Wie die australische Regierung nationale Cybersicherheitsresilienz aufbauen und Bedrohungen standhalten kann

Da das Jahr 2020 einen enormen Anstieg der Arbeit im Homeoffice mit sich brachte, gepaart mit anhaltenden großflächigen Datenpannen und einem wachsenden Bewusstsein für die Folgen verletzter Online-Privatsphäre, steht die Cybersicherheit stärker denn je im Fokus der Öffentlichkeit. Infolgedessen haben Regierungen weltweit damit begonnen, ihre Pläne und Infrastrukturen für Cybersicherheit neu zu gestalten und zu aktualisieren – einschließlich Strategien und Vorschriften, die Unternehmen beim Umgang mit unseren wertvollsten digitalen Ressourcen einhalten müssen.

Strategische Leitlinien für Cybersicherheit sind kein neues Konzept; Organisationen wie das NIST prägen die Richtlinien globaler Regierungsbehörden bereits seit vielen Jahren. Da wir den digitalen Fortschritt in einem rasanten Tempo vorangetrieben haben, fällt es vielen schwer, mit der Anzahl der Bedrohungen, potenziellen Angriffsvektoren und Compliance-Anforderungen Schritt zu halten, die Teil einer sich ständig wandelnden Landschaft sind.

Ein kürzlich bekannt gewordener Diebstahl von 54.000 Führerscheinen in New South Wales infolge eines leicht zugänglichen, falsch konfigurierten S3-Buckets auf einem Drittanbieter-Server hat Tausende von Personen gefährdet. Der Sicherheitsforscher, der den Vorfall meldete, räumte ein, dass die Daten möglicherweise bereits im Darknet verkauft wurden. Das Traurige daran ist: Dies wäre leicht zu verhindern gewesen und hätte wahrscheinlich gar nicht erst stattgefunden, wenn Sicherheit bei der Konfiguration des Caches im Vordergrund gestanden hätte.

Die australische Regierung hat kürzlich die Australian Cyber Security Strategy 2020 veröffentlicht. Sie hebt neue Initiativen und eine Finanzspritze von 1,67 Milliarden Dollar für das nächste Jahrzehnt hervor, um ihre „Vision einer sichereren Online-Welt für Australier, ihre Unternehmen und die wesentlichen Dienstleistungen, auf die wir alle angewiesen sind“, zu verwirklichen. Dies ist zweifellos ein sehr zu begrüßender, aktualisierter Plan, zumal eines der Hauptziele lautet:

"Maßnahmen von Unternehmen zur Sicherung ihrer Produkte und Dienstleistungen sowie zum Schutz ihrer Kunden vor bekannten Cyber-Schwachstellen".

Während sich Regierungsstellen (zu Recht) auf Sicherheitsmaßnahmen für die kritische Infrastruktur eines Landes konzentrieren – Bereiche, die anfällig für katastrophale, organisierte Angriffe sind –, fehlten in der Vergangenheit Richtlinien für Unternehmen, die täglich unsere Daten sammeln und nutzen.

Nun ist eine solche offizielle Strategie nicht immer ein reines Vergnügen. Sie kann schwer zu interpretieren und vage in den Details sein, sodass es am Sicherheitsteam einer Organisation liegt, einen Plan auf Basis unspezifischer Richtlinien zusammenzustellen. Dieses Problem ist nicht auf die australische Regierung beschränkt, aber lassen Sie uns ihre brandneue Veröffentlichung analysieren.

Ein Fokus auf Reaktion statt Prävention.

Die aktualisierte australische Cybersicherheitsstrategie ist eine relevantere Verbesserung gegenüber der letzten Version von 2016 und enthält recht umfassende Pläne für Unternehmen, insbesondere für KMU. Die Strategie sieht vor:

"Regierung und Großunternehmen werden kleine und mittlere Unternehmen (KMU) dabei unterstützen, zu wachsen und ihr Bewusstsein sowie ihre Fähigkeiten im Bereich Cybersicherheit zu stärken. Die australische Regierung wird mit Großunternehmen und Dienstleistern zusammenarbeiten, um KMU Informationen und Tools zur Cybersicherheit als Teil von „Paketen“ sicherer Dienste (wie Bedrohungsblockierung, Antivirus und Schulungen zum Cybersicherheitsbewusstsein) bereitzustellen."

Dies bietet KMU eine solide Grundbasis, um ihr Unternehmen vor Cyberbedrohungen zu schützen, aber es ist weitgehend ein reaktiver Ansatz, bei dem der Schwerpunkt auf Erkennungstools liegt – einem relativ kleinen Teil der Cybersicherheitslandschaft.

Es gibt zudem überraschend wenig Informationen darüber, wie sich Großunternehmen schützen und ihre Angriffsvektoren reduzieren können. Während viele Teil der Pläne zum Schutz kritischer Infrastrukturen (wie Telekommunikation oder Transportwesen) sein mögen, haben Finanzdienstleister, Einzelhändler und viele andere Branchen bei einem erfolgreichen Cyberangriff viel zu verlieren. Vielleicht wird dies Teil künftiger Gesetzgebungen sein, aber dennoch ist die Betonung akribischer Best Practices für Cybersicherheit auf Unternehmensebene grundlegend, um signifikante Veränderungen zu bewirken und die Zahl kompromittierter Daten sowie Cyberkriminalität zu senken.

Insgesamt betrachtet basiert die Strategie auf einem reaktiven Ansatz. Die Abwehr von Cyberangriffen, die Störung aktiver Cyberkrimineller und deren Strafverfolgung sowie der Informationsaustausch mit internationalen Verbündeten sind wichtige Faktoren. Doch stellen Sie sich vor, der landesweite Schutzstandard wäre auf Prävention ausgerichtet. Wenn neben Schutzmaßnahmen für kritische Infrastrukturen Sicherheit in jedem Unternehmen oberste Priorität hätte und jeder, der mit dem Code arbeitet, der unsere digitale Welt erschafft, in der Lage wäre, Angriffe zu blockieren, bevor sie geschehen, wären die Einsparungen an Zeit, Geld und Leid für die Opfer unermesslich.

Resilienz ist möglich, muss aber geplant werden.

Dass die australische Regierung das Thema Cybersicherheit ernst nimmt, zeigt deutlich, dass es als zentrales nationales Risikofeld erkannt wurde. Wie bei jedem anderen böswilligen Angriff, der unsere Lebensweise stören kann, ist Resilienz absolut entscheidend – nicht nur, um einem solchen Versuch standzuhalten, sondern auch, um ihn von vornherein abzuschrecken. Letztendlich können selbst Angreifer bequem sein; sie werden sich ein leichteres Ziel suchen, um ihr Ziel zu erreichen, wenn ihnen zu viele Barrieren in den Weg gelegt werden.

Momentan stehen wir vor einem weltweiten Fachkräftemangel im Bereich Cybersicherheit, was CISOs weltweit schlaflose Nächte bereitet. Milliarden von Codezeilen, ständige großflächige Datenpannen und ein höheres Strafmaß (allein Marriott erhielt eine DSGVO-Strafe von 123 Mio. USD für ihre Datenpanne 2018... und sie hatten dieses Jahr eine weitere Panne) als je zuvor haben eine Nachfragelücke nach Sicherheitsspezialisten geschaffen, die realistisch gesehen kaum zu schließen ist. Es gibt schlicht zu viel Code und zu wenige Ressourcen, um sicherzustellen, dass er aus jedem Blickwinkel abgesichert ist.

Sollten wir also die Hoffnung aufgeben, Cyberbedrohungen jemals wirklich die Stirn bieten zu können? Auf keinen Fall. Resilienz erfordert die Nutzung aller verfügbaren Ressourcen und das Denken einen Schritt voraus. Für viele Unternehmen können ihre Entwickler eine mächtige Methode zur Absicherung direkt während des Schreibens von Code freischalten. In Verbindung mit einer sichtbaren, positiven Sicherheitskultur im gesamten Unternehmen schafft dies ein sicheres Fundament, das für viele Angreifer schwer zu erschüttern und zu durchbrechen ist. Diese Methode erfordert jedoch, die Vorschläge der australischen Cybersicherheitsstrategie als Beispiel zu nehmen und tiefergehend zu prüfen, wie sie angepasst werden können, um effektive, unternehmensrelevante Veränderungen zu unterstützen.

Dazu ist es wichtig, einige der Tipps genauer zu betrachten:

• Sicherheitsschulungen: Dies wird speziell für KMU hervorgehoben und zielt im Kontext des gesamten Berichts hauptsächlich darauf ab, allen Mitarbeitern grundlegende Sicherheitshygiene zu vermitteln (z. B. Phishing-E-Mails erkennen, keine unbekannten Links anklicken usw.). Realistisch betrachtet muss dies jedoch weit darüber hinausgehen und rollenspezifisch werden, insbesondere für diejenigen, die mit Code arbeiten, wie etwa Entwickler. Es ist zwingend erforderlich, dass Sicherheitsschulungen ein Bestandteil präventiver Maßnahmen und des Aufbaus von Resilienz sind.
• Bildung: Erfreulicherweise gibt es einen detaillierten Plan, um den Fachkräftemangel im Bereich Cybersicherheit im nächsten Jahrzehnt anzugehen, indem der Schwerpunkt auf Cybersicherheitsschulungen von der Primar- und Sekundarstufe bis hin zur Hochschulbildung gelegt wird. Dies ist dringend erforderlich, um die Sicherheitsexperten der Zukunft auszubilden. Um jedoch den aktuellen geschäftlichen Anforderungen gerecht zu werden, ist eine praxisnahe Schulung in sicherem Programmieren für Entwickler absolut notwendig, um häufige Schwachstellen zu reduzieren, und muss Teil eines funktionalen Sicherheitsprogramms sein.

Als Sicherheitsexperten müssen wir mehr tun, um Unternehmen weltweit dabei zu helfen, die Bedeutung eines internen Sicherheitsprogramms zu verstehen, das über einfache grundlegende Sensibilisierungsmaßnahmen hinausgeht. Die Zeit, die in die Weiterbildung von Entwicklern investiert wird, entlastet überlastete AppSec-Spezialisten. Zudem ist es entscheidend, dass das gesamte Unternehmen im Rahmen der jeweiligen Rolle so sicherheitsbewusst wie möglich agiert, um die Angriffsfläche in der Software zu verringern.

Die Weiterbildung von Entwicklern ist eine lohnende Investition – warum ignorieren das so viele Unternehmen?

Eine aktuelle Umfrage von DDLS ergab, dass Cybersicherheitsschulungen in australischen Unternehmen kaum Priorität haben. Tatsächlich schafften sie es nicht einmal unter die drei wichtigsten Schulungsprioritäten, obwohl 77 % der Befragten das Cybersicherheitsbewusstsein als „extrem“ oder „sehr wichtig“ für ihr Unternehmen einstuften.

Es ist daher kaum verwunderlich, dass Australien Schwierigkeiten hat, die wachsende Qualifikationslücke zu schließen, und noch einiges tun muss, um eine resilientere Infrastruktur zu schaffen – von grundlegenden Dienstleistungen bis hin zum Einzelhandel und allem dazwischen.

Hier bietet sich eine enorme Chance für Regierungen, eine grundlegende Zertifizierung oder Regulierung für Sicherheitskompetenzen zu schaffen; die Strategie deutet dies als Weg an, mit begrenzten Ressourcen zu arbeiten. Dies scheint jedoch erneut ein Vorschlag für die Zukunft zu sein, dabei haben wir die Werkzeuge, um viel früher zu beginnen, wenn wir uns zuerst auf Bereiche mit hoher Wirkung konzentrieren. Für mich liegt der Hoffnungsschimmer in den Entwicklungsteams jedes Unternehmens: Wenn sie die richtigen Werkzeuge und das nötige Wissen erhalten, können sie häufige Schwachstellen frühzeitig eliminieren und das Risiko von Datenpannen in ihrem Unternehmen erheblich senken.

Im Jahr 2019 wurden 24 % aller Datenpannen durch menschliches Versagen verursacht – namentlich durch Sicherheitsfehlkonfigurationen –, bei denen es sich meist um relativ einfache Korrekturen auf Code-Ebene handelt. Wenn Schulungen hier zur Priorität werden, in Verbindung mit der unternehmensweiten Förderung des Sicherheitsbewusstseins, wette ich, dass weniger CISOs Benachrichtigungen über Sicherheitsverletzungen an Tausende betroffene Kunden unterzeichnen müssten.