Technischer Support
Dokumentation
Anmeldung
Kontakt
TuxCare BlogSchrumpfende Zeit - alles wird schneller
von Joao Correia
August 10, 2023 - Technischer Evangelist
Das digitale Zeitalter ist durch eine unumstößliche Wahrheit gekennzeichnet: Veränderung. Ob es sich um die rasanten Fortschritte bei der künstlichen Intelligenz, die überraschende Entdeckung neuer Sicherheitslücken oder die rasche Veröffentlichung von Patches zur Entschärfung dieser Bedrohungen handelt - das Tempo der Veränderungen in der IT ist unerbittlich.
Mit dem Tempo mithalten
Für diejenigen, die in diesem Bereich tätig sind, ist es sehr aufregend, solche Fortschritte zu sehen. Das heißt, solange Sie und Ihre Organisation mithalten können.
Leider wissen wir nur zu gut, dass Unternehmen mit der rechtzeitigen Bereitstellung von Patches zu kämpfen haben, obwohl die Compliance-Anforderungen einen Zeitrahmen von 30 Tagen - und in einigen Fällen von 14 Tagen - für die Behebung bekannter Sicherheitslücken vorschreiben. Dies ist eine alarmierende Tatsache, die ein wachsendes Problem in der Cybersicherheitslandschaft darstellt.
Außerdem wird immer deutlicher, dass es unmöglich ist, mit der ständigen Flut von Informationen über Cybersicherheit und neue Sicherheitslücken Schritt zu halten. Die Branche wendet sich der Automatisierung zu, um den Ansturm zu bewältigen, aber auch diese Lösung ist nicht ohne Herausforderungen.
Neue Regeln am Horizont
Strengere Vorschriften zeichnen sich ab, insbesondere von der Securities and Exchange Commission (SEC). Wir haben haben bereits die Vorgehensweise der SEC bei der Zuweisung von Verantwortung in Situationen erörtert, in denen "bewährte Praktiken" nicht befolgt wurden. Jetzt geht sie noch einen Schritt weiter.
Ab August dieses Jahres müssen Unternehmen spezifische Informationen über Vorfälle im Bereich der Cybersicherheit, denen sie ausgesetzt waren, einschließlich aller "wesentlichen Vorfälle im Bereich der Cybersicherheit", die sie erlebt haben, einreichen innerhalb von vier Tagen. Außerdem müssen sie jährlich aggregierte Informationen über das Risikomanagement, die Strategie und die Unternehmensführung im Bereich der Cybersicherheit offenlegen.
Wenn Sie sich erinnern, ist die obligatorische Offenlegung von Cybersicherheitsinformationen im Zusammenhang mit Vorfällen bereits seit Anfang letzten Jahres auf dem Radar, als das das Weiße Haus neue Vorschriften für solche Situationen ankündigte. Die jüngsten SEC-Vorschriften unterstreichen dies nur noch mehr.
Am 26. Juli 2023, gab die SEC bekannt dass sie "Vorschriften erlassen hat, die von den Registrierungspflichtigen verlangen, dass sie wesentliche Cybersecurity-Vorfälle, die sie erleben, offenlegen und jährlich wesentliche Informationen über ihr Cybersecurity-Risikomanagement, ihre Strategie und ihre Unternehmensführung offenlegen." Dies wird 30 Tage nach dem Datum der Veröffentlichung in Kraft treten.
Die Logik hinter dieser Entscheidung ist ein vorsichtiger Ansatz für die Offenlegung von Vorfällen, wie er bereits in Situationen wie Produktionsunterbrechungen, Naturkatastrophen und anderen Ereignissen, die sich direkt auf die Bewertung eines Unternehmens oder seine Marktposition auswirken können, besteht.
Besser spät als nie scheint für diese neuen Vorschriften aktuell zu sein. Seit Jahren erleben wir in allen Branchen und bei Unternehmen jeder Größe Vorfälle, die mehrere Millionen Dollar kosten. Erst kürzlich hat Western Digital seine Cloud-Infrastruktur als Folge eines Hackerangriffs abgeschaltet. Es liegt auf der Hand, dass diese Vorfälle direkte Auswirkungen auf das Endergebnis haben können und auch haben.
Es gibt jedoch noch viel, was eindeutig zu erkennen ist. Ein Vorfall im Bereich der Cybersicherheit kann von einem Phishing-Versuch bis hin zu einem erfolgreichen Einbruch reichen, der monatelang unentdeckt bleibt, je nachdem, wie man an die Sicherheit herangeht. Die Preisgabe einer IP-Adresse im Internet zieht innerhalb von Minuten bösartige Bots an. Wenn diese alle gemeldet werden müssen, ist jedes IT-Team wahrscheinlich überfordert. Wenn die Messlatte so hoch gelegt wird, dass nur die unbeabsichtigte Offenlegung von Informationen oder der Datendiebstahl berücksichtigt wird, haben die Unternehmen einen gewissen Spielraum, um die Verordnung zu umgehen, indem sie einfach behaupten, dass ihnen nicht bekannt ist, dass solche Informationen nach außen gedrungen sind - was bis zum Beweis des Gegenteils sehr viel länger als vier Tage gelten kann.
Abschließende Überlegungen
Diese neuen Vorschriften signalisieren einen Wendepunkt in der Art und Weise, wie Unternehmen mit der Cybersicherheit umgehen. Die Einhaltung der Vorschriften wird nicht länger ein Vorschlag sein, sondern eine strenge Anforderung. Die wachsende Komplexität und Verantwortung, die den Unternehmen auferlegt wird, wird zweifellos die Belastung erhöhen, mit der schnelllebigen Welt der IT Schritt zu halten.
Das übergeordnete Ziel ist jedoch klar: die Gewährleistung von Transparenz und Verantwortung in einem Umfeld, in dem immer mehr auf dem Spiel steht. Der immer kürzer werdende Zeitrahmen, um auf Schwachstellen zu reagieren, Risiken zu bewerten und bewährte Praktiken einzuführen, ist sowohl eine Herausforderung als auch eine Chance.
Unternehmen müssen diesen Moment nutzen, um ihre Cybersicherheitsstrategien zu verfeinern und sich an diese neuen Standards anzupassen. Die Zukunft der Cybersicherheit hängt von unserer Fähigkeit ab, uns anzupassen, zu innovieren und ein Höchstmaß an Integrität und Wachsamkeit zu wahren. Letztendlich werden diese Bemühungen nicht nur einzelne Organisationen schützen, sondern auch das gesamte Ökosystem gegen die sich ständig weiterentwickelnden Cyberbedrohungen stärken.
