Biden-Memorandum legt neue Cybersicherheitsanforderungen für nationale Sicherheitssysteme fest
US-Präsident Joe Biden unterzeichnete ein Nationales Sicherheitsmemorandum die neue Cybersicherheitsanforderungen für nationale Sicherheitssysteme festlegt, die vom Verteidigungsministerium und den Geheimdiensten des Landes betrieben werden.
Der Haftbefehl besagt, dass die NSS-Anforderungen den für zivile Bundesbehörden festgelegten Standard erfüllen oder übertreffen müssen, wie in einer vom Präsidenten unterzeichneten Durchführungsverordnung festgelegt im Mai. Diese Bestellung, kurz nach dem Angriff auf den Netzbetreiber Colonial Pipeline Co., umfasste den Austausch von Informationen zwischen der Regierung und dem privaten Sektor, die Vorgabe der Verwendung von Multi-Faktor-Authentifizierung durch Regierungsbehörden, die Einrichtung eines Cybersecurity Safety Review Board und die Erstellung eines standardisierten Response-Playbooks für die Reaktion auf Cyber-Angriffe.
Die neue Anordnung ermächtigt die National Security Agency, verbindliche operative Richtlinien herauszugeben, um die Behörden zu zwingen, „bestimmte Maßnahmen gegen bekannte oder vermutete Cybersicherheitsbedrohungen und -schwachstellen zu ergreifen“. Das Department of Homeland Security hat gemäß der vorherigen Entscheidung vom Mai identische Befugnisse gegenüber zivilen Behörden.
Ein Großteil der Bestellung betrifft technische Details, aber eine der Anforderungen ist, dass jede Abteilung oder Behörde, die ein NSS betreibt, ihre Cloud-Technologiepläne innerhalb von zwei Monaten aktualisieren muss. NSS-Behörden haben außerdem 180 Tage Zeit, um MFA und Verschlüsselung für NSS-Daten im Ruhezustand und Daten während der Übertragung zu implementieren.
Alle NSS-Behörden sind außerdem verpflichtet, Cybersicherheitsvorfälle, an denen sie beteiligt sind, der NSA zu melden. Das Weiße Haus sagte, diese Berichterstattung würde der Regierung helfen, Cybersicherheitsrisiken innerhalb von NSS zu identifizieren und zu mindern.
„Behörden, die verpflichtet sind, ihre nationalen Sicherheitssysteme zu identifizieren und Cybervorfälle, an denen sie beteiligt sind, der NSA zu melden, richten sich nach den Ratschlägen, die die Branche den Kunden häufig gibt“, sagte Mark Manglicmot, Vizepräsident für Sicherheitsdienste bei einem Sicherheitsunternehmen. Arctic Wolf Networks Inc., sagte SiliconANGLE. „Um irgendetwas zu verteidigen, benötigen Sie ein Asset-Inventar, um Ihre kritischsten Systeme und Daten zu kennen. Diese Richtlinie verpflichtet zu dieser Best Practice.“
Manglicmot weist darauf hin, dass neue Sicherheitsstandards und Testanforderungen für Sicherheitstools unerlässlich sind. „Ein bekannter Standard ist eine Grundlage, die durchgesetzt und verbessert werden kann“, erklärt Manglicmot. „Das Testen ist Teil eines ausgereiften Sicherheitsprogramms, um die Effektivität und die technischen Kontrollen zu testen. Ohne Tests ist unklar, wie effektiv die Implementierung dieser Kontrollen ist – ganz zu schweigen davon, wie sie verbessert werden können, wenn sich die Bedrohungslandschaft weiterentwickelt.“
Tim Erlin, Vice President of Strategy for Cybersecurity and Compliance Solutions des Unternehmens Tripwire Inc., sagte, das Memorandum berühre viele Aspekte der ursprünglichen Exekutivverordnung, einschließlich der Förderung Null Vertrauen Architektur, Implementierung von Verschlüsselung und Verbesserung der gemeinsamen Nutzung von Vorfalldaten.
„Für den Durchschnittsbürger kann es schwierig sein, zu verstehen, was hier passiert, aber diese Art von Artefakten, Memoranden und Durchführungsverordnungen sind Schlüsselkomponenten für die effektive Operationalisierung breit anwendbarer politischer Änderungen“, sagte Erlin. „Zum Beispiel wird die Aufnahme von Zero Trust in dieses Memorandum und in die Durchführungsverordnung die Behörden dazu veranlassen, spezifische Entscheidungen darüber zu treffen, welche Technologien gekauft und implementiert werden sollen.“
James McQuiggan, Advocate für Sicherheitsbewusstsein bei Security Awareness Training Company KnowBe4 Inc., sagte, eine Sache, die in der Bestellung fehle, sei die Aufklärung und Schaffung einer soliden Sicherheitskultur unter den Benutzern. „Wenn Benutzer Social-Engineering-Angriffe erkennen können, über die erforderliche Schulung verfügen, um in Netzwerk- oder Sicherheitsbetriebszentren zu arbeiten, und die Bedeutung der Entwicklung von sicherem Code verstehen, kann dies die Widerstandsfähigkeit der Organisation oder der Regierungssysteme stärken und das Risiko eines Angriffs erheblich verringern Cyber-Angriff”, fügte McQuiggan hinzu.
