Überparteilicher Gesetzentwurf zur Cybersicherheit steht bevor

Die Abgeordneten im US-Kongress arbeiten fieberhaft an einem Gesetzentwurf, der die massive Zunahme von Ransomware- Angriffen und anderen Cyberattacken auf kritische Organisationen wie Colonial Pipeline und JBS bekämpfen soll. Bislang hatte die US-Bundesregierung es versäumt, ein bundesweites Gesetz zur Bekämpfung und Meldung von Cybersicherheitsvorfällen zu verabschieden. Der aktuelle, parteiübergreifende Gesetzentwurf der Senatoren Mark Warner (Demokrat, Virginia), Marco Rubio (Republikaner, Florida) und Susan Collins (Republikanerin, Maine) verdeutlicht die verstärkten Bemühungen des Kongresses, dringend benötigte Bundesregeln für die Meldung von Cybersicherheitsvorfällen zu erlassen.

[Anmerkung des Herausgebers: Warum nicht Gesetze erlassen, die auf Präventionsmaßnahmen abzielen?] 

Was steht in der Rechnung?

Der Gesetzesentwurf verpflichtet Bundesbehörden, Auftragnehmer und Betreiber kritischer Infrastrukturen, Sicherheitsvorfälle innerhalb von 24 Stunden an die Cybersecurity and Infrastructure Security Agency (CISA) des US-Heimatschutzministeriums (DHS) zu melden . Die CISA würde gemeinsam mit dem Direktor des Nationalen Nachrichtendienstes, dem Office of Management and Budget (OMB), dem Verteidigungsministerium und dem Chief Information Officer (CIO) der Bundesregierung Richtlinien erarbeiten, die festlegen, wer welche Arten von Eindringversuchen melden muss. Neben der Meldung von Eindringversuchen müssten Unternehmen auch die betroffenen Netzwerke, die angewandten Taktiken der Hacker und die Kontaktdaten der Opfer angeben.

[Anmerkung des Herausgebers: Warum die Beschränkung auf Bundesbehörden, wenn kleine und mittlere Unternehmen 15-mal häufiger angegriffen werden?]

Bundesauftragnehmer, die sich nicht an das Gesetz halten, müssen mit Strafen rechnen, die bis zum Verlust zukünftiger Aufträge reichen können. Für jeden Tag, an dem sie sich nicht an das Gesetz halten, drohen Betreiber kritischer Infrastrukturen oder Cyber-Incident-Response-Unternehmen Geldstrafen von bis zu 24 Prozent ihres Bruttoumsatzes des Vorjahres.

Der Gesetzentwurf sieht Haftungsschutz für Unternehmen vor, die ihre Datenschutzverletzung melden, wodurch Hindernisse für eine offene und ehrliche Kommunikation mit der CISA beseitigt werden sollen. [Frage der Redaktion: Werden diese Meldungen an die CISA öffentlich oder vertraulich sein?]

Warum das Gesetz verabschieden?

Obwohl einige Regierungsbehörden, wie beispielsweise die TSA, bereits in irgendeiner Form Cybersicherheitsanforderungen unterliegen, sollte ein Gesetz eingeführt werden, das alle Regierungsbehörden betrifft. Derzeit gibt es parteiübergreifende Unterstützung für dieses Gesetz, da alle sich einig sind, dass Cyberangriffe ein großes Problem darstellen, wie die Angriffe auf Krankenhäuser, Schulen und Regierungsbehörden in einem Jahr gezeigt haben. Beide Seiten wollen Maßnahmen ergreifen, um diese Angriffe einzudämmen. CISA-Vertreter argumentieren, dass eine transparente Berichterstattung über diese Angriffe zu einem besseren Verständnis und zu Gegenmaßnahmen zum Schutz der kritischen Infrastruktur des Landes beitragen wird.

[Anmerkung der Redaktion: CyberHoot geht davon aus, dass die US-amerikanischen Sicherheitsdienste die beteiligten Gruppen, ihre Taktiken, Techniken und Verfahren genau kennen. Darüber hinaus glaubt CyberHoot, zu wissen, welche Gegenmaßnahmen am wirksamsten wären. Warum steht dann nicht die Prävention im Mittelpunkt? Wir brauchen nicht mehr Daten, sondern mehr Maßnahmen, um uns zu schützen.]

Was sollten wir tun, um uns zu schützen?

Ihr Unternehmen kann nicht auf die Vorschriften des US-Kongresses warten, um Schutzmaßnahmen gegen Ransomware oder andere Cyberangriffe zu fordern. Ihr Unternehmen muss heute proaktiv Maßnahmen ergreifen, um das Risiko, Opfer zu werden, zu verringern. CyberHoot empfiehlt die folgenden Best Practices zur Vorbereitung, Schadensbegrenzung und gegebenenfalls Vermeidung solcher Cyberangriffe:

• Adoptieren Zwei-Faktor-Authentifizierung auf alle kritischen internetzugänglichen Dienste
• Adoptiere a Password Manager für eine bessere persönliche/berufliche Passworthygiene
• Erfordert Passwörter mit mindestens 14 Zeichen in Ihrem Governance-Richtlinien
• Folge a 3-2-1-Sicherungsmethode für alle kritischen und sensiblen Daten
• Mitarbeiter schulen E-Mail-basierte Phishing Attacken
• Überprüfen Sie, ob die Mitarbeiter können Phishing-E-Mails erkennen und vermeiden, indem sie getestet werden
• Dokumentieren und testen Pläne zur Business Continuity Disaster Recovery (BCDR)
• Führen Sie eine Risikobewertung alle zwei bis drei Jahre

Beginnen Sie noch heute mit dem Aufbau Ihres robusten, mehrschichtigen Cybersicherheitsplans mit CyberHoot.

Um mehr über Ransomware und deren Auswirkungen auf Ihr Unternehmen zu erfahren, sehen Sie sich unser neuestes Schulungsvideo an:

Quellen: 

CyberScoop

CNN

Der Hügel

Zusätzliche Lektüre: 

JBS-Ransomware-Angriff

Colonial Pipeline gehackt

Texas verlangt Sensibilisierungstraining nach Angriff auf Colonial