Eine der Erkenntnisse, die ich aus den Turbulenzen des Jahres 2020 gewonnen habe und die ich im Laufe meiner gesamten Laufbahn im privaten und staatlichen Sicherheitsbereich beobachtet habe, ist die Notwendigkeit, in einer Krise schnell und überlegt zu handeln.
Ein typisches Beispiel: Im Fall „ Dezember 2020 “ alarmierte das Sicherheitsunternehmen FireEye umgehend die Branche, als es feststellte, dass Hacker über ein Software-Update eines Drittanbieters in sein Netzwerk eingedrungen waren.
Der Cyberangriff, der angeblich vom russischen Geheimdienst unter dem Decknamen „ “ durchgeführt wurde, indem Schadcode in die Netzwerkmanagement-Software des US-amerikanischen Unternehmens SolarWinds eingeschleust wurde, führte letztendlich zur Infizierung von mehr als 300 Unternehmen und neun Bundesbehörden. Es hat sich zum schlimmsten Cyberspionagefall der Geschichte entwickelt.
Hätte FireEye nicht beschlossen, die Welt zu warnen, würden Spione staatlicher Akteure möglicherweise immer noch in den Netzwerken von Regierungsbehörden herumschleichen und sensible Informationen abgreifen.
[Lesen Sie auch: Die Verordnung von Präsident Biden: Stärkung der Cybersicherheitsmaßnahmen.]
Zu Recht strebt die Biden-Regierung nun an, diese Art der öffentlichen Warnung gesetzlich zu verankern. Der Präsident beabsichtigt, eine Verordnung im Rahmen des „ “ () zu erlassen, wonach Softwareanbieter, die mit der Regierung zusammenarbeiten, verpflichtet sind, diese zu benachrichtigen, sobald sie eine Sicherheitsverletzung feststellen.
Ein reaktiver Aktionsplan ist ein wesentlicher Bestandteil des Sicherheitskonzepts. Ich kann mich jedoch der Frage nicht erwehren, ob die Regierung hier eine Gelegenheit verpasst, die proaktive Haltung der Branche zu stärken.
„Ich kann mich des Gedankens nicht erwehren, dass die Regierung eine Gelegenheit verpasst, die proaktive Haltung der Branche zu stärken.“
Die CISOs und CIOs, mit denen ich täglich spreche, konzentrieren sich darauf, die immer ausgefeilteren Phishing-Betrugsversuche und Ransomware-Angriffe abzuwehren, ihre digitale Transformation auf Kurs zu halten sowie die Arbeit ihrer Remote-Mitarbeiter zu ermöglichen und zu sichern. Sie müssen unbedingt erfahren, ob es in ihren Netzwerken zu einer Sicherheitsverletzung gekommen ist oder ob sie durch einen Angriff auf die Software-Lieferkette eines Drittanbieters angreifbar geworden sind.
Aber sie sagen mir auch, dass sie diese reaktive Abwehrhaltung satt haben. Die meisten von ihnen, wenn nicht sogar alle, möchten eine stärkere, proaktive Haltung einnehmen. Sie wollen aus der Defensive in die Offensive gehen.
Die Regierung kann dabei helfen. Das Programm „Cybersecurity Maturity Model Certification“ (CMMC) des US-Bundesamtes für Sicherheit in der Informationstechnik ( ) schreibt bereits vor, dass Rüstungsunternehmen bestimmte Standards erfüllen und von einer unabhängigen Stelle überprüft werden müssen, um Geschäfte mit Behörden des Verteidigungsministeriums tätigen zu können. Andere Bundesbehörden sollten dieses Modell übernehmen, was wiederum zu einer breiteren Einführung proaktiver Sicherheitsmaßnahmen führen würde.
Selbstverständlich müssen CIOs und CISOs nicht darauf warten, dass die Regierung Maßnahmen vorschreibt. Sie können diese Maßnahmen noch heute umsetzen und eine Vorreiterrolle übernehmen, indem sie drei zentrale technologische Herausforderungen angehen: die Schaffung von Transparenz über alle Netzwerkressourcen, die Behebung von Sicherheitslücken und die Beschleunigung der Reaktion auf Vorfälle.
Sichtbarkeit schaffen
Wenn ich CISOs bitte, ein Hindernis zu nennen, das sie daran hindert, proaktivere Sicherheitsstrategien zu entwickeln, nennen sie ausnahmslos einen Mangel an Transparenz hinsichtlich ihrer Ressourcen. Dieses seit Jahren bestehende Problem – die Unfähigkeit, einen Überblick über Netzwerke und Endgeräte zu gewinnen – spitzte sich im Jahr 2020 zu. Als die Mitarbeiter aus dem Büro nach Hause eilten, ihre Geräte mitnahmen und sich über ungesicherte WLAN-Verbindungen in die Unternehmensnetzwerke einloggten, vergrößerte sich die Angriffsfläche. IT-Teams haben nach wie vor Schwierigkeiten, all diese Ressourcen zu ermitteln und zu erfassen.
[Lesen Sie auch: Es ist an der Zeit, sich nicht mehr mit schlechten Daten zufrieden zu geben]
Jede Hoffnung, proaktiv handeln zu können, beruht auf einem umfassenden, genauen und in Echtzeit verfügbaren Überblick des CIO oder CISO über alle Ressourcen im Netzwerk des Unternehmens. Dazu gehören alle Endgeräte, von Laptops, Tablets und PCs bis hin zu virtuellen Maschinen und Anwendungen in der Cloud sowie Software.
Führen Sie stets Patches durch
Kritische Unternehmen wie Stromversorger, Gesundheitsdienstleister, Industrieunternehmen und Finanzdienstleister zögern häufig, bekannte Sicherheitslücken zu schließen. Ihre Gründe: Betriebsausfälle stören ihren Betrieb und sind kostspielig. Andere Unternehmen, die Patches scheuen, sind schlichtweg durch knappe Budgets eingeschränkt, die mit der Flut an Sicherheitslücken, die auf sie einprasselt, nicht Schritt halten können. Daher beheben sie Fehler mit hoher Priorität und finden sich mit einem akzeptablen Risikoniveau ab.
Wer darauf spekuliert, dass eine bereits einige Jahre alte Sicherheitslücke nicht im Visier von Hackern steht, sollte sich das Beispiel von Equifax vor Augen führen. Bei „ September 2017“ stellte sich heraus, dass Hacker in das Netzwerk des Unternehmens eingedrungen waren, nachdem dieses es versäumt hatte, einen bereits seit zwei Monaten bekannten Fehler in einer Webanwendung zu beheben. Dadurch wurden sensible Daten von bis zu 147 Millionen US-Verbrauchern offengelegt. Das hätte sich vollständig vermeiden lassen.
Der beste Weg, eine derart kostspielige Sicherheitslücke zu vermeiden, ist die Einrichtung eines proaktiven Patch-Management-Programms unter . Dies bedeutet, dass Sie Ihre Software in regelmäßigen Abständen aktualisieren – und zwar nicht nur die Betriebssystemsoftware, sondern auch Anwendungen von Drittanbietern. Dazu gehören Webbrowser, Plug-ins und einmalig installierte Software, die ein Mitarbeiter möglicherweise zur Durchführung eines Projekts installiert. Sicherheitslücken sind Einfallstore.
Reagieren Sie umgehend
IT-Führungskräfte vergessen oft, dass die Reaktion auf Vorfälle eine proaktive Maßnahme ist. Indem sie bereits vor dem Auftreten einer Sicherheitsverletzung Maßnahmen ergreifen, die Erkennung von Bedrohungen durch Echtzeit-Warnmeldungen automatisieren und das Rauschen durch Fehlalarme ausblenden, können Unternehmen Bedrohungen identifizieren, untersuchen, eindämmen und beheben. Je früher ein Vorfall erkannt und darauf reagiert wird, desto geringer sind voraussichtlich die Auswirkungen auf das betreffende Unternehmen.
„IT-Führungskräfte vergessen oft, dass die Reaktion auf Vorfälle eine proaktive Maßnahme ist.“
Viele Sicherheitsexperten verfügen weder über die Ressourcen noch über die Zeit, um schnell auf Vorfälle zu reagieren. Die heute stark beanspruchten CISOs stehen vor der Aufgabe, auf eine Vielzahl von Vorfällen in einer verteilten Umgebung zu reagieren – einer Umgebung, in der die Anzahl der gefährdeten Ressourcen infolge der Pandemie nur noch weiter zugenommen hat.
Herkömmliche Sicherheitstools sind hier keine Hilfe. Sie arbeiten oft isoliert voneinander, und ihre Ermittlungsmöglichkeiten stützen sich in der Regel auf unvollständige oder veraltete Daten. Eine neuere Generation von Lösungen zur Reaktion auf Sicherheitsvorfälle bietet jedoch Echtzeit-Transparenz in Netzwerken. Sie ermöglichen es Sicherheitsteams, aus einer Vielzahl von Optionen zur Fernbehebung zu wählen – vom gezielten Ansatz, der auf einen einzelnen Endpunkt unter Tausenden abzielt, bis hin zum pauschalen Vorgehen, das auf die gesamte Netzwerkumgebung angewendet wird.
Vergessen Sie die Menschen und die Abläufe nicht
Beim Übergang vom hinteren zum vorderen Fuß geht es nicht nur um Technik. Ihre Mitarbeiter und Ihre Prozesse sind für Ihre Bemühungen von entscheidender Bedeutung. Die zukunftsorientiertesten CISOs, die ich kenne, nehmen sich die Zeit, alle Beteiligten im gesamten Unternehmen einzubeziehen, darunter die Rechtsabteilung, die Compliance-Abteilung, die IT-Abteilung, die Personalabteilung und die Geschäftsbereiche. Sie suchen Partner, die sie bei der Entwicklung einer internen Berichtsstruktur unterstützen, die den Anforderungen der bevorstehenden Regierungsverordnung sowie auch künftigen Anforderungen gerecht wird oder diese sogar vorwegnimmt.
Die CISOs, mit denen ich zusammenarbeite, richten Führungsstrukturen ein, um die Verantwortlichkeit sicherzustellen. Sie benennen einen Ansprechpartner für die Zusammenarbeit mit Behörden, die im Rahmen ihrer Tätigkeit mit der Bundesregierung möglicherweise die Einhaltung der Vorschriften überwachen. Und sie sind sich der zahlreichen Lehren, die aus dem Cyberangriff auf SolarWinds gezogen wurden, schmerzlich bewusst.
Sie wissen, dass ein Sicherheitspanne bei einem Unternehmen die Abwehrmaßnahmen anderer Unternehmen entlang der Lieferkette untergraben kann. Sie wissen, dass sie aus der Defensive in die Offensive gehen müssen, um vorbereitet zu sein.
