Validierung von Sicherheitstools und -praktiken für eine gesamtstaatliche Cybersicherheitsstrategie

Eine landesweite Cybersicherheitsstrategie im Rahmen des „ “ (wird in einem neuen Tab geöffnet) bringt alle staatlichen Stellen eines Bundeslandes zusammen, um gemeinsam an der Verbesserung ihrer Cybersicherheitsfähigkeiten zu arbeiten. Diese Strategie, die häufig vom Büro des Gouverneurs und vom Landtag initiiert wird, ermöglicht es allen staatlichen Stellen eines Bundesstaates – selbst dem kleinsten Schulbezirk oder der kleinsten Gemeinde –, von verbesserten Sicherheitsschulungen, zeitnaheren Bedrohungsinformationen und neueren, effektiveren Instrumenten zu profitieren.

Eine landesweite Cybersicherheitsstrategie umfasst drei Phasen:

• Regierungsführung und Politikgestaltung
• Umsetzung
• Validierung

In der Phase der Steuerung und Richtlinienfestlegung des „ “ (wird in einem neuen Tab geöffnet) kommen IT- und Sicherheitsverantwortliche aus dem gesamten Bundesland zusammen, um Sicherheitsrahmenwerke zu verabschieden und Richtlinien sowie bewährte Verfahren festzulegen. In der Umsetzungsphase des „ “ (wird in einem neuen Tab geöffnet) werden Schulungen angeboten und Toolkits bereitgestellt, damit Behörden jeder Größe diese Richtlinien umsetzen können.

Ich habe diese beiden Phasen in früheren Blogbeiträgen behandelt. Im heutigen Blogbeitrag werde ich mich auf die Validierungsphase konzentrieren, in der landesweite Teams ihre Arbeit im Bereich der Cybersicherheit zu jedem beliebigen Zeitpunkt analysieren und validieren. In dieser Phase befassen sich Teams im gesamten Bundesland mit Fragen wie:

• Woher wissen wir, dass die von uns eingeführten Sicherheitstools und -maßnahmen unsere Cybersicherheitsmaßnahmen tatsächlich verbessern?
• Welche Teile unseres Cybersicherheitsprogramms funktionieren gut, und welche nicht?
• Welche Aktivitäten und Investitionen sollten als Nächstes Vorrang erhalten?
• Gibt es bestimmte Organisationen, die dringend Hilfe benötigen? Wenn ja, wie können andere Organisationen ihnen dabei helfen?

Hier finden Sie einige Empfehlungen, wie Sie die Validierungsphase zu einem Erfolg machen können.

Zusammenarbeit ist nach wie vor wichtig

Das Erste, was Sie über die Validierungsphase einer landesweiten Strategie wissen sollten, ist, dass die Beziehungen und das Vertrauen, die die Teams in den früheren Phasen der landesweiten Strategie aufgebaut haben, auch hier weiterhin von Bedeutung sind. Tatsächlich sind sie unverzichtbar.

Bei der Validierung geht es darum, Informationen auszutauschen und dem Staat insgesamt dabei zu helfen, Prioritäten zu setzen, welche Bereiche besondere Aufmerksamkeit erfordern. Diese Arbeit erfordert Zusammenarbeit, sowohl innerhalb der einzelnen staatlichen Stellen als auch zwischen allen an dem landesweiten Programm beteiligten Stellen. Und in dieser Phase werden die Früchte dieser Zusammenarbeit sichtbar, denn erst durch die Validierung lässt sich wirklich erkennen, dass das gesamte Team Fortschritte macht.

Konzentrieren Sie sich auf Ziele und Ergebnisse

Um das landesweite Cybersicherheitsprogramm insgesamt zu bewerten, müssen die Verantwortlichen festlegen, welche Ziele und Kennzahlen für sie von Bedeutung sind, und sicherstellen, dass diese Ziele und Kennzahlen erfasst werden. Es ist sehr wahrscheinlich, dass sie diese Ziele bereits in der Phase der Politikgestaltung und der Umsetzung festgelegt haben. Tatsächlich haben diese Ziele wahrscheinlich die Entscheidungen hinsichtlich des Budgetbedarfs, der Werkzeugauswahl und weiterer Aspekte beeinflusst.

In meinem Blogbeitrag über die Umsetzungsphase habe ich empfohlen, eine „Top-20“-Liste mit Kennzahlen oder Zielen zusammenzustellen, auf die sich die einzelnen Einrichtungen konzentrieren sollten, insbesondere in den ersten ein bis zwei Jahren der landesweiten Initiative. Sicherlich möchten Sie in der Validierungsphase diese „Top-20“-Kennzahlen oder -Ziele im Blick behalten.

Im Idealfall sollten die von Ihnen ausgewählten Ziele und Kennzahlen einen aussagekräftigen Maßstab für den Fortschritt im Zeitverlauf bieten. Durch die Erfassung dieser Kennzahlen sollten Führungskräfte und Interessengruppen in der Lage sein, festzustellen, ob sich die Cybersicherheitslage des Landes insgesamt verbessert oder verschlechtert. Sollten die von Ihnen erfassten Kennzahlen zwar eine Verbesserung anzeigen, staatliche Stellen jedoch mehr Cyberangriffen ausgesetzt sein als je zuvor, ist es an der Zeit, Ihre Daten zu überprüfen und aussagekräftigere Kennzahlen auszuwählen.

Sobald Sie Kennzahlen und Ziele ausgewählt haben, müssen Sie Basiswerte festlegen, insbesondere zu Beginn des Projekts. Fragen Sie:

• Wie entwickeln sich diese Kennzahlen in der Regel bei den Organisationen, die an dem landesweiten Programm teilnehmen?
• Welche Ausgangsbasis möchten wir als Grundlage für Verbesserungen festlegen?

Insgesamt arbeiten alle IT- und Sicherheitsteams im gesamten Bundesland mit einer enormen Datenmenge – von Netzwerkadressen, Gerätebeständen, Patch-Status und Antiviren-Scans bis hin zu Sicherheitsrahmenwerken, Listen mit Sicherheitslücken und Feeds mit Bedrohungsinformationen. Um Ziele und Kennzahlen zu verfolgen und zu überprüfen, müssen Sie festlegen, welche Daten Sie erfassen möchten und wie Sie diese erfassen werden.

Und sobald Sie diese Daten erfasst haben, müssen Sie sich überlegen, wie Sie sie auswerten können. Werfen wir als Nächstes einen Blick auf die Berichterstattung.

Richten Sie drei Berichtsebenen ein

Um die Umsetzung der Instrumente und Vorgehensweisen zu überprüfen, die im Rahmen einer landesweiten Cybersicherheitspolitik eingeführt wurden – angefangen bei der Arbeit der IT-Techniker in Organisationen im gesamten Bundesstaat bis hin zu den Teamleitern, die höchstwahrscheinlich mit dem Büro des Gouverneurs und der Legislative zusammenarbeiten –, benötigen Sie drei Berichtsebenen:

• Technische Berichterstattung
• Berichterstattung auf Führungsebene
• Berichterstattung auf Unternehmensebene

Technische Berichterstattung

Dies ist die unterste Ebene der Berichterstellung, die Einblicke in die Vorgänge in Netzwerken und auf Geräten liefert. Analysten des Security Operations Center (SOC), Netzwerkmanager, Systemadministratoren und andere technische Fachkräfte stützen sich täglich auf diese Berichte, um sich einen Überblick über den Zustand ihrer Netzwerke und IT-Ressourcen zu verschaffen und festzustellen, ob etwas sofortige Aufmerksamkeit erfordert.

Die Erkenntnisse aus dieser Berichtsebene sollten umsetzbar sein. Beispielsweise sollte es in der Lage sein, Berichte über den Gerätebestand, den Patch-Status, den Bedrohungsstatus und dergleichen zu erstellen. Sollte etwas behoben werden müssen, sollte dies auf dieser Berichtsebene sichtbar sein. Und sobald das Problem behoben ist, sollte sich diese Statusänderung auch hier anzeigen.

Technische Berichte sollten Daten liefern, die für die Bewertung des Stands jedes wichtigen Sicherheitsziels im Rahmen der landesweiten Strategie von Nutzen sind. Wenn ein Sicherheitsziel nicht gemessen werden kann, sind neue Werkzeuge und Instrumente erforderlich.

Berichterstattung auf Führungsebene

Die nächste Stufe ist die Berichterstattung auf Führungsebene. Dieser Bericht vermittelt einen umfassenden Überblick darüber, wie eine bestimmte staatliche Einrichtung im Bereich der IT-Sicherheit abschneidet. Diese Ebene fasst die Details aus der Ebene der technischen Berichterstattung zusammen. Es liefert prägnante Einblicke in die allgemeine Sicherheitslage in einer Weise, die sowohl für technische als auch für nicht-technische Führungskräfte verständlich ist.

Als ich gemeinsam mit dem Bundesstaat Arizona an dessen landesweiter Cybersicherheitsstrategie arbeitete, erwies es sich als sinnvoll, für diese Art der Berichterstattung eine visuelle Darstellung mit den Farben Grün, Gelb und Rot zu verwenden. Eine Führungskraft sollte in der Lage sein, einen Blick auf einen solchen Bericht zu werfen und sofort zu erkennen, welche Bereiche planmäßig verlaufen (grün), welche aufgrund von Defiziten potenziell Anlass zur Sorge geben (gelb) und welche unverzüglich angegangen werden müssen (rot).

IT- und Führungskräfte können diese Berichtsebene nutzen, um:

• Weisen Sie das IT-Team an, sich um die Probleme zu kümmern, die mehr Aufmerksamkeit erfordern.
• Stellen Sie sicher, dass die Ressourcen angemessen zugewiesen werden.
• Teilen Sie Ihre Erkenntnisse und Erfahrungen mit Kollegen in anderen staatlichen Einrichtungen.
• Leisten Sie einen Beitrag zu dieser Berichterstattung, um dem landesweiten Team dabei zu helfen, Berichte auf höchstem Niveau zu erstellen – nämlich auf Unternehmensebene.

Berichterstattung auf Unternehmensebene

Die Berichterstattung auf Unternehmensebene fasst die Berichte der Führungsebene aller staatlichen Stellen im gesamten Bundesland zusammen und stellt sie in übersichtlicher Form dar. Diese Berichterstattung ermöglicht es dem Ministerpräsidenten, dem Landtag und allen Teammitgliedern der landesweiten Initiative, sich ein Bild von der allgemeinen Cyber-Bereitschaft des Landes zu machen. Es fasst alle auf Führungsebene erstellten Berichte der verschiedenen Einrichtungen im gesamten Bundesland zusammen und stellt sie in übersichtlicher Form dar.

Genau wie bei der Berichterstattung auf Führungsebene sollte auch die Berichterstattung auf Unternehmensebene konkrete Zahlen heranziehen, ohne sich in Details zu verlieren. Es sollte wichtige Informationen einfach und klar vermitteln, um sicherzustellen, dass sie für Führungskräfte in der Verwaltung verständlich sind, die für eine Vielzahl von staatlichen Angelegenheiten zuständig sind – nicht nur für die Cybersicherheit.

Ich empfehle, das oben beschriebene Ampelsystem für die Berichterstattung beizubehalten und dabei Grafiken in den Farben Grün, Gelb und Rot zu verwenden, um auf einen Blick zu verdeutlichen, was gut läuft und was Aufmerksamkeit erfordert – möglicherweise sogar dringende Aufmerksamkeit.

Anhand dieser Art der Berichterstattung sollten Führungskräfte in der Lage sein, die Risikobereitschaft jeder einzelnen staatlichen Stelle einzuschätzen. Diese Berichterstattung könnte Risikobereiche aufdecken, die bisher übersehen wurden.

Diese Berichterstattung erfüllt mehrere wichtige Funktionen:

• Umfassende Einblicke
  Es bietet Regierungsvertretern einen umfassenden Überblick über die Cybersicherheitslage des Bundesstaates (die allgemeine Widerstandsfähigkeit seiner Cybersicherheitsinstrumente und -praktiken). Höchstwahrscheinlich haben diese Führungskräfte noch nie zuvor über eine derart umfassende Berichterstattung verfügt.
• Praktisch umsetzbare Erkenntnisse
  Dies ermöglicht es Führungskräften zu erkennen, welche Maßnahmen erfolgreich sind und welche möglicherweise zusätzliche Aufmerksamkeit erfordern. Diese Maßnahmen könnten sich auf bestimmte Arten von Bedrohungen beziehen, von denen alle Organisationen betroffen sind, oder auf Probleme, mit denen bestimmte Organisationen konfrontiert sind. So könnte aus dem Bericht beispielsweise hervorgehen, dass Grund- und weiterführende Schulen Schwierigkeiten haben, Maßnahmen zur Erkennung von Bedrohungen einzuführen. Das organisationsübergreifende Team kann dann entscheiden, wie dieses Problem am besten angegangen werden kann.
• Begründung für die Finanzierung
  Das Benchmarking und der Nachweis der Fortschritte sollen den landesweiten Teilnehmern dabei helfen, die Finanzierung durch den Staat und möglicherweise auch durch Bundesmittel zu begründen.

Führen Sie eine kontinuierliche Berichterstattung ein, statt einmaliger Prüfungen

Sie könnten sich die Berichterstattung und Validierung als eine Art Prüfung vorstellen. Ein Audit gibt jedoch nur einen Momentaufschluss über den Stand Ihrer Cybersicherheitslage. Dieser Status könnte sich in der nächsten Minute ändern, wenn sich ein infiziertes Gerät mit dem Netzwerk verbindet, eine neue Sicherheitslücke bekannt gegeben wird oder eine neue Art von Zero-Day-Angriff in freier Wildbahn beobachtet wird.

Um ein wirklich genaues Bild der Cybersicherheitslage einer staatlichen Einrichtung zu erhalten, sind eine kontinuierliche Überwachung und Analyse in Echtzeit erforderlich. Eine solche Analyse ist nur durch Automatisierung möglich. IT-Sicherheitstools sollten in der Lage sein, Daten kontinuierlich und automatisch zu erfassen und zu melden, anstatt zeitaufwändige manuelle Eingriffe durch IT-Techniker zu erfordern.

Dank kontinuierlicher Überwachung und Berichterstattung können Teams auf allen Ebenen die aktuellsten Daten einsehen, ohne dass eine spezielle Arbeitsgruppe zur Erfassung wöchentlicher oder monatlicher Kennzahlen erforderlich ist. Die Daten werden möglicherweise wöchentlich oder monatlich bereitgestellt; unabhängig davon, in welchen Abständen dies geschieht, sind sie stets auf dem neuesten Stand und vermitteln ein genaues Bild der aktuellen Stärken und Schwächen im Bereich der Cybersicherheit.

Ziehen Sie Gamification in Betracht

Das landesweite Cybersicherheitsteam könnte in Erwägung ziehen, die Berichterstattung spielerisch zu gestalten und so einen Geist des freundschaftlichen Wettbewerbs zwischen den verschiedenen staatlichen Stellen zu fördern, während diese ihre Cybersicherheitsziele verfolgen. Teamleiter können Abzeichen oder andere Auszeichnungen für Leistungen vergeben, beispielsweise für das Erreichen bestimmter Ziele oder für Spitzenleistungen in einer Kategorie wie der Patch-Abdeckung.

Es hat sich gezeigt, dass Gamification die Motivation und das Engagement der Mitarbeiter (wird in einem neuen Tab geöffnet) bei Schulungen zur Cybersicherheit verbessert. Wahrscheinlich kann dies auch den Bundesländern bei ihren landesweiten Cybersicherheitsprogrammen helfen.

Die Bedeutung der Transparenz für die Risikominderung

Transparenz ist das A und O in der Cybersicherheit. Man kann nichts schützen, was man nicht sehen kann. Man kann ein Problem nicht lösen, wenn man nicht weiß, dass es überhaupt besteht.

In dem Maße, in dem sich die Berichtsfunktionen des landesweiten Teams weiter etablieren und Sie einen besseren Überblick über Ihre Sicherheitslage und Ihre Abläufe gewinnen, werden einige Dinge deutlich werden. Sie werden feststellen, welche Produkte wirksam sind und welche nicht. Möglicherweise entdecken Sie auch einige Produkte, die überflüssig sind oder kaum genutzt werden.

Die Berichterstellung bietet Ihnen die nötige Transparenz, um Ihre Werkzeugauswahl und Ihre Einkaufsstrategie optimal anzupassen. Indem die Berichterstattung Ihnen dabei hilft, die richtigen Tools auszuwählen, trägt sie dazu bei, Ihre Investitionen in die Cybersicherheit insgesamt effektiver zu gestalten.

Letztendlich geht es bei einem landesweiten Cybersicherheitsprogramm um die Risikominderung. Mithilfe von Berichten können Sie Risiken erkennen, Korrekturmaßnahmen ergreifen und allen Beteiligten den Nutzen dieser Arbeit verdeutlichen.

Weitere Informationen

Cybersicherheitsbedrohungen nehmen sowohl an Häufigkeit als auch an Raffinesse weiter zu. Glücklicherweise können auch kleine staatliche Stellen ihre Sicherheitspraktiken verbessern, indem sie sich an einer landesweiten Cybersicherheitsstrategie beteiligen. Durch die Umsetzung dieser umfassenden, inklusiven Strategien können die Bundesländer sicherstellen, dass jede staatliche Einrichtung innerhalb ihrer Grenzen über die bestmöglichen Schulungen, Werkzeuge und Erkenntnisse verfügt, um ihre Daten und Infrastruktur zu schützen und ihre Aufgaben zu erfüllen.

Wenn Sie erfahren möchten, wie die Tanium Converged Endpoint Management-Plattform von (wird in einem neuen Tab geöffnet) Ihrem Unternehmen oder Ihrem Bundesland dabei helfen kann, eine ausgereifte Cybersicherheitsstrategie zu entwickeln, wenden Sie sich bitte an uns.