnahmen erfordern , darunter das Gesamtvermögen eines Unternehmens (das regelmäßig inventarisiert werden muss), Zero-Trust-Prinzipien (die regelmäßig durchgesetzt werden), Maßnahmen zur Reaktion auf Vorfälle (die überprüft werden), Konfigurationen (die verwaltet werden) sowie Software (die aktualisiert wird).
Sich mit so vielen Arbeitsabläufen auf einmal auseinanderzusetzen, mag zunächst entmutigend erscheinen. Es ist stets ratsam, Schritt für Schritt vorzugehen.
[Weiterlesen: 6 Tipps zum Schutz Ihres Unternehmens vor zunehmender Cyberkriminalität]
Machen Sie Sicherheit zu einer obersten Priorität in der Strategie zur digitalen Transformation Ihres Unternehmens
Wenn Sie Cybersicherheit als Teil des Wertstroms eines jeden Unternehmens betrachten, sollte dies eine Selbstverständlichkeit sein: Sicherheit und digitale Transformation gehen Hand in Hand, was bedeutet, dass Sicherheitsteams frühzeitig in alle digitalen Initiativen einbezogen werden müssen.
Das sollte eigentlich selbstverständlich sein. Doch die CEOs von „ “ und deren Vorstände müssen dies erfahren.
„Die “gesetzlichen Vorschriften ändern sich, das Verbraucherverhalten ändert sich und – was am wichtigsten ist – auch die Softwareanbieter ändern sich.“Eric Kimberling, Geschäftsführer und Gründer der Third Stage Consulting Group
Die digitale Transformation ermöglicht es Unternehmen, auf sichere und berechenbare Weise mit Verbrauchern Geschäfte zu tätigen. Immer mehr Unternehmen setzen auf die digitale Transformation, um nicht nur ihre Kunden zu schützen, sondern ihnen auch ein Gefühl der Sicherheit und des Vertrauens in das Unternehmen selbst zu vermitteln.
Während sich einige aus eigenem Antrieb wandeln, in der Hoffnung, sich einen Wettbewerbsvorteil gegenüber ihren Konkurrenten auf dem Markt zu verschaffen, werden viele gewissermaßen dazu gezwungen, bemerkt Eric Kimberling, Geschäftsführer und Gründer der Third Stage Consulting Group sowie Moderator des Podcasts „ : Transformation Ground Control“ unter .
„Die Mehrheit der Unternehmen sieht sich dazu gezwungen, sei es aufgrund der sich wandelnden Weltwirtschaft, aufgrund sich ändernder staatlicher Vorschriften, aufgrund des sich wandelnden Verbraucherverhaltens und/oder – was am wichtigsten ist – aufgrund der Veränderungen bei den Softwareanbietern“, sagt Kimberling von „ “. In vielen Fällen, so erklärt er, zwingen Softwareanbieter die Einstellung ihrer Altprodukte, was wiederum viele Unternehmen zu einer digitalen Transformation zwingt, auf die sie noch nicht vorbereitet waren.
Angesichts der Tatsache, dass Unternehmen mittlerweile jährlich rund 700 Milliarden US-Dollar für Projekte zur digitalen Transformation ausgeben, ist dies zweifellos ein Bereich, den die Beteiligten unbedingt richtig gestalten möchten. Und so geht's.
[Weiterlesen: Sicherheit im Tempo der digitalen Transformation]
„Regulierungswahn“ beobachten und sich darauf vorbereiten
Der neue Gesetzentwurf des Senats ist nur der jüngste in einer ganzen Reihe von Vorschriften zur Datenintegrität , die derzeit in den USA und weltweit erlassen werden. Die sich wandelnde Haltung der Regulierungsbehörden auf dem Capitol Hill – von 2015 bis heute – ist ein guter Indikator dafür, in welche Richtung die Entwicklung geht. Was als höfliche Bitte um freiwillige Angaben begann, hat sich zu einer unumstößlichen Forderung gewandelt.
“„Es ist ein echtes Puzzle, ein Programm zu entwickeln, das weltweit den Vorschriften entspricht.“Kenneth Citarella, Senior Managing Director für Ermittlungsangelegenheiten bei Guidepost Solutions LLC
Für multinationale Unternehmen sieht die Realität wie folgt aus: Sie werden heute stärker denn je zuvor darauf überprüft, ob sie die Gesetze zur digitalen Sicherheit und zum Datenschutz einhalten. Und der Einmarsch in die Ukraine hat die Welt in Alarmbereitschaft versetzt. Die Vorschriften werden – zumindest auf absehbare Zeit – nur noch strenger werden. Und vermehren Sie sich.
„Es ist ein echtes Puzzle, ein Programm zu entwickeln, das weltweit den Vorschriften entspricht“, erklärte Kenneth Citarella im vergangenen Jahr gegenüber dem „ “ Endpoint . Als Senior Managing Director für Ermittlungsangelegenheiten bei Guidepost Solutions LLC klärt Herr Citarella Compliance-Fragen und unterstützt Kunden dabei, die für ihre Geschäftstätigkeit geltenden Rechtsordnungen zu verstehen, zu erkennen, welche Daten sie erheben dürfen und auf welche Weise sie diese weitergeben dürfen bzw. nicht weitergeben dürfen.
„Man muss unglaublich ins Detail gehen“, sagt er.
Es gibt keine Standardsoftware, die Ihnen dabei helfen könnte. Vorerst müssen Unternehmen zuverlässige Wege finden, um ihre Risikosituation im Bereich „ “ effektiv zu bewerten und die Einhaltung neuer Vorschriften sowohl im Inland als auch im Ausland sicherzustellen.
Die Flut neuer Vorschriften und Regelungen ist schwindelerregend – und kostspielig. Überschreitet eine Marke eine Grenze, die sie nicht überschreiten sollte, riskiert sie Umsatzverluste und einen Imageschaden. Damit wird die Einhaltung von Vorschriften zur neuesten Cyberbedrohung – und Sicherheitsexperten zur besten Verteidigungslinie in einer immer komplexer werdenden Welt.
