Drei Gründe, warum der private Sektor die Cybersecurity Executive Order zur Kenntnis nehmen sollte

Die jüngste Executive Order, die im Mai 2021 von Präsident Biden unterzeichnet wurde, ist eine Reaktion auf eine Reihe hochkarätiger Cyberangriffe auf Ziele wie z SolarWinds, Microsoft Exchange und zuletzt die Colonial Pipeline. In der Erkenntnis, dass der Informationsaustausch und strengere Cybersicherheitsstandards für die Aufrechterhaltung einer starken Verteidigung in einem sich entwickelnden Bedrohungsumfeld von entscheidender Bedeutung sind, hat die Bundesregierung Maßnahmen zur Umsetzung bewährter Sicherheitsverfahren angeordnet.

Was hat sich geändert?

Ohne das Vertrauen der Öffentlichkeit in die digitale Infrastruktur des Landes sind die Motoren des globalen Handels und der Regierungsdienste gefährdet. Diese Exekutivverordnung hat das Problem nicht mit einem allgemeinen Aufruf zur Verbesserung der Sicherheit angegangen, sondern vielmehr mit spezifischen Technologien, die, sobald sie implementiert sind, die besten Chancen haben, zukünftige Angriffe zu verhindern.

Um diese Verschärfung der Sicherheit zu fördern, tritt die US-Regierung vor, um „mit gutem Beispiel voranzugehen“, indem sie diese Maßnahmen im gesamten öffentlichen Sektor ergreift. Um die Wirkung dieser Initiative zu maximieren, fordert diese Durchführungsverordnung jedoch sowohl den öffentlichen als auch den privaten Sektor auf, eine standardisierte technologische Basis zu erreichen, die eine Koordinierung bei der Meldung von Vorfällen und der Abwehr von Bedrohungen ermöglicht. Dies bedeutet auch, dass Sicherheitsmaßnahmen, die einst als Nice-to-have-Roadmap-Features galten, jetzt mit viel größerer Dringlichkeit umgesetzt werden müssen.

Drei Dinge, die Sie wissen müssen

1. Wenn Sie mit dem Bundessektor zusammenarbeiten oder dies planen, müssen Sie die Vorschriften einhalten
   Auf Bundesebene umgesetzte Standards werden die Grundlage für eine als starke Cybersicherheitshaltung im gesamten privaten Sektor gelten. Tatsächlich heißt es in der Executive Order ausdrücklich, dass „der Privatsektor sich an die sich ständig ändernde Bedrohungsumgebung anpassen, sicherstellen muss, dass seine Produkte sicher gebaut sind und funktionieren, und mit der Bundesregierung zusammenarbeiten muss, um einen sichereren Cyberspace zu fördern.“ Konkret handelt es sich um die praxiserprobten Bausteine ​​von Identitätsschutz – risikobasierte Multi-Faktor-Authentifizierung und bedingter Zugriff – wird zum Standard werden, sowohl für Netzwerke im Bundesbereich als auch für Anbieter, mit denen die US-Regierung Verträge über Dienste abschließt.

2. Sicherheit ist ein großes Hindernis für die Einführung von Cloud-Technologien
   Die Executive Order schreibt vor, „den Übergang zu sicheren Cloud-Diensten zu beschleunigen“. Umfassender Netzwerkschutz erfordert jedoch einheitliche Sicherheitsfunktionen nicht nur für Cloud-Dienste, sondern auch für die On-Premise-Ressourcen, die häufig Teil eines hybriden Netzwerks sind. Typischerweise hat ein hybrides Netzwerk mehrere IAM Lösungen, die jeweils separat verwaltet werden und unterschiedliche Sicherheitsstufen bieten. Die Konsolidierung dieser Sicherheitsprodukte über alle Ressourcen und Zugriffsversuche hinweg ist für die Identifizierung und Verwaltung von Cybersicherheitsrisiken unerlässlich. Mit einem einheitlichen Identitätsschutz Framework vorhanden sind, können Assets in die Cloud migriert werden, ohne darauf vertrauen zu müssen, dass sie sicher bleiben.

3. Zero-Trust-Ansätze entwickeln sich zu einem neuen Standard
   Entwicklung eines Umsetzungsplans Zero Trust-Architektur ist durch diese Executive Order vorgeschrieben, daher entwickelt sich diese Haltung schnell vom Konzept zur Realität. Bis heute war der vorherrschende Ansatz Zero Trust Netzwerkzugriff (ZTNA), der sich auf das Gerät und das Netzwerksegment konzentriert, auf das es zuzugreifen versucht. Dies kann in Unternehmensumgebungen schwierig zu implementieren sein, ohne dass Netzwerke neu aufgebaut werden müssen. Ein weiterer Ansatz, der heutzutage immer mehr an Interesse gewinnt, ist ein Identitätsbasiertes Zero Trust Ansatz, der die Identität und das Verhaltensprofil des Benutzers berücksichtigt, um das Risikoniveau zu bestimmen, und dynamische, risikobasierte Zugriffskontrollen anwendet. Jeder Zugriffsversuch wird einzeln ausgewertet; Der Identität eines Benutzers wird nie völlig vertraut, bis er beweist, dass er tatsächlich der ist, für den er sich ausgibt.