US-Strategie für Cybersicherheit als Wegweiser für Deutschland

Während man in Deutschland noch auf das im Koalitionsvertrag versprochene Digitalbudget wartet, das unter anderem dabei helfen soll, die Projekte und Vorhaben der Digitalstrategie umzusetzen, wurde in den USA kürzlich eine neue nationale Cybersicherheitsstrategie vorgestellt. Einige Maßnahmen der Strategie finden auch in Deutschland Anwendung und machen erneut deutlich, warum das Digitalbudget dringend gebraucht wird.

Jeden Tag wird unsere Technologie komplexer, vernetzter und wichtiger für den Geschäftsbetrieb. Während diese technologischen Fortschritte die Art und Weise beschleunigt haben, wie Geschäfte abgewickelt werden, stellen das Ausmaß und die Komplexität der Verwaltung dieser Technologien ein Risiko dar. Zum einen für Unternehmen, die nicht über das nötige Personal verfügen, um neue Technologien zu verwalten, zum anderen für komplexe Governance-Anforderungen und rechtliche Verpflichtungen in Bezug auf Sicherheit. Angesichts der Vielzahl unbesetzter Stellen in den Bereichen Technologie und Cybersicherheit müssen sich Hersteller auf die Entwicklung von benutzer- und verwaltungsfreundlichen Lösungen konzentrieren, die sich in Defense-in-Depth-Ansätze und Zero-Trust-Frameworks integrieren lassen. Die Entwicklung belastbarer Software, die das Risiko für Administratoren oder Endbenutzer verringert, unbewusst Schwachstellen aufzureißen, ist ein Teil des Aufbaus einer sicheren Zukunft. Während die nationale Cybersicherheitsstrategie der USA ein guter Ansatz ist, wird die tatsächliche Umsetzung dieser Strategien viel Zeit, Personal und Investitionen in Kompatibilität und Interoperabilität erfordern.

Da die IT-Umgebungen immer komplexer werden, wird die Nachfrage nach hochqualifizierten Fachkräften für die Entwicklung, Bereitstellung und Wartung von Operationen weiter steigen. Es ist wichtig, jetzt in die Automatisierung zu investieren, um das Risiko für menschliche Fehler zu verringern und die Zeit für die Wiederherstellung, Aktualisierung oder Untersuchung von Problemen in den Unternehmen zu verkürzen. Dies beginnt mit der Schaffung von Pipelines für Schulungen in Bereichen wie Devsecops, sichere Softwareentwicklung und Test zur Netzwerk- und Anwendungssicherheit. Diese Fähigkeiten lassen sich nicht in kurzfristigen Bootcamps erwerben, sondern erfordern neue Wege der Ausbildung, praktische Schulungen, Praktika und Zertifizierungen. Nur so kann sichergestellt werden, dass wir Arbeitskräfte ausbilden, die in der Lage sind, den technischen Anforderungen in großem Umfang gerecht zu werden. Aufgrund der hohen und spezifischen Anforderungen an das Fachpersonal sind die Mitarbeiter mit den entsprechenden Qualifikationen teuer zu rekrutieren und zu halten. Insbesondere der öffentliche Sektor muss sein Vergütungs- und Rekrutierungsmodell überarbeiten, um Top-Talente anzuziehen.

Die Anreize müssen neu ausgerichtet werden, um langfristige Investitionen zu begünstigen, indem eine Balance zwischen der akuten Abwehr von Bedrohungen und der strategischen Planung und Investition in eine widerstandsfähige Zukunft geschaffen wird. Proaktives Patchen, um Schwachstellen schnellstmöglich zu schließen und Angreifern die Arbeit zu erschweren, ist eine „Quick-Win“-Strategie. Aber selbst bei dieser Form der Reduzierung der Angriffsfläche ist es essenziell, dass Unternehmen über Administratoren für Cybersicherheit verfügen, die in der Lage sind, sich auf ungewöhnliche und verdächtige Aktivitäten zu konzentrieren. Die Reaktion auf Vorfälle und die Forensik sind wesentliche Teile der Betriebspläne.

Melissa Bischoping, Director, Endpoint Security Research bei Tanium, www.tanium.com