Angesichts der Angriffe von Cyberkriminellen auf Landes- und Kommunalverwaltungen, Einrichtungen des Gesundheitswesens und Schulen fragen sich einige führende Vertreter der Cybersicherheit in der öffentlichen Verwaltung, ob es nicht an der Zeit ist, sich zusammenzuschließen und einen landesweiten Ansatz für die Cybersicherheit zu verfolgen.
Was versteht man unter landesweiter Cybersicherheit?
Im Rahmen eines landesweiten Ansatzes arbeiten die Landesregierungen mit Kommunen, Schulen der Klassenstufen K–12, Stammesgemeinschaften und anderen staatlichen Organisationen in ihren jeweiligen Bundesländern zusammen, stellen Finanzmittel und Hilfsmittel bereit, bieten Beratung an und tauschen Informationen aus. Durch diese Zusammenarbeit können kleine Organisationen wie K-12-Schulen, die derzeit im Bereich Cybersicherheit unterfinanziert und unterbesetzt sind, von den Ressourcen und dem Fachwissen größerer, besser finanzierter Partner profitieren.
Wie ich bereits in „ “ – einem früheren Blogbeitrag unter – erwähnt habe, umfasst eine landesweite Cybersicherheitsstrategie drei Maßnahmen, die wie die Beine eines Hockers zusammenpassen. Die drei Vorgehensweisen lauten:
- Regierungsführung und Politikgestaltung
- Umsetzung
- Validierung
In diesem Blogbeitrag werde ich mich mit dem Aspekt der Steuerung und Politikgestaltung dieser Strategie befassen. Regierungsführung und Politikgestaltung umfassen die folgenden vier Aktivitäten:
- Einrichtung organisationsübergreifender Steuerungsteams und Kommunikationsprozesse zur langfristigen Unterstützung dieser Teams
- Auswahl und Weiterentwicklung bewährter Richtlinienrahmen, wie beispielsweise die des Center for Internet Security (CIS) und des National Institute of Standards and Technology (NIST)
- Durchführung von Risikobewertungen zur Festlegung von Richtlinien
- Schaffung und Nutzung von Finanzierungsquellen zur Unterstützung der landesweiten Strategie
Wer erarbeitet die landesweiten Richtlinien zur Cybersicherheit?
Landesweite Cybersicherheitsprogramme sind letztlich Kooperationen zwischen verschiedenen staatlichen Stellen, von denen jede für ihre eigenen Cybersicherheitsrichtlinien verantwortlich ist. Einige dieser staatlichen Stellen unterstehen dem Gouverneur, viele andere jedoch – darunter Schulbezirke und das MS-ISAC-Team des Landes unter (wird in einem neuen Tab geöffnet) – unterstehen ihm nicht. In den meisten Bundesländern haben diese Stellen bisher noch nicht eng bei Initiativen zur Cybersicherheit zusammengearbeitet. Der erste Schritt besteht also darin, Vertreter dieser Gruppen zusammenzubringen, sie einander vorzustellen und damit zu beginnen, Vertrauen zwischen den Beteiligten aufzubauen.
In der Vergangenheit wurde ein Großteil der Arbeit im Bereich der Cybersicherheitspolitik auf Landesebene von externen Beratern, wie beispielsweise globalen Systemintegratoren, geleistet. Auch wenn Berater weiterhin bei dieser Arbeit mitwirken, sollten sie nun diesem neuen, zentralisierten Cybersicherheitsteam unterstellt sein.
Der Aufbau dieses Teams kann einige Zeit in Anspruch nehmen. Die IT- und Sicherheitsverantwortlichen all dieser Organisationen haben bereits alle Hände voll zu tun. Nun müssen sie in ihren Terminkalendern Platz für neue Besprechungen, Videokonferenzen, Berichte und andere Aktivitäten im Bereich der Cybersicherheit schaffen. Und sie müssen lernen, dem Urteilsvermögen und den Entscheidungen von Führungskräften aus anderen Organisationen zu vertrauen, einschließlich solcher Organisationen, denen sie nicht offiziell unterstellt sind.
Es ist wichtig, alle Führungskräfte an die Vorteile dieser gemeinsamen Initiative zu erinnern: eine verbesserte Cybersicherheit für alle und langfristige Kosteneinsparungen.
Es ist zudem wichtig, dass dieses organisationsübergreifende Team eine eigenständige Organisation ist, deren Schwerpunkt auf der Governance liegt, und nicht lediglich ein „Tiger-Team“ aus IT-Ingenieuren, die traditionell selbst für die Umsetzung von Cybersicherheitsmaßnahmen zuständig waren. Die politischen Entscheidungsträger sollten von denjenigen getrennt sein, die die beschlossenen Maßnahmen umsetzen. Dies trägt dazu bei, sicherzustellen, dass die Richtlinien streng sind, auf bewährten Verfahren der Branche und den neuesten Erkenntnissen zur Bedrohungslage basieren und dass die Einhaltung der Vorschriften – so gut sie auch gemeint sein mag – nicht lediglich eine Frage der routinemäßigen Berichterstattung ist. Einige Bundesstaaten wie Florida, Arizona und New York haben sogar eigene Ministerien für innere Sicherheit eingerichtet, um sicherzustellen, dass es eine eigenständige, auf die Politik ausgerichtete Stelle gibt, die Richtlinien zur Cybersicherheit festlegen und validieren kann, ohne direkt an deren Umsetzung beteiligt zu sein.
In vielen Bundesländern stellt diese Aufgabentrennung eine tiefgreifende Veränderung dar. Möglicherweise waren die IT-Teams dafür zuständig, Richtlinien zu entwerfen, diese umzusetzen und selbst zu bestätigen, dass sie diesen Richtlinien entsprechen. Durch die Trennung dieser Aufgaben bemühen sich einige Bundesländer, ihre Richtlinien umfassender und strenger zu gestalten und die IT-Teams dafür verantwortlich zu machen, diese auf eine Weise umzusetzen, die objektiv messbar ist. (Ich werde diesen Ansatz in Bezug auf Politikgestaltung und Validierung in meinem kommenden Blogbeitrag über die Validierungsphase „ “ im Rahmen einer landesweiten Strategie näher erläutern:.)
Steuerung und Politikgestaltung für eine landesweite Strategie
IT-Verantwortliche auf Landesebene müssen bei der Ausarbeitung wirksamer Richtlinien zur Cybersicherheit nicht bei Null anfangen. Stattdessen können sie auf etablierte politische Rahmenwerke zurückgreifen, wie beispielsweise die des „ “ des Center for Internet Security (öffnet in einem neuen Tab) (CIS) oder die des „ “ der National Institutes of Standards and Technology (öffnet in einem neuen Tab) (NIST). Mithilfe dieser Rahmenkonzepte können politische Entscheidungsträger:
- Festlegung von „ “-Standards für eine gute Cyberhygiene
- Legen Sie akzeptable Schwellenwerte für Risiken fest
- Legen Sie Richtlinien fest, die im Laufe der Zeit umgesetzt werden können, um diese Standards zu verwirklichen und Risiken mit hoher Priorität anzugehen
Die Rahmenwerke von CIS und NIST bieten Vorlagen für die Erstellung umfassender und detaillierter Sicherheitsrichtlinien. Die Ausarbeitung derart umfassender Richtlinien ist ein lobenswertes Ziel, doch könnte deren Umsetzung für Organisationen wie Schulbezirke der Primar- und Sekundarstufe (K-12) kurzfristig die verfügbaren Mittel übersteigen.
Ein alternativer Ansatz besteht darin, umfassende Richtlinien festzulegen, aber darüber hinaus auch eine Liste der bewährten Verfahren mit hoher Priorität zu erstellen, an die sich alle halten sollen. Dies ist der Ansatz, den der Bundesstaat Arizona mit seiner landesweiten Strategie verfolgt hat. Das Cybersicherheitsteam des Landes hat eine „Top- 18” -Liste der CIS-Kontrollmaßnahmen“ des (wird in einem neuen Tab geöffnet) ermittelt, deren Umsetzung den staatlichen Stellen jeder Größe eine überschaubare Liste von Projekten an die Hand gibt, auf die sie sich konzentrieren können. Die Sicherheitspraktiken wurden verbessert, und keine Organisation sah sich mit einer erschöpfenden Liste von Anforderungen überfordert.
Umfassende Transparenz für die Politikgestaltung
Eine Frage, die sich bei der Ausarbeitung von IT-Sicherheitsrichtlinien schnell stellt, ist die Festlegung, welche IT-Ressourcen genau geschützt werden müssen. Schließlich können Sie keine Richtlinien zum Schutz Ihrer Vermögenswerte erstellen, wenn Sie nicht wissen, über welche Vermögenswerte Sie verfügen. Eine der Voraussetzungen für eine effektive Politikgestaltung ist daher die Erstellung eines Bestandsverzeichnisses aller IT-Ressourcen in allen Organisationen, die an dem landesweiten Programm teilnehmen.
Projektleiter können die IT-Verantwortlichen in den Unternehmen bitten, Bestandslisten aller Endgeräte (wie Laptops und Server) in ihren jeweiligen IT-Umgebungen zu erstellen. Achten Sie bei der Erstellung dieser Bestandsaufnahmen darauf, die Terminologie zu vereinheitlichen, damit Behörden und IT-Verantwortliche wirklich nachvollziehen können, über welche Ressourcen sie verfügen. Wenn Sie beispielsweise Windows- 10 -Laptops zählen, sollten Sie sich überlegen, wie Sie Windows-10 -Laptops zählen möchten, damit diese nicht mit Windows-8,1 -Laptops verwechselt werden können.
Ein Grund dafür, diese Arbeit bereits in der frühen Phase der Richtlinienentwicklung und Umsetzung dieses Projekts durchzuführen, besteht darin, sicherzustellen, dass das Richtlinien-Team Richtlinien für alle Arten von verwalteten Geräten entworfen hat. Sie sollten beispielsweise IoT-Geräte nicht außer Acht lassen, um später dann festzustellen, dass diese eine Schlüsselrolle im Nahverkehrssystem einer zukunftsorientierten Gemeinde spielen.
Risikobewertung für die Politikgestaltung
Die Rahmenwerke des NIST und des CIS betonen die Bedeutung des Risikomanagements (wird in einem neuen Tab geöffnet). Risikomanagement bezeichnet die Vorgehensweise, die Auswirkungen von Unsicherheiten auf die Ziele einer Organisation zu bewerten und anschließend Maßnahmen zu ergreifen, um diese Auswirkungen zu verringern.
Im Bereich der IT-Sicherheit läuft das Risikomanagement darauf hinaus, die IT-Ressourcen und -Prozesse zu identifizieren und zu schützen, die für die Erfüllung des Auftrags einer Organisation von größter Bedeutung sind. Für die Kraftfahrzeugbehörde (DMV) eines Bundeslandes ist es beispielsweise von entscheidender Bedeutung, die Unterlagen der Antragsteller sicher zu speichern und zu verwalten. Ebenso wichtig ist es, sicherzustellen, dass Lizenzgebühren, die per Kreditkarte bezahlt werden, durch Systeme geschützt sind, die den PCI-DSS-Standards entsprechen.
Das Risikomanagement umfasst in diesem Fall die Ermittlung aller IT-Ressourcen und -Prozesse, die an der Erstellung und Verwaltung von Abteilungsunterlagen beteiligt sind, die Ermittlung aller mit diesen Ressourcen und Prozessen verbundenen Risiken, die Einschätzung der Eintrittswahrscheinlichkeit jedes einzelnen Risikos sowie den anschließenden Einsatz von Personal, Prozessen und Technologie zur Bewältigung dieser Risiken. Wenn beispielsweise sichere, externe Datensicherungen dazu beitragen würden, die Integrität der Unterlagen einer Abteilung zu schützen, dann wäre die Einrichtung dieser Datensicherungen Teil der Risikomanagementstrategie dieser Abteilung.
Selbst das umfassendste landesweite Cybersicherheitsprogramm kann es sich nicht leisten, jede IT-Ressource und jeden IT-Prozess so weit wie möglich zu schützen. Bei den IT-Investitionen müssen Prioritäten gesetzt werden. Daher ist es ratsam, die Risiken in allen am landesweiten Programm beteiligten Organisationen zu erfassen, damit die Teams angemessene Richtlinien ausarbeiten und angemessene Ressourcen bereitstellen können, um das zu schützen, was für die jeweilige Organisation am wichtigsten ist.
Besondere Überlegungen zur Finanzierung eines landesweiten Cybersicherheitsprogramms
Einige abschließende Fragen, die in der Phase der Politikgestaltung zu berücksichtigen sind, betreffen die Finanzierung. Die Verantwortlichen auf Landesebene fragen sich möglicherweise zunächst einmal, wie eine landesweite Initiative zur Cybersicherheit überhaupt finanziert werden soll. Möglicherweise fragen sie sich auch, wie Budgets so aufzustellen sind, dass nicht die gesamte finanzielle Last auf einige wenige zentrale Teams entfällt.
Um die Finanzierung einer landesweiten Initiative zur Cybersicherheit zu unterstützen, sollten die SLED-Organisationen jede verfügbare Finanzierungsquelle nutzen. Suchen Sie nach Förderprogrammen, die Kommunen, Schulen, Stammesorganisationen oder sogar dem Staat selbst dabei helfen könnten, eine Reihe standardisierter Cybersicherheits-Tools und -Dienstleistungen zu finanzieren. Darüber hinaus stellt die Bundesregierung den Bundesländern kurzfristige zusätzliche Mittel zur Verfügung, um Maßnahmen im Bereich der Cybersicherheit zu finanzieren. Die Bundesländer sollten diese Bundesmittel nutzen, solange sie zur Verfügung stehen.
Zweitens sollte das landesweite Cybersicherheitsteam darauf hinarbeiten, staatliche Mittel zur Unterstützung der landesweiten Cybersicherheitsinitiative zu beschaffen. Einige Bundesländer haben dies bereits getan. Da ihnen ein eigens dafür eingerichteter Fonds in Höhe von mehreren Millionen Dollar zur Verfügung steht, können sie die IT-Ausrüstung und Schulungsangebote erwerben, die Schulbezirke und andere Organisationen benötigen, und so sicherstellen, dass die Anschaffungen mit Mengenrabatten getätigt werden und dass Software und Hardware in allen staatlichen Einrichtungen so einheitlich wie möglich sind. Diese zusätzlichen Mittel bieten den Organisationen einen weiteren Anreiz, sich an der Initiative insgesamt zu beteiligen. Durch die Beantragung von Fördermitteln zur Modernisierung und Absicherung ihrer IT-Infrastruktur können Organisationen wie Schulbezirke ihre Cyberhygiene verbessern und gleichzeitig Mittel für andere Projekte im Bereich der Cybersicherheit freisetzen.
Abschließend sei darauf hingewiesen, dass ein erfolgreiches landesweites Cybersicherheitsprogramm den Bundesländern, Kommunen, Schulen der Klassenstufen K–12 und anderen lokalen Organisationen Kosten einsparen sollte. Wenn durch eine verbesserte Sicherheit die Zahlung von Lösegeld in Millionenhöhe oder Betriebsausfälle, die zu Umsatzverlusten führen, vermieden werden können, werden sich diese Vorabinvestitionen amortisieren.
Weitere Informationen
Dieser Beitrag ist Teil einer Reihe, in der die drei Maßnahmen – Steuerung, Umsetzung und Validierung – beleuchtet werden, die für die Verwirklichung einer landesweiten Cybersicherheitsstrategie erforderlich sind.
Wenn Sie erfahren möchten, wie die Tanium Converged Endpoint Management-Plattform von Ihrem Unternehmen dabei helfen kann, eine ausgereiftere Cybersicherheitsstrategie umzusetzen, wenden Sie sich bitte an uns.
