Für Best Practices in der Cybersicherheit: Ein Blick auf die Finanzbranche

Ursprünglich veröffentlicht in Regulation Asia.

Angesichts der Zunahme von Cyberangriffen – die jede Art von Organisation in jeder Branche betreffen – ist die Gefahr kostspieliger, peinlicher und existenzbedrohender Datenpannen sehr real. Das Problem wird nicht kleiner, es wuchert wie ein Tumor.

Ich werde oft gebeten, Beispiele für Organisationen zu nennen, die dieses Problem bekämpfen und sich mit besonderer Finesse und Meisterschaft im „Wilden Westen“ der Cybersicherheit und der AppSec-Best-Practices bewegen. Ich ertappe mich dabei, dass ich immer wieder auf eine Antwort zurückkomme: Die Finanzbranche macht es besser als die meisten anderen.

Regulierung: Ein treibender Faktor für die Vorreiterrolle der Finanzbranche bei der Cybersicherheit

Einer der Gründe, warum der Finanzsektor im Bereich AppSec so gut aufgestellt ist, liegt darin, dass er (zumindest teilweise) von den Sorgen globaler, regionaler und nationaler Regulierungsbehörden hinsichtlich der universellen – und nicht zuletzt katastrophalen – Auswirkungen angetrieben wird, die ein erfolgreicher Cyberangriff oder Datendiebstahl haben könnte.

Der Basler Ausschuss für Bankenaufsicht (BCBS) hat im Dezember einen Bericht veröffentlicht, der die Bandbreite der beobachteten Cyber-Resilienz-Praktiken von Banken sowie Regulierungs- und Aufsichtsbehörden in verschiedenen Rechtsordnungen detailliert beschreibt. Zu den wichtigsten Erkenntnissen gehörte die Herausforderung eines Fachkräftemangels im Bereich Cybersicherheit – ein Faktor, dem nur sehr wenige Rechtsordnungen durch die Einführung spezifischer Cyber-Zertifizierungen entgegenwirken.

„Einige Rechtsordnungen verfügen über IT-spezifische Standards, die die Verantwortlichkeiten der IT-Belegschaft und der Informationssicherheitsfunktionen regeln, wobei besonderes Augenmerk auf die Schulung und Kompetenzen der Cybersicherheits-Belegschaft gelegt wird“, so der Bericht. Die meisten Rechtsordnungen befinden sich jedoch noch in einem „frühen Stadium“ der Implementierung von Aufsichtspraktiken zur Überwachung der Fähigkeiten und Ressourcen der Cyber-Belegschaft einer Bank.

Regulatorische Systeme verlangen von den regulierten Unternehmen größtenteils das Risikomanagement, doch gibt es selten einen klaren Weg zur erfolgreichen Risikominderung. Sie legen keine spezifischen Anforderungen (oder gar Benchmarks) für die Fähigkeiten und Ressourcen der Cybersicherheits-Belegschaft fest. Die meisten Regulierungsbehörden bewerten die Cybersicherheits-Belegschaft von Institutionen durch Vor-Ort-Prüfungen, bei denen Selbstbewertungsfragebögen gängige Praxis sind und Schulungsprozesse besonders genau unter die Lupe genommen werden. Nur in wenigen Rechtsordnungen befassen sich Vorschriften jedoch spezifisch mit den Rollen und Verantwortlichkeiten des IT-Personals. Einfach ausgedrückt: Der Spielraum für Fehler ist groß, und der Schwerpunkt auf der richtigen Schulung und der anschließenden Bewertung der Fähigkeiten ist eher gering.

In Japan und Südkorea haben die Behörden Richtlinien für ein angemessenes Management der Cybersicherheits-Belegschaft festgelegt. In den meisten anderen Rechtsordnungen beschränken sich die regulatorischen Anforderungen an das Management der Cyber-Belegschaft jedoch auf aufsichtsrechtliche Erwartungen, wobei es oft keine Überprüfung der Cybersicherheitskenntnisse und Personalschulungen in den regulierten Organisationen durch die Aufsichtsbehörden gibt.

Nur Hongkong, Singapur und Großbritannien haben spezielle Rahmenwerke zur Zertifizierung von Fähigkeiten und Kompetenzen im Bereich Cybersicherheit herausgegeben. Während Begriffe wie „Compliance“ und „Zertifizierung“ bei einem durchschnittlichen kreativen, problemlösenden Entwickler, der mit der Erstellung großartiger Softwarefunktionen betraut ist, oft für Gänsehaut sorgen (für sie ist Sicherheit oft das Problem eines anderen, nämlich des Sicherheitsteams), sind die riesigen Mengen an sensiblen Daten, die viele regulierte Unternehmen speichern, einfach zu wertvoll, um sie in die Hände derjenigen zu legen, deren Fähigkeiten eher „angenommen“ als ordnungsgemäß überprüft werden.

Glücklicherweise erkennen viele Banken und Finanzinstitute dies, ohne sich zwangsläufig auf einen offensichtlichen regulatorischen Weg zu verlassen. Die Vorschriften bieten sicherlich einen Überblick über die erwarteten Endergebnisse (d. h. sichere Software), aber sie haben erkannt, dass dies den Ausgleich des Fachkräftemangels im Bereich Cybersicherheit erfordert, indem Entwickler geschult, ihre Beziehung zu bestehenden AppSec-Profis gefördert und eine positive Sicherheitskultur aufgebaut wird, die Verantwortung und Eigenverantwortung schafft.

Warum hat die Finanzbranche den „X-Faktor“ bei der Cybersicherheit?

Es gibt einige Elemente, die für Unternehmen im Banken-, Finanzdienstleistungs- und Versicherungssektor eine Rolle spielen und als Stärkepfeiler fungieren, auf denen ihre Führungsposition in der Cybersicherheitslandschaft basiert.

Da sie naturgemäß die Hüter der weltweiten Finanzen (ganz zu schweigen von Millionen hochsensibler Datensätze) sind, handelt es sich in der Regel um sehr compliance-orientierte und regulierte Organisationen – aktualisierte Richtlinien, Vorschriften und Anforderungen werden erwartet und sinnvoll eingeplant. Infolgedessen haben sie sich schnell an die sich entwickelnden Anforderungen zur Minderung von Cyberrisiken angepasst und verfügen über einige der strengsten Best-Practice-Richtlinien für Cybersicherheit sowie über End-to-End-Prozesse zur Verringerung ihrer Anfälligkeit für potenzielle Angriffe.

Was machen Finanzinstitute also anders als andere? Meiner Erfahrung nach haben sie den Grundstein dafür gelegt, sicherheitsbewusster zu sein als andere, indem sie den Bedarf an ganzheitlichen Schulungsprogrammen erkannt und Ressourcen dafür bereitgestellt haben – nicht nur für AppSec-Profis und Penetrationstester, sondern auch für ihre (in der Regel sehr großen und weltweit verstreuten) Entwicklungsteams.

Da Cybersicherheit in den meisten Organisationen noch relativ neu ist, ist es erfrischend, dass Finanzinstitute bei ihrem Bestreben, sichere Software bereitzustellen, wirklich aufgeschlossen und innovativ sind. Viele haben den Nutzen erkannt, die Entwickler-Kohorte mit ansprechenden Schulungen weiterzubilden, die sie aus dem Klassenzimmer herausholen und in eine praxisnahe, relevante Lernerfahrung führen, die ihnen hilft, nicht nur Probleme zu beheben, sondern die Bedeutung von sicherem Programmieren im Allgemeinen zu verstehen.

Schließlich ist sicheres Programmieren eine Schlüsselkomponente für den Aufbau einer robusten, funktionalen Beziehung zwischen Entwicklern und dem AppSec-Team sowie für die Aufrechterhaltung einer soliden Sicherheitskultur im Unternehmen. Ein weiterer Schlüsselfaktor für ein erfolgreiches Sicherheitsprogramm ist es, sicherzustellen, dass die wichtigsten Stakeholder an Bord sind und den Nutzen erkennen, auch wenn sie selbst keine Sicherheitsexperten sind.

Finanzinstitute kommunizieren in der Regel gut mit ihrer Führungsebene und stellen sicher, dass Entscheidungsträger verstehen, dass Sicherheitsprozesse keine „Einmal-Maßnahmen“ sind; sie müssen sich so schnell wie die verwendete Technologie weiterentwickeln und an veränderliche Risiken anpassen.

Das mag zwar Zeit und Geld kosten, aber da die Behebung von Schwachstellen im fertigen Code dreißigmal teurer ist, spart ein umfassendes Sicherheitsprogramm – das Schulungen von Grund auf beinhaltet – langfristig Kosten: Es ist weitaus günstiger, Sicherheitsprobleme direkt während der Programmierung durch sicherheitsbewusste Entwickler zu beheben.

Sicherheitsstandards beginnen, mit dem wachsenden Risiko Schritt zu halten

Ein wesentlicher Treiber für die Cyber-Compliance in der Finanzbranche ist der PCI Security Standards Council, der sich weiterhin dafür einsetzt, Finanzorganisationen bei der Umsetzung tragfähiger Sicherheitsrichtlinien und der Einhaltung von Vorgaben in allen Bereichen zu unterstützen. Er hat maßgeblich dazu beigetragen, dass diese Branche heute zu den höchsten Sicherheitsstandards bei Zahlungssoftware gehört.

Man muss jedoch sagen, dass viele unserer Kunden aus der Finanzbranche die aktuellen Richtlinien des PCI Security Standards Council sogar übertroffen haben. Obwohl diese Richtlinien Schulungen für Entwickler empfehlen (wie bereits bei anderen regulatorischen Beispielen erwähnt), legen sie keine spezifische Art oder einen bestimmten Maßstab fest, um die Wirksamkeit der Schulung zu belegen.

Da viele Schwachstellen wie SQL-Injection und Cross-Site Scripting (XSS) bereits seit über zwanzig Jahren existieren (und auch 2019 noch Probleme verursachen), ist klar, dass nicht jede Schulung gleich oder effektiv ist. Durch den Einsatz praxisorientierter, spielerischer Sicherheitsschulungen erzielen Banken und andere Finanzdienstleister deutlich bessere Ergebnisse und reduzieren spürbar die Schwachstellen, die bei einer Ausnutzung verheerende Folgen haben können.

Ein hervorragendes Beispiel ist die US-Bank Capital One, die spielerische Schulungsmethoden als Teil ihres innovativen Tech College und Zertifizierungssystems einsetzt. Laut Russell Wolfe, ihrem Director of Cybersecurity & Cloud Computing Education, in einem aktuellen Webinar, gewannen die freiwilligen Schulungsprogramme und Programmierwettbewerbe sehr schnell an Bedeutung, mit einer beispiellosen Nachfrage und einer organischen Motivation unter den Kollegen, sich zertifizieren zu lassen und andere bei der Weiterbildung zu unterstützen.

Was können Regulierungsbehörden tun, um sicherzustellen, dass Cybersicherheitsteams angemessen geschult sind?

Regulierungsbehörden weltweit können ihre bestehenden Cyber-Richtlinien und Leitlinien deutlich verbessern, indem sie einfach akzeptierte Schulungsmethoden und Standards definieren, die von den für den Datenschutz Verantwortlichen erfüllt werden müssen. Derzeit gibt es in den meisten regulatorischen Richtlinien zwar einen allgemeinen Verweis auf eine Schulungspflicht, aber es fehlt an einer Überprüfung, ob die Teilnehmer die vermittelten Inhalte und Techniken tatsächlich verinnerlichen, um den Kampf gegen Cyber-Bedrohungen wirksam zu unterstützen.

Der jüngste Schritt der MAS (Monetary Authority of Singapore), die Einführung von Sicherheitsschulungen und Best Practices für sichere Softwareentwicklung in die neueste Version ihrer Technology Risk Guidelines aufzunehmen, ist jedoch ermutigend. Sobald diese Richtlinien in Kraft treten, müssen Finanzinstitute sicherstellen, dass ihre Softwareentwickler in der Anwendung von Secure Coding, Quellcode-Reviews und AppSec-Teststandards geschult sind, was maßgeblich dazu beitragen dürfte, Fehler und Schwachstellen zu minimieren.

Für mich ist die Schulung der Entwickler mit praxisnahen, realen Techniken bei weitem am effektivsten und relevantesten für ihre Arbeit. Gleichzeitig legt sie den Grundstein für die robuste Sicherheitskultur, die jedes Unternehmen schaffen muss, bevor es zu spät ist.