Barracuda CTO Fleming Shi über die Meldepflicht für Cybersicherheitsvorfälle

Druckfreundlich, PDF & E-Mail

Die Weltgeschichte ist voll mit Geschichten über Spionage und gestohlene Geheimnisse. Sun Tzu behandelte den Wert und die Anwendung der Spionagetechnik ausführlich in seiner klassischen militärischen Abhandlung „Die Kunst des Krieges“. Gegnerische Geheimnisse zu stehlen, die gegnerische Führung zu infiltrieren und dem Feind falsche Informationen zuzuspielen sind besonders wichtige militärische Taktiken. Auch in der griechischen, römischen, ägyptischen und aztekischen Antike gab es Beweise für Spionage und Subversion.

Die staatliche Spionage erreichte den Cyberspace (wie wir ihn kennen) bereits 1982, als die CIA angeblich ein trojanisches Pferd in die Systeme einer sibirischen Gaspipeline einschleuste. Der Code verursachte die Explosion der Pipeline, indem er Pumpen und Ventile zurücksetzte, um genügend Druck für die Explosion zu erzeugen. 1985 drangen chinesische Hacker angeblich in das System des US Office of Personnel Management ein und stahlen sensible Daten von Millionen Mitarbeitern.

Moderne IT-Systeme sind viel stärker vernetzt als die der 1980er Jahre, und alles im Internet ist eine Angriffsfläche. Spionage und Subversion erfordern keinen direkten Zugang mehr zum Feind. Eine der größten Herausforderungen für die US-Regierung ist die Tatsache, dass so viele wichtige Funktionen der Regierung von Systemen abhängen, die sich im Privatbesitz eines Dritten befinden. Dasselbe gilt für staatliche und lokale Regierungen, Gesundheitsnetzwerke und Schulen. All diese Konnektivität erschwert es der Bundesregierung, die Öffentlichkeit zu schützen, da die Informationen und Systeme möglicherweise unbekannten Sicherheitslücken ausgesetzt sind, die außerhalb ihrer Kontrolle liegen.

Wir haben in den letzten Jahren eine Handvoll solcher Angriffe erlebt. Der Colonial Pipeline-Vorfall war zwar keine Spionage, aber er machte ein inakzeptables Risiko deutlich, das sich aus unserem wachsenden System von Systemen ergibt. Angriffe auf Krankenhäuser, Wassersysteme und Forschungseinrichtungen sind Beispiele für Cyber-Vorfälle, die Spionage von Nationalstaaten oder einzelne Bedrohungsakteure sein könnten, die nach dem schnellen Geld suchen. Von außen sehen sie oft gleich aus.

Erschwerend kommt hinzu, dass auf der Ebene der Bundesstaaten ein Flickenteppich von Gesetzen zur Meldung von Datenschutzverletzungen besteht, die nur schwer durchsetzbar sind. Viele Privatunternehmen möchten keine Cybersecurity-Vorfälle offenlegen, da sie sich nicht der peinlichen Situation und den potenziellen Folgen seitens der Investoren und der Öffentlichkeit aussetzen wollen. Die meisten legen diese Informationen nicht offen, es sei denn, sie sind dazu gezwungen. Dies gilt insbesondere dann, wenn die Auswirkungen des Angriffs für die Öffentlichkeit nicht sichtbar sind. Der Angriff auf Colonial Pipeline ließ sich nicht verheimlichen, aber die Datenverletzung bei Uber 2016, bei der über 57 Millionen Konten kompromittiert waren, wurde ein Jahr lang nicht bekannt gegeben. Obwohl Uber nicht aktiv an Spionagespielen beteiligt ist, können die persönlichen Daten, die bei diesem Verstoß aufgedeckt wurden, für Identitätsmissbrauch oder in Kombination mit anderen Daten verwendet werden, um auf sensible Konten zuzugreifen. Es braucht nur ein gehacktes Konto, um die nationale Sicherheit zu gefährden.

Many third parties do not want to disclose cybersecurity accidents because they do not want to suffer the embarrassment and potential economic repercussions. World governments are attempting to centralize the information around cybersecurity incidents by rolling out initiatives and mandates.  Several technology leaders have commented on governments should go about ensuring that information about cybersecurity incidents is shared.  Barracuda CTO Fleming Shi is quoted in Protocol as saying he is a “firm believer that  that cyber incident reporting should become the norm and that government intervention is key to making this happen.” He also discussed the importance of disrupting the transfer of wealth as a means to reduce the attacks.  You can read his commentary here, and connect with him on LinkedIn here.

Da jeden Tag mehr Systeme online gehen, haben Bedrohungsakteure mehr Möglichkeiten zum Diebstahl von Informationen. Eine intelligente Kamera kann zu einem Netzwerk einer Stadtverwaltung führen, das zu einem staatlichen Netzwerk führt, das wiederum zu einem Bundesnetzwerk führt. Ein intelligenter Kartenverkaufsautomat kann Informationen über die Infrastruktur öffentlicher Verkehrsmittel bereitstellen und möglicherweise eine große Stadt lahmlegen. Derzeit laufen mehrere Initiativen zur Schaffung universeller Standards für Sicherheit und Berichterstattung. Wie wir diese Standards durchsetzen und Informationen über Angriffe sammeln, sind Fragen, auf die wir noch Antworten suchen.

.

 

Nach oben scrollen
Twittern
Teilen
Teilen