Resiliente kritische Infrastrukturen beginnen mit Zero Trust

Dieser Artikel wurde ursprünglich veröffentlicht am Meri Talk am 30. Juni 2022.

Aus dem Bruch in der Colonial Pipeline zum JBS-Ransomware-Angriff, das vergangene Jahr hat uns gezeigt, dass Cyberangriffe auf kritische Infrastrukturen der USA unerbittlicher, ausgeklügelter und wirkungsvoller sind als je zuvor — und allzu oft die wirtschaftliche Stabilität und das Wohlergehen der US-Bürger bedrohen.

Aus diesem Grund bleibt der Schutz kritischer Infrastrukturen ein Hauptaugenmerk der Bundesregierung. Das Jahr 2021 der Biden-Administration Exekutivverordnung zur Verbesserung der nationalen Cybersicherheit (EO) legte spezifische Sicherheitsmandate und -anforderungen fest, die die Behörden vor dem Geschäftsjahr 2024 erfüllen müssen, um die Widerstandsfähigkeit der Organisation und der Lieferkette zu stärken. Eine wichtige Komponente, die das EO ausdrücklich formulierte, ist die Weiterentwicklung hin zu einer Zero-Trust-Architektur — einer Cybersicherheit Methodik wurde erstmals vor fast einem Jahrzehnt eingeführt und beruhte auf den Prinzipien „geringste Privilegien“ und „Gehe von einem Verstoß aus“.

Im März 2022 bekräftigte Präsident Biden die EO 2021 mit seinem „Erklärung... zur Cybersicherheit unserer Nation“und weist erneut auf Zero Trust als bewährte Cybersicherheitsmethode hin, da die USA versuchen, die nationale Cybersicherheit zu verbessern und die nationale Widerstandsfähigkeit im Zuge eines sich abzeichnenden globalen Konflikts zu stärken. Des Weiteren Gesetz zur Meldung von Cybervorfällen für kritische Infrastrukturen von 2022 Das im März 2022 unterzeichnete Gesetz verpflichtet private Infrastrukturbetreiber dazu, Cybervorfälle und Ransomware-Zahlungen an die Regierung zu melden, was den Fokus der USA auf den Schutz kritischer Infrastrukturen verstärkt.

„Gehen Sie von einem Verstoß aus“

Um die laufenden Bemühungen zur Widerstandsfähigkeit zu stärken, müssen Organisationen der Bundesregierung und der Privatwirtschaft gleichermaßen damit beginnen, einen proaktiven Ansatz zur Cybersicherheit zu verfolgen. Dies beginnt damit, dass wir die Art und Weise, wie wir uns der Sicherheit grundsätzlich nähern, überdenken.

Die digitale Transformation hat die Angriffsfläche dramatisch erweitert. Heute besteht die moderne IT-Architektur zunehmend aus einer hybriden Mischung aus lokalen, öffentlichen Clouds und Multi-Clouds. Dies eröffnet Angreifern neue Türen, um sich nicht nur Zugriff zu verschaffen, sondern sich auch mühelos zwischen Umgebungen zu bewegen. Da Häufigkeit und Schwere von Sicherheitsverstößen weiter zunehmen, setzt unsere Branche schnell auf ein“von einem Verstoß ausgehen“ Denkweise — ein Verständnis, dass selbst mit den besten präventiven und schnellen Erkennungstechnologien Sicherheitslücken gehen passieren.

Stellen Sie sich die jüngsten Veränderungen in der Cybersicherheitsbranche so vor: Die erste Sicherheitsära konzentrierte sich ausschließlich auf den Schutz. In einem ummauerten, lokalen Rechenzentrum lag der Schwerpunkt auf der Perimetersicherheit — bauen Sie eine digitale Mauer und halten Sie die Bösewichte fern. Vor etwa einem Jahrzehnt wurde uns durch eine Welle aufsehenerregender Sicherheitslücken bewusst, dass eine Mauer die Bösewichte nicht vollständig fernhalten kann. Von da an verlagerte sich der Fokus von der reinen Perimeter-Sicherheit auf die zweite Sicherheitsära der schnellen Erkennung und Reaktion — finden Sie die Bösewichte schnell, nachdem sie die Mauer erklimmt haben.

Jetzt befinden wir uns in der dritten Sicherheitswelle: Konzentrieren Sie sich auf Eindämmung und Schadensbegrenzung. Hier kommen Zero-Trust-Funktionen wie Zero-Trust-Segmentierung (d. h. Mikrosegmentierung) kann helfen. Falls sich böswillige Akteure beispielsweise Zugang zu einer Bundesbehörde verschaffen, kann die Zero-Trust-Segmentierung dazu beitragen, deren Auswirkungen zu begrenzen, indem das Eindringen in ein einziges kompromittiertes System eingedämmt wird — was den Zugriff auf sensible Daten erheblich einschränkt.

In der Tat, laut einer aktuellen Studie von ESGUnternehmen, die Zero-Trust-Segmentierung nutzen, haben in den letzten 24 Monaten eine um 2,1-mal höhere Wahrscheinlichkeit, einen kritischen Ausfall während eines Angriffs zu vermeiden, 20,1 Mio. $ an jährlichen Ausfallkosten eingespart und fünf Cyberkatastrophen pro Jahr abgewendet.

Zurück zu den Grundlagen

Da erschütternde Cyberangriffe nach wie vor die Norm sind, war es für Unternehmen mit kritischer Infrastruktur noch nie so wichtig, der Durchführung und Aufrechterhaltung ordnungsgemäßer Abläufe Priorität einzuräumen Onlinesicherheit Hygiene. Cyberhygiene ist nichts Revolutionäres — es geht darum, die Grundlagen zu übernehmen und in die Praxis umzusetzen, Tag für Tag.

Im Jahr 2021 veröffentlichte das Weiße Haus eine Memo Erläuterung der wichtigsten Best Practices für Unternehmen, die sich vor laufenden Ransomware-Angriffen schützen möchten: Stellen Sie sicher, dass Sie Ihre Daten sichern, patchen, wenn Sie zum Patchen aufgefordert werden, testen Sie Ihre Notfallpläne, überprüfen Sie die Arbeit Ihres Teams noch einmal (d. h. berücksichtigen Sie menschliches Versagen) und segmentieren Sie Ihre Netzwerke, Workloads und Anwendungen entsprechend.

Wenn die Bundesbehörden über angemessene Grundlagen der Cybersicherheit verfügen, sind sie besser in der Lage, ihre laufenden Bemühungen zur Widerstandsfähigkeit auszubauen — wie beispielsweise ihre Zero-Trust-Prozesse zu beschleunigen.

Der Aufbau von Resilienz beginnt jetzt

Letztlich wird sich die Priorisierung proaktiver, präventiver Cybersicherheitsansätze wie Zero Trust und deren Einführung auf nationaler Ebene positiv auf die Sicherheitslage und die allgemeine Widerstandsfähigkeit des Landes auswirken. Eine gute Cybersicherheitshygiene und der Aufbau einer echten Widerstandsfähigkeit sind jedoch kontinuierliche Anstrengungen. Es ist wichtig, klein anzufangen. Beginnen Sie beispielsweise damit, Ihre wichtigsten Ressourcen von Altsystemen abzugrenzen. Auf diese Weise kann sich eine Sicherheitsverletzung nicht über Ihre gesamte Hybridarchitektur ausbreiten und an unternehmenskritische Informationen gelangen. Von dort aus können Sie zu größeren, umfassenderen Resilienzprojekten übergehen.

Aber wie bei jedem Ziel ist es wichtig, „perfekt“ nicht zum Feind des Guten zu machen. Mit anderen Worten, keinen perfekten Plan zu haben, sollte kein Hindernis dafür sein, irgendwo anzufangen. Was wichtig ist, ist der Einstieg heute. Schlechte Schauspieler entwickeln sich, tauchen auf und jetzt Umbenennung — und jede Cybersicherheitspraxis (ob groß oder klein) trägt dazu bei, die Widerstandsfähigkeit der Organisation zu erhöhen. Am Ende sind wir alle nur so stark wie das schwächste Glied in unserer Lieferkette, insbesondere wenn es um Operationen im öffentlichen Sektor geht.

Denken Sie daran, „von Sicherheitslücken auszugehen“, setzen Sie die Grundlagen in die Praxis um und priorisieren Sie den Schutz Ihrer kritischsten Infrastruktur mit Zero-Trust-Sicherheitskontrollen an erster Stelle.