Fünf Empfehlungen zur Erschließung der Vorteile der Straffung von Bundes-Cybersicherheitssystemen
Die US-Regierung begeht den Oktober als Cybersecurity Awareness Month, um die ganzjährige Arbeit unzähliger engagierter Beamter zur Stärkung der Sicherheit der Vereinigten Staaten zu feiern. Viele der ITI-Mitglieder arbeiten stolz mit der Bundesregierung zusammen, um innovative Informations- und Kommunikationstechnologien und -dienste anzubieten, die Agenturen dabei helfen, ihre Mission zu erfüllen. Die sichere und effektive Bereitstellung von konstituierenden Diensten erfordert, dass die Bundesregierung parallele Cybersicherheitsbemühungen verwaltet und rationalisiert und gleichzeitig die Zusammenarbeit zwischen Agenturen und Industriepartnern priorisiert.
Aufgrund der Vernetzung von Informationssystemen muss die Regierung einen ganzheitlichen Blick auf das Management des Bundesinformationsrisikos werfen, um die Wahrscheinlichkeit von Fehlkonfigurationen und unbeabsichtigten Sicherheitssilos zu verringern. Während einige Bemühungen, wie die kürzlich veröffentlichten OMB Memorandum M-22-18 (öffnet in einem neuen Tab)Andere laufende Bemühungen stellen direkt Anforderungen an die IT-Auftragnehmerbasis, wie das Cybersecurity Maturity Model Certification Program (CMMC) des Verteidigungsministeriums (DoD), den Cloud Computing Security Requirements Guide (SRG) und die Überarbeitung des National Institute for Standards and Technology (800-171) Cybersicherheitsleitfaden. Um die Sicherheit zu optimieren und gleichzeitig das Risiko unbeabsichtigter negativer Folgen zu minimieren, müssen diese Bemühungen nahtlos integriert werden. Ein unorganisierter Patchwork von Bundessicherheitsmandaten wird doppelte oder widersprüchliche Anforderungen schaffen. Dies hat das Potenzial, Regierungsoperationen zu lähmen und sogar die nationale Sicherheit der USA zu gefährden. Ein koordinierter gesamtstaatlicher Ansatz zur Cybersicherheit hingegen wird 1 wertvolle Ressourcen freisetzen, die neu bewertet werden können, um die höchsten Risiken für das Informationssystem zu bewältigen; 2 den Informationsaustausch zwischen den Behörden verbessern, was dazu beitragen kann, den Erwerb innovativer Produkte und Dienstleistungen zu fördern; und 3 die Eintrittsbarrieren für kleine und mittlere Unternehmen senken, um um Regierungsaufträge zu konkurrieren.
Hier sind fünf Empfehlungen, wie die Bundesregierung die verborgenen Vorteile der Straffung der föderalen Cybersicherheitsprogramme freisetzen kann:
- Gewährleistung der Gegenseitigkeit zwischen verschiedenen föderalen Cybersicherheitssystemen. Dies ist von entscheidender Bedeutung, da diese Angleichung den US-Regierungsbehörden Zugang zu einer vielfältigen Lieferantenbasis bietet, die schnell alle Cybersicherheitsanforderungen erfüllen kann. Auftragnehmer, die die für die Zertifizierung oder Zulassung nach einem Schema erforderlichen Arbeiten durchlaufen haben, sollten diese Arbeiten nicht duplizieren müssen, wenn sie zusätzliche Zertifizierungen beantragen. Zum Beispiel sollte die US-Regierung eine umfassende Kreuzung der überlappenden Kontrollen zwischen NIST SP 800-171, FedRAMP und dem DoD Secure Requirements Guide durchführen. Eine umfassende Zuordnung der Kontrollen würde Auftragnehmern helfen, die der Meinung sind, dass sie die Anforderungen eines Rahmens erfüllen können, um zu verstehen, was sonst noch erforderlich ist, um in dem anderen zertifiziert zu werden.
- Minimieren Sie übermäßig belastende Anforderungen, die Missionen behindern und nichts zur Verbesserung der Cybersicherheit beitragen. Cybersicherheit ist keine "Check-the-Box" -Übung - sie muss echte Risiken angehen. Regierungsbeamte sollten einen risikobasierten Ansatz verfolgen, um die Umsetzung eines Cybersicherheitszertifizierungssystems in Verträge zu verlangen, und einen angemessenen Anwendungsbereich wählen. Anforderungen, die nicht risikobasiert oder übermäßig angewendet werden, können dazu führen, dass innovative Unternehmen den föderalen Markt vollständig verlassen. Zum Beispiel sollten DoD-Auftragnehmer, die eine CMMC-Zertifizierung von einer unabhängigen Bewertungsorganisation erhalten, während die SP 800-171-Revision noch nicht abgeschlossen ist, nicht bei Null anfangen müssen, wenn NIST eine neuere Version dieser Anleitung veröffentlicht. Stattdessen würde die Definition des Deltas zusätzlicher Kontrollen den Auftragnehmern helfen, die Einhaltung zusätzlicher oder sich ändernder Regelungen leichter nachzuweisen, was den Zugang der Regierung zu innovativen kommerziellen Dienstleistungen verbessern würde.
- Erkennen Sie, dass Cybersicherheit ein kontinuierlicher Prozess ist. Während sich die Technologie weiterentwickelt, treten ständig neue Akteure und Techniken in die Bedrohungslandschaft ein. Dadurch entstehen neue Lücken, die schnell geschlossen werden müssen. Daher sollten bundesstaatliche Cybersicherheitsprogramme Leitlinien für die Verwendung und rechtzeitige Ausführung von Aktionsplänen und Meilensteinen (POA & Ms) ermöglichen und bereitstellen, die es Auftragnehmern ermöglichen, aktuelle Lücken zu identifizieren und Regierungspartnern zu erklären, wie sie beabsichtigen, die Ziele des Cybersicherheitssystems zu erreichen.
- Integrieren Sie die Mitarbeiter der föderalen Akquisition in föderale Cybersicherheitsprozesse. Die Erwerbsbevölkerung des Bundes ist ein wichtiger Akteur beim Schutz von Bundesnetzwerken und -systemen, und diese Gruppe sollte vollständig in die Cybersicherheitsprozesse des Bundes integriert werden. Die Bundesregierung sollte allen Vertragsbediensteten klare Leitlinien geben, um sie zu beraten, die Cybersicherheit in allen IT-Beschaffungen zu erhöhen und sich von der Verwendung von Kosten als einzigem Vergabefaktor zu entfernen, wie es von aktuelle Akquisitionsleitlinien. (öffnet in einem neuen Tab) Der kürzlich eröffnete Fall der Federal Acquisition Regulation (FAR) 2022-010, der einen neuen Teil 40 zum Cyber-Supply-Chain-Risikomanagement einführt, ist ein Schritt in die richtige Richtung. Ebenso unerlässlich ist die Notwendigkeit einer Anleitung, wann Hauptauftragnehmer die Informationssicherheitsanforderungen an ihre eigenen Lieferanten „abfließen lassen müssen und wie dies sicher zu tun ist.
- Umfassen Sie die Industrie als gleichberechtigten Partner in der breiteren Mission, die Cybersicherheit des Bundes zu verbessern. Informationen müssen nicht nur zwischen Agenturen, sondern auch zwischen Agenturen und Auftragnehmern ausgetauscht werden. Die US-Regierung sollte regelmäßige öffentliche Sitzungen zu Cybersicherheitsfragen abhalten und regelmäßige Kommunikationskanäle einrichten, die sich auf öffentlich-private Partnerschaften stützen, die der ICT Supply Chain Risk Management Task Force der Cybersecurity and Infrastructure Security Agency ähneln. Im Regulierungsbereich kann der öffentlich-private Informationsaustausch durch die Nutzung von Vorankündigungen vorgeschlagener Regelwerke und vorentscheidenden öffentlichen Workshops unterstützt werden.
Es ist jetzt an der Zeit, dass die Bundesregierung einen ganzheitlichen Ansatz für das Management der Cybersicherheit des Bundes anwendet, um die Sicherheit der Vereinigten Staaten zu stärken. ITI freut sich darauf, weiterhin mit Regierungspartnern zusammenzuarbeiten, um diese wichtige Arbeit fortzusetzen.
###
Related News & Analysis
Warum ein KI-„Notausschalter“ keine Universallösung ist
AI ist Supercharging Cyber Threats. Verteidiger brauchen neue Werkzeuge und Partnerschaften.
