Assume Breach: Best Practices für Cyber Resilience

Es ist nicht die Frage, ob, sondern wann eine Organisation oder ein Individuum im Cyberspace angegriffen wird. Wenn Sie das glauben, haben Sie den wichtigsten kognitiven Schritt getan – Sie sind bereit, "von einer Sicherheitsverletzung auszugehen" und Resilienz aufzubauen, um einem Cyberangriff standzuhalten.

Aber wenn Sie von einer Sicherheitsverletzung ausgehen, was bedeutet das für Ihre Denkweise über Sicherheitsinvestitionen in Menschen, Prozesse und Technologien? Und was noch wichtiger ist: Welche Strategien sollte Ihr Unternehmen anwenden, um über eine Sicherheitsverletzung hinaus sicher zu sein? Am 24. Oktober 2018berief Illumio eine Gruppe von Führungskräften aus den Bereichen Cybersicherheitsstrategie und -technologie in Washington, D.C., ein, um die Annahme einer Sicherheitsverletzung zu diskutieren und Best Practices im Bereich Cyber Resilience zu identifizieren. 

Im Folgenden finden Sie eine Zusammenfassung der wichtigsten Ergebnisse des Tages. Für diejenigen, die daran interessiert sind, all diese klugen Leute reden zu hören, bleiben Sie dran für die Videos. 

Top 3 Takeaways

Wenn Sie von einer Sicherheitsverletzung ausgehen, müssen Sie Folgendes tun:

1. Nehmen Sie eine gegnerische Denkweise an.
2. Verfolgen Sie eine Zero-Trust-Strategie und segmentieren Sie Ihre Netzwerke im Mikrosegment.
3. Trainieren Sie und bereiten Sie Ihr Unternehmen auf das Management von Sicherheitsverletzungen vor.
   
   

Von einer Sicherheitsverletzung ausgehen: Erklärt

Von einer Sicherheitsverletzung auszugehen bedeutet, eine gegnerische Denkweise anzunehmen. Heute haben nationalstaatliche Gegner und kriminelle Organisationen das Geld, das Personal und die Zeit, die erforderlich sind, um geduldig daran zu arbeiten, Sie im Cyberspace zu treffen. Von einer Sicherheitsverletzung auszugehen bedeutet, auf einen Angriff auf die Dinge vorbereitet zu sein, die Sie am meisten schätzen, und zwar auf eine Weise, die Sie nicht unbedingt erwarten können. Diese Annahme ist in unserer DNA in^{der physischen Welt} nach dem 11. September verankert – wenn wir etwas sehen, wissen wir alle, dass es etwas sagt – aber das Konzept hat sich nicht auf unsere Cybersicherheitspraktiken übertragen (selbst als die Daten- und Internetnutzung exponentiell zunahm).   

Von einer Sicherheitsverletzung auszugehen bedeutet, zuerst Ihre wertvollsten, geschäftskritischen Ressourcen zu schützen. Wenn ein feindlicher Akteur versucht, sich einen Vorteil zu verschaffen, was wird er dann versuchen, in einer Organisation zu stehlen, zu manipulieren oder zu brechen? Wenn Sie von einer Sicherheitsverletzung ausgehen, müssen Sie sich auf den Schutz der Daten konzentrieren, die Ihre wichtigsten Aufgaben unterstützen. Im Fall des U.S. Office of Personnel Management (OPM) war es die Datenbank, in der sich die Aufzeichnungen von 21,5 Millionen US-Regierungsbeamten befanden. Im Fall von Singapurs Gesundheitsdienstleister SingHealth im Jahr 2018 war es die Datenbank innerhalb der Public Health Cloud, in der die Gesundheitsdaten von 1,5 Millionen Singapurern gespeichert wurden. Im Falle des nuklearen Kommando- und Kontrollunternehmens des US-Militärs könnten es die Satellitenkommunikationssysteme sein, die die nukleare Abschreckung der USA unterstützen.

Von einer Sicherheitsverletzung auszugehen bedeutet, dass Sie planen, einen Teil dessen zu verlieren, was Sie schätzen, und sich darauf vorbereiten, mit Ihren Daten zu arbeiten, die offengelegt oder beeinträchtigt werden. Im Falle einer Sicherheitsverletzung kann die Effektivität Ihrer Mission beeinträchtigt werden. Aus diesem Grund baut das US-Militär Redundanz für seine Logistik und Operationen auf. Um eine Stadt gegen eine kombinierte ballistische Rakete und einen Cyberangriff zu verteidigen, können zwei Patriot-Batterien ausreichen, aber das Militär kann vier zur Widerstandsfähigkeit installieren. Im Falle einer Unterbrechung einer Bank, sei es durch einen Distributed-Denial-of-Service-Angriff oder einen Malware-Angriff, möchten Banken möglicherweise in redundante Netzwerke investieren, um den Finanzbetrieb fortzusetzen, wenn ein Netzwerk ausfällt.

Nach einer Sicherheitsverletzung sind Sie besser dran, wenn Sie diese Szenarien berücksichtigt haben.

Investitionen in die Resilienz sind die logische Schlussfolgerung aus der Annahme einer Sicherheitsverletzung. Dennoch sind dies unbequeme Räumlichkeiten. Analog zum Abschluss einer Lebensversicherung nach der Geburt eines Kindes sind Sie nach der Verletzung besser dran, wenn Sie die Worst-Case-Szenarien einkalkuliert haben.     

Zero Trust und Mikrosegmentierung

Sie können nicht zufällig investieren. Sie brauchen eine Strategie, um Ihr Vermögen zu sichern. Dr. Chase Cunningham, einer der führenden Denker in den Vereinigten Staaten im Bereich Security Operations und Cyber Analytics, unterstützt Unternehmen bei ihren Plänen, durch die Implementierung einer Zero-Trust-Strategie Resilienz zu erreichen. Zero Trust beruht auf der Idee, dass Benutzer innerhalb eines Netzwerks nicht vertrauenswürdiger sind als Benutzer außerhalb eines Netzwerks. Wie er behauptet, sind viele der großen Cyberangriffe, von denen wir in den letzten zehn Jahren gehört haben, auf ein einfaches Problem zurückzuführen: Rechenzentren sind offen und unsicher. 

Die durchschnittliche Verweildauer eines Eindringlings, um unentdeckt in einem Netzwerk zu bleiben, beträgt über sechs Monate. In einem unsicheren Rechenzentrum wie dem des Office of Personnel Management in den Jahren 2014/15 erhielt der chinesische Eindringling volle Zutrittsfreiheit. Wenn Sie "nichts vertrauen und alles überprüfen", was in Ihr Netzwerk gelangt, müssen Sie Ihr Rechenzentrum von innen sichern, um unbefugte Aktionen zu verhindern.

In der neuen Cloud-Welt reichen die Tools von gestern möglicherweise nicht mehr aus. Wie die Cloud selbst müssen sich auch Ihre Sicherheitsinvestitionen mit der Bedrohung weiterentwickeln. Die Mikrosegmentierung legt Richtlinien und Regeln für die Interaktion aller Teile des Rechenzentrums fest. Es handelt sich um eine neue Schicht – eine letzte Schicht der Resilienz im neuen Sicherheitsstack.

Vorbereitung auf die Sicherheit nach Sicherheitsverletzungen

Auf der strategischen Ebene gehen Unternehmen von Sicherheitsverletzungen aus und planen Disruptionen mit einer Vielzahl von Management- und nicht-technologischen Mitteln. Schulung ist das A und O. Innerhalb des Verteidigungsministeriums trainiert das US-Militär nicht nur für Sicherheitsverletzungen, sondern auch für vollständige cyberbasierte Unterbrechungen militärischer Operationen; Abgesehen von Redundanzinvestitionen, wie z. B. einer zusätzlichen Patriot-Batterie, bereiten Piloten und Kapitäne ihre Teams täglich darauf vor, im Falle eines Angriffs "blind" zu fliegen. Das kann bedeuten, eine F-35 ohne Kommunikation zu fliegen oder ein Schiff ohne das Global Positioning System durch den Ozean zu steuern.

In ähnlicher Weise müssen Unternehmen den Prozess der Vorbereitung auf Sicherheitsverletzungen durchlaufen, indem sie die Notfallprozesse identifizieren, die sie möglicherweise für das Krisenmanagement benötigen. Einer der wichtigsten Schritte besteht darin, die Fakten zu identifizieren; Ohne sie können Sie weder innerhalb Ihres Unternehmens noch extern gut kommunizieren. Es hilft bei der Entwicklung eines Playbooks für das Management von Sicherheitsverletzungen – und bei der Durchführung von Tabletop-Übungen, um Lücken und Nähte zu identifizieren und zu sehen, wie Ihr Unternehmen auf ein Ereignis reagieren kann. Die beste Tischplatte ist eine Live-Übung, die die Kommunikationssysteme eines Unternehmens verändert und Teams dazu zwingt, ohne Zugriff auf Daten zu reagieren. Schließlich müssen Unternehmen üben, wie sie mit Aktionären und anderen in der Außenwelt über den Verstoß kommunizieren.

Nach einer Sicherheitsverletzung sind Schuldzuweisungen und Forensik der einfachere Teil der Geschichte. Es ist schwieriger, Führungskräfte im Voraus zu Investitionen zu bewegen. Sie müssen ihre mentalen Karten ändern und von Sicherheitsverletzungen ausgehen, Personal und Technologie investieren, um Angriffen standzuhalten, und sich die Zeit nehmen, sich für Störungen zu schulen. Doch mit einem kleinen Betrag an Vorabinvestitionen können Länder und Organisationen das Eintreten von Worst-Case-Szenarien verhindern – und sich über Sicherheitsverletzungen hinaus sicher machen.