US-Präsident Biden erlässt Cyber Executive Order (EO)

In der vergangenen Woche hat die US-Regierung um Präsident Biden weitreichende Erlasse rund um das Thema Cybersicherheit bekanntgegeben. Vor dem Hintergrund der zahlreichen Ransomware-Angriffen der vergangenen Wochen ein Schritt mit Signalwirkung auch für andere Regierungen.

Kurzes Statement von Amit Yoran, CEO von Tenable und Gründungsdirektor von US-CERT im U.S. Department of Homeland Security:

„Colonial Pipeline und SolarWinds stehen für einen zwei Jahrzehnte andauernden Cyber-Krimi, der noch nicht seinen Showdown erreicht hat. Die Community hat Regierungen, Unternehmen und Verbraucher bereits bis zum Überdruss vor dem steigenden Ausmaß der Gefährdung gewarnt. Die Weckrufe werden immer lauter werden, bis diese Probleme in dem Maße angegangen werden, wie sie sich auf unsere Gesellschaft auswirken können. Die Frage, die sich jeder stellt, ist, ob die neue Cyber Executive Order (EO) den nächsten Angriff des Kalibers SolarWinds oder Colonial Pipeline aufhalten wird. Es gilt hier keinen Fehler zu machen, denn keine einzelne Richtlinie,  Regierungsinitiative oder Technologie kann Cyberangriffe aufhalten, aber dies ist ein guter Anfang.

Der Angriff auf Colonial Pipeline unterstreicht, wie wichtig die neue Cyber Executive Order (EO) für unsere nationale Sicherheit ist. Die Frage, die sich jeder stellt, ist, ob die EO den nächsten Angriff von SolarWinds oder Colonial Pipeline verhindern wird. Es gilt hier keinen Fehler zu machen, denn keine einzelne Richtlinie, Regierungsinitiative oder Technologie kann Cyberangriffe aufhalten, aber dies ist ein guter Anfang. Dies ist eine der detailliertesten und termingerechtesten EOs, die ich je von einer Regierung gesehen habe. Nach einem weitreichenden Angriff wie dem von SolarWinds ist das unglaublich ermutigend zu sehen.

Innerhalb des nächsten Jahres müssen alle Softwareanbieter, die für die US-Bundesregierung arbeiten, einen etablierten Softwareentwicklungslebenszyklus haben. Dies spricht direkt die klaffenden Sicherheitsprobleme in der Lieferkette an, auf die der Fall SolarWinds aufmerksam gemacht hat. Ein kaputtes Kettenglied kann die gesamte Lieferkette zum Einsturz bringen. Obwohl diese Praktiken nicht alle Verstöße in der Lieferkette verhindern werden, ist es ein wichtiger Schritt nach vorne.

Ein Teil der neuen Richtlinien beinhaltet Meldepflichten für Softwarelieferanten. Dies erzwingt die dringend benötigte Transparenz und Verantwortlichkeit im gesamten privaten Sektor, die zu lange vermieden wurde. Diese Änderung sollte von allen begrüßt werden, von Technologieanbietern, Regierungsbehörden und Endanwendern. Der nächste und wohl wichtigste Schritt ist jedoch die Implementierung. Während es ermutigend ist, zu sehen, dass Cybersicherheit eine prominente Rolle in Präsident Bidens politischen Initiativen spielt, müssen wir uns jetzt darauf konzentrieren, diese Exekutivanordnung umsetzbar zu machen“

Statement von James Hayes, VP Global Government Affairs, bei Tenable:

„Vor wenigen Tagen hat  Präsident Biden eine detaillierte Cybersecurity Executive Order (EO) veröffentlicht, die ein willkommenes Beispiel für den Fokus der Administration auf die Verbesserung der Cybersicherheitslage der Nation nach den Angriffen auf SolarWinds und Colonial Pipeline ist. Da immer mehr Unternehmen Zero-Trust-Sicherheit als den Weg in die Zukunft sehen, macht diese EO einen mutigen Schritt nach vorne, um sicherzustellen, dass die Tage, in denen Sicherheit auf kritische Systeme als nachträglicher Gedanke aufgeschraubt wurde, vorbei sind.

Dieser detaillierte Erlass wird von den Bundesbehörden und ihren Partnern im privaten Sektor verlangen, Informationen auszutauschen und die Grundlagen der Cybersicherheit zu verdoppeln, um ein Zero-Trust-Framework im gesamten Bundesunternehmen erfolgreich voranzutreiben. Das vergangene Jahr hat erhebliche Schwachstellen in unserer digitalen Infrastruktur offengelegt. Wir sind immer noch dabei, den vollen Umfang und das Ausmaß dieses Cyberangriffs zu erkennen. Es wird immer deutlicher, dass die Bundesregierung und der private Sektor zusammenarbeiten müssen, um intelligente Cyberrichtlinien und Best Practices zu implementieren, damit so etwas nicht noch einmal passiert.

Es ist ermutigend zu sehen, dass die neue Administration die Cybersicherheitspolitik und deren Umsetzung schon früh in ihrer Amtszeit aggressiv vorantreibt. Die Executive Order ist ein dringend benötigter Schritt in die richtige Richtung. Es gibt jedoch noch mehr, was wir tun müssen.“