Was die Cybersicherheitsverordnung von Präsident Biden für Bundesbehörden bedeutet

Die Biden-Regierung wurde zu einem stärkeren Verfechter der Cybersicherheit unseres Landes in einer Exekutivverordnung vom Mai (EO), das darauf abzielt, die Widerstandsfähigkeit zu erhöhen und das Risiko für Regierungsbehörden zu verringern. Diese Pläne sind für das Wohlergehen unserer Regierung von entscheidender Bedeutung. Die Executive Order ist zwar ehrgeizig, sieht jedoch kurze Zeitpläne für bedeutende Technologieprojekte vor — wie beispielsweise die Entwicklung eines Plans zur Implementierung einer Zero-Trust-Architektur in nur sechzig Tagen.

Eine Zero-Trust-Architektur beseitigt übermäßiges Vertrauen zwischen Netzwerken, Geräten, Benutzern und Workloads und verhindert den automatischen Zugriff für jede Quelle. Dieses Organisationsprinzip erfordert eine konsistente Autorisierung in Echtzeit und verringert die Angriffsfläche für Gegner, die Zugriff über das Netzwerk wünschen.

Es ist wichtig zu beachten, dass Zero Trust eine Philosophie, Strategie und Architektur ist. Es gibt keine Technologie, die Agenturen implementieren können, um Zero Trust zu „erreichen“. Die Behörden müssen zusammenarbeiten und einen umfassenden Ansatz für diese Architektur verfolgen, um sicherzustellen, dass sie wirksam ist.

Während sich das EO der Biden-Administration auf die entscheidende Modernisierung der Sicherheit und die wichtige Rolle einer Zero-Trust-Architektur konzentriert, benötigen die Behörden einen operativen Fahrplan, um die Architektur aufzubauen und in bestehende föderale Systeme zu implementieren.

Ein guter Ausgangspunkt für die Zero-Trust-Strategie Ihrer Agentur ist die Identifizierung Ihrer wichtigsten Ressourcen. Beginnen Sie dann mit einem Pilotprojekt mit den entsprechenden Zero-Trust-Technologien rund um einige dieser kritischen Anwendungen und später mit einer umfassenderen Erweiterung Ihres Aufgabenbereichs.

Da sich viele hochwertige Vermögenswerte im Rechenzentrum oder in der Cloud befinden, wird die Zero-Trust-Segmentierung (auch als Mikrosegmentierung bekannt) ein grundlegendes Element der Zero-Trust-Architekturen von Agenturen sein. Die Zero-Trust-Segmentierung unterstützt insbesondere eine Reihe wichtiger Anforderungen der EO, darunter:

1. „Die Bundesregierung muss ihre Anstrengungen zur Identifizierung, Abschreckung, zum Schutz vor ihnen, zur Aufdeckung und zur Reaktion auf diese Maßnahmen und Akteure verstärken.“

Die Bundesregierung hat derzeit keinen Überblick über Anwendungen und Workloads, was es schwierig macht, diesen Punkt zu erreichen. Der erste Schritt besteht darin, dass die Behörden hochwertige Ressourcen und kritische Infrastrukturen identifizieren und dann abbilden, wie diese Workloads und Anwendungen miteinander verknüpft sind. Von Illumio Core Beleuchtung ist eine Karte der Anwendungsabhängigkeit in Echtzeit, die die Kommunikation zwischen Workloads und Anwendungen visualisiert und Einblicke in die Konnektivität innerhalb von Rechenzentren und Cloud-Umgebungen liefert. Diese Transparenz ebnet den Weg für eine getestete Zero-Trust-Segmentierungsrichtlinie, um Angreifer abzuschrecken und zu verhindern, dass sich Angriffe im gesamten Netzwerk ausbreiten.

2. „Die Bundesregierung muss sorgfältig prüfen, was bei einem größeren Cybervorfall passiert ist, und die daraus gewonnenen Erkenntnisse anwenden.“

Jeder Verstoß ist eine Gelegenheit, zu lernen. Wenn jemand in der Bundesregierung den Nachweis benötigte, dass der Schutz des Netzwerkperimeters allein unzureichend ist, ist der SolarWinds-Angriff der laute und deutliche Weckruf. Der SolarWinds Die Sicherheitsverletzung hat gezeigt, dass die Kommunikation von Workload zu Workload durch granulare Segmentierung begrenzt werden muss. Sobald sich ein Angreifer in einem Netzwerk befindet, müssen Kontrollen vorhanden sein, um eine seitliche Bewegung zu verhindern. Zero-Trust-Segmentierung Zulassungsliste Das Modell beschränkt die Verbindungen auf den legitimen Verkehr, was ein Muss ist, um zu verhindern, dass es zum nächsten Vorfall wird, der Schlagzeilen macht.

3. Modernisierung der Cybersicherheit der Bundesregierung „... indem die Bundesregierung mehr Einblick in Bedrohungen... (und) Cybersicherheitsdaten erhält, um Analysen zur Identifizierung und Bewältigung von Cybersicherheitsrisiken voranzutreiben.“

Wir wissen, dass Behörden Transparenz benötigen, bevor sie ihre Zero-Trust-Sicherheitspläne durchsetzen. Derzeit erhalten SIEM-Anbieter (Security Information and Event Management) nur Informationen zur Netzwerksicherheit. Illumio arbeitet mit SIEM-Anbietern wie Splunk und IBM QRadar, um ein viel vollständigeres Cyber-Dashboard bereitzustellen, einschließlich Informationen zur Anwendungssicherheit. Es ist wichtig, sowohl das Netzwerk als auch die Anwendungen transparent zu haben, um die Bedrohungsflächen zu minimieren und die Ausbreitung von Angriffen zu verhindern, sobald sie sich im Netzwerk befinden.

4. „Entwickeln Sie einen Plan zur Implementierung der Zero-Trust-Architektur, der gegebenenfalls die von NIST in Standards und Leitlinien dargelegten Migrationsschritte umfasst, alle bereits abgeschlossenen Schritte beschreibt, Aktivitäten identifiziert, die die unmittelbarsten Auswirkungen auf die Sicherheit haben werden, und einen Zeitplan für deren Umsetzung enthält.“

NIST 800-207Die Leitlinien für eine Zero-Trust-Architektur heben die Mikrosegmentierung in Abschnitt 3.1.2 als einen von drei Ansätzen für eine Zero-Trust-Strategie hervor. Illumio kann Behörden dabei helfen, die Zero-Trust-Segmentierung schnell durchzusetzen, um zu verhindern, dass Bedrohungen innerhalb des Netzwerks kritische Ressourcen erreichen. Dieser Ansatz bringt den Behörden die unmittelbarsten Auswirkungen auf die Sicherheit.

Die Implementierung einer Zero-Trust-Architektur ist eine wichtige Strategie, um sicherzustellen, dass Behörden Risiken reduzieren, Kosten senken und Zeit sparen können, um ihre Aufgaben zu erfüllen. Die Zero-Trust-Segmentierung ist ein wichtiger Bestandteil jedes Zero-Trust-Plans — sie macht Agenturen widerstandsfähiger und sicherer.

Die Biden-Administration hat den Entwurf mit ihrem jüngsten CEO vorgelegt, aber jetzt liegt es an den Behörden, eine stabile Grundlage für Cybersicherheit aufzubauen.

Für weitere Informationen:

• Überholspur Die Zero-Trust-Mission Ihrer Agentur heute
• Treten Sie unserem bei Workshop-Reihe zum Entwurf einer Zero-Trust-Architektur für Ihre Bundesbehörde.
• Erfahre mehr über Illumio Core für Federal