Mit dem Modernizing Government Technology Act die Cybersicherheit verbessern – jetzt

Michael ColemanSenior-Lösungsarchitekt | F5

Als der Modernizing Government Technology Act (MGT Act) 2017 in Kraft trat, sollte er Behörden Mittel zur Verfügung stellen, die sie für die Modernisierung ihrer IT einsetzen können, unter anderem im Bereich der Cybersicherheit. Behörden konnten Fördermittel aus dem Technology Modernization Fund beantragen, der ihnen dabei helfen sollte, Altsysteme abzulösen und in agile, transformative Technologien zu investieren.

Wie sich herausgestellt hat, war die Verabschiedung des MGT Act noch weitsichtiger, als es sich irgendjemand hätte vorstellen können.

Aufgrund von COVID-19 hat sich die Notwendigkeit, veraltete Cybersicherheitssysteme zu modernisieren und in die Cloud zu verlagern, erheblich beschleunigt. Die Pandemie hat zudem heimtückischen Hackern Tür und Tor geöffnet, um Schwachstellen mit einer Vielzahl von Methoden auszunutzen – von Ransomware über DDoS-/DoS-Angriffe bis hin zu weiteren Taktiken. Tatsächlich veröffentlichten das US-Heimatschutzministerium und das britische National Cyber Security Centre Anfang dieses Jahres eine eindringliche Warnung vor einer Zunahme von Malware und Ransomware.

Natürlich nahmen die Sicherheitsbedrohungen bereits lange vor COVID-19 zu. Laut einem Bericht, den Verizon zu Beginn der Pandemie veröffentlichte, entfielen 61 % der durch Schadsoftware verursachten Vorfälle im öffentlichen Sektor auf Ransomware, während 33 % der Sicherheitsverletzungen durch Insider verursacht wurden. In einem Anfang 2020 veröffentlichten Bericht der Cybersecurity & Infrastructure Security Agency (CISA) heißt es zudem: „Ausländische Cyberakteure nutzen weiterhin öffentlich bekannte – und häufig veraltete – Softwareschwachstellen aus, um ein breites Spektrum an Zielen anzugreifen, darunter Organisationen des öffentlichen und privaten Sektors.“

Es gibt keinen Perimeter

Doch COVID-19 hat die Angriffsfläche vergrößert. Remote-Arbeit ist inzwischen die Norm, und die Nutzer sind zunehmend auf cloudbasierte Anwendungen angewiesen. Da immer mehr Behördenmitarbeiter von zu Hause aus arbeiten, sind Systeme und Prozesse den gestiegenen Kapazitäts- und Sicherheitsanforderungen nicht mehr gewachsen.

Diese Faktoren stellen IT-Sicherheitsteams, die zunehmend verteilte Netzwerke und eine Vielzahl potenziell anfälliger Anwendungen schützen müssen, vor große Herausforderungen. Während sie sich früher möglicherweise auf herkömmliche Sicherheitslösungen zum Schutz ihrer Netzwerkgrenzen verlassen konnten, gibt es heute praktisch keine solchen Grenzen mehr.

Daher sollten Organisationen in Erwägung ziehen, Mittel aus dem MGT Act in verschiedene Formen dynamischer Schutzmaßnahmen zu investieren, um ihre Sicherheit auf unterschiedlichen Ebenen zu gewährleisten. So stellen beispielsweise die Überwachung privilegierter Benutzerzugriffe und die Implementierung von Identitätsmanagement-Protokollen sicher, dass nur die richtigen Personen Zugriff auf ein Netzwerk und hochsensible Informationen haben. Anwendungssicherheitstools bieten unterdessen Schutz vor API-Schwachstellen, Injection-Angriffen, Cross-Site-Scripting-Angriffen und weiteren Bedrohungen.

Unternehmen müssen außerdem sicherstellen, dass ihre Sicherheitsrichtlinien über Multi- oder Hybrid-Cloud-Plattformen hinweg einheitlich sind. Diese bieten zwar ein hohes Maß an Flexibilität und Kostenvorteilen, bringen jedoch auch eine enorme Komplexität mit sich. Die verschiedenen Cloud-Anbieter verfolgen unterschiedliche Richtlinien – darunter Modelle der geteilten Verantwortung, nach denen der Kunde für die Datensicherheit verantwortlich ist. Daher kann es schwierig sein, sich einen klaren Überblick über die Anwendungssicherheit in mehreren Clouds zu verschaffen. Durch die Automatisierung der Sicherheit in lokalen und verschiedenen Cloud-Umgebungen lässt sich gewährleisten, dass für Anwendungen dieselben Richtlinien gelten und sie unabhängig von ihrem Speicherort geschützt bleiben.

Ein Rahmen für den Erfolg

Wenn Behörden erwägen, ihre verfügbaren Mittel in neue Cybersicherheitstechnologien zu investieren, sollten sie zugleich mit der Entwicklung von Cybersicherheitsrahmen beginnen, die ihnen helfen, diese Technologien effektiv einzusetzen. Das Cybersicherheitsrahmenwerk des National Institute of Standards and Technology (NIST) ist dafür ein idealer Ausgangspunkt.

Das NIST Cybersecurity Framework unterstützt Behörden dabei, bessere Risikomanagementpraktiken zu etablieren, indem es einen ganzheitlichen, am Lebenszyklus orientierten Ansatz für das Risikomanagement verfolgt. Anhand der von NIST festgelegten Leitlinien bewerten und mindern Behörden Risiken kontinuierlich mithilfe von fünf Kernfunktionen: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Die zuvor genannten Technologien lassen sich nahtlos in all diese Kategorien einordnen, da sie Einblick in potenzielle Schwachstellen bieten und Möglichkeiten aufzeigen, diese im Falle einer Sicherheitsverletzung zu beheben.

Das NIST Cybersecurity Framework ist ein nützliches Instrument, da es Organisationen eine standardisierte Struktur bietet, mit der sie äußerst anpassungsfähige Sicherheitsprogramme entwickeln können. Es bietet die nötige Flexibilität, damit Organisationen es an ihre individuellen Anforderungen anpassen können, und stellt zugleich eine einheitliche Vorlage für das Risikomanagement und die Behebung von Schwachstellen bereit. Organisationen können ihre eigenen Sicherheitsrichtlinien in das Framework integrieren und gleichzeitig von den von NIST empfohlenen Standards und bewährten Verfahren profitieren.

Zahlen Sie nicht den Preis

Laut einem aktuellen Bericht des Ponemon Institute belaufen sich die durchschnittlichen Kosten einer Datenschutzverletzung auf schwindelerregende 3,86 Millionen US-Dollar. Das ist erschütternd, insbesondere wenn man bedenkt, dass viele Organisationen – darunter auch Behörden – angesichts der pandemiebedingt immer knapper werdenden Budgets nun mit weniger Mitteln mehr leisten sollen.

Es liegt auf der Hand, dass Behörden weder im wörtlichen noch im übertragenen Sinne in ihrer Wachsamkeit nachlassen dürfen. Jetzt ist es an der Zeit, einen Teil der im Rahmen des MGT Act verfügbaren Mittel in moderne, automatisierte Cybersicherheitslösungen zu investieren, die vor sich ständig weiterentwickelnden Bedrohungen schützen und so Daten und möglicherweise Millionen von Dollar retten. Erfahren Sie mehr darüber, wie F5-Lösungen US-Bundesbehörden dabei unterstützen, ihre Netzwerke zu schützen, Kosten zu senken und ihre Aufgaben erfolgreich zu erfüllen.

Von Michael Coleman, Leiter Federal Solution Engineering bei F5

Über den Autor

Michael ColemanSenior-Lösungsarchitekt | F5

Weitere Blogbeiträge von Michael Coleman