Drei Möglichkeiten, wie die US-Regierung die erfolgreiche Umsetzung der Cyber Executive Order vorantreiben kann
Der 12. November markiert sechs Monate, seit die Biden-Administration die umfassende Executive Order zur Verbesserung der Cybersicherheit des Landes (öffnet in einem neuen Tab) (EO), die einen Meilenstein in der Weiterentwicklung einer kohärenten Bundesstrategie zur Optimierung des Cyber-Risikomanagements setzt. Mit der Veröffentlichung der Executive Order hat die Biden Administration einen Marker gesetzt, um die Bedeutung der Cybersicherheit zu erhöhen. Die EO wies alle Agenturen an, die Cybersicherheit der Vereinigten Staaten durch die Veröffentlichung von Leitlinien zu kritischen Themen wie Zero Trust, Software Bill of Materials (SBOM) und sichere Softwareentwicklung zu verbessern.
Da die US-Regierung in die nächste Phase der Verfeinerung und Umsetzung der ursprünglichen Leitlinien eintritt, stehen politische Entscheidungsträger und Administratoren vor der herausfordernden Aufgabe, eine einheitliche Umsetzung in allen Bundesbehörden sicherzustellen. Um auf dem frühen Erfolg der Erdbeobachtung aufzubauen, müssen Verwaltung, politische Entscheidungsträger und Interessenvertreter der Industrie weiterhin zusammenarbeiten. Hier sind drei Dinge, die Agenturleiter tun können, um einen kohärenten Ansatz für die föderale Cybersicherheit zu fördern und unser gemeinsames Ziel der Verbesserung der US-amerikanischen Cybersicherheit voranzutreiben:
Priorisieren Sie die Einbeziehung aller Stakeholder in die Entwicklung und Umsetzung von Guidance Documents. Die Beratung mit Interessengruppen anderer Agenturen und der Industrie in der Politikentwicklung ist von entscheidender Bedeutung, da die Expertise in der Cyberpolitik über diese verschiedenen Zielgruppen verteilt ist. Durch die Aggregation des verteilten Wissens und die Suche nach so viel Input wie möglich können Bundesbehörden mögliche Komplikationen frühzeitig erkennen und Strategien besser gestalten, um in ein kohärentes Risikomanagement-Rahmenwerk zu passen. Mehrere Durchführungsstellen haben bisher eine lobenswerte Arbeit bei diesem Engagement geleistet. Das National Institute of Standards and Technology (NIST) zum Beispiel bat die Stakeholder um Beiträge in mehreren Workshops, die die Entwicklung von Leitlinien wie dem zu Verbraucherkennzeichnungsstandards informierten.
In dieser Phase ist es wichtig, dass die Agenturen dafür sorgen, dass es kontinuierliche Gelegenheiten für öffentliches Feedback zu noch ausstehenden EO-Aufgaben gibt. Wichtige Details zu den verschiedenen Aufgaben des EO müssen noch definiert werden, einschließlich einer standardisierten Vertragssprache zum Schutz kritischer Software und der Verbraucherkennzeichnungsprogramme. Daher ist es wichtig, dass die Agenturen die Einbeziehung aller Interessengruppen in die Entwicklung und Umsetzung ihrer jeweiligen Leitfäden priorisieren, um das Endergebnis zu stärken und sicherzustellen, dass es seinen beabsichtigten Zweck erreicht. Dies gilt insbesondere für den Regulierungsprozess. Zum Beispiel hat der Federal Acquisition Regulatory Council (FAR Council) den FAR-Fall 2021-017 eröffnet, um die Standardvertragssprache gemäß Abschnitt 2 des EO zu überprüfen und zu aktualisieren, die Aktualisierungen der Verfahren zur Meldung von Vorfällen enthalten wird. Gleichzeitig diskutiert der US-Kongress mehrere Gesetzesvorschläge zur Einführung neuer Anforderungen zur Berichterstattung über Cyber-Vorfälle. Der FAR-Rat sollte die Stakeholder frühzeitig durch Roundtables und Vorankündigungen vorgeschlagener Regelwerke (ANPRMs) einladen, um die Konsistenz der Berichtspflichten für Vorfälle, einschließlich der in der Gesetzgebung vorgeschlagenen, in der gesamten Bundesregierung sicherzustellen.
Förderung einer Denkweise der kontinuierlichen Verbesserung. Cybersecurity ist kein Endzustand, sondern ein kontinuierlicher Prozess, der alle Vertikalen einer Organisation beeinflusst. Unternehmen erzielen die besten Leistungs- und Risikominderungsergebnisse, wenn die Technologie unter Berücksichtigung der Sicherheit entwickelt, ordnungsgemäß gewartet und kontinuierlich auf die Bedürfnisse der Benutzer ausgerichtet wird. Zum Beispiel weist Abschnitt 3 der Cyber-EO die Agenturen an, Zero Trust zu übernehmen. Ein zentraler Grundsatz dieser Sicherheitsstrategie geht davon aus, dass eine Sicherheitsverletzung unvermeidlich ist oder bereits aufgetreten ist, was erfordert, dass die ausführende Organisation kontinuierlich nach anormalen oder böswilligen Aktivitäten sucht. Dieser Schritt hin zu einer proaktiven Sicherheitsstrategie erfordert eine signifikante Veränderung der Denkweise in den meisten Teilen der Bundesregierung.
Agenturen verwalten diese Änderung am besten, wenn sie alle leitenden Agenturleiter davon überzeugen, dass es so etwas wie "Done" nicht gibt. Die Leiter der Agenturen müssen internalisieren, dass das Cybersicherheitsrisiko in allen vertikalen Agenturen vorhanden ist, nicht nur in der IT. Daher müssen Directors, Chief Financial Officers, Chief Procurement Officers sowie Business Line- und Programmmanager mit den Chief Information Officers und Chief Information Security Officers zusammenarbeiten, um Risiken ganzheitlich zu verstehen und zu managen. Agenturen können diesen Wandel in der Denkweise fördern, indem sie Rechenschaftsmechanismen wie die FITARA Scorecard (öffnet in einem neuen Tab) Führungskräfte für die Verbesserung der Cyber-Performance-Metriken zur Verantwortung zu ziehen. Aktualisierte Schulungen und interinstitutionelle Informationsaustauschprogramme können dazu beitragen, die erforderliche Denkweise in großem Maßstab zu fördern.
Gewährleistung der behördenübergreifenden Zusammenarbeit und Förderung der Gegenseitigkeit zwischen verschiedenen Cybersecurity-Compliance-Regimen. Agenturen haben unterschiedliche Cyber-Reifegrade und einzigartige Risikoprofile, die auf ihren jeweiligen Missionen basieren. Historisch gesehen hat dies zu einer Verbreitung von föderalen Cyber-Richtlinien geführt und zu einer Fülle von maßgeschneiderten Lösungen geführt, die schwierig und kostspielig zu warten sind. Die Cyber-EO hat erste Erfolge bei der Standardisierung ausgewählter Anforderungen in der gesamten Bundesregierung erzielt, wie die Anforderung an alle zivilen Behörden, eine Endpoint Detection and Response (EDR) -Initiative einzusetzen. Die nächste Phase sollte diese Arbeit fortsetzen, die Regierung zu einer kohärenten Cyber-Strategie zu bewegen und die Anforderungen so weit wie möglich zu standardisieren.
In einigen Fällen ist eine Standardisierung aufgrund der einzigartigen Mission der Agentur nicht möglich. In diesen Situationen sollten Agenturen zusammenarbeiten, um alternative Wege zu schaffen, um den Wettbewerb zu fördern und die Genehmigungen anderer Agenturen so weit wie möglich zu nutzen. Wenn Anbieter bereits die Einhaltung der Cyber-Hygiene-Anforderungen nachgewiesen haben, sollten sie die Einhaltung des fehlenden Deltas der Sicherheitskontrollen nachweisen müssen, nicht das gesamte Audit erneut durchlaufen.
Die Cyber-EO konzentriert sich in erster Linie auf die föderale zivile Exekutive (FCEB) und lässt die Tür für zusätzliche Sicherheitskontrollen der nationalen Sicherheitssysteme offen. Zum Beispiel fördert Abschnitt 3 die Verwendung von Shared-Cloud-Angeboten, die durch die General Services Administration zertifiziert wurden. FedRAMP (öffnet in einem neuen Tab) Programm. Abhängig von der Bewertungsstufe überschneiden sich die von diesem Programm geforderten Sicherheitskontrollen mit denen, die vom Cloud Computing des Verteidigungsministeriums verlangt werden. Leitfaden für Sicherheitsanforderungen (öffnet in einem neuen Tab) (SRG). Die Identifizierung von Möglichkeiten für Gegenseitigkeit wie diese wird einen großen Beitrag dazu leisten, sinnvolle Ergebnisse zu erzielen, anstatt sich übermäßig auf die Einhaltung zu konzentrieren. Soweit möglich, sollten die Agenturen zusammenarbeiten und bestehende Zertifizierungen anerkennen.
Die Cyber-EO hatte ersten Erfolg mit der Schaffung einer gemeinsamen Basislinie für die Cybersicherheit des Bundes. Um auf dieser Dynamik aufzubauen, sollten die Leiter der Agenturen die Konsultationen der Interessengruppen fortsetzen, eine gesamtgesellschaftliche Denkweise zur Bekämpfung von Cyberrisiken annehmen und mit anderen Agenturen zusammenarbeiten, um die Gegenseitigkeit zu fördern.
Related News & Analysis
Warum ein KI-„Notausschalter“ keine Universallösung ist
AI ist Supercharging Cyber Threats. Verteidiger brauchen neue Werkzeuge und Partnerschaften.
