Cyberangriffe auf staatliche und kommunale Behörden in den USA haben in den letzten Jahren erheblich zugenommen. Weltweit richten sich mittlerweile rund 44 % der Ransomware-Angriffe gegen Kommunen. Ransomware traf allein in 2020 Ländern mindestens 2 354 Regierungsbehörden, (wird in einem neuen Tab geöffnet) Gesundheitseinrichtungen und Schulen. Allzu oft sind diese Angriffe erfolgreich, weil Kommunalverwaltungen, Schulen der Klassenstufen K–12 und andere kleine Behörden nicht über das erforderliche Personal, die notwendigen Mittel und das nötige Fachwissen verfügen, um sich angemessen zu verteidigen.
Was ist eine landesweite Cybersicherheitsstrategie?
Um Kommunen und andere lokale Gebietskörperschaften vor diesen Angriffen zu schützen, verfolgen einige Landesregierungen nun einen landesweiten Ansatz im Bereich der Cybersicherheit. Im Rahmen einer landesweiten Strategie, die auf Landesebene umgesetzt wird, arbeitet die Landesregierung mit kleineren kommunalen Behörden zusammen, um sicherzustellen, dass jeder vor Bedrohungen geschützt ist. Im Rahmen dieser Zusammenarbeit stellen die Landesregierungen den Kommunen und anderen lokalen Organisationen Schulungen, Bedrohungsinformationen, Tools und weitere Ressourcen zur Verfügung, um die Cyberabwehr zu stärken.
Schauen wir uns einmal an, was diesen neuen Ansatz in der Cybersicherheit antreibt und welche drei Schlüsselkomponenten – Governance, Umsetzung und Validierung – erforderlich sind, damit er funktioniert.
Sehen Sie sich dieses „To the Point“-Videointerview an, in dem Jennifer Pittman-Leeper erläutert, was eine landesweite Cybersicherheitsstrategie ist und wie man damit beginnt.
https://youtu.be/BOEF82h1r44
Ein dringender Bedarf an besserer Cyberhygiene
Die Zahlen variieren von Umfrage zu Umfrage, doch es ist offensichtlich, dass sich ein überproportionaler Anteil der Ransomware-Angriffe und anderer Angriffe gegen Landes- und Kommunalverwaltungen richtet.
Warum gerade diese Organisationen ins Visier nehmen? Einige der Angriffe sind wahrscheinlich zufällig und das Ergebnis einer „Spray-and-Pray“-Strategie der Angreifer bei der Zielauswahl, bei der sie zufällig staatliche und kommunale Behörden treffen.
In anderen Fällen könnten Angreifer gezielt Behörden ins Visier nehmen, weil sie vermuten, dass diese über Cyberversicherungen verfügen, die die Lösegeldzahlungen sowie etwaige notwendige Kosten für die Behebung der Schäden übernehmen. Daran ist etwas Wahres. Tatsächlich zahlen staatliche und kommunale Behörden in , wenn sich Opfer von Ransomware zur Zahlung entschließen, letztendlich das 10 -Fache der Beträge, die kommerzielle Unternehmen zahlen. (wird in einem neuen Tab geöffnet)
Angreifer könnten es auch auf Kommunen und andere kleine Behörden abgesehen haben, da sie wissen, dass die Cybersicherheitsmaßnahmen auf Landes- und Kommunalebene schwächer sind. Die meisten Bundesländer geben lediglich 1-2 % ihrer IT-Budgets für Cybersicherheit aus (wird in einem neuen Tab geöffnet), während Bundesbehörden und Unternehmen 5-20 % ausgeben.
Schließlich gelten viele kommunale Dienstleistungen als unverzichtbar, was den Verantwortlichen in den Kommunalverwaltungen einen starken Anreiz bietet, Lösegeld zu zahlen und einen Angriff rasch zu beheben. Als beispielsweise im Jahr 2019 ein Ransomware-Angriff die Verwaltungsdienste der Stadt Baltimore lahmlegte ( ), waren die Auswirkungen auf die Stadt weitreichend und kostspielig ( (öffnet in einem neuen Tab)). So konnten beispielsweise Eigentumsübertragungen nicht abgewickelt werden, was den Immobilienmarkt belastete. Die Bürger hatten keinen Zugriff mehr auf die Websites, über die sie ihre Wasserrechnungen, Grundsteuern und Strafzettel bezahlten. Die Beseitigung der Folgen des Anschlags dauerte Monate und kostete die Stadt letztendlich mindestens 18,2 Millionen Dollar.
Angesichts solcher warnenden Beispiele ist es nicht verwunderlich, dass andere Kommunen und staatliche Einrichtungen vermeiden möchten, Opfer von Ransomware oder anderen Arten von Cyberangriffen zu werden.
Die Landesregierungen sind sich bewusst, dass sie helfen können. Angesichts der Tatsache, dass Kommunen und andere lokale Behörden unter Personalmangel und Finanzknappheit leiden, verfolgen einige Landesregierungen eine landesweite Strategie, bei der Ressourcen gebündelt und Informationen ausgetauscht werden, um staatliche Organisationen von der kommunalen bis zur Landesebene zu schützen.
“State governments are increasingly providing services to county and municipal governments, including endpoint protection, shared service agreements for cyber defensive tools, incident response, and statewide cybersecurity awareness and training,” the National Governors Association (NGA) and the National Association of State Chief Information Officers (NASCIO) wrote in their 2020 report, Stronger Together: State and Local Cybersecurity Collaboration (opens in a new tab). Seitdem hat diese Bewegung nur noch an Dynamik gewonnen.
„Die Landesregierungen erbringen zunehmend Dienstleistungen für Kreis- und Kommunalverwaltungen, darunter Endgeräteschutz, Vereinbarungen über gemeinsam genutzte Dienste für Cyberabwehr-Tools, die Reaktion auf Sicherheitsvorfälle sowie landesweite Sensibilisierungs- und Schulungsmaßnahmen zum Thema Cybersicherheit.“
Die Bestandteile einer landesweiten Cybersicherheitsstrategie
Eine landesweite Cybersicherheitsstrategie umfasst drei Maßnahmen, die aufeinander abgestimmt sind. Sie können sich diese als die Beine eines Hockers vorstellen. Sie benötigen alle drei, damit die Strategie funktioniert.
Diese drei Vorgehensweisen sind:
- Regierungsführung und Politikgestaltung
- Umsetzung
- Validierung
Lassen Sie uns diese Punkte nacheinander betrachten.
Regierungsführung und Politikgestaltung
Gute IT-Führungskräfte werden auf etablierte Richtlinien und Rahmenwerke wie , CIS (wird in einem neuen Tab geöffnet),, oder , NIST (wird in einem neuen Tab geöffnet),und zurückgreifen, um die Grundlagen für ein robustes Cybersicherheitsprogramm zu schaffen. Diese Rahmenwerke helfen Organisationen dabei, Standards für eine gute Cyberhygiene festzulegen, akzeptable Risikogrenzen zu bestimmen und Richtlinien zu definieren, die im Laufe der Zeit durchgesetzt werden können, um diese Standards umzusetzen und diesen Risiken zu begegnen.
In vielen Bundesländern haben Berater, wie beispielsweise globale Systemintegratoren, einen Großteil dieser strategischen Arbeit geleistet. In jüngerer Zeit haben einige Bundesländer diese Aufgabe „intern“ dem Ministerium für Innere Sicherheit des jeweiligen Bundeslandes oder einer ähnlichen Einrichtung übertragen.
Generell ist es ratsam, die Arbeit der Politikgestaltung von der Arbeit der Umsetzung zu trennen. Auf diese Weise können Richtlinien auf der Grundlage branchenweiter Best Practices durchdacht und entwickelt werden, anstatt so gestaltet zu werden, dass sie sich an die vorhandenen Werkzeuge und Vorgehensweisen (sowie Gewohnheiten) eines bestimmten IT-Teams anpassen.
Umsetzung
Dies ist die „Umsetzungsphase“ einer landesweiten Strategie. In dieser Phase setzen IT-Ingenieure und -Manager die in der Richtlinienphase erarbeiteten Richtlinien um.
Dies ist zudem ein Bereich, in dem Strategien zur Cybersicherheit häufig versagen. Das liegt daran, dass Maßnahmen ohne eine ausreichende Abstimmung zwischen dem politischen Entscheidungsteam und dem Umsetzungsteam möglicherweise zu weitreichend oder zu kostspielig in der Umsetzung sind. Politische Maßnahmen sollten konsequent, ja sogar mutig sein, aber sie sollten auch praktikabel sein.
Um eine behördenübergreifende, landesweite Strategie wirklich umzusetzen, müssen Behörden, Kommunen und andere lokale Organisationen die Instrumente und Prozesse, die sie zur Umsetzung der Maßnahmen einsetzen, vereinheitlichen.
Wenn eine neue Software-Sicherheitslücke bekannt gegeben wird, wie schnell kann der gesamte Staat – von der Landesregierung bis hin zu den Gemeinden – eine Bestandsaufnahme aller seiner IT-Ressourcen vornehmen, um zu ermitteln, welche Endgeräte aktualisiert werden müssen? Wenn eine IT-Agentur eine bewährte Vorgehensweise entwickelt, wie einfach lässt sich diese dann landesweit verbreiten? Es ist sehr wahrscheinlich, dass der Austausch von Wissen und Techniken schwieriger wird, wenn die Werkzeugsätze nicht standardisiert sind.
Damit sich die Umsetzung letztendlich auszahlt, sind gemeinsame Entscheidungsfindung und koordinierte Investitionen über Organisationsgrenzen hinweg erforderlich.
Validierung
Validierung ist die fortlaufende Überwachung der Umsetzung politischer Maßnahmen.
Um sicherzustellen, dass die Cybersicherheit nicht nur „auf dem Papier“ besteht, ist es wichtig, dass die Personen, die für die Überprüfung der Umsetzung von Richtlinien verantwortlich sind, nicht lediglich ein Kästchen auf einem Formular ankreuzen und damit die Einhaltung der Vorschriften selbst bestätigen. Vielmehr sollten sie in der Lage sein, die Einhaltung der Vorschriften nachzuweisen, indem sie Berichte erstellen, die den Echtzeitstatus aller verwalteten IT-Ressourcen widerspiegeln. Mit anderen Worten: Teams sollten die Einhaltung der Vorschriften anhand konkreter Daten aus Sicherheitstools überprüfen und sich nicht auf mündliche Zusicherungen von Kollegen verlassen.
Eine umfassende Überwachung und Berichterstattung in Echtzeit verschafft allen Beteiligten einen klaren Überblick über die aktuellen Stärken und Schwächen jeder landesweiten Strategie. Und sollten die Berichte letztendlich zeigen, dass zusätzliche Investitionen erforderlich sind, wird der sachliche, digitale Charakter der Berichte überzeugender sein als Selbsterklärungen oder allgemeine Bemerkungen.
Weitere Informationen
In den kommenden Wochen werden wir weitere Blogbeiträge zu den Vorteilen einer landesweiten Strategie veröffentlichen. In unseren nächsten Beiträgen werden wir uns die drei Maßnahmen – Steuerung, Umsetzung und Validierung –, die für die Umsetzung einer landesweiten Cybersicherheitsstrategie erforderlich sind, genauer ansehen.
Wenn Sie erfahren möchten, wie die Tanium-Plattform von Ihrem Unternehmen dabei helfen kann, eine ausgereiftere Cybersicherheitsstrategie umzusetzen, wenden Sie sich bitte unter an uns.
