Vor Kurzem stellte Dr. Ian Levy, Direktor des neuen National Cyber Security Centre (NCSC) in Großbritannien, eine Vorschau auf die wichtigsten Initiativen der neuen Cyber-Sicherheitsstrategie der Regierung vor. Diese Strategie kommt ein Jahr nach der Ankündigung von George Osborne, dass Großbritannien £ 1,9 Milliarden bis 2020 für Cybersicherheit investieren wird, und empfiehlt, dass Cyber-Verteidigung schnell als oberste Priorität für Behörden und Unternehmen implementiert wird.
Nachstehend finden Sie die drei wichtigsten Initiativen eines 5-Jahresplans – und was sie für britische Organisationen bedeuten.
Alarmierrhetorik durch konkrete Leitlinien ersetzen
Obwohl die Internetsicherheitsbranche weiterhin innovative Ideen einsetzt, wird der Markt dennoch mit nutzloser, verwirrender Rhetorik von Panikmachern überflutet. „Die größte Bedrohung der Zukunft ist, dass wir weiter wie heute über Internetsicherheit sprechen“, sagte Levy letzte Woche.
Wir werden zu häufig von den neuesten Scam- oder Betrugstaktiken abgelenkt, stattdessen sollten wir uns darauf konzentrieren, effektive, durchgehende Lösungen für Unternehmen und Regierungsbehörden zu gewährleisten und diese klar und hilfreich weiterzugeben.
Das primäre Ziel im Zentrum der Strategie liefert „einen Ort für alles“, sagte Levy. „Von Informationen über die Entwicklung eines Systems, über seinen Aufbau und Betrieb bis zur Annahme, ist, wie wir helfen.“
Erhöhte Transparenz zwischen dem öffentlichen und privaten Sektor
Ein weiteres, wichtiges Ziel der Strategie ist der Abbau von Mauern zwischen Regierungen und privaten Unternehmen. Je mehr Informationen wir über aktuelle Angriffstaktiken und Verteidigungsstrategien teilen, um so besser für uns alle.
Levy sagte: „Wir sollten dies öffentlich und transparent vornehmen, Daten und Taten veröffentlichen, welchen Effekt sie hatten und was es kostete. Ich möchte, dass die Leute das Gesamtbild der Internetsicherheit wirklich verstehen. Was die Risiken wirklich sind und wie sie sich besser schützen können.“
Das gilt speziell für den öffentlichen Sektor, der sich üblicherweise auf veraltete Systeme verlässt, die nur langsam reagieren. Der Abbau dieser Barrieren würde auch dabei helfen, die Sicherheit von einem IT-bezogenen Problem zu einer universellen Initiative zu machen.
Dauerhafte und ansprechbare Bedrohungen ausräumen
E-Mail bleibt bei den schlimmsten Datenverstößen der jüngsten Vergangenheit nach wie vor der primäre Bedrohungsvektor. Die jüngsten Angriffe auf das Democratic National Committee (DNC) und Office of Personnel Management (OPM) in den USA waren das direkte Resultat einer einfachen Phishing-E-Mail.
Die Vision des NCSC für einen robusten Schutz umfasst nicht den Einsatz brandneuer, komplexer Abwehrtaktiken. Stattdessen sollen die „tiefhängenden Früchte“ in Angriff genommen werden, indem in beste Praktiken investiert wird, die sich bereits bewährt haben. Diese umfassen hauptsächlich die Verpflichtung, auf allen 5.700 Regierungsdomänen den DMARC(Domain-based Message Authentication Reporting & Conformance)-E-Mail-Authentifizierungsstandard einzusetzen.
Indem die Regierung die Kontrolle über ihre vertrauten Domänen zurückerobert, möchte sie „hart gegen gefälschte E-Mail-Konten durchgreifen, die bei betrügerischen Handlungen verwendet werden“ und Phishing in Großbritannien erschweren. DMARC ist auf komplexen Umgebungen schwierig einzusetzen, ist jedoch für jede Organisation ein kritischer erster Schritt im Kampf gegen Domänenbetrug.
HMRC – ein frühzeitiger Anwender von DMARC – sah großartige Ergebnisse bei einem ersten Ansatz der Authentifizierung. Ed Tucker, Leiter der Internetsicherheit bei HMRC, sagte: „Der DMARC-Standard funktioniert einfach. Durch einen gemischten Ansatz zur Bekämpfung von E-Mail-Betrug, stellt DMARC den Grundstein der technischen Kontrollen dar, den Absender heute einsetzen können, um das Vertrauen wieder herzustellen und ihren E-Mail-Kanal für rechtmäßige Marken und Verbraucher zurückzuerobern.“
Unterbrechung der Cybernomik
Während Gefährdungen einen Höchststand und das Vertrauen in digitale Technik einen Tiefststand erreicht haben, fanden der private und der öffentliche Sektor in Cyberkriminalität einen gemeinsamen Feind. Die britische Regierung beschrieb ihre Nationale Internetsicherheitsstrategie als Unterbrechung des aktuellen Internet-Wirtschaftsmodells, indem Großbritannien ein unnachgiebiges Angriffsziel wird und die Kosten und Risiken für die Kriminellen erhöht werden.
Da jede Organisation ein potentielles Opfer ist, sollte sich der private Sektor auf das vom NCSC beschriebene Wesentliche im Internet konzentrieren. Durch eine Kombination aus menschlichen, Prozess- und Technologiekontrollen können Unternehmen die Gefahren der raffiniertesten Cyberattacken vor der Entdeckung und Reaktion reduzieren.