Können US-Lieferketten vor Cyberangriffen geschützt werden?

Im Februar unterzeichnete Präsident Joe Biden die Executive Order 14017, in der eine umfassende Überprüfung kritischer US-Lieferketten gefordert wurde. Die Aktion war eine Reaktion auf den Mangel an medizinischer Versorgung wie persönlicher Schutzausrüstung (PSA) für Mitarbeiter des Gesundheitswesens an vorderster Front während des Höhepunkts der COVID-19-Pandemie. Weitere im Auftrag identifizierte Bedarfe umfassten Halbleiterchips für die Automobilindustrie und andere Hightech-Anwendungen.

Diese Probleme behindern die Fähigkeit der Amerikaner, lebenswichtige Produkte zu erhalten, und führen zu Instabilität für die Arbeitnehmer in den betroffenen Industrien. Das Ziel der neuen Ordnung besteht laut Weißem Haus darin, solche Probleme proaktiv anzugehen, bevor sie wieder auftreten.

„Wir können zwar nicht vorhersagen, welche Krise uns treffen wird, aber wir sollten in der Lage sein, auf Herausforderungen schnell zu reagieren“, sagte das Weiße Haus. „Die Vereinigten Staaten müssen sicherstellen, dass Produktionsengpässe, Handelsunterbrechungen, Naturkatastrophen und potenzielle Aktionen ausländischer Konkurrenten und Gegner die Vereinigten Staaten nie wieder verwundbar machen.“

Die Kampagne des Präsidenten machte deutlich, dass seine Regierung sich verpflichtet hat, Risiken in der Lieferkette umfassend anzugehen. Aber wird die Initiative erfolgreich sein?

Aus Sicherheitsgründen gibt es eine Reihe von Aspekten, die die Verwaltung berücksichtigen sollte. Andernfalls wird doppelter Zeit- und Arbeitsaufwand verursacht, Ressourcen verschwendet und Cyber-Risiken nicht eingedämmt, was zu einem weiteren Angriff auf die Lieferkette führen könnte.

Der erste Schritt zur Gewährleistung der Sicherheit der US-Lieferketten besteht darin, ihre Schwachstellen und Risiken zu identifizieren. Die Durchführungsverordnung von Biden konzentriert sich auf sechs Sektoren:Verteidigungsindustrie, öffentliche Gesundheit, Informationstechnologie und Kommunikation, Energie und Energie, Transport und Landwirtschaft.

Die Abhängigkeit der Lieferketten von digitalen Produkten und Dienstleistungen hat schwerwiegende Schwachstellen geschaffen, die die Cybersicherheit zu einem wesentlichen Bestandteil der Überprüfung machen. Die Befürchtung, dass ein nationalstaatlicher Akteur beschließen könnte, die Lieferkette durch Cyberkriminalität zu behindern, ist real. Ziffer 4.4 der Durchführungsverordnung macht deutlich, dass das Cyber-Risikomanagement ein zentrales Anliegen und Schwerpunktbereich ist. Innerhalb eines Jahres müssen Berichte eingereicht werden, in denen der aktuelle Stand der Abhängigkeit der Lieferketten von Konkurrenzländern dargestellt wird. Wie die Regierung die Informationssicherheitsgemeinschaft zu diesem Zweck einbezieht, wird die Initiative in allen Sektoren übertreffen oder brechen.

Ergebnisse in einem Jahr sicherstellen

Das Unternehmen deckt ein großes Gebiet für einen einjährigen Zeitraum ab. Es ist von entscheidender Bedeutung, dass die Informationssicherheits- und Technologie-Community, die sich aus den Lehren des vergangenen Jahres schöpft, den Parteien, die die Initiative vorantreiben, einen Beitrag leistet. Die Bemühungen von Branchengruppen wie Informationsaustausch- und Analysezentren (ISACs) und des IT Sector Coordinating Council (ITSCC) werden den Kern des Erfolgs bilden. Darüber hinaus gibt es einen Berg von Daten und Analysen, die von den vier großen Beratungsunternehmen stammen, auf die Risiken im Umgang mit Dritten zu priorisieren sind.

Das US-Verteidigungsministerium sollte eine Schlüsselrolle bei der reibungslosen Einführung der Initiative spielen. Eine vergleichbare Anstrengung, die vom DOD überwacht wird, ist die Cybersecurity Maturity Model Certification (CMMC), die von Lieferanten von staatlich beauftragten Materialien verlangt, bestimmte Standards zu erfüllen. Ein wichtiger Ratschlag, basierend auf der bisherigen öffentlichen und privaten Reaktion auf das CMMC, besteht darin, Auftragsvergabe- und Überprüfungsverfahren so weit wie möglich zu vermeiden. Branchenführer und Regierungsbehörden sollten zusammenarbeiten, um einen einfachen, aber effektiven Standard für Cyber ​​​​über die verschiedenen Lieferketten hinweg zu entscheiden.

Die Bedeutung der Standardisierung

Der Aufbau der richtigen Partnerschaften und das Einholen von Input von Informationssicherheitsexperten ist eine Sache, aber die Gewährleistung einer höheren Cybersicherheitsreife in den US-Lieferketten ist eine ganz andere. Kommunikation ist das einzige Element, das neue Anforderungen stellen oder brechen kann, wenn es in einem so großen Ökosystem eingeführt wird. Es basiert auf Messungen, wobei die Ergebnisse gruppenübergreifend standardisiert sind, unabhängig von ihrem Reifegrad der Cybersicherheit. Standards wie die Unterkategorie Supply Chain Risk Management von NIST CSF oder die bereits erwähnte CMMC sind großartige Werkzeuge, um Anforderungen klar zu machen und sie effektiv in allen Lieferketten umzusetzen. Die Cyber-Assessment-Methoden des NIST CSF sind besonders wertvoll, um Lieferanten mit geringen Kenntnissen der Informationssicherheit einen Kontext zu liefern.

Wenn es um Messungen geht, ist es angesichts der Komplexität der globalen Lieferketten-Ökosysteme unmöglich, alle potenziellen Risiken in den US-Lieferketten auszuspielen. Dennoch ist es sinnvoll, Szenarien zu identifizieren, die verschiedene potenzielle Fehlerquellen untersuchen. Die kreative Nutzung bestehender Methoden zur Risikoquantifizierung ist der Schlüssel zum Erreichen echter Widerstandsfähigkeit. Es ist wichtig, dass Unternehmen das Lieferkettenrisiko als Mittel zur Erreichung einer guten Governance verstehen, indem sie sich auf den Input von Sicherheitsteams, den Daten- und Informationsaustausch und die Fortschritte bei der Risikomanagement-Software stützen.

Es bleibt zu hoffen, dass Bidens Supply-Chain-Initiative vorhandene Daten aus vergangenen Ereignissen und vorausschauende Analysen über die Zukunft nutzt. Kann die gesamte Lieferkette einem Benchmarking unterzogen und alle Schwachstellen in einem einzigen Jahr identifiziert werden? Und können wir das schwerwiegende Cyberrisiko in den US-Lieferketten mindern? Das bleibt abzuwarten.

Padraic O'Reilly ist Mitbegründer und Chief Product Officer von CyberSaint.