„Es ist schwer, Vorhersagen zu treffen, besonders wenn es um die Zukunft geht“, witzelte die Baseball-Legende Yogi Berra in einem seiner am häufigsten zitierten Sprüche.
Es ist doppelt bedauerlich, dass einige der wichtigsten Meldungen von 2022 völlig vorhersehbar waren, wie beispielsweise Angriffe auf die Software-Lieferkette und Angriffe auf die Firmware. Doch wer hätte vorhersagen können, wie instabil sich die Wirtschaft nach dem Ausbruch des Krieges in der Ukraine entwickeln würde, oder welche schwerwiegenden Folgen das Urteil im Fall „ “ gegen Uber für CISOs haben würde?
In diesem Ausblick haben wir Sicherheitsexperten gebeten, eine fundierte Einschätzung zu den wichtigsten Trends für das Jahr 2023 abzugeben. Dies sind die Themen, die jeder CISO im Blick behalten sollte.
SBOM-Vorgaben rücken in den Mittelpunkt
Ob Sie nun bereit sind oder nicht – Software-Stücklisten (SBOMs) werden in diesem Jahr noch an Dringlichkeit gewinnen. Zwar wird ein Großteil dieser Entwicklung von privaten Unternehmen ausgehen, die mittlerweile SBOMs von ihren Softwareanbietern verlangen, doch wird der vielleicht größte Druck von der Bundesregierung ausgehen. US-Behörden und Ministerien müssen sicherstellen, dass Anbieter sich an sichere Softwareentwicklungsverfahren halten und SBOMs vorlegen, wenn sie mit den kritischsten Daten umgehen.
„Angesichts des derzeitigen Reifegrades sind wir der Ansicht, dass SBOMs noch nicht als Vertragsanforderungen geeignet sind.“Rat der Informationstechnologiebranche
Es herrscht nahezu einhellige Übereinstimmung darüber, dass die Standardelemente der SBOMs gemäß der „ “ das größte Potenzial zur Verbesserung der Transparenz bei den in Unternehmen verwendeten Softwareanwendungen und -komponenten bieten. Dennoch ist eine Debatte darüber entbrannt, ob die Standards bereits für den breiten Einsatz bereit sind.
Diese Debatte spitzte sich im vergangenen November zu, als der Information Technology Industry Council, ein Branchenverband der Technologiebranche, dem zahlreiche Technologiegiganten angehören, in einem offenen Brief unter mit dem Titel „“ argumentierte, dass mehr Zeit erforderlich sei, damit sich SBOMs weiterentwickeln könnten, bevor sie in großem Maßstab eingesetzt werden könnten. „Angesichts des derzeitigen Entwicklungsstands sind wir der Ansicht, dass SBOMs noch nicht als Vertragsanforderungen geeignet sind“, erklärte die Gruppe in ihrem Schreiben.
Der Kongress prüft zudem die Einführung einer Verpflichtung für Auftragnehmer der Regierung, SBOMs vorzulegen. So zielt beispielsweise der vom Senat verabschiedete „National Defense Authorization Act 2023 “ darauf ab, SBOMs für alle nichtkommerziellen Softwareprodukte vorzuschreiben, die für das Verteidigungsministerium entwickelt oder von diesem erworben wurden.
Letztendlich gehen einige Experten davon aus, dass sich SBOMs trotz der Einwände der Industrie rasch durchsetzen werden. „Die Technologie zur Implementierung und Automatisierung von SBOMs ist bereits vorhanden“, sagt John Pescatore, Leiter des Bereichs „Emerging Security Trends“ am SANS Institute.
Der Druck in Bezug auf Datenverwaltung und Datenschutz nimmt zu
Die verschärften Vorschriften zu Sicherheit und Datenschutz im Bereich „ “ haben die Aufmerksamkeit von Führungskräften in der Wirtschaft auf sich gezogen. „Sicherheit und Datenschutz sind heute Bestandteil aller technologischen Entscheidungen, die Unternehmen treffen“, sagt Pescatore. „Die Frage, wie Daten geschützt werden, wird zunehmend in den Mittelpunkt der Diskussion rücken.“
Der Gartner-Analyst Anthony Carpino prognostiziert zudem, dass Unternehmen versuchen werden, ihre unstrukturierten Daten besser zu verwalten und die Einhaltung der Datenschutzbestimmungen in Data Warehouses und Analysepipelines zu verbessern. „Unternehmen müssen sich darauf konzentrieren, ihre zentrale Sicherheitsarchitektur um eine datenzentrierte Perspektive zu ergänzen“, sagt er.
[Lesen Sie auch: 5 Schritte zum Schutz der „Kronjuwelen“ Ihres Unternehmens – Ihrer Daten]
Führungskräfte sollten zudem mit verschärften Datenschutzgesetzen rechnen. So sind beispielsweise die wenigen verbleibenden Ausnahmeregelungen für den B2B-Bereich im Rahmen des California Privacy Rights Act (CPRA) am 1. Januar 2023 ausgelaufen. Das Gesetz umfasst nun auch Mitarbeiterdaten, Daten, die im Rahmen von Bewerbungsverfahren erhoben wurden, sowie Daten über ehemalige und derzeitige Mitarbeiter und Auftragnehmer. Kalifornien ist nicht der einzige Bundesstaat, der solche Maßnahmen ergreift: Virginia treibt derzeit einen Gesetzentwurf voran, der als „Virginia Consumer Data Privacy Act“ (VCDPA) bekannt ist.
Die Konsolidierung im Anbieterbereich schreitet voran
Es gibt zahlreiche Prognosen, wonach es zu einer erheblichen Konsolidierung unter den Anbietern von Sicherheitslösungen kommen wird. Beobachter prognostizieren negative Auswirkungen aufgrund eines Rückgangs des verfügbaren Investitionskapitals sowie eines Rückgangs der Übernahmen durch größere Technologieunternehmen mit soliden Bilanzen, die Sicherheitsanbieter strategisch aufkaufen, um ihre Kompetenzen zu erweitern.
„Selbst wenn bei Ihnen keine Konsolidierung stattfindet, werden Sie dennoch Anbieter identifizieren, auf die Sie wahrscheinlich verzichten können.“Andrew Storms, Vizepräsident für Sicherheit bei Replicated
Gegen Ende des Jahres 2022 ließen die Investitionen in die Cybersicherheit nach, und die Bewertungen gingen deutlich zurück. Andy Ellis, operativer Partner bei der auf Cybersicherheit spezialisierten Risikokapitalgesellschaft YL Ventures, glaubt jedoch nicht, dass die Konsolidierung eine große Rolle spielen wird. „Auf dem Markt für Cybersicherheit erleben wir regelmäßig Höhen und Tiefen“, sagt er. „Als das Netzwerk noch im Mittelpunkt der Sicherheit stand, kam es zu einer Konsolidierung um die größten Akteure herum.“ Dennoch gab es nach wie vor mehr als 50 Anbieter von Firewalls. „Bei den Nischenanbietern haben wir die Innovation beobachtet.“
Die von uns befragten Experten empfahlen, dass Sicherheitsteams eine Bestandsaufnahme ihrer derzeitigen Sicherheitsanbieter vornehmen und deren Leistung anhand vereinbarter Ziele bewerten sollten. Unternehmen sollten die leistungsstarken Anbieter dann auf die Hauptziele des Sicherheitsprogramms ausrichten und Pläne entwickeln, um Anbieter, bei denen die Gefahr einer Konsolidierung besteht, zu ersetzen oder auf sie zu verzichten. „Selbst wenn bei Ihnen keine Konsolidierung stattfindet, werden Sie dennoch Anbieter identifizieren, auf die Sie wahrscheinlich verzichten können“, sagt Andrew Storms, Vizepräsident für Sicherheit beim Plattformanbieter Replicated.
Der Aufstieg des „Sicherheitserlebnisses“
„Im Jahr 2023 werden die Anforderungen steigen, die tatsächliche Benutzererfahrung mit Sicherheitstools und -richtlinien zu verbessern“, so Jonathan Feldman, Chief Information Officer von Wake County, North Carolina. Er sagt, dass sich die Art und Weise, wie Unternehmen über das Kundenerlebnis und das Mitarbeitererlebnis sprechen, sehr bald auch auf das Sicherheitserlebnis ausweiten wird.
„Wir können Sicherheit nicht weiterhin als etwas betrachten, das in einem Vakuum stattfindet, ohne dies zu messen oder herauszufinden, wie sie sich auf die Menschen in ihrer täglichen Arbeit auswirkt“, sagt er. „Jeder hat ein Interesse daran, sich nicht mit der Ransomware ‚ ‘ anzustecken:. „Es liegt im Interesse aller, dass ein groß angelegter Anschlag nicht gelingt.“
Laut einer Umfrage von Ernst & Young unter dem Titel „ “ () verstehen 83 % der Beschäftigten in den USA die Cybersicherheitsrichtlinien ihres Arbeitgebers. Jüngere Generationen am Arbeitsplatz sind jedoch möglicherweise schwerer zu erreichen. Die Umfrage ergab, dass Arbeitnehmer der Generation Z und der Millennials am wenigsten dazu neigen, Richtlinien Priorität einzuräumen oder sich daran zu halten.
Für das kommende Jahr rät Feldman den Unternehmen, sich darauf zu konzentrieren, was sie tun können, um das Sicherheitserlebnis zu verbessern. Das könnte bedeuten, dass man auf Single Sign-On oder passwortlosen Zugriff setzt. Dies könnte auch bedeuten, auf „ “-Zero-Trust- -Prozesse umzusteigen, anstatt den Mitarbeitern umständliche virtuelle private Netzwerke (VPNs) aufzuzwingen. Letztendlich erfordert die Verbesserung des Sicherheitserlebnisses, dass Sicherheit zu einem selbstverständlichen Bestandteil des Arbeitsablaufs wird und nicht als Hürde empfunden wird.
Die Authentifizierung erfolgt passwortfrei
Benutzernamen und Passwörter sind Sicherheitsmechanismen, die wohl nur ein Krimineller schätzen könnte. Niemand mag es, sich Passwörter merken, sie eingeben oder daran erinnert zu werden, sie zu ändern – und Sicherheitsexperten wissen, dass Passwörter zu den unzuverlässigsten Sicherheitsmaßnahmen überhaupt gehören.
„Wenn wir Passwörter abschaffen können, werden dadurch viele der weniger cleveren Angreifer aus dem Spiel genommen.“John Pescatore, Leiter des Bereichs „Neue Sicherheitstrends“ am SANS Institute
Kriminelle schätzen Passwörter , da Mitarbeiter diese immer wieder verwenden. Die Menschen wählen Passwörter, die zu einfach zu erstellen und daher leicht zu erraten sind. Aufgrund der Ereignisse des vergangenen Jahres ist jedoch davon auszugehen, dass sich das Konzept der passwortlosen Authentifizierung – oder der „passwortlosen“ Sicherheit – zunehmend durchsetzen wird. Zwar wird das Ende des Passworts bereits seit mehr als zwei Jahrzehnten vorhergesagt , doch scheint es nun so, als seien die technologischen Voraussetzungen und die Motivation endlich so weit fortgeschritten, dass Passwörter nun endgültig auf die Liste der vom Aussterben bedrohten Technologien gesetzt werden können.
Dieser Wandel geht zum Teil auf die Authentifizierungsspezifikationen „ FIDO2 “ () zurück, die auf der Kryptografie mit öffentlichen Schlüsseln und internationalen Standards basieren. Apple, Google und Microsoft gaben im vergangenen Mai bekannt, dass sie FIDO2 unterstützen würden, um eine passwortlose Authentifizierung geräteübergreifend zu ermöglichen. Die Technologiegiganten sind der Ansicht, dass passwortlose Verfahren einen besseren Schutz vor Phishing-Angriffen vom Typ „ “ sowie vor gestohlenen Passwörtern bieten. Der Markt scheint dies zu bestätigen: Das Marktforschungsunternehmen MarketsandMarkets schätzt, dass der weltweite Markt für passwortlose Authentifizierung im vergangenen Jahr einen Wert von 6,6 Milliarden US-Dollar erreicht hat und bis 2027 mit einer jährlichen Wachstumsrate von 26 % weiterwachsen wird.
„Seit 20 Jahren ist es uns nicht gelungen, die Kosten für Angriffe zu erhöhen“, sagt Pescatore vom SANS Institute. „Wenn wir jedoch Passwörter abschaffen können, werden dadurch viele der weniger cleveren Angreifer aus dem Rennen geworfen.“
Trends wie diese sind ein Hinweis auf die zahlreichen Unsicherheiten – sowohl unbekannte als auch bekannte –, mit denen sich CISOs im kommenden Jahr auseinandersetzen müssen. Wer gut vorbereitet ist, kann sicher sein, dass er den am Horizont auftauchenden Risiken weitaus besser standhalten wird.
