Eine umfassende Cybersicherheitsstrategie (öffnet sich in einer neuen Registerkarte) bringt alle Regierungsbehörden in einem Bundesstaat zusammen, um gemeinsam an der Verbesserung ihrer Cybersicherheitsfunktionen zu arbeiten. Die Strategie, die oft vom Gouverneursbüro und dem Gesetzgeber initiiert wird, ermöglicht es allen Regierungsbehörden in einem Staat – selbst dem kleinsten Schulbezirk oder der kleinsten Gemeinde –, von verbesserten Sicherheitsschulungen, zeitnaherer Bedrohungsintelligenz und neueren, effektiveren Toolsets zu profitieren.
Eine umfassende Cybersicherheitsstrategie besteht aus drei Phasen:
- Governance und Richtliniengestaltung
- Implementierung
- Validierung
In der Governance- und Richtlinienerstellungsphase (eröffnet in einer neuen Registerkarte) kommen IT- und Sicherheitsleiter aus dem gesamten Bundesstaat zusammen, um Sicherheitsrahmen zu übernehmen und Richtlinien und Best Practices zu definieren. In der Implementierungsphase (öffnet sich in einer neuen Registerkarte) bieten sie Schulungen und stellen Toolsets bereit, damit Regierungsbehörden jeder Größe diese Richtlinien implementieren können.
Ich habe diese beiden Phasen in früheren Blogbeiträgen besprochen. Im heutigen Blog-Beitrag werde ich mich auf die Validierungsphase konzentrieren, in der Teams im gesamten Bundesstaat ihre Cybersicherheitsarbeit zu jedem Zeitpunkt analysieren und validieren. In dieser Phase behandeln Teams im gesamten Bundesstaat Fragen wie:
- Woher wissen wir, dass die Sicherheitstools und -praktiken, die wir eingerichtet haben, unsere Cybersicherheitsabwehr wirklich verbessern?
- Welche Teile unseres Cybersicherheitsprogramms funktionieren gut und welche nicht?
- Welche Aktivitäten und Investitionen sollten als nächstes priorisiert werden?
- Gibt es bestimmte Organisationen, die dringend Hilfe benötigen? Wenn ja, wie können andere Organisationen ihnen helfen?
Hier sind einige Empfehlungen, um die Validierungsphase zum Erfolg zu machen.
Zusammenarbeit ist immer noch wichtig
Das Erste, was man über die Validierungsphase einer Gesamtstrategie wissen muss, ist, dass die Beziehungen und das Vertrauen, das Teams in den früheren Phasen der Gesamtstrategie aufgebaut haben, hier immer noch wichtig sind. Tatsächlich sind sie unerlässlich.
Bei der Validierung geht es darum, Informationen auszutauschen und dem Status insgesamt zu helfen, zu priorisieren, was zusätzliche Aufmerksamkeit erfordert. Diese Arbeit erfordert eine Zusammenarbeit sowohl innerhalb einzelner Regierungsbehörden als auch über alle Einrichtungen hinweg, die am gesamten US-Programm teilnehmen. Und in dieser Phase werden die Früchte dieser Zusammenarbeit sichtbar, weil Sie durch Validierung wirklich erkennen können, dass das gesamte Team Fortschritte macht.
Fokus auf Ziele und Ergebnisse
Um das gesamte Cybersicherheitsprogramm insgesamt zu validieren, müssen Führungskräfte bestimmen, welche Ziele und Metriken ihnen wichtig sind, und sicherstellen, dass diese Ziele und Metriken verfolgt werden. Wahrscheinlich haben sie diese Ziele bereits in den Phasen der Richtlinienerstellung und Implementierung identifiziert. Tatsächlich haben diese Ziele wahrscheinlich Entscheidungen über Budgetanforderungen, Werkzeugauswahl und mehr beeinflusst.
In meinem Blog-Beitrag über die Implementierungsphase habe ich empfohlen, eine Liste der wichtigsten zwanzig Metriken oder Ziele auszuwählen, auf die sich Unternehmen konzentrieren sollten, insbesondere im ersten oder zwei Jahr der gesamten staatlichen Initiative. Sie möchten sicherlich diese „Top zwanzig“ Metriken oder Ziele in der Validierungsphase verfolgen.
Idealerweise sollten die Ziele und Metriken, die Sie auswählen, ein aussagekräftiges Maß für den Fortschritt im Laufe der Zeit liefern. Durch die Verfolgung dieser Metriken sollten Führungskräfte und Stakeholder in der Lage sein, zu bestimmen, ob sich die Cybersicherheitshaltung des Staates insgesamt verbessert oder schwächt. Wenn die Metriken, die Sie verfolgen, Verbesserungen zeigen, aber Regierungsbehörden mehr Cyberangriffen als je zuvor erliegen, ist es an der Zeit, Ihre Daten zu überprüfen und aussagekräftigere Metriken auszuwählen.
Nachdem Sie Metriken und Ziele ausgewählt haben, müssen Sie Baselines festlegen, insbesondere zu Beginn des Projekts. Fragen Sie:
- Wie funktionieren diese Metriken normalerweise in allen Organisationen, die am gesamten US-Programm teilnehmen?
- Was ist die Baseline, die wir als das Erdgeschoss für Verbesserungen festlegen möchten?
Kumulativ arbeiten alle IT- und Sicherheitsteams im gesamten Bundesstaat mit einer großen Datenmenge, von Netzwerkadressen, Geräteinventaren, Patchstatus und AV-Scans bis hin zu Sicherheits-Frameworks, Schwachstellenlisten und Threat Intelligence Feeds. Um Ziele und Metriken zu verfolgen und zu validieren, müssen Sie herausfinden, welche Daten Sie erfassen und wie Sie sie erfassen werden.
Und sobald Sie diese Daten gesammelt haben, müssen Sie herausfinden, wie Sie sie melden können. Sehen wir uns als nächstes die Berichterstattung an.
Erstellen Sie drei Berichtsebenen
Um die Implementierung der Tools und Praktiken zu validieren, die für eine umfassende Cybersicherheitsrichtlinie übernommen wurden, von der Arbeit von IT-Technikern in Organisationen im gesamten Bundesstaat bis hin zu Teamleitern, die mit dem Büro des Gouverneurs und dem Gesetzgeber arbeiten, benötigen Sie drei Berichtsebenen:
- Technische Berichterstattung
- Berichte auf Führungsebene
- Berichterstattung auf Unternehmensebene
Technische Berichterstattung
Dies ist die niedrigste Ebene der Berichterstattung und liefert Einblicke darüber, was in Netzwerken und Geräten passiert. Security Operations Center (SOC) Analysten, Netzwerkmanager, Systemadministratoren und andere technische Spezialisten verlassen sich jeden Tag auf diese Berichterstattung, um den Zustand ihrer Netzwerke und IT-Assets zu verstehen und zu bestimmen, ob etwas sofortige Aufmerksamkeit erfordert.
Erkenntnisse aus dieser Berichterstattungsstufe sollten umsetzbar sein. Zum Beispiel sollte es in der Lage sein, über Gerätebestände, Patchstatus, Bedrohungsstatus usw. zu berichten. Wenn etwas behoben werden muss, sollte es in dieser Berichterstattungsstufe erscheinen. Und sobald es behoben ist, sollte diese Statusänderung auch hier angezeigt werden.
Technische Berichterstattung sollte Daten liefern, die nützlich sind, um den Zustand jedes wichtigen Sicherheitsziels in der Gesamtstrategie zu messen. Wenn ein Sicherheitsziel nicht gemessen werden kann, sind neue Tools und Instrumente erforderlich.
Berichte auf Führungsebene
Die nächste Stufe ist die Berichterstattung auf Führungsebene. Dieser Bericht zeigt das große Bild davon, wie eine bestimmte Regierungsstelle bei der IT-Sicherheit abschneidet. Diese Ebene fasst die Details aus der technischen Berichtsebene zusammen. Es liefert präzise Einblicke in den Sicherheitszustand insgesamt auf eine Weise, die sowohl technische als auch nicht-technische Führungskräfte verstehen können.
Als ich mit dem US-Bundesstaat Arizona an seiner gesamten Cybersicherheitsstrategie arbeitete, fanden wir es nützlich, grüne/gelbe/rote Visualisierungen für diese Art von Berichterstattung bereitzustellen. Eine Führungskraft sollte in der Lage sein, einen Blick auf diese Art von Bericht zu werfen und sofort zu erkennen, welche Bereiche auf dem richtigen Weg (grün) sind, die möglicherweise aufgrund einer Art von Unterdeckung (gelb) besorgniserregend sind und die sofort behandelt werden müssen (rot).
IT- und Führungskräfte können diese Ebene der Berichterstattung nutzen, um:
- Weisen Sie das IT-Team an, Probleme anzugehen, die mehr Aufmerksamkeit erfordern.
- Stellen Sie sicher, dass Ressourcen angemessen zugewiesen werden.
- Teilen Sie ihre Erkenntnisse und Erfahrungen mit Kollegen in anderen staatlichen Einrichtungen.
- Trägt zu dieser Berichterstattung bei, um dem gesamten US-Team dabei zu helfen, das höchste Berichterstattungsniveau zu generieren – die Berichterstattung auf Unternehmensebene.
Berichterstattung auf Unternehmensebene
Berichte auf Unternehmensebene aggregieren und fassen die Berichte auf Führungsebene aller Regierungsbehörden im gesamten Bundesstaat zusammen. Diese Berichterstattung ermöglicht es dem Gouverneur, dem Gesetzgeber und allen Teammitgliedern der gesamten staatlichen Initiative, die Cyber-Bereitschaft des Staates insgesamt zu verstehen. Es führt alle Berichte auf Führungsebene auf, die von Entitäten im gesamten Bundesstaat generiert wurden, und fasst sie auf nützliche Weise zusammen.
Wie die Berichterstattung auf Führungsebene sollte auch die Berichterstattung auf Unternehmensebene harte Zahlen nutzen, ohne in den Details verloren zu gehen. Sie sollte wichtige Informationen einfach und klar vermitteln, um sicherzustellen, dass sie für Regierungsangestellte, die für eine Vielzahl von Regierungsproblemen verantwortlich sind, nicht nur für Cybersicherheit, verständlich sind.
Ich empfehle, das oben beschriebene Ampelschema der Berichterstattung fortzusetzen und grüne/gelbe/rote Grafiken zu verwenden, um schnell zu vermitteln, was gut läuft und was Aufmerksamkeit erfordert, vielleicht sogar dringende Aufmerksamkeit.
Durch diese Ebene der Berichterstattung sollten Führungskräfte in der Lage sein, die Risikobereitschaft jeder Regierungsstelle zu verstehen. Diese Berichterstattung kann Risikobereiche aufdecken, die zuvor übersehen wurden.
Diese Berichterstattung dient mehreren wichtigen Funktionen:
- Umfassende Einblicke
Es bietet Regierungsführern einen umfassenden Überblick über die Cybersicherheitslage des Staates (die allgemeine Widerstandsfähigkeit seiner Cybersicherheitstools und -praktiken). Diese Führungskräfte hatten höchstwahrscheinlich noch nie so umfassende Berichte. - Umsetzbare Erkenntnisse
Es ermöglicht Führungskräften zu sehen, welche Bemühungen gut laufen und welche möglicherweise zusätzliche Aufmerksamkeit benötigen. Diese Bemühungen könnten sich auf bestimmte Arten von Bedrohungen beziehen, die alle Organisationen betreffen, oder sie könnten sich auf Probleme beziehen, die bestimmte Organisationen erleben. Die Berichterstattung könnte beispielsweise zeigen, dass K-12-Schulen Schwierigkeiten haben, Maßnahmen zur Erkennung von Bedrohungen zu ergreifen. Das organisationsübergreifende Team kann dann entscheiden, wie dieses Problem am besten angegangen werden soll. - Begründung für die Finanzierung
Das Benchmarking und der Nachweis des Fortschritts sollten den Teilnehmern des gesamten Bundesstaates helfen, die Finanzierung aus dem Bundesstaat und möglicherweise aus Bundesressourcen zu rechtfertigen.
Kontinuierliche Berichterstattung implementieren, keine einmaligen Audits
Sie könnten die Berichterstattung und Validierung als Audit betrachten. Eine Prüfung stellt jedoch den Status Ihrer Cybersicherheitslage zu einem einzigen Zeitpunkt dar. Dieser Status kann sich in der nächsten Minute ändern, wenn sich ein infiziertes Gerät mit dem Netzwerk verbindet oder wenn eine neue Sicherheitsschwachstelle angekündigt wird oder eine neue Art von Zero-Day-Angriff in freier Wildbahn gesehen wird.
Um ein wahrhaft genaues Bild der Cybersicherheitslage jeder Regierungsbehörde zu erhalten, benötigen Sie eine kontinuierliche Echtzeitüberwachung und -analyse. Diese Art der Analyse wird nur mit Automatisierung möglich. IT-Sicherheitstools sollten in der Lage sein, Daten kontinuierlich und automatisch zu erfassen und zu melden, anstatt dass zeitaufwändige manuelle Eingriffe durch IT-Techniker erforderlich sind.
Mit kontinuierlicher Überwachung und Berichterstattung können Teams auf jeder Ebene die neuesten Daten sehen, ohne dass eine spezielle Arbeitsgruppe erforderlich ist, um wöchentliche oder monatliche Metriken zu erfassen. Die Daten können wöchentlich oder monatlich weitergegeben werden, aber wenn sie weitergegeben werden, sind die Daten auf dem neuesten Stand und bieten ein genaues Bild der aktuellen Stärken und Schwächen der Cybersicherheit.
Gamification in Betracht ziehen
Das Cybersicherheitsteam des gesamten Bundesstaates möchte möglicherweise die Berichterstattung gamifizieren und einen Geist des freundlichen Wettbewerbs zwischen verschiedenen Regierungsbehörden fördern, während sie ihre Cybersicherheitsziele verfolgen. Teamleiter können Badges oder ein anderes Token für Erfolge vergeben, wie z. B. das Erreichen eines bestimmten Satzes von Zielen oder das Führen in einer Kategorie wie Patchabdeckung.
Gamification verbessert nachweislich die Motivation und das Engagement der Mitarbeiter (öffnet sich in einer neuen Registerkarte) in Cybersicherheitsschulungen. Sie kann wahrscheinlich auch bei ihren gesamten Cybersicherheitsprogrammen helfen.
Die Bedeutung von Visibilität für die Reduzierung von Risiken
Visibilität ist alles in der Cybersicherheit. Sie können etwas nicht schützen, wenn Sie es nicht sehen können. Sie können ein Problem nicht beheben, wenn Sie es nicht wissen.
Da die Berichtsfunktionen des gesamten US-Teams etablierter werden und Sie mehr Einblick in Ihre Sicherheitslage und Ihren Betrieb haben, werden einige Dinge offensichtlich. Sie werden feststellen, welche Produkte effektiv funktionieren und welche nicht. Vielleicht entdecken Sie auch einige Produkte, die redundant oder kaum verwendet werden.
Reporting bietet die Transparenz, die Sie benötigen, um Ihre Tool-Auswahl und Einkaufsstrategie zu verfeinern. Indem Sie Ihnen bei der Auswahl der richtigen Tools helfen, trägt die Berichterstattung dazu bei, Ihre Cybersicherheitsinvestitionen insgesamt effektiver zu machen.
Letztendlich geht es bei einem umfassenden Cybersicherheitsprogramm um die Risikominderung. Mit der Berichterstattung können Sie die Risiken sehen, Korrekturmaßnahmen ergreifen und den Wert dieser Arbeit jedem demonstrieren, der daran beteiligt ist.
Weitere Informationen
Cybersicherheitsbedrohungen nehmen weiterhin an Häufigkeit und Komplexität zu. Glücklicherweise können auch kleine Regierungsbehörden ihre Sicherheitshygiene verbessern, indem sie an einer umfassenden Cybersicherheitsstrategie teilnehmen. Durch die Umsetzung dieser breiten, integrativen Strategien können Staaten sicherstellen, dass jede Regierungsbehörde innerhalb ihrer Grenzen über die besten Schulungen, Tools und Erkenntnisse verfügt, die verfügbar sind, um ihre Daten und Infrastruktur zu schützen und ihre Missionen zu verfolgen.
Um zu erfahren, wie die Tanium Converged Endpoint Management-Plattform (öffnet sich in einer neuen Registerkarte) Ihrer Organisation oder Ihrem Bundesstaat helfen kann, eine ausgereifte Cybersicherheitsstrategie zu entwickeln, kontaktieren Sie uns bitte.
