Was die neue Sicherheitspolitik von Präsident Biden für die Zukunft des Cybersports bedeutet

Dieser Artikel wurde ursprünglich veröffentlicht am LinkedIn von Andrew Rubin.

Die Biden-Administration hat gerade ihr Vermächtnis in der Cybersicherheitspolitik mit einer umfassenden Executive Order gefestigt, die darauf abzielt, die Widerstandsfähigkeit zu verbessern und das Risiko für die Regierung der Vereinigten Staaten zu verringern. Es ist das erste Mal seit fast zwei Jahrzehnten, dass unsere Regierung versucht, ihre Cybersicherheitspläne neu zu schreiben, und es kommt keinen Tag zu früh. Angreifer haben heute mehr denn je die Zeit, das Personal und die Ressourcen, um neuartige Methoden des Eindringens zu verfolgen - und wie die jüngsten Angriffe auf Colonial Pipeline und SolarWinds gezeigt haben, verzeichnen sie große Erfolge bei ihren Ausbeutungsbemühungen.

Das ist nicht nur ein amerikanisches Problem, ein bundesstaatliches oder ein politisches Problem – eine Ansteckung der Selbstgefälligkeit hat sich in das System eingeschlichen. Deshalb begrüße ich diese Executive Order mit offenen Armen – denn sie ist ein Aufruf zum Handeln, dass wir die Art und Weise, wie wir uns schützen, ändern müssen.

Der Zeit voraus sein

Die US-Bundesregierung hinkt bei der Modernisierung der Informationstechnologie und der Cybersicherheit seit geraumer Zeit kläglich hinterher. Der US-Heimatschutzminister Alejandro Mayorkas hat den aktuellen Stand der Cybersicherheit auf Bundesebene in Amerika am besten auf den Punkt gebracht, als er am 31. März seine Vision für die nationale Cyber-Resilienz vorstellte: "Unsere Regierung wurde letztes Jahr gehackt und wir wussten monatelang nichts davon. Erst als eines der weltbesten Cybersicherheitsunternehmen selbst gehackt wurde und die Regierung alarmierte, fanden wir es heraus. Dieser Vorfall ist einer von vielen, die die Notwendigkeit für die Bundesregierung unterstreichen, die Cybersicherheitsabwehr zu modernisieren und unsere Partnerschaften zu vertiefen."

Wie kommt es, dass eines der wohlhabendsten und innovativsten Länder der Welt historisch gesehen hinter dem Ball war, wenn es um die Sicherung der nationalen Infrastruktur ging? Man sollte meinen, dass die Milliarden von Bundesdollar, die in die Sicherung von Staatsvermögen fließen, die Auswirkungen externer Bedrohungen abmildern würden.

Aber das Problem ist nicht, dass es uns an Ressourcen, Talenten oder Zugang zu erstklassigen Cyber-Abwehrtechnologien mangelt – schließlich sind die USA die stolze Heimat vieler globaler Cybersicherheitsführer. Stattdessen glaube ich, dass das, was Minister Mayorkas dargelegt hat, eine Anklage gegen das gesamte Cybersicherheitsmodell ist - wenn nicht für die Welt, dann zumindest für die Bundesregierung.

Weltweit haben wir im vergangenen Jahr 173 Milliarden US-Dollar für Cybersicherheit ausgegeben, aber wir haben mehr Sicherheitsverletzungen als je zuvor in der Geschichte – und es sind die katastrophalsten Verstöße aller Zeiten. Trotz unserer gescheiterten Strategie und unserer schrecklichen Ergebnisse verfolgen wir heute noch den gleichen Ansatz für die Cybersicherheit wie vor 20 Jahren. Unternehmen versuchen, zu verhindern, dass Angriffe in den Perimeter eindringen, erkennen dann Angriffe, wenn sie durchschlüpfen, und verlassen sich auf die Reaktion auf Vorfälle, um das Chaos zu beseitigen.

Die Zeiten, in denen Prävention und Erkennung allein Ihre Behörde, Ihr Unternehmen oder Ihre Organisation gerettet haben, sind vorbei. In Ihrer Infrastruktur befinden sich gerade Angriffe, von denen Sie nicht wissen, dass sie vorhanden sind. Sie verstecken sich. Sie maskieren sich. Sie versuchen, Ihr geistiges Eigentum, Ihre Kundendaten und Regierungsgeheimnisse zu stehlen oder alles für Lösegeld zu halten. Und leider trägt unser derzeitiger Cybersicherheitsansatz wenig dazu bei, diese Angriffe davon abzuhalten, zu groß angelegten Cyber-Katastrophen zu werden.

Auf dem Weg zum Ground Zero

Diese Executive Order erkennt schließlich an, dass das Cybersicherheitsmodell des Bundes veraltet ist, indem sie den ersten Entwurf des neuen Sicherheitsdesigns vorlegt. Der neue Ansatz lässt sich in zwei Worten zusammenfassen: Zero Trust.

Wählen Sie einen Anbieter aus und Sie werden eine Million Zero-Trust-Definitionen finden. Forrester hat den Begriff vor mehr als einem Jahrzehnt veröffentlicht, und ein kürzlich erschienener Blog des Forrester-Analysten Steve Turner drückte es so aus: "Zero Trust ist nicht ein Produkt oder eine Plattform; Es handelt sich um ein Sicherheits-Framework, das auf dem Konzept von 'niemals vertrauen, immer überprüfen' und 'von Sicherheitsverletzungen ausgehen' basiert."

Im Hinblick darauf, wie Zero Trust auf Bundesebene aussieht, wird es eine Reihe von Kernkomponenten für die erfolgreiche Umsetzung und Erreichung einer Zero-Trust-Strategie geben. Zugang, Identität und Segmentierung sind drei Kerntechnologien, die meiner Meinung nach in großem Maßstab erforderlich sein werden. Wenn Sie Google Authenticator, Authy oder eine andere Multi-Faktor-Authentifizierungs-App verwendet haben, dann haben Sie zum Beispiel einen Schritt in Richtung Zero Trust gemacht. Aber es gibt grundlegende Designprinzipien, die unabhängig von der Definition erforderlich sind.

Als Ausgangsprinzip muss die Bundesregierung nach der "assume breach"-Mentalität agieren, also der Denkweise, dass Angriffe bereits in der Infrastruktur sind und neue Angriffe in Zukunft wieder durchkommen werden. Von diesem strategischen Ausgangspunkt aus kann sich die Cyberabwehr des Bundes dann besser darauf vorbereiten, die gegnerische Bewegung von Angriffen in einer Cloud, einem Netzwerk oder einem Rechenzentrum zu stoppen. Wir haben auf die harte Tour gelernt, dass eine Wirksamkeit von 99,9 % nicht ausreicht, wenn 0,1 % der Verstöße den Steuerzahler Milliarden von Dollar kosten oder die Schließung kritischer Infrastrukturen wie strategischer Treibstoffpipelines erzwingen. Stattdessen geht es darum, sich proaktiv auf Sicherheitsverletzungen vorzubereiten, damit Unternehmen ihre Reichweite und Auswirkungen abschwächen können.

Um noch ein wenig weiter zu expandieren, sollte die Regierung den Prinzipien der geringsten Privilegien und des expliziten Vertrauens folgen. Das bedeutet, dass die Kommunikation in Ihrer gesamten Infrastruktur (zwischen Anwendungen, Netzwerken, Clouds, Rechenzentren oder Geräten) jederzeit über die geringstmögliche Anzahl von Berechtigungen verfügen sollte, und die Behörden sollten verpflichtet sein, der Kommunikation ausdrücklich zu vertrauen, bevor sie zwischen diesen Systemen stattfinden darf. Diese Prinzipien hätten zum Beispiel verhindern können, dass der SolarWinds-Angriff so viel Schaden anrichtete. Die Malware hätte sich in der Infrastruktur befunden, wäre aber isoliert und nicht in der Lage, solch weitreichenden Schaden anzurichten.

Die neue Cyber-Normalität

Außenminister Mayorkas erklärte: "Wir müssen unsere Denkweise grundlegend ändern und anerkennen, dass Verteidigung Hand in Hand mit Resilienz gehen muss. Mutige und sofortige Innovationen, groß angelegte Investitionen und die Anhebung der Messlatte für die notwendige Cyberhygiene sind dringend erforderlich, um unsere Cyberabwehr zu verbessern. Wir müssen Investitionen innerhalb und außerhalb der Regierung entsprechend priorisieren."

Zero Trust ist mehr als nur ein nationales Rahmenwerk für Cybersicherheit – es ist etwas, das jedes Unternehmen, jede Organisation oder Einzelperson nutzen kann, um echte Cyber-Resilienz zu erreichen. Die Biden-Administration plädiert nicht für einen Sturz der Sicherheitstools und -technologien, die die heutige Welt antreiben und schützen, sondern für eine strategische Denkweise, um diese Lösungen zu ergänzen, um unsere Cybersicherheitsabwehr weiter zu stärken und unsere Bereitschaft zu verstärken.

Die Modernisierung der Cybersicherheit auf Bundesebene kann natürlich nicht auf einmal erfolgen, aber sie muss mit Kontrollen beginnen, die darauf ausgelegt sind, bösartige Aktivitäten zu isolieren, sobald sie bereits in die Bundesnetzwerke eingedrungen sind. Es muss mit einer Denkweise beginnen, die von einer Sicherheitsverletzung ausgeht, und zwar in allen Behörden. Und es muss mit der Einführung von Zero-Trust-Strategien in großem Maßstab beginnen.