Zwanzig

Sep 02, 2023

Anmerkung des Herausgebers: Dieser Artikel ist der erste einer zweiteiligen Reihe über die Cybersicherheitsrichtlinien des Weißen Hauses. Teil 2 dieser Serie wird in den kommenden Tagen veröffentlicht.

Vor 25 Jahren, am 22. Mai 1998, veröffentlichte die Clinton-Regierung die erste nationale Cyber-Richtlinie des Weißen Hauses überhaupt: Presidential Decision 63 (PDD 63). Am 2. März 2023 veröffentlichte die Biden-Regierung die neueste Cyberstrategie des Weißen Hauses, die National Cybersecurity Strategy (NCS).

Im Vergleich zu anderen anhaltenden nationalen Themen wie dem Klimawandel oder der Einwanderung hebt dieser Artikel einen breiten Cyber-politischen Konsens zwischen drei demokratischen und zwei republikanischen Regierungen hervor. Neue Regierungen haben die Initiativen ihrer Vorgänger nicht zunichte gemacht; Vielmehr hat jedes Weiße Haus auf ihnen aufgebaut und sie verfeinert. Dieser Konsens und diese Teamarbeit haben jedoch auch eine Kehrseite. Trotz der verschiedenen Iterationen von Cyber-Strategien (und der Bemühungen derjenigen, die an ihrer Entwicklung und Umsetzung gearbeitet haben) im Laufe der Jahre sind viele zugrunde liegende Cyber-Probleme, mit denen die Vereinigten Staaten heute konfrontiert sind, schlimmer als 1998. Dementsprechend muss sich etwas ändern, wenn die Die Auswirkungen dieser Strategie werden jedoch anders sein.

Der Vergleich der neuen Strategie mit denen der letzten Jahrzehnte zeigt, wie sich die US-Cyberpolitik verändert hat und wo diese Strategie am meisten für Kontinuität oder Wandel steht. Die wichtigsten Vergleichsthemen sind die Versprechen und Bedrohungen des Cyberspace, die Bereitstellung von Sicherheit durch Märkte, Partnerschaften zwischen dem öffentlichen und dem privaten Sektor sowie die Abwehr von Gegnern.

Strategisches Konzept und Priorisierung

Die wichtigste Veränderung im neuen NCS (an dessen Entwurf ich als Regierungsvertreter mitgewirkt habe) sind nicht die schlagzeilenträchtigen Maßnahmen wie die Regulierung (unten erwähnt), sondern diejenigen, die ein tatsächliches strategisches Konzept festlegen und nicht nur eine lange Liste notwendiger Maßnahmen Aktionen.

Echte strategische Konzepte sollten einfach und kurz sein. Die Strategie der USA im Kalten Krieg war ein einziges Wort (Eindämmung). Die Strategie der Armee zur Aufstandsbekämpfung könnte in einem einfachen Satz zusammengefasst werden (ungefähr: Herz und Verstand gewinnen). Darüber hinaus sollte ein strategisches Konzept erweiterbar sein, d. h. Praktiker können die strategische Grundidee aufgreifen und auspacken, um tiefergehende Ziele im Einklang mit dem etablierten Konzept zu entwickeln. Sie sind auch beide negierbar, so dass ein Kritiker mit „Nein“ argumentieren kann, nicht mit „Herz und Verstand“, sondern „Tötet die Aufständischen“. Zusammengenommen treiben diese Bemühungen die Prioritäten voran, sodass die Bürokratie angesichts konkurrierender Prioritäten zur Verbesserung der Cybersicherheit entscheiden kann, in welche weiter investiert und welche aufgegeben werden sollen.

Den bisherigen US-Cyberstrategien fehlte ein solches erweiterbares, negierbares strategisches Konzept. Dabei handelte es sich größtenteils nur um Listen von Maßnahmen mit wenig Zusammenhang und kaum Möglichkeiten, zwischen ihnen Prioritäten zu setzen. Beispielsweise hatte die Nationale Strategie zur Sicherung des Cyberspace (2003) von Präsident George W. Bush drei strategische Ziele: Cyberangriffe verhindern, nationale Verwundbarkeit verringern und Schäden und Wiederherstellungszeiten minimieren –, aber keine Anleitung dazu, welches der drei wichtiger war.

Die NCS geht dementsprechend neue Wege, indem sie zwei Schichten und eine Theorie des Wandels fordert. Das NCS fordert zunächst eine Verlagerung der Lasten von den Endbenutzern auf die „fähigsten und am besten positionierten Cyber-Akteure“, die am besten in der Lage sind, Verbesserungen der Cybersicherheit in großem Maßstab vorzunehmen. Konkret zielt die Strategie darauf ab, die Verantwortung für die Abwehr von Cyberangriffen beispielsweise von Kleinunternehmen und unabhängigen Nutzern auf die Bundesregierung zu verlagern. Die zweite Verschiebung erfordert eine Änderung, um die Anreize für mehr langfristige Investitionen neu auszurichten. Mit anderen Worten: Die Bundesmittel sollten neu zugewiesen und darauf ausgerichtet werden, morgen zwei Marshmallows zu bekommen, statt heute nur einen.

Die Theorie der Veränderung, die den beiden oben genannten Verschiebungen zugrunde liegt, ist die Hebelwirkung. Der kleinste Ressourceneinsatz, die kleinste Veränderung „wird den größten Gewinn an Verteidigungsfähigkeit und systemischer Widerstandsfähigkeit hervorbringen.“ Diese Betonung der Hebelwirkung, die von der New York Cyber ​​Task Force übernommen wurde, sollte dazu beitragen, schwierige Entscheidungen bei Investitionsentscheidungen zu treffen.

Versprechen und Bedrohungen des Cyberspace

Dokumente des Weißen Hauses aus den letzten 25 Jahren zeigen die Spannung zwischen den Versprechen neuer Informationstechnologien für die Vereinigten Staaten – und den damit verbundenen Gefahren.

Während PDD 63 (1998) diesen Trend auslöste, wurde er im Nationalen Plan zum Schutz von Informationssystemen aus dem Jahr 2000 klarer dargelegt, beginnend mit dem allerersten Absatz der „Botschaft des Präsidenten“, bei der es sich im Wesentlichen um die teuerste Immobilie handelt Text in einem Dokument der US-Regierung:

In weniger als einer Generation haben die Informationsrevolution und die Einführung des Computers in nahezu alle Bereiche unserer Gesellschaft die Funktionsweise unserer Wirtschaft, die Art und Weise, wie wir für unsere nationale Sicherheit sorgen und die Struktur unseres Alltagslebens verändert. … Doch dieses neue Zeitalter der Verheißungen birgt Gefahren. Alle computergesteuerten Systeme sind anfällig für Einbruch und Zerstörung. Ein konzertierter Angriff auf die Computer eines unserer wichtigsten Wirtschaftszweige oder Regierungsbehörden könnte katastrophale Auswirkungen haben [sic].

Seitdem hat jeder Präsident in seiner persönlichen Botschaft im Allgemeinen eine ähnliche Sprache verwendet, um dieses Dilemma zwischen Versprechen und Gefahr zu thematisieren und den Fokus auf Cybersicherheit zu lenken.

Während Präsident Bushs „National Strategy to Secure Cyberspace“ (2003) das Thema ähnlich wie PDD 63 formulierte, macht Präsident Barack Obamas „Cybersecurity Review“ (2009) die „weite Reichweite einer lockeren und leicht regulierten digitalen Infrastruktur“ für die schlechte Sicherheit verantwortlich.

Im Vergleich dazu erkannte Präsident Donald Trumps National Cyber ​​Strategy (2018) das Versprechen-Gefahr-Dilemma an, betonte jedoch eher böswillige und unversöhnliche Gegner als die amerikanische Verwundbarkeit. Einzigartig für eine solche Strategie ist, dass Präsident Joe Biden bei der Einführung seiner Strategie für 2023 fast die „gefährliche“ Hälfte des Dilemmas umgeht und sich nicht auf die Bedrohungen, sondern auf die Chancen konzentriert, wenn die Vereinigten Staaten die Sicherheit richtig angehen:

Die digitale Technologie berührt heute nahezu jeden Aspekt des amerikanischen Lebens. … Diese [Strategie beschreibt den Ansatz] soll den Cyberspace besser sichern und sicherstellen, dass die Vereinigten Staaten in der bestmöglichen Position sind, um die Vorteile und das Potenzial unserer digitalen Zukunft auszuschöpfen.

Seit 25 Jahren erkennen Präsidenten die erstaunlichen Vorteile einer vernetzten Gesellschaft und Wirtschaft an, beklagen aber auch die Gefahren. Trotz dieses breiten Konsenses in der Anerkennung des Problems (insbesondere im Vergleich beispielsweise zu systemischem Rassismus oder Klimawandel) scheint kaum Fortschritt erzielt worden zu sein, da spätere Strategien dieselben Bedenken beklagen.

Märkte zum Funktionieren bringen

Lässt sich die Cybersicherheit am besten verbessern, indem man die Märkte funktionieren lässt oder, wenn die Märkte versagt haben, durch Regulierung? Dies war die umstrittenste Debatte in der Cyberpolitik und hier vollzieht die Biden-Strategie den klarsten Bruch mit früheren Richtlinien des Weißen Hauses.

Bis zur neuen Strategie blieben die Positionen früherer Regierungen zu Märkten und Vorschriften im Allgemeinen konsistent, seit sie vor 25 Jahren erstmals in PDD 63 dargelegt wurden:

Die Anreize, die der Markt bietet, sind die erste Wahl, um das Problem des Schutzes kritischer Infrastrukturen anzugehen; Regulierung wird nur dann eingesetzt, wenn der Markt erheblich versagt, um die Gesundheit, Sicherheit oder das Wohlergehen des amerikanischen Volkes zu schützen.

Die Nationale Strategie zur Sicherung des Cyberspace aus dem Jahr 2003 bekräftigte diesen marktorientierten (oder vielleicht regulierungsscheuen) Ansatz:

Die Bundesregulierung wird kein primäres Mittel zur Sicherung des Cyberspace sein. Umfangreiche Vorschriften, die vorschreiben, wie alle Unternehmen ihre Informationssysteme konfigurieren müssen, könnten erfolgreichere Bemühungen ablenken, indem sie einen Ansatz mit dem kleinsten gemeinsamen Nenner für die Cybersicherheit schaffen, der durch die sich entwickelnde Technologie schnell an den Rand gedrängt würde. … Laut Gesetz beziehen einige Bundesregulierungsbehörden bereits Überlegungen zur Cybersicherheit in ihre Aufsichtstätigkeit ein. Allerdings wird erwartet, dass der Markt selbst den größten Impuls zur Verbesserung der Cybersicherheit liefert.

Obwohl die „lockere und wenig regulierte digitale Infrastruktur“ als Schlüsselfaktor für mangelnde Sicherheit genannt wurde, gab es in der Obama-Rezension wenig zu Märkten und Regulierung zu sagen. Abgesehen von einigen Forderungen nach einer obligatorischen Meldung von Cyber-Vorfällen lag der Schwerpunkt vor allem auf Anreizen zur Verbesserung der Funktionsweise von Märkten und nicht auf der Regulierung dort, wo sie versagt hatten.

Die Trump-Strategie wiederum vermied es, sich direkt mit der Frage zu befassen, ob ein Marktversagen vorliegt, für das eine Regulierung erforderlich ist. Die Strategie sieht jedoch mehrere Ziele zur Verbesserung des Marktes vor, beispielsweise die Förderung „bester Praktiken und die Entwicklung von Strategien zur Überwindung von Marktbarrieren für die Einführung sicherer Technologien“ und die Verbesserung des „Bewusstseins und der Transparenz von Cybersicherheitspraktiken, um die Marktnachfrage zu steigern“. für sicherere Produkte und Dienstleistungen.“

Im Gegensatz dazu behauptet die Biden-Strategie mindestens fünfmal, dass die Märkte versagt haben. Die allererste große Maßnahme der Strategie, das strategische Ziel 1.1, fordert mehr Regulierung:

Während freiwillige Ansätze zur Sicherheit kritischer Infrastrukturen zu bedeutenden Verbesserungen geführt haben, hat das Fehlen verbindlicher Anforderungen zu unzureichenden und inkonsistenten Ergebnissen geführt. Der heutige Markt belohnt – und manchmal benachteiligt – die Eigentümer und Betreiber kritischer Infrastrukturen, die in proaktive Maßnahmen investieren, um Cybervorfälle zu verhindern oder deren Auswirkungen abzumildern. Regulierung kann gleiche Wettbewerbsbedingungen schaffen und einen gesunden Wettbewerb ermöglichen, ohne dass die Cybersicherheit oder die betriebliche Widerstandsfähigkeit darunter leiden.

Die Rolle der Regulierung ist eines der wenigen cyberpolitischen Themen, das diese parteiische Spaltung zeigt. Die Strategien republikanischer Regierungen argumentieren entweder damit, dass neue Vorschriften das Problem verschlimmern, oder sie erwähnen sie überhaupt nicht. Demokratische Regierungen sind sich darüber im Klaren, dass die Märkte versagen könnten oder dass dies der Fall ist und dass daher Maßnahmen erforderlich sind. Insbesondere könnte der Unterschied zwischen der Biden- und der Bush-Strategie kaum in einer eindeutigeren Beschreibung des Problems und der Lösung liegen.

Öffentlich Private Partnerschaft

Seit 25 Jahren beinhaltet jede Strategie öffentlich-private Partnerschaften. Obwohl die Biden-Strategie viel weiter geht als frühere Strategien, unterscheidet sie sich nur im Umfang und Ton und nicht in der Art.

PDD 63 gab den Ton für eine öffentlich-private Partnerschaft vor und argumentierte: „Da die Ziele von Angriffen auf unsere kritische Infrastruktur wahrscheinlich sowohl Einrichtungen in der Wirtschaft als auch in der Regierung umfassen würden, erfordert die Beseitigung unserer potenziellen Verwundbarkeit eine genaue Analyse.“ koordinierte Anstrengung sowohl der Regierung als auch des privaten Sektors.“

Obwohl PDD 63 eine „Partnerschaft“ forderte, ging es bei den neuen Organisationen und Prozessen, die darin gefordert wurden, um den Informationsaustausch und nicht um operative Zusammenarbeit, und es schien oft, als würde sich die Bundesregierung als die Erste unter Gleichen verstehen. Es handelte sich schließlich um eine öffentlich-private Partnerschaft und nicht um eine privat-öffentliche Partnerschaft.

Aber der Informationsaustausch allein würde nie ausreichen. Erfolgreiche Teams tauschen Informationen aus, während sie gemeinsam nach gemeinsamen Zielen streben, anstatt sich hauptsächlich auf den Informationsaustausch zu konzentrieren. Spätere Strategien gehen dementsprechend über das bloße Teilen hinaus.

Der Obama Cybersecurity Review trennte den Informationsaustausch von Partnerschaften, auch für kollektive Planung (jedoch nicht für kollektives Handeln). Bei der Überprüfung wurden zwar viele Probleme beim Teilen und bei Partnerschaften sowie entsprechende Empfehlungen diagnostiziert, die Ziele solcher Partnerschaften waren in der Überprüfung jedoch nicht klar, abgesehen von einigen Ausnahmen wie der Entwicklung eines gemeinsamen Betriebsbildes.

In der Nationalen Cyberstrategie von 2018 waren der Informationsaustausch und Partnerschaften immer noch nur vage erwähnt – möglicherweise mit einem herablassenden Element. Da Unternehmen der Informationstechnologie und Kommunikation (IKT) „in einer einzigartigen Position sind, Risiken zu erkennen, zu verhindern und zu mindern, bevor sie sich auf ihre Kunden auswirken“, muss die Bundesregierung mit diesen Anbietern zusammenarbeiten, um die Sicherheit und Widerstandsfähigkeit der IKT gezielt und gezielt zu verbessern effiziente Vorgehensweise." Dies charakterisiert föderale Partnerschaften dadurch, dass die Regierung dem privaten Sektor sagt: „Lassen Sie uns Ihnen bei Ihrer Arbeit helfen“, anstatt ihn als echten Partner anzuerkennen.

Im Vergleich dazu wurde der Ton für Bidens nationale Cybersicherheitsstrategie schon früh von Chris Inglis, dem ersten nationalen Cyberdirektor, vorgegeben, der eine völlig andere Ansicht vertrat. Er verstand, dass die öffentlich-private Beziehung weit über den bloßen Informationsaustausch hinausgeht und zu kollektivem Handeln führt – nicht nur zu Partnern, sondern zu Verbündeten. Seiner Ansicht nach müsse die US-Regierung „Schulter an Schulter“ mit dem Privatsektor stehen, sodass die Gegner „uns alle schlagen müssen, um einen von uns zu schlagen“. Die Strategie fordert dementsprechend ein „Netzwerk von Netzwerken, das das Situationsbewusstsein aufbaut und kollektive und synchronisierte Maßnahmen unter Cyber-Verteidigern vorantreibt“.

Der Ausbau dieses umfassenderen Ziels der operativen Zusammenarbeit nutzt eine dauerhafte amerikanische Stärke: die Nutzung des Privatsektors. Keiner der autoritären Gegner Amerikas, die ihren Privatsektor ersticken oder kontrollieren, kann diesen Vorteil erreichen. IKT-Unternehmen bringen einzigartiges Fachwissen, Agilität und die Fähigkeit mit, den Cyberspace direkt zu transformieren, um die Sicherheit zu verbessern. Als Privatpersonen können sie alle Maßnahmen ergreifen, die sie wollen, solange diese nicht ausdrücklich gesetzlich verboten sind – das Gegenteil von dem, was für die US-Regierung gilt, die nur das tun kann, was ausdrücklich genehmigt ist. Trotz hervorragender Leistungen ist die Regierung im Allgemeinen nicht in der Lage, mit den Stärken des Privatsektors mitzuhalten.

Vielmehr verfügt die US-Regierung über andere Stärken: mutmaßliche Legitimität; umfangreiche Budgets und damit die Fähigkeit, sich über Jahre hinweg auf Probleme zu konzentrieren, auch wenn es nicht profitabel ist; und Zugang zu anderen Machthebeln, einschließlich der härtesten, bis hin zu Verhaftungen und der Anwendung tödlicher Gewalt.

Der Versuch, diese Stärken in Einklang zu bringen, wird Jahre – wenn nicht Jahrzehnte – dauern, da die US-Regierung und der Privatsektor mit unterschiedlichen Methoden und in unterschiedlichem Tempo arbeiten. Selbst wenn ihre Interessen übereinstimmen, ist es immer noch schwierig, sich zu synchronisieren.

Gegnern entgegenwirken

Die frühesten Strategien beinhalteten keine spezifischen Maßnahmen zur Abwehr von Gegnern. Sie konzentrierten sich fast ausschließlich auf Verteidigungsmaßnahmen, abgesehen vielleicht von ein paar Hinweisen auf Abschreckung. Im Laufe der Zeit wurden durch aufeinanderfolgende Strategien weitere Maßnahmen zur Abwehr von Angreifern hinzugefügt.

Die wichtigste Erwähnung von Gegnern in PDD 63 war recht begrenzt und passiv: Da „zukünftige Feinde … versuchen könnten, uns auf nicht-traditionelle Weise zu schaden“, muss die Regierung die „Sammlung und Analyse von Informationen über die ausländische Cyber-/Informationskriegsbedrohung für unsere kritischen Parteien“ verbessern Infrastruktur.“ Von einer Störung oder einem Abbau ihrer Infrastruktur war keine Rede. Tatsächlich wird das Verteidigungsministerium kaum erwähnt, und Abschreckung war eine Aufgabe des Justizministeriums, um „auf Computerkriminalität von Jugendlichen zu reagieren“.

Bushs Strategie aus dem Jahr 2003 verfolgte etwas aktivere Ziele, wie zum Beispiel „Bedrohungen einzudämmen und böswillige Akteure durch wirksame Programme zu ihrer Identifizierung und Bestrafung abzuschrecken“ und forderte die „Gegenwirkung“ von Angriffen, möglicherweise durch die Entwicklung neuer Fähigkeiten, um „diejenigen abzuschrecken, die mit dem Virus infiziert sind“. Fähigkeiten und die Absicht, unsere kritischen Infrastrukturen zu schädigen.“ Obwohl diese Strategie die erste Cyber-Erklärung beinhaltete (dass die „Vereinigten Staaten sich das Recht vorbehalten, im Falle eines Angriffs angemessen zu reagieren“), stand die Abwehr von Gegnern einfach nicht im Mittelpunkt der Strategie.

Der energischere Ansatz der Bush-Regierung kam später in der geheimen Comprehensive National Cyber ​​Initiative (CNCI) der National Security Presidential Directive-54/Homeland Security Presidential Directive-23 zum Ausdruck. CNCI wurde im Januar 2008, weniger als zwei Wochen vor Obamas Amtsantritt, herausgegeben und enthielt den ersten bekannten Aufruf des Weißen Hauses, offensive Cyberkräfte zu Verteidigungszwecken einzusetzen, eine „umfassende und koordinierte Strategie zur Abschreckung von Eingriffen und Angriffen im Cyberspace“ und a koordinierter Plan „zur Koordinierung und Anwendung offensiver Fähigkeiten zur Verteidigung der US-Informationssysteme“. Als Präsident Obama im Amt war, übernahm seine Regierung die Strategie.

Die Strategie der Trump-Administration im Jahr 2018 war deutlich stärker auf Gegner ausgerichtet. Beispielsweise konzentriert sich der Unterabschnitt „Wie wir hierher gekommen sind“ der Einleitung auf die böswilligen Angriffe der Gegner und nicht auf die Schwachstellen der USA, wie dies in den Strategien früherer Regierungen der Fall war. Dementsprechend gibt es eine Untersäule, die den Aufgaben gewidmet ist, „Verhalten im Cyberspace zu identifizieren, entgegenzuwirken, zu stören, zu verschlechtern und abzuschrecken, das destabilisierend ist und den nationalen Interessen zuwiderläuft, und gleichzeitig die Übermacht der Vereinigten Staaten im und durch den Cyberspace aufrechtzuerhalten.“

Während die Biden-Strategie einen traditionelleren Fokus auf die Verwundbarkeit der USA als primäres zu lösendes Problem beibehält, geht sie weiter als jede andere Strategie zuvor, indem sie zum aktiven Kampf gegen die Gegner aufruft. Während die Trump-Strategie – die angeblich mehr darauf ausgerichtet ist, Gegner zu verunsichern – sie nur als Untersäule einbezieht und eine von 40 Seiten dem Thema widmet, erhebt die Biden-Strategie sie zu einer vollständigen Säule und widmet fünfeinhalb Seiten davon von 35 dazu.

Bidens NCS verpflichtet die Vereinigten Staaten zu:

alle Instrumente der nationalen Macht nutzen, um Bedrohungsakteure zu stören und zu zerschlagen, deren Handlungen unsere Interessen bedrohen[.] … Unser Ziel ist es, böswillige Akteure unfähig zu machen, nachhaltige Cyber-Kampagnen zu starten, die die nationale Sicherheit oder die öffentliche Sicherheit der Vereinigten Staaten gefährden würden.

Die Bekämpfung von Gegnern hat sich im Gegensatz zur Regulierung von einer geheimen Maßnahme unter vielen zu einer anerkannten Weisheit und einer überparteilichen politischen Priorität entwickelt.

Auf Schultern stehend

Die Strategie von 2023 leistet noch etwas Gutes und ist anders: Sie besagt ausdrücklich, dass sie in den vielen früheren Strategien des Weißen Hauses der Republikaner und Demokraten wurzelt, einschließlich der oben zusammengefassten. Die Strategie „ersetzt die Nationale Cyberstrategie von 2018, setzt jedoch viele ihrer Prioritäten fort“ und „führt viele der von CNCI initiierten strategischen Bemühungen fort und entwickelt sie weiter“.

Dies zeugt nicht nur von Respekt vor den Mitarbeitern des Weißen Hauses, die bereits hier waren, sondern erkennt auch an, dass die Herausforderungen seit langem bestehen. Die Autoren dieser frühesten Strategien haben nie damit gerechnet, dass der Erfolg länger als 25 Jahre dauern würde (PDD 63 forderte den Erfolg „spätestens in fünf Jahren ab heute“), und doch sind wir hier.

Mit den wichtigen Änderungen in der Nationalen Cybersicherheitsstrategie 2023 – und dem Umsetzungsplan, der derzeit im Büro des Nationalen Cyberdirektors ausgearbeitet wird – wird der Erfolg hoffentlich nicht weitere 25 Jahre auf sich warten lassen.