Schauen wir uns an, wie sich das regulatorische Umfeld verändert und wie Unternehmen darauf reagieren können
Cybersecurity-Landschaft im Wandel
Die USA haben kein umfassendes nationales Cybersicherheitsgesetz, aber das könnte und sollte sich bald ändern. Am 4. April kündigte das Außenministerium eine neue Behörde an: das Bureau of Cyberspace and Digital Policy (CDP).
Das CDP wird sich auf den Cyberspace, digitale Technologien und die digitale Politik konzentrieren und möglicherweise landesweite, aktuelle Sicherheitsvorschriften aufstellen.
Dieser Wandel in der Regulierungslandschaft ist eine Reaktion auf die wachsenden Risiken und Bedenken im Bereich der Cybersicherheit. Im Ukraine/Russland-Konflikt ist ein Cyber-Krieg ausgebrochen, bei dem Hacker Regierungsseiten offline geschaltet, Fehlinformationen verbreitet und Kommunikationsnetze lahmgelegt haben. Da Infrastrukturen und Organisationen immer stärker auf digitale Technologien angewiesen sind, werden diese Angriffe immer bedenklicher.
Neben der Cyber-Kriegsführung hat die allgemeine Cyber-Kriminalität stark zugenommen, da digitale Daten in Unternehmen eine immer wichtigere Rolle spielen. Angriffe auf die Lieferkette wie der SolarWinds-Hack machen deutlich, wie sich die Anfälligkeit von Dritten auf Unternehmen auswirken kann.
Da die Methoden der Unternehmensbewertung Risikofaktoren berücksichtigen, können Unternehmen, die bestimmte Sicherheitsstandards nicht erfüllen, keine strategischen Partnerschaften eingehen.
In Anbetracht dieser wachsenden Risiken und möglicher neuer Vorschriften müssen Unternehmen höhere Sicherheitsstandards einhalten. Hier ist, was das mit sich bringen sollte.
Regulatorische Anforderungen
Der erste Schritt besteht darin, auf die Entwicklung von Vorschriften zu achten und ihre Einhaltung zu gewährleisten. Bestehende Rechtsvorschriften wie die europäische Datenschutzgrundverordnung (GDPR) und der California Consumer Privacy Act (CCPA) können als Leitlinien dienen.
Einige Unternehmen fallen möglicherweise unter diese Vorschriften, ohne sich dessen bewusst zu sein, weshalb sie ihre Daten und diese Gesetze überprüfen sollten, um sicherzugehen.
Selbst wenn diese Gesetze für einige Unternehmen nicht gelten, kann die Übernahme ihrer Standards hilfreich sein. Auch wenn sich diese Vorschriften unterscheiden, gibt es oft erhebliche Überschneidungen zwischen ihnen, so dass die Übernahme ihrer Standards bei der Vorbereitung auf künftige Gesetze helfen kann. Tools für die Netzwerkverwaltung mit maschinellem Lernen können bei der Installation von Updates im gesamten Netzwerk helfen, um den Betrieb an neue Vorschriften anzupassen.
Von der Regierung empfohlene Maßnahmen
Die nationale Regierung hat zwar noch keine umfassenden Sicherheitsmaßnahmen veröffentlicht, aber sie hat Handlungsempfehlungen herausgegeben. Am 21. März veröffentlichte das Weiße Haus ein Merkblatt zur Cybersicherheit als Reaktion auf die zunehmenden Risiken der Cyber-Kriegsführung. Unternehmen sollten diese überprüfen und alle Maßnahmen ergreifen, die sie noch nicht ergriffen haben.
Zu den empfohlenen Maßnahmen gehören:
- Verpflichtende Multi-Faktor-Authentifizierung (MFA)
- Verwendung von Tools zur kontinuierlichen Überwachung von Bedrohungen
- Verschlüsselung und Sicherung von Daten
- Aufklärung der Mitarbeiter über bewährte Sicherheitsverfahren
- Durchführung von Notfallsimulationen, um schnelle Reaktionen zu trainieren
- Überprüfung auf und Behebung von Sicherheitslücken wie gestohlene Kennwörter
- Aufbau von Beziehungen zu staatlichen Sicherheitsbehörden
Unternehmen sollten sich auch bei regionalen Abteilungen und Behörden sowie bei Regierungspartnern nach weiteren Empfehlungen für ihre spezifische Situation erkundigen. Die Einhaltung dieser Richtlinien wird den Unternehmen wahrscheinlich helfen, neue Vorschriften einzuhalten, noch bevor sie auftauchen.
Über sich hinauswachsen
Die Cyberkriminalität entwickelt sich ständig weiter, und wie die aktuellen Ereignisse zeigen, sind Vorschriften und offizielle Empfehlungen nicht immer zeitgemäß. Daher sollten Unternehmen ihre Standards über die Erwartungen der Regulierungsbehörden hinaus erhöhen.
Einige Vorschriften, wie z. B. die Cybersecurity Maturity Model Certification (CMMC) des Verteidigungsministeriums, bestehen aus mehreren Stufen mit zunehmend fortgeschrittenen Schutzmaßnahmen. Anstatt sich mit der niedrigsten anwendbaren Option zu begnügen, sollten Unternehmen die höchste anstreben.
Es ist wichtig, sich darauf zu konzentrieren, was das Unternehmen, seine Kunden und Partner am sichersten macht, anstatt sich auf die Anforderungen zu konzentrieren.
Schritte wie die Einführung einer Zero-Trust-Architektur oder der Einsatz künstlicher Intelligenz (KI) zur Überwachung und Anpassung von Netzwerken sind zwar nicht unbedingt erforderlich, verbessern aber die Sicherheit erheblich. Angesichts der Schnelligkeit, mit der neue Cyber-Bedrohungen auftauchen, dürfen Unternehmen in Bezug auf ihre Sicherheit niemals selbstgefällig werden.
Die Nation braucht neue Cybersicherheitsvorschriften
Die jüngsten Entwicklungen im Bereich der Cyberkriminalität machen deutlich, dass neue, umfassendere Vorschriften für die Cybersicherheit erforderlich sind. Während Unternehmen darauf warten, dass diese Gesetze erlassen werden, sollten sie die Initiative ergreifen und ihre Standards erhöhen.
Je mehr Unternehmen sich selbst und ihre Partner an höhere Sicherheitsstandards halten, desto besser wird die allgemeine Cybersicherheit in unserem Land sein. Neue Vorschriften sind notwendig, um Unternehmen zu besseren Praktiken anzuleiten, aber die Sicherheit kann und sollte ihnen vorausgehen.
Über den Autor
Dieser Blog wurde von einem unabhängigen Gastblogger geschrieben: Devin Partida ist Autor für Cybersicherheit und Technologie sowie Chefredakteur des Tech-Blogs ReHack.com.