Der Toyota-Zulieferer Kojima Industries war im Februar von einem Cyberangriff betroffen, über den „ “ berichtete ( ). Dieser führte zur Stilllegung von 28 Toyota-Produktionslinien in 14 Werken und beeinträchtigte die Lieferkette erheblich. Vier Monate später, im Zuge einer weiteren Unterbrechung der Lieferkette, berichtete der japanische Automobilschlauchhersteller Nichirin, dass eine US-Tochtergesellschaft von „ “, die „ “, Opfer eines Ransomware-Angriffs geworden sei, wodurch der Hersteller gezwungen war, sein Netzwerk vom Netz zu nehmen und die Produktion bestimmter Spezialkomponenten einzuschränken.
Angriffe auf die Lieferkette wie diese nehmen zu, wie Untersuchungen von „ “ zeigen – und die US-Regierung nimmt dies zur Kenntnis.
Im Mai veröffentlichte das National Institute of Standards and Technology (NIST) ein 326-seitiges Rahmenwerk „ “ ( ) zur Absicherung von Lieferketten gegen Cyberangriffe, während das Cyber Safety Review Board (CSRB) im Juli einen Bericht mit dem Titel „“ ( ) herausgab, der Empfehlungen zur Cybersicherheit enthält, die auf einer Überprüfung der Schwachstelle Log4j basieren. Vor kurzem hat das Office of Management and Budget (OMB) Leitlinien mit dem Titel „ “ ( ) veröffentlicht, um sicherzustellen, dass Bundesbehörden Software einsetzen, die unter Einhaltung gängiger Cybersicherheitspraktiken entwickelt wurde. In diesem Zusammenhang hat die US-Börsenaufsichtsbehörde ( , SEC) vorgeschlagen , dass Führungskräfte börsennotierter Unternehmen sowie deren Vorstände Cybersicherheitsvorfälle unverzüglich offenlegen und die Sicherheitskontrollen ihrer Organisationen verstärken müssen.
Die jüngste Flut von Empfehlungen seitens der Regierung ist bemerkenswert, sagt Kate Ledesma, Senior Director für Partnerschaften und Regierungsangelegenheiten beim Cybersicherheits-Bewertungsunternehmen SecurityScorecard. Die Leitlinien folgen auf eine Reihe schwerwiegender Cybersicherheitsvorfälle der letzten Jahre – darunter die Angriffe auf Log4j und sowie die SolarWinds-Hacks . Diese Ereignisse haben die Aufmerksamkeit der Führungskräfte und Vorstände auf die Bedeutung einer sicheren Softwareentwicklung und anderer Maßnahmen zur digitalen Sicherheit gelenkt, sagt sie.
„Die von der Regierung eingesetzten Produkte werden über diese integrierte Sicherheitsgrundlage verfügen, was allen Käufern zugutekommt, auch außerhalb der Regierung.“Kate Ledesma, Senior Director für Partnerschaften und Regierungsangelegenheiten bei SecurityScorecard
„Nun erklärt die Regierung, dass sie von Ihnen bestimmte Unterlagen erwartet, damit Geschäfte mit uns getätigt werden können – was die gesamte Branche wirklich voranbringt“, sagt Ledesma. „Die von der Regierung eingesetzten Produkte werden über diese grundlegende Sicherheitsfunktion verfügen, wovon alle Käufer profitieren, auch außerhalb der Regierung.“ „Sie signalisieren, dass alle Akteure im Ökosystem – nicht nur der öffentliche Sektor – diese Themen im Blick haben und sich damit auseinandersetzen, und sie tragen dazu bei, die Sicherheit für alle zu verbessern.“
Frau Ledesma stellte vier wichtige Erkenntnisse aus den jüngsten Leitlinien der Regierung vor und gab zudem eigene fachliche Empfehlungen dazu, wie sich Organisationen darauf einstellen können.
1. Softwarefunktionalität ist out, Softwaresicherheit ist in
In den letzten Jahren verzeichnen immer mehr Unternehmen einen Wandel, bei dem der Schwerpunkt zunehmend von der Funktionalität der Software auf deren Sicherheit verlagert wird, so Ledesma. In der Pressemitteilung des Weißen Hauses zu den neuen Sicherheitsrichtlinien des OMB unterstrich Chris DeRusha, CISO der Bundesregierung und stellvertretender nationaler Cyber-Direktor, diese Priorität: „Noch vor nicht allzu langer Zeit war das einzige wirkliche Kriterium für die Qualität einer Software, ob sie wie beworben funktionierte“, schrieb er. „Angesichts der Cyberbedrohungen, denen Bundesbehörden ausgesetzt sind, muss unsere Technologie so entwickelt werden, dass sie widerstandsfähig und sicher ist, um die Bereitstellung kritischer Dienste für die amerikanische Bevölkerung zu gewährleisten und gleichzeitig die Daten der amerikanischen Öffentlichkeit zu schützen sowie Schutz vor ausländischen Gegnern zu bieten.“
„Vor nicht allzu langer Zeit war das einzige wirkliche Kriterium für die Qualität einer Software, ob sie so funktionierte, wie es versprochen wurde.“Chris DeRusha, CISO auf Bundesebene und stellvertretender nationaler Cyber-Direktor
Ledesma erklärt, dass Softwareentwickler Vorgehensweisen umsetzen sollten, die mit dem NIST-Rahmenwerk für die sichere Softwareentwicklung im Einklang stehen. Das Rahmenwerk lege den Schwerpunkt auf einen unternehmensweiten Ansatz, fügt sie hinzu, bei dem die sichere Softwareentwicklung nicht mehr allein in der Verantwortung der Entwickler liege. „Alle – Anbieter, Nutzer und Käufer – müssen zusammenarbeiten, um über die notwendigen Instrumente und Rahmenbedingungen zu verfügen, um damit umzugehen“, sagt sie.
2. Dokumentation und Konsistenz sind von entscheidender Bedeutung
Unternehmen müssen der Dokumentation und dem Nachweis der Konsistenz bei der sicheren Softwareentwicklung Priorität einräumen, so Ledesma. Das Weiße Haus hat beispielsweise kürzlich die CISA und das OMB beauftragt, ein einheitliches Formular zu erstellen, das Softwareanbieter verwenden müssen, um sicherzustellen, dass die Technologie, die sie an die Regierung verkaufen, den NIST-Sicherheitsrichtlinien entspricht.
Ledesma erklärt, dieser Schritt sei Teil der Bemühungen, die Art und Weise zu vereinheitlichen, wie Nutzer und Behörden ihre Sicherheit beschreiben. „Organisation A und Organisation B drücken sich vielleicht auf zwei unterschiedliche Weisen aus, aber meinen sie damit dasselbe?“ sagt sie. „Sind ihre Vorgehensweisen ebenso sicher wie die der anderen? „Diese Selbsterklärung wird den Nutzern – und insbesondere den Behörden – wirklich dabei helfen, Äpfel mit Äpfeln zu vergleichen.“
3. Die Zukunft liegt in der Automatisierung
Das NIST-Rahmenwerk sieht die Automatisierung von „ “ ( ) vor, um den personellen Aufwand zu reduzieren, die Genauigkeit zu verbessern und wiederholbare Prozesse zu optimieren. Dazu gehören Aufgaben wie die Nachverfolgung von Arbeitsabläufen, Signaturfunktionen zur Erstellung unveränderlicher Protokollaufzeichnungen, die kontinuierliche Überwachung von Tools sowie die Protokollierung von toolbezogenen Betriebs- und Sicherheitsproblemen. Ledesma erklärt, dass Automatisierung die einzige Möglichkeit für Unternehmen sei, in dem heute erforderlichen Umfang und Tempo zu agieren.
„. Es reicht nicht mehr aus, wenn Tools lediglich funktionsfähig sind – sie müssen sowohl funktionsfähig als auch sicher sein.“Ledesma
„Es geht darum, sowohl Anbietern als auch Softwarekäufern die Werkzeuge an die Hand zu geben, um Risikobewertungen durchzuführen und zu überprüfen, ob Softwareprodukte sicher sind“, sagt sie. „Es reicht nicht mehr aus, wenn Tools lediglich funktionsfähig sind – sie müssen sowohl funktionsfähig als auch sicher sein.“
4. Ein risikobasierter Sicherheitsansatz muss sich auf die Ergebnisse konzentrieren
Das NIST-Rahmenwerk ist ergebnisorientiert, schreibt jedoch nicht vor, wie diese Ergebnisse zu erzielen sind. Zudem werden Organisationen dazu ermutigt, einen risikobasierten Ansatz nach dem Prinzip „ “ () zu verfolgen und ihre Strategie entsprechend anzupassen. Ledesma erklärt, dass das Konzept der ergebnisorientierten Vorgehensweisen „ “ zwar nicht neu sei, aber sicherlich nicht einfach sei: „Das NIST-Rahmenwerk trägt dazu bei, allen Organisationen im Ökosystem einen gemeinsamen Ausgangspunkt zu bieten, und hilft uns allen, dieselbe Sprache zu sprechen.“
Der Nutzen, den Unternehmen aus den Leitlinien der Regierung ziehen, hängt vom Reifegrad ihrer Sicherheitsmaßnahmen ab, fügt Ledesma hinzu. Weniger fortgeschrittene Organisationen könnten damit beginnen, ein grundlegendes Rahmenwerk für Prozesse und Verfahren zu schaffen, während fortgeschrittenere Organisationen das Rahmenwerk nutzen können, um ihre Prozesse und Verfahren weiter zu verfeinern und weiterzuentwickeln.
„Beim NIST-Rahmenwerk geht es im Grunde genommen nur um eines: Sicherheit“, sagt sie. „Und es geht um ein Sicherheitsökosystem, denn wie wir wissen, wirken sich die Sicherheitsmaßnahmen einer Organisation auf die Sicherheit ihrer Partner, Lieferanten und Kunden aus, da diese miteinander vernetzt sind. „Die Leitlinien der Regierung legen die Messlatte für alle höher.“
