Ist Ihr Sicherheitsprogramm bereit für den Cybersecurity Strategic Plan der CISA?

Eine Version dieses Artikels erschien in Forbes. Er wurde hier aktualisiert und syndiziert.


‍Der strategische Cybersicherheitsplan treibt grundlegende Veränderungen in der Art und Weise voran, wie die meisten Unternehmen an Cybersicherheit herangehen. Entwickler sind in einer einzigartigen Position, um bei der Erreichung dieser neuen Ziele zu helfen.

‍

Die Cybersecurity and Infrastructure Security Agency (CISA) ist seit ihrer Gründung im Jahr 2018 nicht nur maßgeblich am Schutz der kritischen Infrastruktur und der Computernetzwerke der Vereinigten Staaten beteiligt, sondern ihr Einfluss und ihre Expertise strahlen auch weltweit aus. Die umfassenden Ratschläge, Sicherheitshinweise, Schwachstellenberichte und Cybersicherheitsprogramme der Behörde haben einen globalen Maßstab für bewährte Verfahren gesetzt und unterstreichen die Bedeutung des neu veröffentlichten CISA-Strategieplans 2023-2025 für die globale Cybersicherheit.

Der Einfluss und die Erfolge der CISA gehen weit über das hinaus, was die meisten Regierungsbehörden erreichen konnten, insbesondere wenn man bedenkt, dass sie erst seit wenigen Jahren existiert. Dies ist nicht zuletzt auf das exponentielle Wachstum der Bedrohungslandschaft zurückzuführen sowie auf die Tatsache, dass Angreifer bei ihren Einbruchs- und Ausnutzungsversuchen immer geschickter werden. Die CISA hat eine Führungsrolle im Kampf gegen Cyberkriminelle und andere sogenannte Bedrohungsakteure übernommen, indem sie Trends methodisch verfolgt und zu bewährten Verfahren in der Cybersicherheit berät.

Trotz all der hilfreichen Ratschläge und Anleitungen der Behörde hat sie jedoch noch nie zuvor einen umfassenden Strategieplan veröffentlicht, der die allgemeine Richtung für Cybersicherheitsbemühungen für die nächsten Jahre vorgibt. Dies ist nicht nur ein weiterer Plan, sondern ein Meilenstein, den viele Unternehmen studieren und letztlich umsetzen sollten. Die Tatsache, dass der Plan grundlegende Änderungen im Umgang mit Cybersicherheit fordert, könnte die Umsetzung dieser Vorgaben zwar erschweren, doch die Entwickler-Community ist in einer einzigartigen Position, um zu helfen – sofern sie die richtige Unterstützung, die passenden Tools und Weiterbildungsmöglichkeiten erhält.

Ein Wandel liegt in der Luft für globale Best Practices in der Cybersicherheit

Auf den ersten Blick könnte man im CISA-Strategieplan ein gewisses Maß an Frustration vermuten, doch die CISA erkennt lediglich die Tatsache an, dass wir bei gleichbleibender Vorgehensweise auch weiterhin dieselben Ergebnisse erzielen werden. Damit sich die Cybersicherheit verbessert, sind grundlegende Änderungen auf breiter Front erforderlich – auch von den Unternehmen, die die heute genutzte Software und Anwendungen entwickeln.

Die Software – zumindest teilweise – in die Verantwortung zu nehmen, ist ein Konzept, das bereits zuvor eingeführt wurde. Tatsächlich besagt die Nationale Sicherheitsstrategie der Vereinigten Staaten ausdrücklich, dass „mangelhafte Softwaresicherheit das systemische Risiko im gesamten digitalen Ökosystem erheblich erhöht.“ Der CISA-Strategieplan legt eine neue Strategie dar, um dieses Problem anzugehen und zu lösen.

Die größte von der CISA geforderte Veränderung in der Cybersicherheit besteht darin, die Softwarehersteller dazu aufzufordern, sichere Produkte auszuliefern. Wenn bewährte Verfahren für sichere Programmierung etabliert und umgesetzt werden, wird es in der Software weitaus weniger Schwachstellen geben, insbesondere kritische, die von Angreifern ausgenutzt werden könnten. Sicher, das eine oder andere könnte immer noch übersehen werden und erfordert Sorgfalt bei der Identifizierung und Behebung, aber das ist ein überschaubares Unterfangen im Vergleich zum aktuellen Status quo: Hunderte von Schwachstellen, die täglich entdeckt werden und die Verteidiger überlasten. Die CISA stellt in ihrem Plan sehr klar fest, dass diejenigen, die Software und andere Technologien herstellen, für die Sicherheit ihrer eigenen Produkte verantwortlich sein müssen.

„Als Gesellschaft können wir kein Modell mehr akzeptieren, bei dem jedes Technologieprodukt im Moment seiner Veröffentlichung verwundbar ist und bei dem die überwältigende Last der Sicherheit bei einzelnen Organisationen und Nutzern liegt“, heißt es im CISA-Strategieplan. „Technologie sollte so konzipiert, entwickelt und getestet werden, dass die Anzahl ausnutzbarer Fehler minimiert wird, bevor sie auf den Markt kommen.“

Der Plan deutet zudem an, dass dieser neue Ansatz langfristig über bloße Empfehlungen hinausgehen könnte, indem er besagt, dass die CISA „alle verfügbaren Hebel nutzen wird, um die Risikoentscheidungen von Führungskräften zu beeinflussen“. Er deutet auch an, dass Gesetze wie der Cyber Incident Reporting for Critical Infrastructure Act von 2022 (CIRCIA), der derzeit die Meldung von Cybervorfällen regelt, als Modell dienen könnten, um die freiwillige Einhaltung dieser neuen Vorschriften letztlich in eine verpflichtende zu überführen. In jedem Fall wäre es für die meisten Unternehmen, die heute Software und andere Technologien herstellen, von Vorteil, sich hinter diese neuen Leitlinien zu stellen.

Die CISA-Leitlinien bieten eine wichtige Chance

Anstatt bei der Aussicht auf mögliche weitere Regulierungen besorgt zu sein, sollten Unternehmen die Chance ergreifen, den CISA-Strategieplan als Ansporn für bessere, qualitativ hochwertigere Software zu nutzen. Dies ist nicht nur ein Aufruf zur Compliance, sondern eine Gelegenheit für Entwickler, ihre Fähigkeiten zu schärfen und zu einer sichereren digitalen Landschaft beizutragen. Letztendlich hilft die Erstellung sicherer Software jedem: dem Unternehmen, das sie herstellt, den Nutzern, die von ihr abhängig sind, und den Menschen, deren Daten von dieser Software oder Anwendung verarbeitet oder gespeichert werden. Nur die Angreifer gehen leer aus, wenn der Code, aus dem der Großteil der Software und Anwendungen besteht, so sicher wie möglich gemacht wird, bevor er in eine Produktionsumgebung gelangt.

Angesichts dieser neuen Ausrichtung ist es nur logisch, dass die Entwickler eines Unternehmens, die den gesamten Code schreiben oder beschaffen, der ideale Ausgangspunkt für die Implementierung sichererer Programmierpraktiken und die Einhaltung des CISA-Plans sind. Doch Entwickler können dies nicht allein ohne die Unterstützung des restlichen Unternehmens, insbesondere des oberen Managements, bewältigen. Entwickler, die Schwachstellen verstehen, sicheren Code schreiben und Probleme lange vor der Produktionsumgebung erkennen können, sind der Schlüssel dazu, dass Unternehmen letztlich die Verantwortung für die Auslieferung von Code übernehmen und, wie die CISA es ausdrückt, „sicherstellen, dass Schwachstellen entdeckt und behoben werden, bevor Gegner sie nutzen können, um Schaden anzurichten.“

Ein wichtiger Punkt ist, dass die benötigte Schulung für Entwickler recht anspruchsvoll ist. Es ist ein schwieriges Unterfangen, beständig sicheren Code zu schreiben, und reine Checklisten-Compliance-Maßnahmen reichen dafür schlichtweg nicht aus. Entwickler benötigen hochwertige, agile Lernmethoden, die praxisnahe, leicht verdauliche und kontinuierliche Lernergebnisse als Teil eines umfassenden Sicherheitsbewusstseinsprogramms bieten, um sicherzustellen, dass sie über die Fähigkeiten verfügen, die für das vom neuen CISA-Plan geforderte Sicherheitsniveau erforderlich sind.

Idealerweise sollte die Weiterbildung zur Vorbereitung auf den CISA-Plan auch viele der fortschrittlichen Methoden und Programme integrieren, die Entwickler täglich nutzen, wie etwa die Prinzipien der agilen Entwicklung. In der agilen Entwicklung wird die Arbeit beispielsweise in überschaubare Einheiten unterteilt, wobei Sprints in einem kontinuierlichen Zyklus aufeinander aufbauen. Ein gutes Bildungsprogramm, das agile Praktiken einbindet, kann Entwicklern helfen, sich schnell die notwendigen Fähigkeiten anzueignen, um den CISA-Plan zu unterstützen, sodass sie fast sofort Vorteile sehen und sicherer programmieren können.

Die gute Nachricht ist, dass die meisten Entwickler sichere Programmierpraktiken unterstützen und bestrebt sind, ihren Unternehmen bei der Einhaltung der neuen CISA-Richtlinie zu helfen. In einer Umfrage unter über 1.200 professionellen Entwicklern weltweit gab die überwältigende Mehrheit an, dass sie das Konzept der Erstellung sicheren Codes und die Etablierung einer besseren Sicherheitskultur in ihren Unternehmen befürworten.

Entwickler benötigen präzise Weiterbildungsmöglichkeiten und eine angemessene Unterstützung. Wenn Unternehmen dies gewährleisten, wird ihr Code nicht nur sicherer, sondern sie sind auch bestens aufgestellt, um die Vorgaben des neuen Cybersecurity Strategic Plan der CISA zu erfüllen oder sogar zu übertreffen.

Dieser angestrebte Wandel der Sicherheitskultur ist eine Herausforderung, bietet aber auch die großartige Chance, die Cybersicherheit grundlegend zu verändern. Wir können eine Welt schaffen, in der Technologien, die unser Leben bereichern, nicht ständig von Angreifern bedroht werden, die sie für ihre Zwecke missbrauchen. Wir haben es in der Hand, sie zu stoppen, und der CISA-Plan weist einen vielversprechenden Weg zu diesem ambitionierten, aber erreichbaren Ziel.