Als die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) Ende letzten Jahres ihre neuen Leitfäden zur Reaktion auf Vorfälle und Sicherheitslücken veröffentlichte, sandte sie damit eine dringende Botschaft aus: Lesen Sie diese jetzt, bevor es zu einem weiteren SolarWinds-Angriff kommt.
Die Leitfäden „ “ ( ) seien „dazu gedacht, die Vorgehensweisen von [Behörden, die mit] Sicherheitslücken und Vorfällen konfrontiert sind, zu verbessern und zu standardisieren“, erklärte Matt Hartman, stellvertretender leitender stellvertretender Direktor für Cybersicherheit. Als direkte Folge der von Präsident Biden erlassenen Verordnung „ “ ( ) zur Verbesserung der Cybersicherheit richten sich diese Maßnahmen an zivile Bundesbehörden der Exekutive, einschließlich derjenigen auf Kabinettsebene.
Doch nicht nur die Bundesbehörden sollten dies zur Kenntnis nehmen.
Die CISA hat alle privaten Unternehmen dringend aufgefordert, diese Unterlagen zu prüfen, da sie wichtige Informationen zur Verbesserung der Cybersicherheitsmaßnahmen in Netzwerken enthalten. Im vergangenen Jahr haben Cyberkriminelle Bundesbehörden und mit diesen zusammenarbeitende Privatunternehmen ins Visier genommen und dabei Software sowie Angriffe auf die Lieferkette (wie SolarWinds und Log4j) genutzt, um Daten zu stehlen und in einigen Fällen kritische US-Infrastrukturen und -Dienste lahmzulegen.
Nur wenige Experten außerhalb der Regierung sind mit den Herausforderungen, denen sowohl Bundesbehörden als auch Unternehmen der Privatwirtschaft gegenüberstehen, so vertraut wie Quentin E. Hodgson. Als leitender Forscher für internationale Angelegenheiten und Verteidigung bei der Rand Corporation befasst sich Hodgson mit Themen, die für CIOs und CISOs von entscheidender Bedeutung sind. Dazu gehören: Cybersicherheit, Schutz kritischer Infrastrukturen und Risikomanagement.
Da er zudem Projekte für das Büro des Verteidigungsministers, das Ministerium für Innere Sicherheit, die Marine, die Luftwaffe und das Alliierte Kommando für Transformation der NATO geleitet hat, ist er mit dem Umfeld bestens vertraut. Endpoint hat kürzlich mit Hodgson gesprochen, um die Bedeutung und die Auswirkungen der neuen Leitfäden der CISA zu erörtern.
(Das folgende Interview wurde aus Gründen der Übersichtlichkeit gekürzt und überarbeitet.)
Warum sind die neuesten Leitfäden der CISA zur Reaktion auf Vorfälle von Bedeutung?
Ich habe mich allgemein mit der Planung von Maßnahmen zur Reaktion auf Vorfälle unter befasst und damit, wie die Regierung versuchen kann, dies sowohl intern als auch in Zusammenarbeit mit Partnern aus der Privatwirtschaft zu verbessern. Die Leitfäden sind für den internen Gebrauch innerhalb der Organisation von großer Bedeutung. Wenn man jedoch von Cybervorfällen ausgeht, die mehrere Organisationen und mehrere Sektoren der kritischen Infrastruktur betreffen können, ist die Koordinierung der Gegenmaßnahmen mit öffentlichen und privaten Stellen um ein Vielfaches komplexer.
Gibt es Mängel in den CISA-Leitfäden?
Die Leitfäden zielen darauf ab, bestehende Doktrinen und Standards aufzugreifen und diese zu einem Leitfaden zu vereinfachen. Dies richtet sich in erster Linie an zivile Bundesbehörden der Exekutive, zu denen unter anderem das Energieministerium, das Bildungsministerium und das Ministerium für Innere Sicherheit gehören.
„“ Sie können überreagieren und alle Ihre Ressourcen entsenden. Und dann passiert etwas anderes, und man muss die Leute neu ausrichten.”
Selbstverständlich enthalten die Leitfäden der CISA auch einen kleinen Hinweis darauf, dass auch andere Organisationen diese nutzen können. In diesem Leitfaden wird jedoch lediglich Folgendes dargelegt: Wenn Sie beispielsweise ein internes Sicherheitsteam sind, finden Sie hier die Schritte, die Sie unternehmen sollten, um Cybervorfälle zu erkennen und darauf zu reagieren.
Inwiefern werden die CISA-Leitfäden den Bundesbehörden dabei helfen, auf die Art von massiven Angriffen auf die Software-Lieferkette zu reagieren, wie wir sie in den vergangenen 18 Monaten erlebt haben?
Komplexe Angriffe dieser Art werden in der Verordnung des Präsidenten „ “ ( ) als „erheblicher Cybervorfall“ definiert. Sie gehen nicht davon aus, dass sich ein solcher Angriff auf eine einzige Organisation beschränkt. Denken Sie an den „ “-Angriff auf SolarWinds, von dem zahlreiche Organisationen betroffen waren. Die Angreifer nutzten SolarWinds nicht nur, um Daten zu stehlen, sondern auch, um sich Zugang zu weiteren betrieblichen Systemen zu verschaffen und physische Auswirkungen zu erzielen.
[Weiterlesen: Bewältigung von Risiken in der Lieferkette nach dem Log4]
Bei einer solchen Art von Angriff machen Sie sich Sorgen darüber, wie er sich auf andere Organisationen ausbreiten könnte. Welche körperlichen Auswirkungen könnte dies haben? Wer wird für die Koordinierung der Maßnahmen verantwortlich sein? Wer entscheidet, wann ein Vorfall als schwerwiegend eingestuft wird? Welche Ressourcen stellen Sie zur Bewältigung dieses Problems bereit? Genau das meine ich, wenn ich von Komplexität spreche.
Gehen die CISA-Leitfäden weit genug, oder benötigen wir radikalere Maßnahmen?
Wir alle sind besorgt über die Zunahme von Cyberbedrohungen, insbesondere über jene Bedrohungen, die Folgewirkungen haben können, die sich nicht nur auf eine Organisation oder einen Sektor beschränken. Ich denke an die Panik, die nach dem Ransomware-Angriff auf die Colonial Pipeline ausbrach und daran, wie sich die Menschen in Schlangen anstellten, um Benzin zu kaufen. Und das führte zu weiteren Problemen. Daher glaube ich, dass wir uns noch in einer frühen Phase befinden, in der wir versuchen zu verstehen, wie wir die Reaktion auf solche komplexen Cybervorfälle koordinieren könnten.
„“ – Es ist kompliziert. Je nach Vorfall und der davon betroffenen Technologie ist ein Eingreifen der Regierung möglicherweise keine große Hilfe.”
Wenn Sie beispielsweise in einem Sicherheitskontrollzentrum eines großen Unternehmens tätig sind: Was würde die Bundesregierung von Ihnen erwarten, falls etwas passieren sollte? Was können Sie von der Bundesregierung erwarten, um Ihnen zu helfen? Das wissen wir eigentlich nicht.
Inwiefern werden die CISA-Leitfäden den Bundesbehörden helfen?
In den Leitfäden ist festgelegt, dass eine Behörde bei der Bewältigung von Vorfällen Unterstützung von einem Bundes-Team zur Bedrohungssuche anfordern kann. Allerdings gilt dabei der Vorbehalt, dass dies von der Verfügbarkeit und der Priorisierung abhängt; daher muss die CISA weiterhin entscheiden, wie schwerwiegend ein Vorfall ihrer Einschätzung nach ist.
Man kann nachvollziehen, in welchen Punkten Organisationen unterschiedlicher Meinung sein könnten, insbesondere in den frühen Phasen eines Vorfalls . Sie könnten überreagieren und alle Ihre Ressourcen sowie alle Ihre Teams entsenden, um Probleme zu lösen, die möglicherweise gar nicht so schwerwiegend sind. Und dann geschieht etwas anderes, und man muss die Mitarbeiter neu ausrichten. Oder es könnte sein, dass eine Organisation sagt: „Wir halten das nicht für eine große Sache“, und vielleicht sagt die CISA oder das FBI oder das Ministerium für Innere Sicherheit: „Wir halten das für eine größere Sache, als Sie es einschätzen.“
[Weiterlesen: 3 Maßnahmen zur Cyberhygiene, die CISOs auf Bundesebene umsetzen müssen]
Und was private Unternehmen betrifft, können sich die CISA und das FBI nicht einfach einmischen und sagen: „Nun, wir sind der Meinung, dass Sie diese Angelegenheit nicht zügig genug angehen.“ Wir werden kommen und Ihnen helfen.
Es ist also ein schwieriger Spagat. Es wird sicherlich
viele unterschiedliche Meinungen, Ansichten und Interessen geben.
, sind Sie der Meinung, dass die Regierung sich stärker engagieren und entschlossener vorgehen sollte?
Ja, das tue ich. Aber es ist kompliziert. Wir verfügen über keine staatlich geführten Industriezweige, über die die Regierung Kontrolle ausüben könnte. Natürlich gibt es regulierte Branchen, in denen es zu Eingriffen kommen könnte. Die größere Herausforderung besteht jedoch darin, dass – je nach Vorfall und der davon betroffenen Technologie – ein Eingreifen der Regierung möglicherweise keine große Hilfe darstellt.
„Unternehmen werden zögern, der Bundesregierung zu viel direkten Zugriff auf ihre Systeme zu gewähren. Das ist nun einmal eine Tatsache.”
Sie konnten keine Unterstützung leisten, da sie möglicherweise nicht wussten, wie die Netzwerke eines Unternehmens aufgebaut sind. Ihre Unterstützung würde eher in beratender Funktion erfolgen.
Vielleicht könnten sie forensische Untersuchungen durchführen und dergleichen. Es ist jedoch weitaus wahrscheinlicher, dass die eigentliche Behebung in den Zuständigkeitsbereich dieses Unternehmens fällt, insbesondere wenn es über ein Sicherheitsteam verfügt. Die Situation würde sich zudem weiter verkomplizieren, wenn sie auf Einsatzteams von Drittanbietern angewiesen wären.
Wünschen sich private Unternehmen, dass die CISA und die Bundesregierung mehr tun?
Viele Unternehmen werden zögern oder Bedenken haben, der Bundesregierung zu viel direkten Zugriff auf ihre Netzwerke und Systeme zu gewähren. Das ist nun einmal eine Tatsache. Ihre Antwort könnte lauten: „Nun, wir kennen unsere Systeme viel besser als Sie.“ Die Sorge wäre, dass die Regierung eingreift und Maßnahmen ergreift, die unbeabsichtigte negative Auswirkungen hätten.
[Weiterlesen: Cybersicherheitstrends, die Sie im Jahr 2022 im Auge behalten sollten]
Darüber hinaus ist den Führungskräften aus Wirtschaft und Technologie, insbesondere jenen, die mit Bundesbehörden zusammenarbeiten, unklar, was die CISA konkret für sie tun wird. Welche Funktionen können Sie anfordern, falls Sie diese benötigen? Wann sollten Sie Vorfälle melden und wie? Im Kongress wird erneut darüber diskutiert, welche Meldepflichten für Vorfälle gelten, wie diese auf den privaten Sektor anzuwenden sind und welche Fristen für die Meldung gelten. Das sind also die Themen, die hier eine Rolle spielen.
