Angesichts staatlicher und lokaler Regierungen, Gesundheitsorganisationen und Schulen, die von Cyberkriminellen angegriffen werden, fragen sich einige Cybersicherheitsleiter der Regierung, ob es nicht an der Zeit ist, sich zusammenzuschließen und einen ganzstaatlichen Ansatz zur Cybersicherheit zu verfolgen.
Was ist eine umfassende Cybersicherheit?
Bei einem ganzheitlichen Ansatz arbeiten staatliche Regierungen mit Kommunen, K-12-Schulen, Stammeseinheiten und anderen staatlichen Organisationen in ihren jeweiligen Staaten zusammen, stellen Finanzierungs- und Toolsets bereit, bieten Anleitung und teilen Informationen. Durch diese Zusammenarbeit können kleine Organisationen wie K-12-Schulen, die heute für Cybersicherheit unterfinanziert und unterbesetzt sind, von den Ressourcen und der Weisheit größerer, besser finanzierter Peers profitieren.
Wie ich bereits in einem früheren Blog-Beitrag erwähnt habe, umfasst eine umfassende Cybersicherheitsstrategie drei Praktiken, die wie die Beine eines Stuhls zusammenpassen. Die drei Praktiken sind:
- Governance und Richtliniengestaltung
- Implementierung
- Validierung
In diesem Blog-Beitrag werde ich die Governance und die Richtlinienerstellung als Teil dieser Strategie betrachten. Governance und Richtliniengestaltung umfassen die folgenden vier Aktivitäten:
- Aufbau von organisationsübergreifenden Governance-Teams und Kommunikationsprozessen, um diese Teams im Laufe der Zeit zu unterstützen
- Auswahl und Aufbau bewährter Richtlinienrahmen, wie z. B. des Center for Internet Security (CIS) und des National Institute of Standards and Technology (NIST)
- Durchführung von Risikobewertungen zur Definition von Richtlinien
- Aufbau und Nutzung von Finanzierungsressourcen zur Unterstützung der gesamten US-Strategie
Wer erstellt umfassende Cybersicherheitsrichtlinien?
Ganzstaatliche Cybersicherheitsprogramme sind letztendlich Kooperationen zwischen verschiedenen Regierungsbehörden, von denen jede für ihre eigenen Cybersicherheitsrichtlinien verantwortlich ist. Einige dieser Regierungsstellen berichten an den Gouverneur, aber viele, einschließlich Schulbezirke und das MS-ISAC-Team des Bundesstaates (eröffnet in einer neuen Registerkarte), tun dies nicht. In den meisten US-Bundesstaaten haben diese Unternehmen noch nie eng an Cybersicherheitsinitiativen zusammengearbeitet. Der erste Schritt besteht also darin, Vertreter aus diesen Gruppen zusammenzubringen, Vorstellungen zu machen und damit zu beginnen, Vertrauen unter den Stakeholdern aufzubauen.
In der Vergangenheit wurde ein Großteil der Arbeit der Cybersicherheitsrichtlinie auf staatlicher Ebene von externen Beratern wie globalen Systemintegratoren durchgeführt. Selbst wenn Berater weiterhin bei dieser Arbeit helfen, sollten sie jetzt diesem neuen, zentralisierten Cybersicherheitsteam Bericht erstatten.
Die Einrichtung dieses Teams kann Zeit in Anspruch nehmen. IT- und Sicherheitsleiter all dieser Organisationen sind bereits beschäftigt. Jetzt müssen sie Raum in ihren Kalendern für neue Meetings, Videokonferenzen, Berichte und andere Cybersicherheitsaktivitäten finden. Und sie müssen lernen, dem Urteilsvermögen und der Entscheidungsfindung von Führungskräften anderer Organisationen zu vertrauen, einschließlich Organisationen, denen sie nicht offiziell berichten.
Es ist wichtig, alle Führungskräfte an die Vorteile dieser gemeinsamen Initiative zu erinnern: verbesserte Cybersicherheit für alle und Kosteneinsparungen auf dem Weg.
Es ist auch wichtig, dass dieses organisationsübergreifende Team eine unabhängige Organisation ist, die sich auf Governance konzentriert, und nicht nur ein Tiger-Team von IT-Ingenieuren, die traditionell für die Implementierung von Cybersicherheitskontrollen selbst verantwortlich waren. Die politischen Entscheidungsträger sollten sich von denen unterscheiden, die die getroffenen Richtlinien umsetzen. Dies trägt dazu bei, dass Richtlinien streng sind, auf den besten Praktiken der Branche und der neuesten Threat Intelligence basieren und dass Compliance, unabhängig davon, wie gut beabsichtigt, nicht einfach nur eine gummigestempelte Berichterstattung ist. Einige Staaten wie Florida, Arizona und New York haben sogar ihre eigenen Ministerien für Heimatsicherheit eingerichtet, um sicherzustellen, dass es ein separates, richtlinienorientiertes Gremium gibt, das Cybersicherheitsrichtlinien definieren und validieren kann, ohne direkt an der Umsetzung dieser Richtlinien beteiligt zu sein.
In vielen Staaten stellt diese Aufgabentrennung einen dramatischen Wandel dar. IT-Teams waren möglicherweise für die Erstellung von Richtlinien, deren Implementierung und die Selbstbescheinigung verantwortlich, dass sie diese Richtlinien einhalten. Durch die Trennung dieser Pflichten streben einige Staaten danach, Richtlinien umfassender und strenger zu gestalten und IT-Teams für deren Umsetzung auf eine Weise verantwortlich zu machen, die objektiv gemessen werden kann. (Ich werde diesen Ansatz für Richtlinien und Validierung in meinem kommenden Blog-Beitrag zur Validierungsphase einer Gesamtstrategie weiter besprechen.)
Governance und Richtliniengestaltung für eine Gesamtstrategie
Stellen Sie fest, dass IT-Führungskräfte nicht von Grund auf neu beginnen müssen, wenn es um die Erstellung effektiver Cybersicherheitsrichtlinien geht. Stattdessen können sie sich auf etablierte Richtlinienrahmen wie diejenigen des Center for Internet Security (öffnet in einer neuen Registerkarte) (CIS) oder der National Institutes of Standards and Technology (öffnet in einer neuen Registerkarte) (NIST) stützen. Mithilfe dieser Frameworks können Richtlinienteams:
- Festlegung von Standards für eine gute Cyber-Hygiene
- Bestimmen Sie akzeptable Schwellenwerte für Risiken
- Definieren Sie Richtlinien, die im Laufe der Zeit durchgesetzt werden können, um diese Standards zu realisieren und Risiken mit hoher Priorität anzugehen
Die CIS- und NIST-Frameworks bieten Vorlagen zum Schreiben umfassender, detaillierter Sicherheitsrichtlinien. Die Erstellung solcher umfassenden Richtlinien ist ein lobenswertes Ziel, aber die Umsetzung dieser Richtlinien könnte kurzfristig über die Mittel von Organisationen wie K-12-Schulbezirken hinausgehen.
Ein alternativer Ansatz ist die Definition umfassender Richtlinien, aber auch die Definition einer Liste von Best Practices mit hoher Priorität, die jeder befolgen muss. Dies ist der Ansatz, den der US-Bundesstaat Arizona mit seiner Gesamtstrategie verfolgt hat. Das Cybersicherheitsteam des US-Bundesstaates hat eine „Top- 18” -Liste von CIS- Kontrollen (öffnet sich in einer neuen Registerkarte) identifiziert, die Regierungsstellen jeder Größe eine überschaubare Liste von Projekten zur Verfügung stellt, auf die man sich konzentrieren kann. Sicherheitspraktiken verbesserten sich, und keine Organisation wurde von einer umfassenden Liste von Anforderungen überfordert.
Umfassende Visibilität für die Richtliniengestaltung
Eine Frage, die sich beim Erstellen von IT-Sicherheitsrichtlinien schnell stellt, ist zu bestimmen, welche IT-Assets geschützt werden müssen. Schließlich können Sie keine Richtlinien zum Schutz von Assets erstellen, wenn Sie nicht wissen, welche Assets Sie haben. Eine der Anforderungen für eine effektive Richtlinienerstellung ist also die Erstellung eines Inventars aller IT-Assets in allen Organisationen, die am gesamten Programm teilnehmen.
Projektleiter können IT-Führungskräfte in Organisationen bitten, Inventare aller Endpunkte (Geräte wie Laptops und Server) in ihren jeweiligen IT-Umgebungen zusammenzustellen. Stellen Sie bei der Erstellung dieser Inventare sicher, dass Sie Terminologie standardisieren, damit Agenturen und IT-Führungskräfte wirklich verstehen können, welche Assets sie haben. Wenn Sie beispielsweise Windows 10 -Laptops zählen, sollten Sie sich vielleicht entscheiden, wie Windows 10 -Laptops gezählt werden sollen, sodass es keine Möglichkeit gibt, dass sie mit Windows 8,1 -Laptops verwechselt werden.
Ein Grund für die frühe Durchführung dieser Arbeit in den Richtlinien- und Implementierungsphasen dieses Projekts ist sicherzustellen, dass das Richtlinienteam Richtlinien für alle Arten von Geräten erstellt hat, die verwaltet werden. Sie möchten beispielsweise IoT-Geräte nicht überspringen und später feststellen, dass sie eine Schlüsselrolle im Transitsystem einer zukunftsorientierten Gemeinde spielen.
Risikobewertung für die politische Entscheidungsfindung
Die NIST- und CIS-Frameworks betonen die Bedeutung des Risikomanagements (öffnet sich in einer neuen Registerkarte). Das Risikomanagement ist die Praxis, die Auswirkungen von Unsicherheiten auf die Ziele einer Organisation zu messen und dann Maßnahmen zu ergreifen, um die Auswirkungen dieser Unsicherheiten zu reduzieren.
Für die IT-Sicherheit geht es beim Risikomanagement darum, die IT-Assets und -Prozesse zu identifizieren und zu schützen, die für die Unterstützung der Mission einer Organisation am wichtigsten sind. Für die Abteilung für Kraftfahrzeuge (DMV) eines Bundesstaates ist es beispielsweise von entscheidender Bedeutung, die Unterlagen des Bewerbers sicher speichern und verwalten zu können. Das Gleiche gilt für die Sicherstellung, dass Lizenzgebühren, die per Kreditkarte bezahlt werden, durch Systeme geschützt werden, die den PCI-DSS-Standards entsprechen.
Das Risikomanagement umfasst in dieser c -ase die Identifizierung aller IT-Ressourcen und -Prozesse, die an der Erstellung und Verwaltung von Abteilungsaufzeichnungen beteiligt sind, die Identifizierung aller Risiken, die mit diesen Ressourcen und Prozessen verbunden sind, die Identifizierung der Wahrscheinlichkeit jedes Risikos und die anschließende Anwendung von Personen, Prozessen und Technologien, um diese Risiken anzugehen. Wenn zum Beispiel sichere, externe Backups helfen würden, die Integrität der Abteilungsaufzeichnungen zu schützen, dann wäre die Einrichtung dieser Backups Teil der Risikomanagementstrategie dieser Abteilung.
Selbst das umfassendste Cybersicherheitsprogramm des gesamten Bundesstaates kann es sich nicht leisten, alle IT-Assets und IT-Prozesse so weit wie möglich zu schützen. IT-Investitionen müssen priorisiert werden. Daher ist es eine gute Idee, Risiken über alle Organisationen hinweg zu messen, die am gesamten US-Programm beteiligt sind, damit Teams angemessene Richtlinien entwerfen und angemessene Quellen zum Schutz der wichtigsten Punkte für jede Organisation zuweisen können.
Spezielle Finanzierungsüberlegungen für ein Cybersicherheitsprogramm im gesamten Bundesstaat
Einige abschließende Fragen, die in der Phase der politischen Erstellung zu berücksichtigen sind, betreffen die Finanzierung. Staatsführungskräfte fragen sich vielleicht, wie sie überhaupt eine ganzstaatliche Cybersicherheitsinitiative finanzieren können. Vielleicht fragen sie sich auch, wie Budgets eingerichtet werden können, damit nicht alle finanziellen Belastungen auf ein paar zentralisierte Teams fallen.
Um eine umfassende Cybersicherheitsinitiative zu finanzieren, sollten SLED-Organisationen jede Finanzierungsquelle nutzen, die sie finden können. Suchen Sie nach Förderprogrammen, die Kommunen, Schulen, Stammesorganisationen oder sogar dem Bundesstaat selbst helfen könnten, eine Reihe standardisierter Cybersicherheitstools und -dienste zu finanzieren. Darüber hinaus bietet die Bundesregierung einige kurzfristige Finanzierungserhöhungen an, um die Cybersicherheit zu adressieren. Staaten sollten diese Bundesfonds nutzen, solange sie verfügbar sind.
Zweitens sollte das gesamte Cybersicherheitsteam daran arbeiten, staatliche Mittel zur Unterstützung der gesamten Cybersicherheitsinitiative zu erhalten. Einige Staaten haben dies bereits getan. Mit einem dedizierten Multi-Millionen-Dollar-Fonds, auf den sie zurückgreifen können, können sie die IT-Geräte und Schulungsdienste erwerben, die Schulbezirke und andere Organisationen benötigen, um sicherzustellen, dass Käufe mit Mengenrabatten getätigt werden und dass Software und Hardware so konsistent wie möglich über Regierungsbehörden hinweg sind. Diese zusätzliche Finanzierung bietet Organisationen einen weiteren Anreiz, insgesamt an der Initiative teilzunehmen. Durch die Beantragung von Zuschüssen für die Modernisierung und Sicherung ihrer IT-Infrastruktur können Organisationen wie Schulbezirke ihre Cyberhygiene verbessern und gleichzeitig Gelder für andere Cybersicherheitsprojekte freigeben.
Abschließend sollte darauf hingewiesen werden, dass ein erfolgreiches Cybersicherheitsprogramm im gesamten Bundesstaat Staaten, Gemeinden, K-12-Schulen und anderen lokalen Organisationen Geld sparen sollte. Wenn eine verbesserte Sicherheit die Notwendigkeit von Lösegeldzahlungen im Wert von mehreren Millionen Dollar eliminiert oder Ausfälle beseitigt, die zu Umsatzeinbußen führen, zahlen diese Vorabinvestitionen für sich selbst.
Weitere Informationen
Dieser Beitrag ist Teil einer Reihe, in der jede der drei Praktiken – Governance, Implementierung und Validierung – untersucht wird, die für die Umsetzung einer umfassenden Cybersicherheitsstrategie erforderlich sind.
Wenn Sie erfahren möchten, wie die Tanium Converged Endpoint Management-Plattform Ihrer Organisation helfen kann, eine ausgereiftere Cybersicherheitsstrategie umzusetzen, kontaktieren Sie uns bitte.
