Nutzung des Modernizing Government Technology Act zur Verbesserung der Cybersicherheit (jetzt)

Als der Modernizing Government Technology Act (MGT Act) 2017 in Kraft trat, bestand sein Zweck darin, Behörden mit Mitteln auszustatten, die sie für ihre IT-Modernisierungsbemühungen einsetzen können, darunter auch im Bereich Cybersicherheit. Agenturen konnten Mittel aus dem Technology Modernization Fund beantragen, der ihnen dabei helfen soll, sich von Altsystemen zu lösen und in agile, transformative Technologien zu investieren.

Wie sich herausstellte, erwies sich die Verabschiedung des MGT-Gesetzes als noch visionärer, als sich irgendjemand hätte vorstellen können.

Aufgrund von COVID-19 hat sich die Notwendigkeit zur Modernisierung älterer Cybersicherheitssysteme und zur Migration in die Cloud erheblich beschleunigt. Darüber hinaus hat die Pandemie heimtückischen Hackern die Tür geöffnet, Schwachstellen durch eine breite Palette von Taktiken auszunutzen, von Ransomware bis hin zu DDoS/DoS-Angriffen und mehr. Tatsächlich haben die USA Anfang des Jahres Das britische Heimatschutzministerium und das britische National Cyber Security Centre haben eindringlich vor einem Anstieg von Schadsoftware und Ransomware gewarnt.

Natürlich gab es schon lange vor COVID-19 eine Zunahme der Sicherheitsbedrohungen. Einem Bericht zufolge, den Verizon zu Beginn der Pandemie veröffentlichte, waren 61 % der Malware-basierten Vorfälle im öffentlichen Sektor auf Ransomware zurückzuführen, wobei 33 % der Sicherheitsverletzungen von Insidern verursacht wurden. Und in einem Anfang 2020 veröffentlichten Bericht der Cybersecurity & Infrastructure Security Agency (CISA) heißt es: „Ausländische Cyber-Akteure nutzen weiterhin öffentlich bekannte – und oft veraltete – Software-Schwachstellen gegen ein breites Zielspektrum aus, darunter auch Organisationen des öffentlichen und privaten Sektors.“

Es gibt keinen Perimeter

Aber COVID-19 hat die Angriffsfläche vergrößert. Fernarbeit ist heute die Norm und Benutzer sind zunehmend auf Cloud-basierte Anwendungen angewiesen. Da immer mehr Regierungsangestellte von zu Hause aus arbeiten, sind die Kapazitäts- und Sicherheitsanforderungen bei Systemen und Prozessen überfordert.

Diese Faktoren stellen eine Herausforderung für die IT-Sicherheitsteams dar, deren Aufgabe darin besteht, zunehmend verteilte Netzwerke und eine Reihe potenziell anfälliger Anwendungen zu sichern. Während sie sich früher möglicherweise auf herkömmliche Sicherheitslösungen verließen, um ihre Netzwerkperimeter zu schützen, gibt es heute praktisch keine Perimeter mehr.

Daher sollten Unternehmen in Erwägung ziehen, MGT-Act-Mittel in mehrere Formen dynamischen Schutzes zu investieren, um ihre Sicherheit an verschiedenen Fronten zu gewährleisten. Beispielsweise wird durch die Überwachung privilegierter Benutzerzugriffe und die Implementierung von Identitätsverwaltungsprotokollen sichergestellt, dass nur die richtigen Personen Zugriff auf ein Netzwerk und hochsensible Informationen haben. Darüber hinaus bieten Anwendungssicherheitstools Schutz vor API-Schwachstellen, Injection, Cross-Site-Scripting-Angriffen und mehr.

Unternehmen müssen außerdem sicherstellen, dass ihre Sicherheitsrichtlinien auf allen Multi- oder Hybrid-Cloud-Plattformen einheitlich sind. Dies kann große Flexibilität und Kostenvorteile bieten, bringt aber auch eine enorme Komplexität mit sich. Verschiedene Cloud-Anbieter halten sich an unterschiedliche Richtlinien – darunter auch Modelle geteilter Verantwortung, die festlegen, dass der Kunde für die Datensicherheit verantwortlich ist – und es kann eine Herausforderung sein, sich über mehrere Clouds hinweg ein klares Bild von der Anwendungssicherheit zu machen. Durch die Automatisierung der Sicherheit in lokalen und verschiedenen Cloud-Umgebungen können Sie sicherstellen, dass Anwendungen denselben Richtlinien unterliegen und sicher bleiben, unabhängig davon, wo sie gehostet werden.

Ein Rahmen für den Erfolg

Wenn Behörden erwägen, ihre verfügbaren Mittel in neue Cybersicherheitstechnologien zu investieren, sollten sie auch mit dem Aufbau von Cybersicherheitsrahmen beginnen, die ihnen bei der Nutzung dieser Technologien helfen. Das Cybersecurity Framework des National Institute of Standards and Technology (NIST) ist ein idealer Ausgangspunkt.

Das NIST Cybersecurity Framework unterstützt Behörden bei der Einführung besserer Risikomanagementpraktiken, indem es einen ganzheitlichen Lebenszyklusansatz für das Risikomanagement verfolgt. Anhand der vom NIST festgelegten Richtlinien bewerten und mindern die Behörden Risiken kontinuierlich durch fünf Kernfunktionen: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Die oben genannten Technologien passen gut in alle diese Kategorien, da sie Einblick in potenzielle Schwachstellen bieten und im Falle einer Sicherheitsverletzung Möglichkeiten zur Behebung dieser Schwachstellen aufzeigen.

Das NIST Cybersecurity Framework ist ein nützliches Tool, da es Organisationen eine standardisierte Struktur bietet, mit der sie hochadaptive Sicherheitsprogramme erstellen können. Es bietet Flexibilität, sodass Unternehmen es an ihre individuellen Bedürfnisse anpassen können, und stellt gleichzeitig eine gemeinsame Blaupause für das Risikomanagement und die Behebung von Schwachstellen bereit. Organisationen können ihre eigenen Sicherheitsrichtlinien in das Framework integrieren und gleichzeitig von den empfohlenen Standards und Best Practices des NIST profitieren.

Zahlen Sie nicht den Preis

Einem aktuellen Bericht von Ponemon zufolge betragen die durchschnittlichen Kosten einer Datenschutzverletzung satte 3,86 Millionen US-Dollar. Das ist erschreckend, insbesondere wenn man bedenkt, dass viele Organisationen – auch staatliche Behörden – nun aufgefordert werden, mit weniger mehr zu erreichen, da die Budgets angesichts der Pandemie immer knapper werden.

Es ist klar, dass die Agenturen nicht nachlässig werden können, sowohl im wörtlichen als auch im übertragenen Sinn. Jetzt ist es an der Zeit, einen Teil der durch das MGT-Gesetz bereitgestellten Mittel in moderne, automatisierte Cybersicherheitslösungen zu investieren, die vor neuen Bedrohungen schützen und so Daten und möglicherweise Millionen von Dollar sparen. Erfahren Sie mehr darüber, wie F5-Lösungen Bundesbehörden dabei helfen, ihre Netzwerke zu sichern, Kosten zu senken und ihre Aufgaben erfolgreich zu erfüllen.

Von Michael Coleman, Federal Solution Engineering Leader bei F5