Proaktiver Schutz: Nutzung der nationalen Cybersicherheitsstrategie für fortschrittliche Bedrohungsprävention

Dieser Artikel erschien ursprünglich als Teil des Forbes Technology Council. Er wurde aktualisiert und hier syndiziert.

‍

Wie viele Datensätze wurden Ihrer Meinung nach im Jahr 2022 kompromittiert? Wenn Sie auf etwa eine halbe Milliarde tippen, liegen Sie richtig. Basierend auf öffentlich zugänglichen Daten zu Sicherheitsverletzungen wurden allein im letzten Jahr etwa 480.014.323 Datensätze gestohlen, wobei die Dunkelziffer vermutlich weit höher liegt. Für den Durchschnittsbürger ist das eine ernüchternde Statistik, für jeden IT-Sicherheitsverantwortlichen in Unternehmen ist sie zutiefst besorgniserregend.

Wir haben einen Punkt erreicht, an dem die meisten Menschen in der entwickelten Welt wahrscheinlich schon einmal davon betroffen waren, dass persönliche Daten durch einen Cyberangriff in kriminelle Hände geraten sind. Es ist daher nur natürlich, dass Regierungen weltweit nach Lösungen suchen, um diese störende Flut an Online-Kriminalität einzudämmen. Der jüngste Vorstoß kommt von der Biden-Administration in Form der Nationalen Cybersicherheitsstrategie, die ich mit großem Interesse verfolge. Diese Strategie enthält Richtlinien zu einem meiner derzeitigen Lieblingsthemen: die Verantwortung für Sicherheit.

Die Strategie, die nach einer wegweisenden Präsentation von Jen Easterly, der Direktorin der CISA für Cybersicherheit und Infrastruktursicherheit, veröffentlicht wurde, hat in der Sicherheits-Community verständlicherweise für geteilte Meinungen gesorgt. Ich bin jedoch überzeugt, dass sie unsere beste Chance darstellt, die Softwarestandards flächendeckend zu erhöhen und endlich eine neue Ära sicherheitsbewusster Entwickler einzuläuten.

Anbieter hätten schon immer für unsichere Software zur Rechenschaft gezogen werden müssen.

Seit Jahrzehnten ist die Verantwortung für Softwaresicherheit ein heißes Eisen, das kein Team gerne anfasst. Führungskräfte und Teams sind sich oft uneins darüber, wer letztlich für die Softwaresicherheit zuständig ist. Ein Bericht von Venafi zeigt, dass 97 % der IT-Führungskräfte zwar zustimmen, dass Software-Build-Prozesse nicht sicher genug sind, es jedoch Unklarheit darüber gibt, wer für die Umsetzung von Sicherheitsstandards verantwortlich ist. 61 % der Führungskräfte sind der Meinung, dass IT-Sicherheitsteams die Verantwortung tragen sollten, während 31 % dies als Aufgabe der Entwicklungsteams sehen. Und das ist nur ein Teil des Problems: Open-Source-Komponenten und kommerzielle Drittanbieter-Software vergrößern die Angriffsfläche ständig. Selbst zwischen AppSec- und Sicherheitsteams gibt es selten einen klaren „Eigentümer“, obwohl eine kontinuierliche Wachsamkeit bei Updates, Überwachung und Tests erforderlich ist.

Dieselbe Umfrage ergab auch, dass trotz interner Konflikte über die Haftung 94 % der Führungskräfte der Meinung sind, dass Softwareanbieter bestraft werden sollten, wenn sie ihre Build-Pipelines nicht vor Angreifern schützen und damit Kunden und Endnutzer gefährden.

Mit der kürzlichen strafrechtlichen Verfolgung des CISO von Uber im Zusammenhang mit dem Missmanagement eines verheerenden Cyberangriffs im Jahr 2016 sowie regulatorischen Initiativen wie der DSGVO sehen wir langsam, wie der Druck auf Anbieter wächst, die durch Vernachlässigung der Sicherheit mit dem Feuer spielen. Das reicht jedoch bei weitem nicht aus. Wir verlieren den Kampf gegen Cyberkriminelle, und auch wenn es schwer zu akzeptieren ist: Es sind die nachlässigen Praktiken der Softwareanbieter, die ihnen unzählige Möglichkeiten bieten.

Die Nationale Cybersicherheitsstrategie will einen Schlussstrich ziehen und das gegenseitige Schuldzuweisen beenden, indem sie die volle Haftung für unsichere Software dem Anbieter überträgt.

Schauen wir uns das an:

Strategisches Ziel 3.3 – Verlagerung der Haftung für unsichere Softwareprodukte und -dienstleistungen:

„Zu viele Anbieter ignorieren bewährte Verfahren für eine sichere Entwicklung, liefern Produkte mit unsicheren Standardkonfigurationen oder bekannten Schwachstellen aus und integrieren Software von Drittanbietern mit ungeprüfter oder unbekannter Herkunft.

Wir müssen beginnen, die Haftung auf diejenigen Einheiten zu verlagern, die es versäumen, angemessene Vorkehrungen zur Sicherung ihrer Software zu treffen, wobei wir anerkennen, dass selbst die fortschrittlichsten Sicherheitsprogramme nicht alle Schwachstellen verhindern können.“

Das hat verständlicherweise für Unmut gesorgt. Aber wie bei anderen entscheidenden Momenten bei der Entwicklung von Standards und Vorschriften in den meisten Branchen ist dies ein kurzfristiger Schmerz, um ein besseres langfristiges Ergebnis zu erzielen. Als Softwareanbieter selbst ist es für mich logisch, dass die Verantwortung bei uns liegen muss, wenn es um Sicherheit geht. Es ist unsere Build-Pipeline, unsere Prozesse und unsere Qualitätskontrolle – wenn wir Fehler machen, liegt es in unserer Verantwortung, diese zu beheben.

Außerdem sollten wir Software von höchstmöglicher Qualität anstreben, und sicheres Programmieren muss Teil der Kennzahlen für ein erfolgreiches Ergebnis sein. Dies in einer Welt zu erreichen, die auf Geschwindigkeit um jeden Preis fokussiert ist, ist eine große Herausforderung. Es liegt jedoch an den Sicherheitsverantwortlichen, sicherzustellen, dass jeder im Softwareentwicklungsprozess – insbesondere Entwickler – angemessen geschult wird, um Sicherheitsstandards in seiner Rolle umzusetzen.

Es fehlt uns immer noch an einer Orientierung für langfristige Best Practices.

Das strategische Ziel 3.3 verweist auf das etablierte NIST Secure Software Development Framework als Grundlage für allgemeine Best Practices. Dies sind umfassende Richtlinien. Sie spezifizieren zwar die Notwendigkeit, „sicherzustellen, dass die Mitarbeiter, Prozesse und Technologien der Organisation in der Lage sind, eine sichere Softwareentwicklung auf Organisationsebene durchzuführen“, sind aber nicht besonders präzise in Bezug auf Faktoren, die beispielsweise ein Manager für Sicherheitsbewusstsein bei der Auswahl von Schulungslösungen beachten sollte.

Damit der Ansatz wirklich transformativ wirkt, sollten Entwickler als integraler Bestandteil des Sicherheitsprogramms betrachtet werden und jede Gelegenheit erhalten, ihre Fähigkeiten zu verbessern und Verantwortung für die Erkennung und Beseitigung von Schwachstellen zu übernehmen. Dies ist ohne hyperrelevante, kontextbezogene Lerninhalte und Tools nicht messbar, ebenso wenig wie durch eine jährliche Compliance-Übung anstelle eines kontinuierlichen Qualifizierungswegs.

Entwickler sind ein mächtiges Puzzleteil, wenn es darum geht, das Sicherheitsrätsel zu lösen, und ein Team aus sicherheitsbewussten Entwicklern ist in den meisten Unternehmen die fehlende Zutat. Sie ermöglichen Sicherheit bei hoher Geschwindigkeit, aber nur, wenn Zeit und Ressourcen investiert werden, um dieses Potenzial im Team freizusetzen. Bis dahin werden alle allgemeinen Best-Practice-Richtlinien der Welt nichts bewirken.

Der lange Weg zum Nirwana der Softwaresicherheit.

Die Biden-Administration hat 3 Milliarden Dollar an Finanzmitteln für die CISA bereitgestellt, mit dem Ziel, eine schnelle Resilienz der kritischen Infrastruktur zu erreichen. Während Finanzierung und Unterstützung auf höchster Regierungsebene entscheidend sind, erfordert es eine globale Anstrengung, die Sicherheitskultur neu zu definieren, um Angreifer wirksam zu stoppen.

Es liegt ein langer Weg vor uns, aber er beginnt damit, dass jeder Softwareanbieter den ersten mutigen Schritt in Richtung Sicherheitsverantwortung auf Unternehmensebene macht.