Es sind weiterhin Vorschriften erforderlich, um die Einführung von Cybersicherheitsmaßnahmen zu erzwingen
Richtlinien und Tools, die Unternehmen dabei helfen sollen, ihre Cyber-Präsenz zu stärken, werden nutzlos, wenn keine Regeln vorhanden sind, um sicherzustellen, dass solche Praktiken übernommen werden.
Es sind weiterhin Vorschriften erforderlich, um sicherzustellen, dass Unternehmen dazu gezwungen werden, Maßnahmen zur Stärkung ihrer Cybersicherheitslage zu ergreifen.
Singapur hat diese Woche Leitfäden veröffentlicht, die Organisationen, darunter auch kleine und mittlere Unternehmen (KMU), dabei helfen sollen, die mit der Nutzung von Cloud-Diensten verbundenen Risiken besser zu verstehen und zu verstehen, was sie und ihre Cloud-Anbieter tun müssen, um Cloud-Umgebungen zu sichern.
Die beiden „Begleithandbücher“ zur Cloud-Sicherheit dienen dazu, die Einführung nationaler Cybersicherheitsstandards, Cyber Essentials und Cyber Trust, zu erleichtern, die von der Cyber Security Agency (CSA) Singapurs entwickelt wurden und deren Einführung auf ihrer jährlichen Singapore International Cyber Week-Konferenz bekannt gegeben wurden.
Die begleitenden Leitfäden wurden zusammen mit der Cloud Security Alliance veröffentlicht und in enger Zusammenarbeit mit drei Cloud-Anbietern - Amazon Web Services (AWS), Google Cloud und Microsoft - entwickelt, die Kundeneinblicke und relevante Marktstatistiken lieferten. Laut CSA haben die Cloud-Spieler auch die in den Begleithandbüchern bereitgestellten Inhalte „validiert“.
In den Leitfäden werden die Cloud-spezifischen Risiken und Verantwortlichkeiten von Organisationen sowie die Schritte dargelegt, die sie zum Schutz ihrer Umgebungen unternehmen sollten, einschließlich Schulungen für das Personal und Mechanismen zur Verfolgung und Überwachung ihres Cloud-Service-Bestands. Die Dokumente enthalten auch anbieterspezifische Leitfäden für Umgebungen, die auf AWS-, Microsoft- und Google-Plattformen laufen, die auf der Grundlage von Maßnahmen für Cyber Essentials- und Cyber Trust-Standards organisiert sind.
„[Eine häufige] Verwirrung, wenn Unternehmen die Cloud nutzen, ist die Aufteilung der Verantwortung zwischen ihnen als Cloud-Benutzer und der ihrer Cloud-Anbieter“, sagte CSA. „Bei einer Cloud-Bereitstellung gibt es eine gemeinsame Verantwortung, und Organisationen sind sich möglicherweise nicht vollständig der Bereiche bewusst, für die sie verantwortlich sind. Dies kann die Wahrscheinlichkeit von Fehlkonfigurationen, böswilligen Angriffen und/oder Datenschutzverletzungen erhöhen.“
Die kostenlos verfügbaren Leitfäden sollen voraussichtlich 27 % der Unternehmen in Singapur helfen, die Cloud-Computing-Dienste nutzen, sagte die Regierungsbehörde unter Berufung auf eine Studie der Infocomm Media Development Authority (IMDA) aus dem Jahr 2022.
Singapur unternahm diese Woche außerdem weitere Schritte zur Ausweitung einer nationalen Sicherheitskennzeichnungsinitiative auf medizinische Geräte und veröffentlichte eine Sandbox, mit der Hersteller ihre Produkte testen können. Die Teilnehmer der Sandbox geben dann Feedback zu den Anforderungen und Antragsprozessen, anhand derer die Geräte im Rahmen des medizinischen Kennzeichnungssystems bewertet werden, das zu einem späteren Zeitpunkt eingeführt werden soll.
Die Sandbox wird neun Monate lang laufen, wobei das Feedback bei Bedarf zur Feinabstimmung des betrieblichen Arbeitsablaufs und der Anforderungen im Programm genutzt werden soll, sagte CSA. Die Sandbox wurde in Zusammenarbeit mit dem Gesundheitsministerium, der Health Sciences Authority und Synapxe gestartet.
CSA stellte fest, dass 15 % oder mehr als 16.000 medizinische Geräte in lokalen öffentlichen Gesundheitseinrichtungen über eine Internetverbindung verfügen, und sagte, dass medizinische Geräte zunehmend mit Krankenhäusern und Heimnetzwerken verbunden seien. Dies kann zu erhöhten Cybersicherheitsrisiken führen, da Sicherheitslücken beispielsweise in Software für die klinische Diagnostik ausgenutzt werden können, um falsche Diagnosen zu stellen. Auch ungesicherte medizinische Geräte können Ziel von Denial-of-Service-Angriffen sein und dadurch Patienten von der Behandlung abhalten.
Solche Geräte können auch von böswilligen Hackern ausgenutzt werden, um in das Netzwerk eines Krankenhauses einzudringen, was zu Datenlecks oder Netzwerkabschaltungen führen kann.
Mit der Ausweitung des Sicherheitskennzeichnungssystems auf medizinische Geräte werden Hersteller motiviert, Sicherheit in ihr Produktdesign einzubeziehen, und Betreiber im Gesundheitswesen können laut CSA fundiertere Entscheidungen über die Verwendung solcher Geräte treffen. Das Schema umfasst vier Bewertungen, wobei jede Stufe zusätzliche Tests widerspiegelt, anhand derer das Produkt bewertet wurde.
Mit der Sandbox können Gerätehersteller ihre Produkte auf der Grundlage verschiedener Bewertungen testen, darunter Software-Binäranalyse, Penetrationstests und Sicherheitsbewertung.
Solche Initiativen und andere bewährte Sicherheitspraktiken können jedoch nur dann einen gewissen Erfolg bringen, wenn sie als Richtlinien und Ratschläge angeboten werden und nicht als Vorgaben, die Unternehmen übernehmen müssen.
Viele Technologieexperten und CISOs greifen auf Leitfäden zurück und werfen einen Blick auf Best Practices der Branche. Dies kann jedoch nur dann weit gehen, wenn diese nur als Ratschläge und nicht als Vorschriften angeboten werden, sagte Karan Sondhi, Vizepräsident und CTO des öffentlichen Sektors für Sicherheitsanbieter Trellix.
Initiativen wie das Sicherheitskennzeichnungsprogramm dienten beispielsweise als Informationsinstrument und nicht zur Durchsetzung, sagte Sondhi in einem Interview mit ZDNET am Rande der Konferenz.
Harold Rivas, der als CISO von Trellix fungiert, stimmte zu und stellte fest, dass das Kennzeichnungssystem bei Kaufentscheidungen hilft und ein Bewusstsein für potenzielle Risiken schafft. Es gebe Entscheidungsträgern Anlass, über Alternativen nachzudenken, und diene als guter Bezugspunkt für Best Practices, die unabhängig validiert werden, sagte Rivas.
Letztendlich sollte es jedoch klare Vorgaben geben, um die Branche zu klaren Ergebnissen zu bewegen, sagte Rivas.
Zu diesen Anforderungen könnten beispielsweise eine geeignete Patch-Management-Strategie und ein robustes Überwachungssystem gehören, sagte Sondhi. Diese sollten von Roadmaps für die Einführung begleitet werden, damit den Marktteilnehmern die notwendigen Zeitpläne gegeben würden, um die Einhaltung sicherzustellen, fügte er hinzu.
Er räumte ein, dass Bedenken hinsichtlich der Kosten und der Markteinführungszeit dieser Vorschriften unweigerlich auf Widerstand stoßen werden, und sagte, dass die Vorschriften nicht übermäßig komplex sein müssten. Sie können auch auf begleitende Normungsgremien verweisen, deren Aufgabe es ist, bei Bedarf weitere Einzelheiten bereitzustellen und die Übernahme bewährter Verfahren zu aktualisieren. Dies werde es den Regierungen ersparen, mit den Marktveränderungen Schritt zu halten und sich stattdessen auf die Festlegung hochrangiger Anforderungen zu konzentrieren, betonte er.
Die Durchsetzung ist auch ein guter Ausgangspunkt, wenn der Weg zur Cyber-Resilienz lang und voller Komplexität sein kann.
Insbesondere Organisationen im Bereich der operativen Technologie (OT) verfügen über Ökosysteme, die anders verwaltet werden müssen als IT-Infrastrukturen, sagte Sondhi. Sie müssen eine Bestandsaufnahme aller ihrer OT-Systeme und -Geräte erstellen und sicherstellen, dass Tools von Drittanbietern gesichert und integriert sind, damit sie eine klare Transparenz über ihre gesamte Lieferkette haben.
Regierungen, darunter Singapur und die USA, unterstützen nun die Sektoren OT und CII (kritische Informationsinfrastruktur) bei der Bewältigung dieser Probleme, sagte Rivas. Die Reise sei jedoch lang und werde einige Zeit dauern, sagte er.
Regierungen könnten dies erleichtern, indem sie bestimmte Branchenanforderungen durchsetzen und es so allen Branchenakteuren ermöglichen, sich schrittweise anzupassen, sagte Sondhi. Beispielsweise müssen Organisationen, die staatliche Dienstleistungen wie intelligente Zähler anbieten, nachweisen, dass sie über eine klare Bestandsaufnahme ihrer Systeme und einen Patch-Management-Zeitplan verfügen. Anbieter, die gegen die in diesen vertraglichen Vereinbarungen festgelegten Anforderungen verstoßen, sollten dann bestraft werden, sagte er.
Solche übergreifenden Regulierungsrahmen tragen dazu bei, Maßnahmen voranzutreiben und dienen dem Schutz sowohl von Organisationen als auch von Bürgern, sagte Rivas.
Eine robuste Cyber-Resilienz ist von entscheidender Bedeutung, insbesondere da einige dieser Sektoren wachsenden Bedrohungen ausgesetzt sind.
Laut Vivek Gullapalli, Asien-Pazifik-CISO bei Check Point Software Technologies, mussten Organisationen des öffentlichen Sektors im asiatisch-pazifischen Raum in den letzten sechs Monaten durchschnittlich fast 3.000 Angriffe pro Woche abwehren.
Der Bildungs- und Forschungssektor erlebte in den letzten sechs Monaten mit 4.057 pro Organisation die höchste Anzahl wöchentlicher Angriffe, gefolgt vom Gesundheitswesen mit 2.958 und dem Regierungs- und Militärsektor mit 2.882 Angriffen.
Durch die Digitalisierung vergrößere sich ihre Angriffsfläche und Ransomware stelle eine ernsthafte Bedrohung dar, da sie ganze Netzwerke lahmlegen könne, sagte Gullapalli. Diese Risiken haben Regierungen dazu veranlasst, ihre CII- und OT-Branchen zu schützen.
Er fügte hinzu, dass einige dieser Sektoren noch im Entstehen begriffen seien und intelligente Nationen immer noch mit neuen Technologien wie fahrerlosen Fahrzeugen, intelligenten Kameras und anderen Geräten für das Internet der Dinge (IoT) aufgebaut würden.
Da sich die zugrunde liegende OT-Infrastruktur ständig weiterentwickelt, wird die Fähigkeit zur Verwaltung des gesamten Ökosystems komplex. Beispielsweise kann ein anderer Ansatz erforderlich sein, um Sicherheitspatches für OT-Geräte anzuwenden. Und da die Nachfrage nach Konnektivität wächst, müssen Unternehmen herausfinden, welche Geräte miteinander verbunden sind und daher weitere Sicherheitsmaßnahmen und eingebettete Tools benötigen.
Da sich die Verwaltung von Infrastrukturen manchmal zwischen dem öffentlichen und dem privaten Sektor überschneide, müsse auch ein geeigneter Rahmen zum Schutz des gesamten OT-Ökosystems geschaffen werden, sagte er.
Es gebe noch viel zu lernen und es seien andere Ansätze nötig, sagte Gullapalli. Angesichts dieser anhaltenden Entwicklung forderte er kontinuierliche Gespräche und Zusammenarbeit zwischen Regierungen, Herstellern von OT-Geräten und Sicherheitsakteuren, um die Lücken zu schließen.