Vers van de federale beleidsmolen, de 57 pagina's tellende Biden-administratie Implementatieplan Nationale Cybersecurity Strategie (NCSIP) beschrijft meer dan 65 initiatieven die verschillende federale agentschappen de komende jaren zullen uitvoeren. Deze omvatten het versterken van de kritieke infrastructuur van de VS tegen cyberdreigingen, het vaststellen van afdwingbare aansprakelijkheid voor softwareproducten en -diensten, en het bedenken van effectievere manieren om operaties van bedreigingsactoren en hun infrastructuur te verstoren en uit te schakelen.

Een Implementatie Roadmap

Verschillende beveiligingsprofessionals zagen de NCSIP deze week als belangrijk voor Biden's cyberbeveiligingsstrategie om vooruitgang te boeken en zeiden dat de relatief agressieve deadlines de belanghebbenden de juiste urgentie geven. Maar sommigen vroegen zich af - zoals ze hebben eerder - over hoe het zou slagen zonder voldoende financiering en tweeledige steun in het Congres.

"Deze routekaart om de cyberbeveiligingsstrategie te implementeren, blijft in de goede richting wijzen, maar er zijn enkele financiële kuilen", zei Robert DuPree, manager overheidszaken bij Telos, in een commentaar per e-mail. Terwijl het implementatieplan bijvoorbeeld de federale agentschappen oproept om verouderde systemen te elimineren, is de financiering voor het Technology Modernization Fund (TMF), dat in 2017 werd goedgekeurd, niet beschikbaar, zei hij. Het voorgestelde budget voor FY 2024 vroeg om een ​​schamele $ 200 miljoen voor de TMF, maar de rekening van het Huis voor kredieten heeft zelfs die financiering op nul gezet. "Als er geen nieuwe financiering wordt verstrekt, zal de administratie een nieuwe weg voorwaarts moeten vinden in haar meerjarenplan", voegde DuPree eraan toe.

De samenvatting van de NCSIP beschreef de versie van het document, die deze week werd vrijgegeven, als de eerste iteratie van het implementatieplan en noemde het een "levend document" dat jaarlijks zal worden bijgewerkt. "Initiatieven zullen worden toegevoegd als het zich ontwikkelende cyberlandschap vereist en na voltooiing worden verwijderd", aldus de samenvatting.

Biden noemde in maart de strategie essentieel om alle belanghebbenden te verzekeren - inclusief kritieke infrastructuursectoren, softwareleveranciers en serviceproviders - een actieve rol spelen bij de bescherming tegen cyberdreigingen. “We zullen de verantwoordelijkheid voor cyberbeveiliging opnieuw in evenwicht brengen om effectiever en rechtvaardiger te zijn”, had Biden opgemerkt. "We zullen prikkels herschikken om langetermijninvesteringen in veiligheid, veerkracht en veelbelovende nieuwe technologieën te bevorderen."

De doelstellingen van de cyberstrategie zijn gegroepeerd in vijf afzonderlijke pijlers: Defend Critical Infrastructure; Bedreigende actoren verstoren en ontmantelen; Vorm marktkrachten om veiligheid en veerkracht te stimuleren; Investeer in een veerkrachtige toekomst; en internationale partnerschappen smeden. Het document van deze week bevat plannen en initiatieven op hoog niveau om deze doelstellingen te bereiken.

De plannen voor het versterken van de verdediging van kritieke infrastructuur omvatten bijvoorbeeld het vaststellen van nieuwe cyberbeveiligingsvereisten voor organisaties in de sector, het opschalen van publiek-private partnerschappen, het integreren van federale cyberbeveiligingscentra en het bijwerken van federale incidentresponsplannen en -processen. Evenzo omvatten de plannen voor het ontmantelen van dreigingsactoren het integreren van afzonderlijke federale ontwrichtingsactiviteiten, het verhogen van de snelheid en schaal van het delen van dreigingsinformatie en het voorkomen dat dreigingsactoren misbruik maken van de Amerikaanse infrastructuur om aanvallen uit te voeren.

Plannen voor de derde pijler - die door veel beveiligingsexperts als een van de meest consequente van de vijf strategische doelstellingen wordt beschouwd - omvatten het ontwikkelen van een raamwerk voor softwareaansprakelijkheid op de lange termijn, het bevorderen van inspanningen rond initiatieven voor softwaremateriaallijsten (SBOM's) en andere initiatieven voor veilige softwareontwikkeling. . Het NCSIP biedt vergelijkbare plannen en initiatieven voor beide overige pijlers. Veel van deze plannen hebben een implementatiedeadline van 2025, en sommige zijn al in volle gang.

Obstakels voor succes

Karen Walsh, cybersecurity-compliance-expert bij Allegro Solutions, zegt dat een probleem met het implementatieplan is dat er geen weg is naar gecoördineerde, gestandaardiseerde handhaving en dat individuele sectorspecifieke instanties de controle overlaten. "Om het wettelijke en regelgevende kader voor handhaving te creëren, moet met het Congres worden samengewerkt, wat onwaarschijnlijk lijkt in ons huidige verdeelde politieke klimaat", zegt ze.

Walsh zegt dat het tijdsbestek van twee tot drie jaar dat het implementatieplan heeft vastgesteld voor het creëren van raamwerken voor softwareaansprakelijkheid ook een beetje ambitieus lijkt. "In Q4 FY24 zal het Office of the National Cyber ​​Director een symposium bijeenroepen om verschillende gebieden van regelgevend recht en mogelijke kaders te bespreken", zegt Walsh. Vervolgens moet CISA in het tweede kwartaal van 2 een SBOM-gapbeoordeling uitvoeren, maar gezien de complexiteit van de taak is het onwaarschijnlijk dat dit vóór 25 zal zijn voltooid. “Bovendien, afhankelijk van hoe de overheid deze aansprakelijkheid structureert, moet een regelgevende instantie de handhavingsbevoegdheid krijgen, vervolgens regels opstellen, of een wet moet de gevolgen bepalen. Nogmaals, dat duwt elke realistische tijdlijn nog verder naar buiten.

Mike Hamilton, CISO bij Critical Insight, beschouwt het nieuwe NCSIP als een stap voorwaarts op het gebied van de beveiliging van kritieke infrastructuur en de inspanningen om bedreigingsactoren te ontwrichten. De NCSIP lijkt bijvoorbeeld gericht op het verbreden van het nationale responsplan voor cyberincidenten buiten de kritieke infrastructuursector tot alle sectoren en bedrijfsgroottes, zegt hij. “Ik vermoed dat er ook een initiatief zal komen om beoefenaars uit de particuliere sector in te schakelen als hulpverleners op nationaal niveau in het geval van een aanzienlijke verstoring van de infrastructuur. De problemen die moeten worden overwonnen, zijn kwalificaties en vrijwaring.

Het is veelbetekenend dat het implementatieplan een rol speelt voor de Cybersecurity and Infrastructure Security Agency (CISA) bij het bieden van cyberbeveiligingstraining en incidentrespons voor de gezondheidszorg, een belangrijk doelwit van ransomware-aanvallen. "Wetende dat de reactie op incidenten nu een federaal agentschap op zich zal zijn, kan ransomware-exploitanten aan het denken zetten als ze eraan denken om ziekenhuizen te raken", zegt Hamilton.

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• PlatoData.Network Verticale generatieve AI. Versterk jezelf. Toegang hier.
• PlatoAiStream. Web3-intelligentie. Kennis versterkt. Toegang hier.
• PlatoESG. Automotive / EV's, carbon, CleanTech, Energie, Milieu, Zonne, Afvalbeheer. Toegang hier.
• BlockOffsets. Eigendom voor milieucompensatie moderniseren. Toegang hier.
• Bron: https://www.darkreading.com/vulnerabilities-threats/white-house-releases-implementation-plan-for-cybersecurity-strategy