Zusammenfassung
Ransomware-Angriffe treffen große Bundesbehörden und kleinere, unterfinanzierte staatliche und lokale Einrichtungen. Letzten Herbst stellte die Bundesregierung 1 Milliarde Dollar an Cyber-Fördermitteln bereit. Wie bereiten sich die Bundesstaaten darauf vor?
In dieser, unserer Pilotfolge, aufgezeichnet in 2022, stellen wir einen Fünf-Schritte-Plan für eine bessere Mittelbeschaffung vor – und er ist heute genauso wirksam wie damals.
MODERATOR: Doug Thompson, Direktor für technische Lösungsentwicklung und leitender Bildungsarchitekt bei Tanium
GAST: David Rand, Wirtschafts- und Technologiejournalist
Shownotes
Lesen Sie diese Artikel in Focal Point, Taniums neuem Online-Magazin für Cyber-Nachrichten.
- Staatliche CISOs an die Bundesbehörden: Zeigt uns das Geld
- 5 Strategien, mit denen CIOs der Bundesländer ihre Belegschaft umgestalten können
- Staatliche Behörden holen bei der Cybersicherheit auf
Transkript
Das folgende Interview wurde zur besseren Verständlichkeit bearbeitet.
David Rand: Ransomware-Angriffe auf Regierungsbehörden, insbesondere auf Städte und Landkreise, [sind] absolut außer Kontrolle geraten … Es gab 79 Ransomware-Angriffe auf US-amerikanische Regierungsorganisationen in 2020, die Ausfallzeiten und Wiederherstellungskosten von fast 19 Milliarden Dollar verursachten. Wir reden hier also nicht von Kleinigkeiten.
Doug Thompson: Hallo, ich bin Doug Thompson, und heute sprechen wir in Let's Converge über Cyberangriffe auf staatliche und kommunale Behörden.
Wir beginnen mit etwas, das ziemlich offensichtlich ist, und mit etwas, das weniger offensichtlich ist. Zunächst das Offensichtliche: Ransomware-Angriffe nehmen sowohl bei Behörden als auch bei privaten Unternehmen zu.
Was bei Angriffen auf Behörden nicht so offensichtlich ist, sind die Ziele selbst. Es sind nicht nur die großen Bundesbehörden mit tiefen Taschen. Allein in den letzten Monaten haben wir Cyberangriffe in Quincy, Illinois; Somerset County, New Jersey; und Bernalillo, New Mexico erlebt. Möglicherweise müssen Sie Google Maps zu Rate ziehen, um einige dieser Orte zu finden, aber wie David Rand erklären wird, macht ihre geringe Größe sie nicht weniger zu einem Ziel.
David ist Wirtschafts- und Technologiereporter und regelmäßiger Beiträger für Taniums neues Online-Magazin, das Unternehmen und Technologieführern die neuesten Einblicke zu den schwierigsten Cyber-Herausforderungen von heute bietet. Dave hat sich intensiv mit diesem Thema befasst und dabei mit IT-Verantwortlichen auf Landes- und Kommunalebene gesprochen. Diese Leute sind unterbesetzt und unterfinanziert. Daher plant die Bundesregierung, in diesem Jahr 1 Milliarde Dollar an Cyber-Fördermitteln an die Bundesstaaten auszuzahlen. Aber wie sollten staatliche CIOs und CISOs sich vorbereiten? Was sollten sie priorisieren?
Hallo, willkommen im Podcast, Dave. Wir haben viel zu besprechen, aber zunächst ist es wohl fair zu sagen, dass Ransomware so schnell nicht verschwinden wird, oder?
Rand: Danke, dass ich hier sein darf, Doug. Und ja, Ransomware ist ein ernstes Thema. Ransomware-Angriffe auf Regierungsbehörden, insbesondere auf Städte und Landkreise, sind derzeit absolut außer Kontrolle geraten.
Allein in diesem Jahr [2022] gab es jeden Monat mindestens ein Beispiel einer US-amerikanischen Stadt, eines Landkreises oder einer Landesregierung, die von Ransomware getroffen wurde. Ich habe Statistiken gesehen, die darauf hindeuten, dass das durchschnittlich gezahlte Lösegeld bei solchen Angriffen etwa $925 000 beträgt, was einem Anstieg von 71 % gegenüber dem Vorjahr entspricht. Ich habe eine weitere Statistik gesehen, der zufolge es 79 Ransomware-Angriffe auf US-amerikanische Regierungsorganisationen in 2020 gab, die insgesamt fast $19 Milliarden an Ausfallzeiten und Wiederherstellungskosten verursachten. Wir reden hier also nicht von Kleinigkeiten.
Thompson: Ich denke, dass Menschen zu oft Cyber-Versicherungen als eine Art Allheilmittel betrachten – nicht alle, aber wenn ich mit Leuten spreche, sagen sie, dass sie eine Cyber-Versicherung haben, und lenken sich dadurch ein wenig davon ab. Ich würde es vorziehen, so viele dieser Dinge wie möglich zu stoppen oder zu blockieren, anstatt mich einfach auf eine Versicherung zu verlassen.
Rand: Ja, das ist etwas, worüber ich wahrscheinlich bald schreiben werde. Cyber-Versicherungen haben nicht alles abgedeckt, was Behörden oder auch Unternehmen absichern müssen, und sie verschwinden, weil die Deckungskosten einfach extrem hoch werden.
Das Problem für Behörden ist jedoch, dass die meisten mit begrenzten Budgets arbeiten. Sie investieren also nicht in erstklassige Sicherheit. Das ist nichts, was sie typischerweise tun, selbst wenn sie es wirklich brauchen.
Tatsächlich ist es für Beschaffungsbeauftragte von Behörden üblicher, auf ausreichend gute Hard- und Software zurückzugreifen, anstatt auf die beste verfügbare Lösung, die mehr Sicherheitsfunktionen bieten würde. Es ist heutzutage bei Behörden nicht einmal ungewöhnlich, veraltete Endgeräte und Betriebssysteme zu verwenden, die vier, fünf oder sechs Jahre alt oder noch älter sind, als die Anforderungen an die Cybersicherheit noch völlig anders waren.
Einige Bundesstaaten befassen sich jedoch eingehend damit; sie möchten dies ändern und versuchen herauszufinden, wie sie ihren lokalen Behörden helfen können, ein höheres Niveau an Cybersicherheitskompetenz zu erreichen.
Thompson: Im Bildungsbereich begegne ich dem häufig, wo es diese kleineren K-12s gibt, die kein Budget haben. Wie kommen die so zurecht? Denn manchmal ist in diesen wirklich kleinen Einrichtungen der Tierfänger oder der Hausmeister gleichzeitig auch die IT-Fachkraft.
Rand: Ja, das stimmt absolut. Es variiert je nach Größe der Gemeinde oder der Behörde oder sogar in den Stammesgebieten. Ich meine, manchmal haben sie nicht einmal IT-Personal, wie Sie bereits sagten. Manchmal schon, aber selbst wenn sie eine IT-Fachkraft mit einem gewissen technischen Hintergrund haben, verfügen sie nicht unbedingt über die nötigen Mittel, um tatsächlich eine wesentliche Veränderung herbeizuführen.
Es wäre also nicht ungewöhnlich, in ein Stadtbüro oder das Büro eines Stadtverwalters zu gehen und dort einen Windows-Vista-Rechner auf seinem oder ihrem Schreibtisch vorzufinden.
Thompson: Ja. [Lachen.] Ich war bei Microsoft, als Vista herauskam. Als wir zu SP1 kamen, war es gar nicht so schlimm.
Rand: [Lachen.] Ich war auch bei Microsoft für Windows Vista dabei, also ich glaube, wir wissen alle, worum es dabei geht.
Thompson: Nun, offensichtlich waren Sie nicht mit mir in Philly, als wir das auf den Markt gebracht haben. Es war so gegen Mitternacht im Februar, es war unter null Grad und… nun ja, das war jedenfalls ein ganz anderes Leben, das wir [Lachen.] hatten.
Aber Sie sprechen über Finanzierung, und ich höre oft, dass die Bundesbehörden die Botschaft irgendwie verstanden haben, dass wir etwas dagegen unternehmen müssen. Ich weiß, dass einige Mittel bereitgestellt werden – und Sie hatten neulich ein interessantes Gespräch mit einem staatlichen CISO, richtig?
Rand: Das stimmt. Das war Ryan Murray, ein großartiger Typ.
Viele Bundesstaaten prüfen also, wie sie lokalen Behörden dabei helfen können, ein höheres Niveau an Cybersicherheitskompetenz zu erreichen. Der Bundesstaat Arizona ist einer davon und kämpft wie viele andere Bundesstaaten darum, die Mittel zu finden, um die Regierungsabläufe in seinen überwiegend ländlichen Gemeinden und Reisegebieten zu sichern.
Vor drei Jahren begannen sie daher damit, veraltete IT-Systeme mithilfe einer Kombination aus Bundeszuschüssen und staatlichen Haushaltsmitteln zu modernisieren. Das ist also keine Angelegenheit, die erst in diesem Jahr aufgetaucht ist.
Zuletzt haben sie sich jedoch entschieden, einen Teil der 1 Milliarde Dollar an Cybersicherheitsfördermitteln zu beantragen, die im Biden-Infrastrukturgesetz enthalten sind, das letzten November verabschiedet wurde. Allein wird dieses Geld nicht ausreichen, aber Arizona ist tatsächlich ziemlich aggressiv dabei, solche Fördermittel zu beantragen. Sie betteln wirklich überall, wo sie können. Sie arbeiten sogar mit anderen Bundesstaaten zusammen, um Mittel zu teilen, mit dem Ziel, auf regionaler Ebene etwas zu bewirken. Ryan Murray, der CISO in Arizona, sagte mir, er sei optimistisch, dass es ihnen gelingen werde, die Sicherheitslage des Bundesstaates im Laufe der Zeit zu verbessern.
Thompson: Wissen Sie, IT-Budgets – und ich denke Budgets im Allgemeinen – man nimmt, was man bekommen kann, nutzt das dann und hofft, dass es ein Sprungbrett für den nächsten Schritt ist. Besonders wenn es um Cybersicherheit geht. Denn Sie haben recht: Es ist nicht ungewöhnlich, in diesen Einrichtungen sehr alte, veraltete und anfällige Geräte vorzufinden. Und als Steuerzahler schätze ich es, dass mein Bundesstaat kein Geld oder Steuergelder verschwendet und damit sorgfältig umgeht.
Aber ich denke, es bedarf einiger Aufklärungsarbeit, und zwar 1) bei den Gesetzgebern und 2) bei den Steuerzahlern, nach dem Motto: Hey, deshalb brauchen wir das, und das wird es bewirken.
Rand: Sie haben vollkommen recht. Ryan Murray hat mir erzählt, dass es ein ständiger Aufklärungsprozess ist, nicht wahr? Die Zusammenarbeit mit den Gesetzgebern, die Zusammenarbeit mit dem Gouverneur – es geht darum, die Situation zu erklären: Was ist zum Beispiel Ransomware, welche potenziellen Kosten entstehen, welche Auswirkungen könnte es auf den Betrieb haben, welche Folgen könnte es für das öffentliche Ansehen haben.
In Arizona scheint Gouverneur Ducey das zu verstehen, und es gibt einen IT-Sicherheitsanteil im Staatshaushalt. Murray sagt mir, er sei ein großartiger Partner bei dem Versuch, Fördermittel zu erschließen, wo immer diese vorhanden sein könnten.
Thompson: Was hat ihn dazu gebracht, sich dieser Sache bewusst zu werden oder diesen Ansatz zu verfolgen? Denn, wissen Sie, Sie haben mit vielen Menschen gesprochen oder viele Menschen erlebt, und es gibt einige, die diese Botschaft noch nicht ganz verstanden haben.
Rand: Ich bin mir ehrlich gesagt nicht wirklich sicher. Ich denke, jeder CISO weiß auf die eine oder andere Weise, dass dies ein Problem ist. Es überrascht niemanden – wie ich bereits erwähnt habe, ist Ransomware außer Kontrolle geraten. Es wird nicht besser, wenn man in einem Bundesstaat wie Arizona lebt, wo 80% des Staates in ländlichen Gebieten liegt. Die Menschen dort kämpfen nicht nur mit Bandbreite und WLAN-Konnektivität, sondern auch damit, grundlegende Cybersicherheit zu gewährleisten – und Dinge wie die Multi-Faktor-Authentifizierung einzuführen, also einfach bewährte Praktiken dafür umzusetzen und die Menschen von Passwörtern wegzubewegen.
Für Sicherheitsfachleute ist es keine Überraschung, dass diese Dinge umgesetzt werden müssen. Manchmal überrascht es jedoch Gesetzgeber, weil sie sich nicht unbedingt vollständig bewusst sind, wie veraltet ihre Systeme sind und wie weit sie hinterherhinken. Und, wissen Sie, die gängige Vorgehensweise war im Laufe der Zeit, wie ich bereits erwähnt habe, auf ausreichende Sicherheit zu setzen, anstatt auf erstklassige Sicherheit.
Heutzutage, mit Hackern und dem Grad an Raffinesse, den sie besitzen, ist „ausreichend" nicht mehr ausreichend.
Thompson: Sie haben auch über die Notwendigkeit von Cyber-Hygiene als Teil davon geschrieben, denn manchmal geben wir jemandem die Schlüssel zum Ferrari, ohne ihm beizubringen, wie man fährt. Sehen Sie, dass die Menschen diesen Bedarf ebenfalls verstehen, sodass sie bei der Finanzierung von Breitband auch mehr Mittel und laufende Finanzierung für Dinge wie Cyber-Hygiene und IT-Sicherheit bereitstellen?
Rand: Nun, ich denke, es ist ein ständiger Aufklärungsprozess für das IT-Sicherheitsteam und die CISOs, die Bedeutung der Sicherheitsintegration in alles, was man aus technologischer Sicht tut, kontinuierlich zu kommunizieren.
Von Anfang an – ich bin seit sehr langer Zeit in der Hightech-Branche tätig, länger als ich zugeben möchte – und selbst in Hightech-Unternehmen kann Sicherheit ein nachträglicher Gedanke sein. Es kann ein bloßes Abhaken einer Checkliste sein, wissen Sie? Man entwickelt ein Produkt, arbeitet daran weiter, und am Ende fragt man sich plötzlich: Wie sichern wir das eigentlich ab? Weil man so begeistert von dem Produkt ist – das liegt einfach in der menschlichen Natur. Und ich denke, das passiert auch auf staatlicher Ebene.
Und um Ihren Punkt aufzugreifen: Wenn Sie eine digitale Transformation durchführen, Breitband ausrollen oder in diesem Fall einfach Ihre IT-Infrastruktur auf lokaler Ebene modernisieren wollen, muss die Sicherheit von Anfang an in Ihre Strategie und Ihren Plan eingebettet sein.
Thompson: Sie sagten, Sie waren auch bei Microsoft, und es gab eine Zeit, als ich dort war, in der wir sagten: OK, jetzt müssen wir mit Sicherheit an erster Stelle beginnen und Produkte entwickeln. Und man sieht, wie das funktioniert hat – es gibt immer noch Lücken! Aber das ist eben die Natur von Software, wenn man sie entwickelt. Man wird mit solchen Dingen konfrontiert, und die Bösewichte sind eher in der Lage, sie zu finden, wenn [die Produkte] in freier Wildbahn gelangen, als wir es sind.
Sie haben die Bundesfinanzierung erwähnt, darüber haben wir gesprochen. Aber wir wissen immer, dass immer dann, wenn der Bund Geld anbietet, in der Regel Hürden und Bedingungen daran geknüpft sind.
Rand: Nun, sicher. In dem Artikel, den ich gerade geschrieben habe, erkläre ich, wie diese Cybersicherheitsfinanzierung als Teil des Infrastrukturgesetzes funktioniert: Es gibt eine Milliarde Dollar, die unter 50 Bundesstaaten aufgeteilt werden soll. Nicht alle Bundesstaaten werden darauf eingehen, aber stellen Sie sich vor, 50 Bundesstaaten versuchen, nur 1 Milliarde Dollar für Cybersicherheit aufzuteilen. Das ist keine riesige Summe. Aber es ist immerhin etwas, oder?
Und in den nächsten vier Jahren oder so wird es in Tranchen verteilt werden. So stehen in diesem Jahr $200 Millionen zur Verfügung [2022], $400 Millionen in 2023, $300 Millionen in 2024 und weitere $100 Millionen in 2025. Die Vorschriften verlangten, dass mindestens 80 % der Fördermittel in diesem Zeitraum an die Kommunen fließen. Die Bundesstaaten mögen also die Finanzierung anstreben, aber sie müssen das Geld an die Städte, die Landkreise und die Stammesgebiete weitergeben.
Mit anderen Worten: Die Bundesstaaten müssen die Fördermittel mit eigenen Mitteln kofinanzieren, sie müssen also eingebunden sein, richtig? Der Gouverneur muss eingebunden sein; es muss Teil des Haushalts sein.
Die Bundesstaaten müssen also im ersten Jahr 10 % beisteuern, und dieser Anteil wird jedes Jahr um 10 Prozentpunkte steigen, bis 2025. Außerdem müssen sie im Rahmen dessen einen Cybersicherheitsplan vorlegen. Sie müssen diesen Plan einreichen, um die Mittel zu erhalten, und er muss genau darlegen, wie das Geld verteilt und wie es eingesetzt werden soll. Sie müssen die entsprechenden Strukturen dafür bereithalten.
Thompson: OK, Dave, erklär es mir, als wäre ich ein Fünftklässler: Ich bin ein staatlicher CIO oder CISO. Was sollte ich jetzt tun, um dieses Geld zu erhalten? Wie geht man das Schritt für Schritt an?
Rand: Es gibt wirklich fünf Dinge, die Bundesstaaten tun könnten oder sollten – das ist es, was mir meine Quellen mitteilen.
Zunächst einmal sollte man den Cybersicherheitsplan entstauben. Möglicherweise haben Sie bereits einen, aber er muss erneut konkret auf das abgestimmt werden, was Sie mit der Finanzierung aus dem Infrastrukturgesetz vorhaben. Er muss detailliert darlegen, wie die Bundesstaaten die Sicherheit in den Kommunen und Stammesgebieten verbessern werden.
Zweitens: Sprechen Sie mit den lokalen Behörden. CISOs müssen jetzt mit lokalen Behörden zusammenarbeiten, um nicht nur festzulegen, was sie in Bezug auf Tools oder Endgeräte unternehmen werden, sondern auch um Aspekte wie die Ausweitung von Schulungsangeboten oder die Beauftragung von Managed Security Service Providern [MSSPs] zur Umsetzung von Cybersicherheitsverbesserungen in Betracht zu ziehen. Das ist übrigens etwas, das Ryan Murray in Arizona mir gegenüber erwähnte – sie prüfen, MSSPs zur Unterstützung hinzuzuziehen.
Denn nicht jede Kommune verfügt, wie Sie bereits angemerkt haben, über eigenes internes Personal. Vielleicht reicht der Hausmeister nicht aus, um eine Zero-Trust-Sicherheitsinfrastruktur zu implementieren. Daher wäre die Erwägung von MSSPs ein guter, wirklich guter Schritt.
Drittens: Sensibilisieren Sie andere staatliche Interessengruppen. Wie Sie bereits sagten, Doug, müssen Gouverneure, Staatsgesetzgeber und Verwaltungsbeamte die Bedeutung der Cybersicherheit verstehen, um Cyberangriffe wie Ransomware abzuwehren. Und sie müssen die IT-Infrastruktur und die Sicherheitsinfrastruktur so schnell wie möglich aufrüsten. Indem man sie zu Partnern in diesen Bemühungen macht, ist es möglich, die verfügbaren Mittel im Laufe der Zeit zu erhöhen.
In Arizona beispielsweise sieht der Haushalt von Gouverneur Ducey $10 Millionen vor, um lokalen Behörden und K-12-Schulbezirken bei der Verbesserung ihrer Sicherheitslage zu helfen.
Der vierte Punkt, über den man nachdenken sollte, ist: Begrenzen Sie sich nicht; denken Sie in größeren Zusammenhängen. Betrachten Sie das Geld aus dem Infrastrukturgesetz nicht so, als wäre der Betrag zu gering, um die Mühe der Beantragung wert zu sein.
Es liegt in der menschlichen Natur, so zu denken und zu sagen: Mensch, das ist viel Arbeit über vier Jahre für nur einen kleinen Geldbetrag. Es gibt jedoch mehrere Bundesförderprogramme, auf die die Bundesstaaten zurückgreifen können, und es kommen ständig neue hinzu. Das Department of Homeland Security hat beispielsweise kürzlich $1,6 Milliarden an Bereitschaftszuschüssen zur Terrorismusbekämpfung angekündigt, und darin ist auch eine Komponente zur Cybersicherheitsfinanzierung enthalten. Arizona bewirbt sich ebenfalls darum.
Der letzte Punkt, den ich erwähnen möchte – und das hat mich überrascht –, ist, dass man möglicherweise mit anderen Bundesstaaten zusammenarbeiten kann. Wenn CISA es nicht untersagt – und es gibt keinen Grund zu der Annahme, dass sie es täten –, können Bundesstaaten tatsächlich miteinander kooperieren, um Zeit, Geld und Ressourcen für die regionale Bekämpfung von Cyberkriminalität zu bündeln, anstatt dies nur innerhalb ihrer eigenen Grenzen zu tun. Wenn ich das richtig verstehe, führt Arizona derzeit Gespräche mit Regierungsvertretern in Texas und New Mexico über genau eine solche Zusammenarbeit.
Thompson: Was sind Ihre abschließenden Gedanken dazu? Was fällt Ihnen dazu ein?
Rand: Es gibt viele Möglichkeiten für Bundesstaaten, Bundesförderungen zu beantragen, und das sollten sie auch tun. Sie müssen aktiv eingebunden sein, einem geschenkten Gaul nicht ins Maul schauen und die Sache umfassender betrachten. Arbeiten Sie erneut mit Kollegen im Staatsparlament zusammen und kooperieren Sie mit Ihrem Gouverneur. Denken Sie daran, mit anderen Bundesstaaten zusammenzuarbeiten. Betrachten Sie es aus regionaler Perspektive.
Jennifer Pittman-Leeper, Customer Engagement Managerin bei Tanium, sagte, dass diese Finanzierung kein Allheilmittel sei, aber ein Anfang, und Regierungsbehörden müssten irgendwo beginnen. Es ist ein guter Ausgangspunkt, die Finanzierung aus diesem Infrastrukturgesetz zu nutzen, falls Sie noch nicht damit begonnen haben, sich mit solchen Programmen zu befassen.
Thompson: Danke, Dave, dass Sie all diese wichtigen und aktuellen Informationen geteilt haben.
Ich habe mit dem preisgekrönten Journalisten David Rand gesprochen, der für Taniums neues Online-Magazin für Cybersicherheitsnachrichten schreibt. Diese Beiträge finden Sie auf Tanium.com.
Wenn Sie ein staatlicher CIO oder CISO sind und mehr darüber erfahren möchten, wie Sie diese Bundesgelder erhalten oder Ihre Cyberhygiene verbessern können, schauen Sie sich die Links in den Podcast-Shownotes an. Um weitere Geschichten wie diese zu hören, abonnieren Sie Let's Converge in Ihrer bevorzugten Podcast-App, wie zum Beispiel Apple Podcasts oder Spotify.
Danke fürs Zuhören, und wir freuen uns darauf, in der nächsten Episode von Let's Converge weitere Cyber-Einblicke mit Ihnen zu teilen.
