#RSAC: Gemeinsame Anstrengungen zur Stärkung der nationalen Cybersicherheit erforderlich

  • Die Möglichkeiten, wie Bundesbehörden die nationale Cybersicherheit stärken können, wurden in einer Keynote-Sitzung am zweiten Tag der RSA Conference 2022 diskutiert.

    Unter der Moderation von Bobbie Stempfley, Vice President und Business Unit Security Officer, Dell Technologies, kamen Beiträge von drei wichtigen Personen, die an der Cybersicherheitsstrategie der US-Regierung beteiligt sind: Jen Easterly, Direktorin der Cybersecurity and Infrastructure Security Agency (CISA), John „Chris“ Inglis, nationaler Cyber-Direktor, Executive Office of the President und Robert Joyce, Direktor des Cybersecurity Directorate der National Security Agency (NSA).

    Inglis beschrieb die verschiedenen Rollen, die die drei vertretenen Stellen spielen, und erklärte, dass „es nicht halb so kompliziert ist, wie es tatsächlich ist.“ Die NSA stellt dem privaten Sektor wichtige Informationen über Bedrohungen und Schwachstellen zur Verfügung, während die CISA diese Informationen zusammenführt, um sie über eine Reihe von kritischen Infrastrukturen zu verbreiten. Inglis fügte hinzu: „Meine Aufgabe als nationaler Cyber-Direktor ist es, diese Rollen und Zuständigkeiten zu sortieren, um sicherzustellen, dass sie sich alle gegenseitig ergänzen.“

    Easterly hob hervor, wie die CISA seit ihrer Gründung im Jahr 2018 gewachsen ist und sich auf den „Aufbau einer Cyber-Fähigkeit für das Heimatland und kritische Infrastrukturen konzentriert.“ Dies muss natürlich ein gemeinsames Unterfangen mit dem privaten Sektor sein. Sie wies darauf hin, dass die CISA in ihren Aufgabenbereichen immer enger mit Joyce und Inglis zusammengearbeitet hat.

    Joyce sagte, eine der größten Eigenschaften der NSA sei ihre „Fähigkeit, in ausländische Netzwerke einzudringen und die Bedrohungen zu verstehen, und das ist etwas, das von CISA und anderen Elementen der Regierung genutzt wird, um herauszufinden, wo wir ansetzen können, um diese Bedrohungen zu stören.“ Aus diesem Grund bündeln die Behörden ihre Kräfte innerhalb der Regierung und zunehmend auch mit ausländischen Partnern.

    Inglis betonte außerdem die Notwendigkeit der Zusammenarbeit zwischen den Behörden und erklärte, dass Bedrohungsakteure „uns alle schlagen müssen, um einen von uns zu schlagen.“

    Die Diskussionsteilnehmer erörterten anschließend, wie diese Zusammenarbeit zwischen der Bundesregierung und dem privaten Sektor ausgeweitet werden könnte. Easterly von CISA hob die Arbeit des Gemeinsamen Cyber-Planungsbüros hervor, das die relevanten Bundesbehörden mit dem Privatsektor zusammenbringt, „um gemeinsam zu planen und zu operieren, wenn es um Cyber-Verteidigungsoperationen geht.“ Dieses Büro nahm seine Arbeit Ende letzten Jahres auf, wobei der erste Testfall der Log4j-Vorfall war. Sie betonte, dass es wichtig sei, dass die Bundesregierung den privaten Sektor anzapfe, der oft „mehr Einblick hat als wir“. Diese Initiative wurde seit dem Beginn des Krieges in der Ukraine ausgeweitet.

    Im Cyberspace hat es zu lange eine „Arbeitsteilung“ gegeben, sagte Inglis. „Jeder verteidigt seinen Bereich“, obwohl „niemand von ihnen oder von uns sich gegen alle Gefahren verteidigen kann“. Er beschrieb, wie die US-Regierung am Vorabend der russischen Invasion in der Ukraine Verbündeten und Partnern aus dem Privatsektor, die wahrscheinlich an der Cyber-Front stehen würden, umfangreiche, verwertbare Informationen zur Verfügung stellte. „Es gibt einige Dinge, die wir nur gemeinsam entdecken können und die keiner von uns allein entdecken kann“, fügte Inglis hinzu.

    Joyce stimmte zu, dass der private Sektor äußerst wertvolle Informationen über Bedrohungen liefern kann, betonte jedoch, dass Vertrauen zwischen allen Parteien geschaffen werden muss. Um dies zu erreichen, „muss es einige Formate und Plattformen geben, um die Beteiligten zusammenzubringen, manchmal im Rahmen eines Rathauses und manchmal in einem sehr kleinen Austausch“.

    Aufbauend auf diesem Thema verdienen kritische Branchen wie die Finanz- und Energiewirtschaft eine Schnittstelle zur Regierung, die ihre Sprache spricht“, so Inglis.

    Easterley erläuterte, dass die CISA daran gearbeitet hat, spezifische Kommunikations- und Informationsaustauschkanäle mit verschiedenen Sektoren aufzubauen, wobei er feststellte, dass „Vertrauen aufzubauen schwer ist, Vertrauen zu brechen leicht ist“.

    Inglis betonte, dass nur eine kollektive Anstrengung gegen immer raffiniertere Angreifer helfen kann. Er merkte an, dass Ransomware „ein Syndikat ist, das gegen uns operiert, wie können wir mit etwas anderem reagieren?“

    Stempfley von Dell Technologies befragte das Gremium anschließend zu den Rollen der einzelnen Unternehmen in der kollaborativen Landschaft. Joyce sagte, dass alle Organisationen die Pflicht haben, ausnutzbare Schwachstellen zu erkennen und zu flicken. „Das muss die Grundlage sein – jeder muss diese Basis erreichen und sich um die unverschlossenen Türen kümmern“.

    Laut Joyce müssen wir uns auch darauf konzentrieren, die Rollen und Verantwortlichkeiten der verschiedenen Organisationen bei den gemeinsamen Bemühungen zu definieren. Dazu gehört auch der Schutz kleinerer Organisationen, die nicht über die nötigen Fähigkeiten verfügen, sich selbst zu verteidigen. „Was ist die Verantwortung der Regierung und des privaten Sektors, damit diese Person nicht allein in einem Scharmützel mit den Cyberangreifern steht?“

    Easterley fügte hinzu, dass „es einige nicht sehr komplizierte Dinge gibt, die wir tun können, um uns auf individueller Ebene zu schützen.“ Dazu gehören die Passworthygiene, die Implementierung einer Multi-Faktor-Authentifizierung und die Aktualisierung von Software.

    Einige Teile dieses Artikels stammen aus:
    www.infosecurity-magazine.com