Erhöhung der Cybersicherheit in staatlichen und lokalen Verwaltungen

Die US-Regierung wird den Informationsaustausch verstärken, Schulungen anbieten und die Zusammenarbeit mit staatlichen und lokalen Behörden im Rahmen des kürzlich unterzeichneten Gesetzes zur Cybersicherheit in staatlichen und lokalen Behörden verbessern. Die neue staatliche Unterstützung kommt zu einem entscheidenden Zeitpunkt: Eine kürzlich von Mimecast durchgeführte Umfrage ergab, dass zwei Drittel der staatlichen und kommunalen Behörden in diesem Jahr mit negativen Auswirkungen eines E-Mail-Angriffs rechnen.

Die Bedrohung der staatlichen und lokalen Regierungen

Mimecast's State of Email Security in U.S. Public Administration (SOES Public Administration) beschreibt unerbittliche Cyberbedrohungen, die unzureichende Verteidigungsmaßnahmen überwinden. Öffentliche Einrichtungen in Staaten und Städten sind weitaus häufiger Ziel von Angriffen als die meisten anderen Organisationen - zum Teil deshalb, weil Cyberkriminelle ihre umfangreichen Datenbanken mit persönlichen Informationen über die Bürger, denen sie dienen, schätzen. Auch nationalstaatliche Akteure greifen diese Institutionen an, um das Vertrauen der Öffentlichkeit zu untergraben. 

Gleichzeitig sind die Behörden chronisch unterbesetzt und verfügen über zu wenig Mittel für die Cybersicherheit, was sie zu leichten Zielen macht. Verschärft wird die Bedrohung durch die blitzschnelle, pandemiebedingte Umstellung von Remote-Mitarbeitern und Behördendiensten von herkömmlichen Technologien auf die Cloud. Mehr als acht von zehn staatlichen CIOs sind der Meinung, dass diese Veränderungen von Dauer sein werden und dass Sicherheitsverbesserungen oberste Priorität haben.[1] Wie ein kommunaler CIO in einem veröffentlichten Interview sagte: "Jetzt ist es an der Zeit, aufzuholen ... um sicherzustellen, dass wir vor den schnellen Veränderungen, die wir vorgenommen haben, sicher sind."[2]

Vor diesem Hintergrund berichteten die Teilnehmer der Umfrage SOES Public Administration von einem wachsenden Aufkommen von E-Mail-Angriffen aller Art. Die größte Beschwerde betrifft Phishing-E-Mails mit bösartigen Links oder Anhängen, die wiederum Malware enthalten, Passwörter stehlen oder Angriffe wie Ransomware starten.

Laut dem 2022 Data Breach Investigations Report von Verizon werden Angriffe auf staatliche und kommunale Behörden immer komplexer und bedienen sich einer Kombination aus verschiedenen Methoden.[3] Die Befragten von SOES Public Administration stimmten dem zu: 61 % berichteten von immer raffinierteren Angriffen. Eine daraus resultierende Datenschutzverletzung bei einer staatlichen Versicherungsbehörde hat es bereits in die Top-10-Liste der Datenschutzverletzungen für das Jahr 2022 geschafft, da sie die Sozialversicherungsnummern, Geburtsdaten und andere persönliche Informationen von 1,8 Millionen Bürgern enthüllte.[4]

Cyber-Agentur des Bundes schreitet ein

Das neue Bundesgesetz weist das Nationale Zentrum für Cybersicherheit und Kommunikationsintegration der Agentur für Cybersicherheit und Infrastruktursicherheit an, mehrere wichtige Schritte zu unternehmen, darunter:

• Einrichtung eines Echtzeit-Informationsaustauschs über Bedrohungsindikatoren, Cybersicherheitsrisiken und Vorfälle zwischen Bundes-, Landes- und Kommunalbehörden.
• Bereitstellung von Informationen über Instrumente und bewährte Verfahren für staatliche und lokale Behörden.
• Unterstützung der Agenturen bei der effektiven Umsetzung dieser Instrumente und Verfahren.
• Angebot von Schulungen zur Cybersicherheit.
• Durchführung gemeinsamer Übungen zur Vorbereitung auf Bedrohungen und Angriffe.

Das Gesetz folgt auf die Verabschiedung von Finanzierungsmaßnahmen im vergangenen Jahr, darunter ein staatliches und lokales Zuschussprogramm für Cybersicherheit, das über einen Zeitraum von vier Jahren 1 Milliarde US-Dollar bereitstellt.[5] 

Budgetierung und Personalausstattung für bessere Cybersicherheit

Obwohl einige Verbesserungen bei der Finanzierung der Cybersicherheit auf staatlicher und lokaler Ebene anerkannt werden, gaben die Teilnehmer der Umfrage SOES Public Administration an, dass ihre Budgets im Durchschnitt immer noch um fast 20 % zu niedrig sind. Diese Lücke hält sie davon ab, ihre Sicherheitsteams vollständig zu besetzen und dringend benötigte technologische Upgrades vorzunehmen.

Die Personalausstattung ist ein besonders schwieriges Problem. Obwohl ein Drittel der Befragten des öffentlichen Sektors sagte, dass sie mehr Sicherheitsspezialisten einstellen müssen, können sie nicht mit den Gehältern in der Privatwirtschaft konkurrieren.

SOES-Bericht identifiziert vier Lücken

Die Umfrage SOES Public Administration zeigt Lücken in vier wesentlichen Komponenten der Cyber-Strategien öffentlicher Einrichtungen auf:

• Mehrschichtiger Schutz: Viele Behörden verfügen zwar über Schutzmaßnahmen am Rande ihrer Netzwerke, wenden aber keine "Defense-in-Depth"-Strategien für Angreifer an, die im Inneren des Netzwerks "landen und expandieren". 
• Sensibilisierungsschulungen für Mitarbeiter: Nur etwa sechs von zehn Unternehmen führen monatlich Schulungen zur Sensibilisierung ihrer Mitarbeiter durch, und noch viel weniger schulen kontinuierlich, was als beste Praxis gilt.
• Sichtbarkeit: Den Sicherheitsverantwortlichen in öffentlichen Einrichtungen fehlt oft die Fähigkeit, Bedrohungen vorherzusehen. So nutzt beispielsweise nur etwa ein Drittel das DMARC-Protokoll (Domain-based Message Authentication, Reporting and Conformance), um die Gültigkeit von E-Mails zu analysieren und sie entsprechend zu akzeptieren oder abzulehnen.
• Anfälligkeit von Microsoft 365: Viele verlassen sich nur auf die mit Microsoft 365 bereitgestellten Sicherheitstools, aber acht von zehn Umfrageteilnehmern gaben an, dass ihr Betrieb im vergangenen Jahr trotzdem durch mindestens einen M365-Ausfall beeinträchtigt wurde. Etwa neun von zehn Befragten gaben an, dass zusätzliche Stufen der Cybersicherheit erforderlich sind, um M365 "vollständig sicher" zu machen.

Intelligenter arbeiten, nicht härter

Um diese Lücken zu schließen, versuchen viele staatliche und kommunale Behörden, ihre Sicherheitssysteme zu integrieren und zu automatisieren, um intelligenter und nicht härter zu arbeiten. Fast neun von zehn Befragten gaben an, dass sie ein integriertes Sicherheits-Ökosystem bevorzugen, das "Best-of-Breed"-Lösungen kombiniert, so der Bericht SOES Public Administration . Durch die Orchestrierung von Tools und Informationen über Gateways, Endpunkte und andere Sicherheitssysteme hinweg können Teams ihre Infrastruktur einfacher und als einheitliches Ganzes verwalten.

Die Quintessenz

Der Bericht SOES Public Administration von Mimecast zeigt gravierende Lücken in der Cyberabwehr der staatlichen und kommunalen Verwaltungen auf, da die Angriffe an Umfang, Vielfalt und Komplexität zunehmen. Ein neues Bundesgesetz soll nun einige dieser Lücken schließen. Der State and Local Government Cybersecurity Act zielt darauf ab, den Informationsaustausch zwischen den öffentlichen Behörden drastisch zu erhöhen und gleichzeitig den Staaten und Gemeinden technische Unterstützung und Schulungen anzubieten. Lesen Sie den Mimecast-Bericht , um sich ein genaueres Bild von der heutigen Cybersicherheit in staatlichen und lokalen Behörden zu machen.

[1] "2021 State CIO Survey," National Association of State Chief Information Officers

[2] "City CIOs No Longer in 'Crisis Mode', But There's No Going Back to Normal," StateScoop

[3] "2022 Data Breach Investigations Report," Verizon

[4] "Die 10 größten Datenschutzverletzungen des Jahres 2022 (bis jetzt)," CRN

[5] "State and Local Cybersecurity Grant Program," Department of Homeland Security