Das Biden-Memorandum stellt neue Anforderungen an die Cybersicherheit für nationale Sicherheitssysteme

US-Präsident Joe Biden hat heute unterzeichnet Memorandum zur nationalen Sicherheit die neue Anforderungen an die Cybersicherheit nationaler Sicherheitssysteme festlegt, die vom Verteidigungsministerium und den Geheimdiensten des Landes verwaltet werden.

Die Anordnung besagt, dass die Anforderungen der NSS den Standard für zivile Bundesbehörden erfüllen oder übertreffen müssen, wie in einer vom Präsidenten unterzeichneten Durchführungsverordnung beschrieben. Im Mai. Dieser Befehl kommt unmittelbar nach dem Angriff auf den Pipeline-Betreiber Colonial Pipeline Co., beinhaltete den Austausch von Informationen zwischen Regierung und Privatsektor, die Verwendung von Multi-Faktor-Authentifizierung durch Regierungsbehörden, die Einrichtung eines Cyber ​​​​Security Review Board und die Erstellung eines standardisierten Antwortbuchs für Cyberangriffe.

Die neue Anordnung ermächtigt die National Security Agency, verbindliche operative Anweisungen zu erlassen, um die Behörden zu zwingen, „konkrete Maßnahmen gegen bekannte oder vermutete Cybersicherheitsbedrohungen und -schwachstellen zu ergreifen“. Das Ministerium für innere Sicherheit hat gemäß einer früheren Anordnung vom Mai identische Befugnisse gegenüber zivilen Stellen.

Ein Großteil der Beschaffung geht in technische Details, aber die bemerkenswerte Anforderung ist, dass jede Abteilung oder Behörde, die das NSS verwaltet, ihre Cloud-Technologiepläne innerhalb von zwei Monaten aktualisieren muss. NSS-Behörden haben außerdem 180 Tage Zeit, um MFA und Verschlüsselung für NSS-Daten im Ruhezustand und Daten während der Übertragung zu implementieren.

Alle NSS-Behörden sind außerdem verpflichtet, der NSA alle Cybersicherheitsvorfälle zu melden, an denen sie beteiligt sind. Das Weiße Haus sagte, der Bericht würde der Regierung helfen, Cybersicherheitsrisiken im NSS zu identifizieren und zu mindern.

„Behörden, die verpflichtet sind, ihre nationalen Sicherheitssysteme zu identifizieren und Cybervorfälle, an denen sie beteiligt sind, der NSA zu melden, entsprechen den Empfehlungen der Branche an Kunden“, sagte Mark Manglikmott, Vizepräsident von Security Services, einem Unternehmen für Sicherheitsoperationen Arctic Wolf Networks Inc., sagte SiliconANGLE. „Um etwas zu schützen, benötigen Sie ein Asset-Inventar, um zu wissen, welche Ihre wichtigsten Systeme und Daten sind. Diese Richtlinie schreibt diese bewährte Methode vor.“

Manglicmot stellt fest, dass neue Sicherheitsstandards und Testanforderungen für Sicherheitstools von entscheidender Bedeutung sind. „Ein bekannter Standard definiert eine Grundlinie, die auferlegt und verbessert werden kann“, erklärte Manglicmot. „Das Testen ist Teil eines ausgereiften Sicherheitsprogramms, um seine Wirksamkeit und technische Kontrolle zu testen. Ohne Tests ist nicht klar, wie effektiv die Implementierung dieser Kontrollen ist – geschweige denn, wie sie mit der Entwicklung der Bedrohungslandschaft verbessert werden können.

Tim Erlin, Vice President of Strategy für Cybersicherheits- und Compliance-Lösungen Tripwire Inc., sagte, das Memorandum habe viele Aspekte der ursprünglichen Vollstreckungsanordnung angesprochen, einschließlich der Förderung Null Vertrauen Architektur, Implementierung der Verschlüsselung und Verbesserung des Austauschs von Vorfalldaten.

„Es mag für den Durchschnittsbürger schwierig sein, zu analysieren, was hier passiert, aber diese Art von Artefakten, Memoranden und Durchführungsverordnungen sind Schlüsselkomponenten für die effektive Umsetzung weitreichender politischer Änderungen“, sagte Erlin. „Zum Beispiel wird die Aufnahme von Null-Vertrauen in dieses Memorandum und in die Durchführungsverordnung die Behörden dazu veranlassen, spezifische Entscheidungen darüber zu treffen, welche Technologien gekauft und implementiert werden sollen.

James McQuigan, Advocate für Sicherheitsbewusstsein bei der Security Awareness Training Company KnowBe4 Inc., sagte, dass eine Sache in dem Vertrag fehle, sei die Aufklärung und die Schaffung einer soliden Sicherheitskultur bei den Verbrauchern. „Wenn Benutzer Social-Engineering-Angriffe erkennen können, über die notwendige Schulung verfügen, um in Netzwerk- oder Betriebssicherheitszentren zu arbeiten, und verstehen, wie wichtig die Entwicklung eines Sicherheitscodes ist, kann dies die Widerstandsfähigkeit der Organisation oder der Regierungssysteme verbessern und das Risiko eines a Cyber-Angriff”, fügte McQueen hinzu.

Foto: POTUS / Twitter