Schutz Amerikas Lieferketten: Strategien zur Abwehr von Cyberbedrohungen

Im Februar unterzeichnete Präsident Joe Biden die Executive Order 14017, die eine umfassende Überprüfung kritischer US-Lieferketten anordnete. Die Maßnahme reagierte auf Engpässe bei medizinischer Ausrüstung wie persönlicher Schutzausrüstung (PPE) für medizinisches Personal während des Höhepunkts der COVID-19-Pandemie. Weitere vom Order identifizierte Bedarfe: Halbleiterchips für die Automobilindustrie und andere Hightech-Anwendungen.

Diese Probleme behindern die Fähigkeit der Amerikaner, essenzielle Produkte zu erhalten, und schaffen Instabilität für Arbeitnehmer in betroffenen Branchen. Ziel der neuen Order ist laut Weiße Haus, solche Probleme proaktiv anzugehen, bevor sie sich wiederholen.

„Obwohl wir nicht vorhersagen können, welche Krise uns trifft, sollten wir die Kapazität haben, schnell auf Herausforderungen zu reagieren“, so das Weiße Haus. „Die Vereinigten Staaten müssen sicherstellen, dass Produktionsengpässe, Handelsstörungen, Naturkatastrophen und potenzielle Aktionen ausländischer Konkurrenten und Gegner die USA nie wieder verwundbar machen.“

Bidens Kampagne machte klar, dass seine Administration Supply-Chain-Risiken umfassend angehen will. Wird die Initiative gelingen?

Aus Sicherheitssicht gibt es eine Reihe von Aspekten, die die Administration berücksichtigen sollte. Versäumt sie dies, resultiert dies in doppelter Zeit und Aufwand, verschwendeten Ressourcen – und dem Versäumnis, Cyberrisiken zu mindern, die zu einem weiteren Supply-Chain-Angriff führen könnten.

Der erste Schritt zur Sicherung US-Lieferketten ist die Identifizierung ihrer Schwachstellen und Risiken. Bidens Executive Order fokussiert sechs Sektoren: die verteidigungsindustrielle Basis, öffentliche Gesundheit, Informationstechnologie und Kommunikation, Energie und Strom, Transport und Landwirtschaft.

Die Abhängigkeit von digitalen Produkten und Services hat ernste Schwachstellen geschaffen, wodurch Cybersicherheit ein wesentlicher Teil der Überprüfung wird. Die Befürchtung, ein Nationalstaat könnte die Lieferkette via Cyberkriminalität lahmlegen, ist real. Abschnitt 4.4 der Order stellt klar, dass Cyber-Risikomanagement ein zentrales Anliegen und Fokusbereich ist. Innerhalb eines Jahres müssen Berichte über den aktuellen Stand der Abhängigkeit der Lieferketten von Konkurrenznationen vorgelegt werden. Wie die Regierung die Informationssicherheits-Community hierfür einbindet, wird über den Erfolg quer durch alle Sektoren entscheiden.

Ergebnisse in einem Jahr sicherstellen

Das Vorhaben deckt viel Gebiet für einen Ein-Jahres-Zeitraum ab. Kritisch ist, dass die Informationssicherheits- und Technologie-Community, basierend auf Lektionen des vergangenen Jahres, Input an die treibenden Parteien liefert. Die Bemühungen von Branchenverbänden wie Information Sharing and Analysis Centers (ISACs) und dem IT Sector Coordinating Council (ITSCC) werden kernentscheidend sein. Hinzu kommt ein Berg an Daten und Analysen der Big-Four-Beratungen, auf deren Basis Risiken bei Drittparteien priorisiert werden können.

Das US-Verteidigungsministerium sollte eine Schlüsselrolle bei der reibungslosen Umsetzung spielen. Ein vergleichbarer, vom DOD überwachter Aufwand ist die Cybersecurity Maturity Model Certification (CMMC), die Lieferanten regierungsaufftraglicher Materialien verpflichtet, spezifische Standards zu erfüllen. Ein zentraler Ratschlag, basierend auf öffentlicher und privater Reaktion auf CMMC: Vertragsvergabe und Überprüfungsprozesse so weit wie möglich nicht vermischen. Branchenführer und Regierungsbehörden sollten gemeinsam einen einfachen, aber effektiven Cyber-Standard für die verschiedenen Lieferketten festlegen.

Die Wichtigkeit von Standardisierung

Die richtigen Partnerschaften zu schaffen und Input von Informationssicherheitsexperten zu erhalten, ist das eine – aber erhöhte Cybersicherheitsreife über US-Lieferketten hinweg sicherzustellen, ist etwas ganz anderes. Kommunikation ist das eine Element, das neue Anforderungen beim Rollout in einem so großen Ökosystem machen oder brechen kann. Sie wird durch Messung getrieben, mit standardisierten Ergebnissen über Gruppen hinweg – unabhängig von ihrem Cybersicherheitsreifegrad. Standards wie der NIST CSF Supply Chain Risk Management Subcategory oder die erwähnte CMMC sind hervorragende Werkzeuge, um Anforderungen klar zu machen und effektiv in Lieferketten umzusetzen. Die Cyber-Bewertungsmethodologien unter NIST CSF sind besonders wertvoll, um Lieferanten mit geringem Informationssicherheitswissen Kontext zu geben.

Bei der Messung ist es unmöglich, alle potenziellen Risiken in US-Lieferketten durchzuspielen, gegeben der Komplexität globaler Lieferketten-Ökosysteme. Dennoch ist es wertvoll, Szenarien zu identifizieren, die verschiedene potenzielle Ausfallpunkte untersuchen. Die kreative Nutzung bestehender Risikoquantifizierungsmethodologien ist der Schlüssel zu echter Resilienz. Es ist essenziell, dass Unternehmen Supply-Chain-Risiko als Mittel für gute Governance verstehen – basierend auf Input von Sicherheitsteams, Datenaustausch und Fortschritten im Risikomanagement-Software.

Man kann nur hoffen, dass Bidens Supply-Chain-Initiative bestehende Daten aus vergangenen Ereignissen und prädiktive Analysen über die Zukunft nutzt. Kann die gesamte Lieferkette in einem Jahr gebenchmarkt und alle Schwachstellen identifiziert werden? Und können wir die schweren Cyberrisiken in US-Lieferketten mindern? Das bleibt abzuwarten.

Padraic O’Reilly ist Co-Founder und Chief Product Officer von CyberSaint.