Unternehmen brauchen Cybersecurity-Unterstützung, Kongress soll

Der US-Kongress sollte einen Anreiz für private Unternehmen schaffen, stärkere Cybersicherheitspraktiken einzuführen, anstatt neue Mandate zu schaffen, sagte ein Informationssicherheitsexperte letzte Woche einem Unterausschuss des Kongresses.

80 bis 90 Prozent der Cybersicherheitsprobleme können behoben werden, wenn Unternehmen bewährten Praktiken folgen Die Regierung könne durch Anreize wie Kleinkredit-, Versicherungs- und Prämienprogramme helfen, sagte Larry Clinton, Präsident und CEO der Internet Security Alliance, einer Interessenvertretung für Sicherheitsfragen.

In den letzten Wochen haben einige Gesetzgeber und Cybersecurity-Experten haben neue Cybersicherheitsregelungen gefordert, aber Vorschriften würden in einem schnell wechselnden Bereich statisch sein und könnten U. S. Industrie zu einem Wettbewerbsnachteil, sagte Clinton. Zudem würden US-Vorschriften nur bis an die Landesgrenzen reichen, fügte er hinzu.

[weiterlesen: So entfernen Sie Malware von Ihrem Windows-PC]

"Das ist ein internationales Problem", sagte Clinton bei einer Anhörung vor dem Ausschuss für Energie und Handel des Unterhausausschusses für Kommunikation, Technologie und Internet. "Wir brauchen ein besseres System - ein System des 21. Jahrhunderts."

Öffentlich-private Partnerschaften wurden angekurbelt

Unter der Führung des ehemaligen US-Präsidenten George W. Bush ging die Regierung weitgehend handfrei vor und wartete darauf private Marktanreize, die niemals zustande kamen, sagte Clinton. Stattdessen müsse die Regierung mit der Privatwirtschaft zusammenarbeiten, um Anreize für die Cybersicherheit zu schaffen, einschließlich Haftungsschutz und Vergabe.

"Wir versuchen, die Ökonomie der Cybersicherheit zu verändern, indem wir einen Markt aufbauen, der private Organisationen macht wollen in ihrem eigenen wirtschaftlichen Eigeninteresse kontinuierlich in Cybersicherheit investieren ", sagte Clinton. "Nur dann können wir ein nachhaltiges und sich entwickelndes System der Cybersicherheit schaffen, das wir brauchen."

Clinton und Greg Nojeim, leitender Berater des Zentrums für Demokratie und Technologie, haben das nicht namentlich erwähnt, aber beide schienen es zu akzeptieren zielen auf die Cybersicherheitsgesetzgebung, die am 1. April von den Senatoren Jay Rockefeller, einem West Virginia Demokraten, und Olympia Snowe, einem Maine Republikaner, eingeführt wurde.

Das Cybersecurity Act würde unter anderem durchsetzbare Cybersicherheitsstandards für Privatunternehmen einführen US-Präsident, um einen Cybersicherheitsnotfall zu erklären und schließt sowohl öffentliche als auch einige private Netzwerke, die kompromittiert werden.

Die USA stehen vor großen Konsequenzen für ihre mangelnde Konzentration auf die Cybersicherheit, sagte Rockefeller bei einer Anhörung im März. "Ich betrachte [Cybersicherheit] als ein zutiefst und zutiefst beunruhigendes Problem, dem wir nicht viel Aufmerksamkeit widmen", sagte er dann. "Das Problem ist, dass Amerika einer massiven Cyberkriminalität inakzeptabel ausgesetzt ist."

Machtbalance

Aber der Regierung zu erlauben, private Netzwerke zu schließen und möglicherweise den Verkehr in privaten Netzwerken zu überwachen, gibt ihr zu viel Macht, sagte Nojeim. Eine solche Macht würde in den USA Fragen zur Redefreiheit aufwerfen, sagte er.

"Maßnahmen, die zur Sicherung der Kontrollsysteme einer Pipeline geeignet sein könnten, könnten für die Sicherung des Internets nicht geeignet sein", fügte Nojeim hinzu. "[Die Regierung] sollte nicht die Aufgabe haben, private Netzwerke selbst zu überwachen, noch sollte die Regierung den Internetverkehr auf kompromittierte Informationssysteme im privaten Sektor herunterfahren."

Wenn ein Präsident herunterfahren könnte In privaten Systemen könnte er diese Macht für Zwang benutzen, sagte Nojeim. "Nach unserer Kenntnis sind bisher keine Umstände aufgetaucht, die eine Anordnung des Präsidenten rechtfertigen würden, den Internetverkehr auf ein privates kritisches Infrastruktursystem abzuschneiden", sagte er.

Eine Rolle für die Regierung wäre, weiterhin die Entwicklung der DNS-Sicherheit zu fördern Erweiterungen, oder DNSSec, ein Paket von Sicherheitsupdates für das Internet Domain Name System, sagte Dan Kaminsky, Leiter des Penetrationstests beim Cybersecurity-Anbieter IOActive.

DNSSec würde es Organisationen ermöglichen, besser auf den Internetverkehr von außen zu vertrauen, sagte er. "Es wird etwas Arbeit brauchen; es wird eine Menge Arbeit brauchen", fügte Kaminsky hinzu.