Resiliente kritische Infrastrukturen beginnen mit Zero Trust

Dieser Artikel wurde ursprünglich veröffentlicht am MeriTalk (Englisch) am 30. Juni 2022.

Vom Einbruch in die Colonial Pipeline bis hin zum JBS-Ransomware-Angriff hat uns das vergangene Jahr gezeigt, dass Cyberangriffe auf kritische Infrastrukturen in den USA unerbittlicher, ausgefeilter und wirkungsvoller sind als je zuvor – und allzu oft die wirtschaftliche Stabilität und das Wohlergehen der US-Bürger bedrohen.

Aus diesem Grund bleibt der Schutz kritischer Infrastrukturen ein zentrales Anliegen der Bundesregierung. In der Executive Order on Improving the Nation's Cybersecurity (EO) der Biden-Administration aus dem Jahr 2021 wurden spezifische Sicherheitsmandate und -anforderungen festgelegt, die die Behörden vor dem Haushaltsjahr 2024 erfüllen müssen, um die Widerstandsfähigkeit der Organisation und der Lieferkette zu stärken. Eine wichtige Komponente, die in der EO konkret formuliert wurde, ist die Weiterentwicklung hin zu einer Zero-Trust-Architektur – eine Cybersicherheitsmethode , die erstmals vor fast einem Jahrzehnt eingeführt wurde und auf den Prinzipien der "geringsten Privilegien" und der "Annahme von Verstößen" basiert.

Im März 2022 bekräftigte Präsident Biden die EO 2021 mit seinem "Statement... on our Nation's Cybersecurity" und wies erneut auf Zero Trust als Best Practice für Cybersicherheit hin, da die USA versuchen, die Cybersicherheit im Inland zu verbessern und die nationale Widerstandsfähigkeit im Zuge eines sich abzeichnenden globalen Konflikts zu stärken. Darüber hinaus wird der Cyber Incident Reporting for Critical Infrastructure Act von 2022 , der im März 2022 in Kraft getreten ist, private Infrastrukturbetreiber dazu verpflichten, Cybervorfälle und Ransomware-Zahlungen an die Regierung zu melden – was den Fokus der USA auf den Schutz kritischer Infrastrukturen verstärkt.

"Annahme einer Sicherheitsverletzung"

Um die laufenden Bemühungen um Resilienz zu unterstützen, müssen Unternehmen in der Bundesregierung und in der Privatwirtschaft gleichermaßen damit beginnen, einen proaktiven Ansatz für die Cybersicherheit zu verfolgen. Dies beginnt damit, dass wir die Art und Weise, wie wir Sicherheit grundlegend angehen, überdenken.

Die digitale Transformation hat die Angriffsfläche dramatisch vergrößert. Heute ist die moderne IT-Architektur zunehmend eine hybride Mischung aus On-Premises, Public Clouds und Multi-Clouds – was Angreifern neue Türen öffnet, um sich nicht nur Zugang zu verschaffen, sondern sich auch problemlos zwischen Umgebungen zu bewegen. Da die Häufigkeit und Schwere von Sicherheitsverletzungen weiter zunimmt, nimmt unsere Branche schnell eine "Assume Breach"-Mentalität an – ein Verständnis, dass selbst mit den besten präventiven und schnellen Erkennungstechnologien Verstöße passieren werden .

Stellen Sie sich die jüngsten Veränderungen in der Cybersicherheitsbranche folgendermaßen vor: Die erste Sicherheitsära konzentrierte sich ausschließlich auf den Schutz. In einem eingemauerten, lokalen Rechenzentrum lag der Schwerpunkt auf der Perimetersicherheit – bauen Sie eine digitale Mauer auf und halten Sie die Bösewichte fern. Vor etwa einem Jahrzehnt wurde uns eine Welle von öffentlichkeitswirksamen Sicherheitsverletzungen bewusst, dass eine Mauer die Bösewichte nicht vollständig fernhalten kann. Von da an verlagerte sich der Fokus von der reinen Perimetersicherheit auf die zweite Sicherheitsära der schnellen Erkennung und Reaktion – finden Sie den Bösewicht schnell, nachdem er die Mauer überwunden hat.

Jetzt befinden wir uns in der dritten Welle der Sicherheit: Fokus auf Eindämmung und Eindämmung. Hier können Zero-Trust-Funktionen wie Zero Trust Segmentation (d. h. Mikrosegmentierung) helfen. Für den Fall, dass sich böswillige Akteure Zugang zu einer Bundesbehörde verschaffen, kann die Zero-Trust-Segmentierung dazu beitragen, ihre Auswirkungen zu begrenzen, indem sie das Eindringen in ein einzelnes kompromittiertes System eindämmt und den Zugriff auf sensible Daten erheblich einschränkt.

Laut einer aktuellen Studie von ESG ist die Wahrscheinlichkeit, dass Unternehmen, die Zero-Trust-Segmentierung nutzen, in den letzten 24 Monaten einen kritischen Ausfall während eines Angriffs vermieden, 20,1 Millionen US-Dollar an jährlichen Ausfallkosten eingespart und jährlich fünf Cyberkatastrophen abgewendet.

Zurück zu den Grundlagen

Da erschütternde Cyberangriffe nach wie vor die Norm sind, war es für Organisationen kritischer Infrastrukturen noch nie so wichtig wie heute, der Einhaltung und Aufrechterhaltung einer angemessenen Cybersicherheitshygiene Priorität einzuräumen. Cyber-Hygiene ist nichts Revolutionäres – es geht darum, die Grundlagen zu übernehmen und in die Praxis umzusetzen, Tag für Tag.

Im Jahr 2021 veröffentlichte das Weiße Haus ein Memo , in dem die wichtigsten Best Practices für Unternehmen aufgeführt sind, die sich vor laufenden Ransomware-Angriffen schützen wollen: Stellen Sie sicher, dass Sie Ihre Daten sichern, patchen Sie, wenn Sie zum Patchen aufgefordert werden, testen Sie Ihre Incident-Response-Pläne, überprüfen Sie die Arbeit Ihres Teams (d. h. berücksichtigen Sie menschliche Fehler) und segmentieren Sie Ihre Netzwerke, Workloads und Anwendungen entsprechend.

Mit den richtigen Grundlagen zur Cybersicherheit sind Bundesbehörden besser in der Lage, die laufenden Bemühungen um Resilienz auszubauen – wie z. B. die Beschleunigung ihrer Zero-Trust-Journeys.

Der Aufbau von Resilienz beginnt jetzt

Letztendlich wird die Priorisierung proaktiver, präventiver Cybersicherheitsansätze wie Zero Trust und deren Verpflichtung auf nationaler Ebene langfristig positive Auswirkungen auf die Sicherheitslage und die allgemeine Widerstandsfähigkeit des Landes haben. Aber eine gute Cybersicherheitshygiene und der Aufbau echter Resilienz sind eine fortlaufende Bemühung. Es ist wichtig, klein anzufangen. Beginnen Sie beispielsweise damit, Ihre wichtigsten Assets von Altsystemen weg zu segmentieren. Auf diese Weise kann sich eine Sicherheitsverletzung nicht über Ihre hybride Architektur ausbreiten, um geschäftskritische Informationen zu erreichen. Von dort aus können Sie zu größeren, umfassenderen Resilienzprojekten übergehen.

Aber wie bei jedem Ziel ist es wichtig, das "Perfekt" nicht zum Feind des Guten zu machen. Mit anderen Worten, kein perfekter Plan zu haben, sollte kein Hindernis sein, irgendwo anzufangen. Wichtig ist, dass wir heute loslegen. Böswillige Akteure entwickeln sich weiter, tauchen auf und werden jetzt umbenannt – und jede (große oder kleine) Hygienepraxis im Bereich der Cybersicherheit trägt dazu bei, die Widerstandsfähigkeit des Unternehmens zu erhöhen. Am Ende sind wir, vor allem wenn es um den öffentlichen Sektor geht, alle nur so stark wie das schwächste Glied in unserer Lieferkette.

Denken Sie daran, von einer Sicherheitsverletzung auszugehen, setzen Sie die Grundlagen in die Praxis um und priorisieren Sie zuerst die Sicherung Ihrer kritischsten Infrastruktur mit Zero-Trust-Sicherheitskontrollen.