Barracuda CTO Fleming Shi über die Meldepflicht für Cybersicherheitsvorfälle
Die Weltgeschichte ist voll mit Geschichten über Spionage und gestohlene Geheimnisse. Sun Tzu behandelte den Wert und die Anwendung der Spionagetechnik ausführlich in seiner klassischen militärischen Abhandlung Die Kunst des Krieges. Geheimnisse des Gegners zu stehlen, die gegnerische Führung zu infiltrieren und dem Feind falsche Informationen zuzuspielen sind besonders wichtige militärische Taktiken. Auch in der griechischen, römischen, ägyptischen und aztekischen Antike gab es Beweise für Spionage und Subversion.
Die staatliche Spionage erreichte den Cyberspace (wie wir ihn kennen) bereits 1982, als die CIA angeblich ein trojanisches Pferd in die Systeme einer sibirischen Gaspipeline einschleuste. Der Code verursachte die Explosion der Pipeline, indem er Pumpen und Ventile zurücksetzte, um genügend Druck für die Explosion zu erzeugen. Im Jahr 1985 sollen chinesische Hacker in das US Office of Personnel Management eingedrungen sein und sensible Daten von Millionen von Mitarbeitern gestohlen haben.
Moderne IT-Systeme sind viel stärker vernetzt als die der 1980er Jahre und alles im Internet ist eine Angriffsfläche. Spionage und Subversion erfordern keinen direkten Zugang mehr zum Feind. Eine der größten Herausforderungen für die US-Regierung ist die Tatsache, dass so viele wichtige Funktionen der Regierung von Systemen abhängen, die sich im Privatbesitz eines Dritten befinden. Dasselbe gilt für staatliche und lokale Regierungen, Gesundheitsnetzwerke und Schulen. All diese Konnektivität erschwert es der Bundesregierung, die Öffentlichkeit zu schützen, da die Informationen und Systeme potenziell unbekannten Security-Lücken ausgesetzt sind, die außerhalb ihrer Kontrolle liegen.
Wir haben in den letzten Jahren eine Handvoll solcher Angriffe erlebt. Der Colonial Pipeline-Vorfall war zwar keine Spionage, aber er machte ein inakzeptables Risiko deutlich, das sich aus unserem wachsenden System von Systemen ergibt. Angriffe auf Krankenhäuser, Wasserversorgungssysteme und Forschungsuniversitäten sind allesamt Beispiele für Cybervorfälle, bei denen es sich um staatliche Spionage oder um isolierte Bedrohungsakteure auf der Suche nach einem Zahltag handeln könnte. Von außen sehen sie oft gleich aus.
Erschwerend kommt hinzu, dass es auf Bundesstaaten-Ebene einen Flickenteppich von Data Breach Notification Laws gibt, die nur schwer durchsetzbar sind. Viele Privatunternehmen wollen nicht, dass Cybersecurity-Vorfälle ans Tageslicht kommen, weil sie sich der Peinlichkeit und den möglichen wirtschaftlichen Folgen seitens der Investoren und der Öffentlichkeit nicht aussetzen wollen. Die meisten legen diese Informationen nicht offen, es sei denn, sie sind dazu gezwungen. Dies gilt insbesondere dann, wenn die Auswirkungen des Angriffs für die Öffentlichkeit nicht sichtbar sind. Der Angriff auf Colonial Pipeline ließ sich nicht verheimlichen, aber die Datenverletzung bei Uber 2016, bei der über 57 Millionen Konten kompromittiert waren, wurde ein Jahr lang nicht bekannt gegeben. Obwohl Uber nicht aktiv an Spionagespielen beteiligt ist, können die personenbezogenen Daten, die bei diesem Verstoß aufgedeckt wurden, für Identitätsmissbrauch verwendet oder in Kombination mit anderen Daten verwendet werden, um auf sensible Konten zuzugreifen. Man braucht nur ein gehacktes Konto, um die nationale Sicherheit zu gefährden. 
Viele Dritte möchten Cybersicherheitsunfälle nicht offenlegen, weil sie nicht unter der Verlegenheit und den möglichen wirtschaftlichen Auswirkungen leiden wollen. Die Regierungen der Welt versuchen, die Informationen über Cybersecurity-Vorfälle zu zentralisieren, indem sie Initiativen und Mandate einführen. Mehrere führende Vertreter der Technologiebranche haben sich dazu geäußert, wie Regierungen dafür sorgen können, dass Informationen über Cybersecurity-Vorfälle weitergegeben werden. Barracuda CTO Fleming Shi wird in „Protocol“ mit den Worten zitiert, er „glaube fest daran, dass Cyber Incident Reporting zur Norm werden sollte und dass behördliche Eingriffe der Schlüssel dazu ist.“ Er sprach darüber, wie wichtig es ist, den Transfer von Geldmitteln zu unterbrechen, um die Angriffe zu reduzieren. Sie können seinen Kommentar hier lesen und sich hier mit ihm auf LinkedIn in Verbindung setzen.
Da jeden Tag mehr Systeme online gehen, haben Bedrohungsakteure mehr Möglichkeiten zum Diebstahl von Informationen. Eine intelligente Kamera kann zu einem Netzwerk einer Stadtverwaltung führen, das zu einem staatlichen Netzwerk führt, das wiederum zu einem Bundesnetzwerk führt. Ein intelligenter Kartenverkaufsautomat kann Informationen über die Infrastruktur öffentlicher Verkehrsmittel bereitstellen und möglicherweise eine große Stadt lahmlegen. Zurzeit laufen mehrere Initiativen zur Schaffung universeller Standards für Security und Berichterstattung. Wie wir diese Standards durchsetzen und Informationen über Angriffe sammeln, sind Fragen, auf die wir noch Antworten suchen.
