Als Präsident Biden in diesem Frühjahr eine Exekutivanordnung zur Cybersicherheit erließ, um die Softwaresicherheit im Zuge des massiven SolarWinds-Angriffs zu erhöhen, schlug er vor, was viele in der Technologiebranche sowohl gefürchtet als auch gehofft hatten: ein bundesstaatliches Cyberforensics-Prüfgremium.
Das vorgeschlagene National Cybersecurity Safety Board (NCSB) wurde dem National Transportation Safety Board (NTSB) nachempfunden, das Luftfahrt- und Autobahnunfälle untersucht, und würde sich in erhebliche kriminelle Hacks gegen US-Unternehmen, Infrastruktur und Bundesbehörden vertiefen.
Aber nicht jeder ist an Bord, sagt Scott Shackelford, Rechtswissenschaftler, der ein Programm zur Cybersicherheit und Internet-Governance an der Indiana University leitet und auf der dieswöchigen Black Hat-Konferenz über die bevorstehenden Herausforderungen sprach. Darunter: Die Privatindustrie zögert, geschützte Informationen weiterzugeben. Regulierungsbehörden warnen vor potenziellen Interessenkonflikten in einem Vorstand, der Branchenführer umfasst. Und Datenschutzbeauftragte sorgen sich um die Weitergabe personenbezogener Daten.
In einem kürzlichen Gespräch mit Endpoint diskutierte Shackelford, wie ein Cyber Review Board funktionieren würde und wie CIOs und CISOs sich heute darauf vorbereiten müssen.
Wie würde die NCSB nach einem Vorfall wie SolarWinds funktionieren?
Verstöße werden nun über verschiedene Akteure gemeldet, von der Generalanwaltschaft auf staatlicher Ebene bis zur Federal Trade Commission. Dafür haben wir keine Single-Point-Agentur. Idealerweise würden Informationen über Cybervorfälle an ein Amt für Cyberstatistiken fließen. Tatsächlich hat die Cyberspace Solarium Commission – die zwischenstaatliche Behörde, die die USA vor Cyberangriffen schützen möchte – die Einrichtung dieses Büros empfohlen, um Cyber-Incident-Daten zu sammeln.
[Lesen Sie auch: Der Mann, der helfen könnte, eine Cyberkatastrophe zu verhindern]
Nachdem die NCSB von einem Verstoß erfahren hat, wäre ihr erster Schritt die Zusammenstellung eines interdisziplinären Teams von Ermittlern. Sie befragten Sicherheitsteams unter vielen anderen Quellen bei Unternehmen mit Sicherheitsverletzungen, Softwareanbietern, deren Produkte infiziert waren, und forensischen Analysten , die den Verstoß untersuchten. Die Ermittler würden Informationen aus Datenbanken vorladen. Nachdem sie herausgefunden hatten, was passiert ist und wer dahinter stand, gaben sie einen Bericht heraus und machten Empfehlungen, die dann zu Branchenstandards werden würden.
Was sind die technischen, politischen und administrativen Herausforderungen bei der Einrichtung einer NCSB?
Da die Cybersicherheit so viele Facetten unserer Wirtschaft berührt, gibt es den Widerstand von Technologieunternehmen – Softwareanbietern und Hardwareanbietern – und wahrscheinlich den Widerstand von Branchen, die nicht stark reguliert oder an die Regulierung gewöhnt sind. Potenzielle Interessenkonflikte können in Bezug auf die Personen im Vorstand oder in den Untersuchungsteams auftreten. Wir durchleben auch das Zeitalter der Datenlokalisierung. Es ist möglich, regionale oder globale Netzwerke dieser Gremien aufzubauen, aber gleichzeitig gibt es ein viel größeres Gespräch über die Zukunft im globalen Datenfluss, das es viel schwieriger macht, sich zu erholen.
Die Untersuchungen der NTSB können ein Jahr oder länger dauern. Wie könnte sich eine NCSB schnell genug bewegen, um einen laufenden Angriff zu mindern oder den nächsten zu verhindern?
Es ist ein schwieriger Balanceakt – die Leute zusammenzubringen und einen umfassenden Bericht zu erstellen, der sofort für Ärzte und politische Entscheidungsträger hilfreich sein wird und gleichzeitig auf eine herausfordernde Situation in Echtzeit reagiert, in der viele andere Organisationen und letztendlich Menschen immer noch anfällig sind. Ich könnte mir einen monatlichen Überblick vorstellen, den die NCSB herausgibt, um ein Gefühl dafür zu vermitteln, was sie finden. Dies wäre eine Vogelperspektive, die mit anderen Initiativen zusammenhängt, die besprochen werden, wie z. B. die obligatorische Meldung der Vorfallreaktion .
Wo findet der Vorstand angesichts des IT-Arbeitsmangels Mitarbeiter, die ein Team besetzen?
Sie werden Menschen brauchen, die gut mit Cyberforensik und Cybersicherheitsgrundlagen vertraut sind. Ein ideales Modell wäre die Schaffung einer nationalen Servicemöglichkeit für Studenten, damit sie ihre Abschlüsse im Gegenzug für die Zustellung bezahlen können, eine Art Cyber Peace Corps. Sie können die Bundesgesetze, die AmeriCorps und Peace Corps geschaffen haben, leicht ändern, um Cybersicherheit zu den anderen Kapazitätsaufbauarbeiten hinzuzufügen, die sie im In- und Ausland durchführen. Viele Technologieunternehmen beginnen auch damit, ihren Mitarbeitern die Möglichkeit zu geben, eine Art Mini-Sabbaticals zu machen und bei würdigen Anliegen zu helfen, wie sie es getan haben, um die letzte Wahl zu sichern. Das könnte ein Modell dafür sein.
Könnten Staaten die Führung übernehmen, wenn der Kongress seine Füße zieht, um ein nationales Gremium zu schaffen?
Es gibt nichts, was einen Bundesstaat oder eine regionale Sammlung von Staaten daran hindert, etwas Ähnliches wie eine bundesstaatliche NCSB zu tun. Gouverneure könnten Cyberboards auf Verwaltungsebene einrichten. Um einen Vorfall zu untersuchen, könnte dieser Vorstand ein Expertenteam aus der Generalanwaltschaft des Landes, den lokalen Strafverfolgungsbehörden und den staatlichen Aufsichtsbehörden zusammenstellen. Ich denke, Sie würden auch vom privaten Sektor, der oft Ziele bei diesen Ransomware-Angriffen ist, profitieren, insbesondere Unternehmen, die an kritischer Infrastruktur beteiligt sind, wie Gas- und Stromversorger, Energielieferanten und Wasserunternehmen.
Was sollten CIOs und CISOs heute tun, um sich auf die Zusammenarbeit mit einer staatlichen oder nationalen Cyber-Prüfungskommission vorzubereiten?
Beginnen Sie damit, sicherzustellen, dass Ihre Organisation bereits etwas wie die CIS-Kontrollen des SANS Institute und das NIST Cybersecurity Framework erfüllt. CIOs sollten Teams und Prozesse für die Meldung von Vorfällen haben, um das Cyber Board bei der Untersuchung einer Verletzung zu unterstützen. Offen gesagt, ich denke, sie sollten diese Initiativen übernehmen, nur um gute Bürger zu sein. CIOs und CISOs sollten auch beginnen, ihre internen Sicherheitsexperten zu fragen, ob sie in einem Prüfungsausschuss tätig sein möchten. Diese Vorstandsrollen sind eine großartige Gelegenheit für Ihre eigenen Experten, zu erfahren, was in anderen Sektoren passiert, und dieses Wissen in Ihr Unternehmen zurückzugewinnen – was Sie stärker und sicherer macht.
