Strengere cyberbeveiliging bij nationale en lokale overheden

In het kader van de onlangs ondertekende State and Local Government Cybersecurity Act zal de Amerikaanse regering de uitwisseling van informatie versterken, opleidingen verzorgen en de algehele samenwerking met staats- en lokale instanties opvoeren. De nieuwe federale steun komt op een cruciaal moment: Uit een recente enquête van Mimecast blijkt dat tweederde van de staats- en gemeentebesturen verwacht dit jaar negatieve gevolgen te zullen ondervinden van een e-mailaanval.

De bedreiging voor staats- en lokale overheden

Mimecast's State of Email Security in U.S. Public Administration (SOES Public Administration) beschrijft meedogenloze cyberdreigingen die ontoereikende verdedigingsmiddelen overwinnen. Overheidsinstanties in staten en steden zijn veel vaker het doelwit dan de meeste andere organisaties - deels omdat cybercriminelen waarde hechten aan hun rijke databanken met persoonlijke informatie over de burgers die zij dienen. Actoren uit nationale staten vallen deze instellingen ook aan om het vertrouwen van het publiek te ondermijnen. 

Tegelijkertijd zijn de agentschappen chronisch onderbemand en hebben ze te weinig geld voor cyberbeveiliging, waardoor ze gemakkelijke doelwitten zijn. De dreiging is nog groter geworden door de flitsende, pandemisch gestuurde overgang van telewerkers en overheidsdiensten van legacy-technologieën naar de cloud. Meer dan acht op de tien CIO's van staten zeggen dat deze veranderingen van blijvende aard zijn en dat het verbeteren van de beveiliging een topprioriteit is.[1] Zoals een gemeentelijke CIO zei in een gepubliceerd interview: "Het is nu tijd om een inhaalslag te maken...om er zeker van te zijn dat we veilig zijn van de snelle veranderingen die we hebben doorgevoerd."[2]

Tegen deze achtergrond meldden de respondenten van SOES Public Administration een toenemend aantal e-mailgerelateerde aanvallen van allerlei aard te ondervinden. Hun grootste klacht betrof phishing-e-mails met kwaadaardige koppelingen of bijlagen, die op hun beurt malware droppen, wachtwoorden stelen of aanvallen zoals ransomware lanceren.

Volgens het Verizon-rapport 2022 Data Breach Investigations Report worden aanvallen op staats- en lokale overheden ook steeds complexer, waarbij gebruik wordt gemaakt van een combinatie van verschillende methoden.[3] De respondenten van SOES Public Administration waren het daarmee eens: 61% meldde steeds geavanceerdere aanvallen. Een van de inbreuken op de gegevens, bij een staatsverzekeringsdienst, heeft al een top 10-lijst van inbreuken voor 2022 gehaald, waarbij de sofi-nummers, geboortedata en andere persoonlijke gegevens van 1,8 miljoen burgers werden blootgelegd.[4]

Federaal Cyberagentschap grijpt in

De nieuwe federale wet draagt het National Cybersecurity and Communications Integration Center van het Cybersecurity and Infrastructure Security Agency op een aantal belangrijke stappen te nemen, waaronder:

• realtime informatie-uitwisseling over dreigingsindicatoren, cyberbeveiligingsrisico's en incidenten tussen federale, staats- en lokale instanties tot stand brengen.
• Informatie verstrekken aan nationale en lokale overheden over instrumenten en beste praktijken.
• Agentschappen helpen deze instrumenten en procedures effectief toe te passen.
• cyberveiligheidsopleidingen te geven.
• Gezamenlijke oefeningen houden om zich voor te bereiden op dreigingen en aanvallen.

De wet volgt op de goedkeuring van financieringsmaatregelen vorig jaar, waaronder een State and Local Cybersecurity Grant Program dat over een periode van vier jaar 1 miljard dollar moet opleveren.[5] 

Budgettering en personeelsbezetting voor betere cyberbeveiliging

Hoewel zij erkennen dat er enige verbeteringen zijn in de financiering van cyberbeveiliging door staten en lokale overheden, geven de respondenten van SOES Public Administration aan dat hun budgetten gemiddeld nog steeds bijna 20% tekortschieten. Deze kloof weerhoudt hen ervan hun beveiligingsteams volledig te bemannen en de broodnodige technologische upgrades uit te voeren.

Personeel is een bijzonder moeilijk probleem. Hoewel een derde van de respondenten van de enquête in de overheidssector zei dat zij meer beveiligingsspecialisten moeten aanwerven, kunnen zij niet concurreren met de salarissen in de particuliere sector.

SOES-rapport identificeert vier leemtes

De SOES Public Administration -enquête onthult hiaten in vier essentiële onderdelen van de cyberstrategieën van overheidsagentschappen:

• Meerlaagse bescherming: Veel overheidsinstellingen hebben wel bescherming aan de rand van hun netwerken, maar gebruiken geen "verdediging in de diepte"-strategieën voor aanvallers die, eenmaal binnen, "landen en uitbreiden". 
• Bewustmakingstraining voor werknemers: Slechts ongeveer zes op de tien werknemers volgen maandelijks bewustmakingscursussen, en nog veel minder trainen doorlopend, wat als een best practice wordt beschouwd.
• Zichtbaarheid: Beveiligingsleiders van overheidsinstanties zijn vaak niet in staat op dreigingen te anticiperen. Zo maakt slechts ongeveer een derde gebruik van het Domain-based Message Authentication, Reporting and Conformance (DMARC) protocol om de geldigheid van e-mails te analyseren en ze dienovereenkomstig te aanvaarden of te weigeren.
• Microsoft 365 kwetsbaarheid: Velen vertrouwen alleen op de beveiligingstools die bij Microsoft 365 worden geleverd, maar acht op de tien respondenten van de enquête zeiden dat hun activiteiten het afgelopen jaar toch waren beïnvloed door ten minste één uitval van M365. Ongeveer negen op de tien respondenten zeggen dat er extra niveaus van cyberbeveiliging nodig zijn om M365 "volledig veilig" te maken.

Slimmer werken, niet harder

Om deze lacunes op te vullen, willen veel nationale en lokale overheden hun beveiligingssystemen integreren en automatiseren om slimmer te werken, niet harder. Bijna negen op de tien geven aan dat ze het liefst werken binnen een geïntegreerd beveiligingsecosysteem dat "best-of-breed"-oplossingen combineert, volgens het SOES Public Administration verslag. Door tools en informatie over gateways, endpoints en andere beveiligingssystemen te orkestreren, kunnen teams hun infrastructuur eenvoudiger als één geheel beheren.

De kern van de zaak

Het Mimecast-rapport SOES Public Administration onthult ernstige lacunes in de cyberverdediging van staats- en lokale overheden nu het aantal, de verscheidenheid en de complexiteit van aanvallen toeneemt. Een nieuwe federale wet staat op het punt een aantal van deze gaten te dichten. De State and Local Government Cybersecurity Act heeft tot doel de uitwisseling van inlichtingen tussen overheidsinstanties drastisch te verbeteren, en staten en gemeenten technische ondersteuning en opleiding te bieden. Lees het Mimecast-rapport voor een nadere blik op de cyberbeveiliging van staats- en lokale overheden vandaag de dag.

[1] "2021 State CIO Survey," National Association of State Chief Information Officers

[2] "City CIOs No Longer in 'Crisis Mode,' But There's No Going Back to Normal," StateScoop

[3] "2022 Data Breach Investigations Report," Verizon

[4] "The 10 Biggest Data Breaches of 2022 (So Far)," CRN

[5] "State and Local Cybersecurity Grant Program," Department of Homeland Security