Die Bedeutung von R-Score als öffentlich-private Bildungsinitiative

Am 24. August

HYCU hat zusammen mit wichtigen Partnern aus der Sicherheitsbranche, Lösungspartnern und der Wissenschaft R-Score eingeführt.

R-Score ist das erste Bewertungstool seiner Art, das die Bereitschaft eines Unternehmens zur Wiederherstellung von Ransomware bewertet, ähnlich wie Fair and Isaac vor mehr als dreißig Jahren das FICO-Scoring-System eingeführt hat. Wir sprachen mit Kevin Powers, JD, dem Gründer und Direktor der Cybersecurity Graduate Programs am Boston College und einem Cybersecurity Research Affiliate an der MIT Sloan School of Management (CAMS), um mehr darüber zu erfahren, warum es so wichtig ist, im Falle eines Ransomware-Angriffs optimal vorbereitet zu sein.

F: Warum ist R-Score eine interessante Initiative?

KP: Was mein Interesse am Anfang wirklich geweckt hat, war die Möglichkeit einer echten Zusammenarbeit zwischen Privatwirtschaft, Regierung und Wissenschaft bei der Entwicklung einer kostenlosen, öffentlichen Ressource zur Bekämpfung der heutigen Cyber-Bedrohungen, insbesondere Ransomware.

Am Boston College haben wir im Rahmen unserer Graduiertenprogramme für Cybersicherheit und nationale Sicherheit sowie meiner Arbeit am MIT als Forschungspartner mit der Regierung, der Privatwirtschaft und der Wissenschaft zusammengearbeitet, um Ideen zu entwickeln, wie alle Beteiligten gemeinsam gegen diese Cyber-Bedrohungen vorgehen können, um Unternehmen beim Schutz ihrer Geschäftsabläufe und Daten zu unterstützen.

Und das ist genau das, was wir mit R-Score getan haben. Ähnlich wie bei der Boston Conference on Cybersecurity, einer Veranstaltung, die wir gemeinsam mit dem FBI am Boston College ausrichten und bei der wir Führungskräfte aus allen Branchen und Regierungssektoren zusammenbringen, um mit den führenden Experten und Praktikern im Bereich der Cybersicherheit über bewährte Verfahren zur Bewältigung der aktuellen Probleme zu diskutieren.

Sie haben eine Reihe von Initiativen von verschiedenen Gruppen und Branchen gesehen. Kürzlich berief Präsident Biden ein Gipfeltreffen von führenden Vertretern des Privatsektors und des Bildungswesens ein, um die Bemühungen der gesamten Nation zu erörtern, die notwendig sind, um die zunehmenden Bedrohungen der Cybersicherheit, einschließlich der Ransomware-Bedrohungen, zu bekämpfen. Um diese Bedrohungen zu bekämpfen, müssen wir zusammenarbeiten. Ich kann dem nur zustimmen: Wir brauchen einen Ansatz, bei dem alle an einem Strang ziehen. Das ist es, was mich an R-Score so begeistert hat, und deshalb bin ich so froh, an dieser Initiative beteiligt zu sein.

F: Wo sehen Sie einige der kurzfristigen Anwendungsfälle oder Einsatzmöglichkeiten für R-Score?

KP: Ich denke, dass R-Score für private und staatliche Organisationen - auf lokaler, bundesstaatlicher und föderaler Ebene - von Anfang an ein benutzerfreundliches Tool bietet, das ein einfach zu verfolgendes Dashboard bereitstellt, das die wichtigsten Fragen für jede Organisation in Bezug auf Ransomware beantwortet: "Wo stehe ich jetzt? Wenn ich heute von Ransomware betroffen wäre, wie schnell könnte ich mich erholen und meine Betriebsbereitschaft wiederherstellen?" Allein mit dieser Information sind die meisten Unternehmen der Zeit voraus. Aus der Perspektive der Anwendungsfälle ist dies eine sehr nützliche Funktion. Wenn ich z. B. im Vorstand eines Unternehmens sitze oder ein leitender Angestellter bin, kann ich mir die Daten ansehen und sagen: "Auf der Grundlage unseres R-Scores müssen wir dieses Problem jetzt angehen." Oder: "Es sieht so aus, als ob wir gut dastehen, aber wir müssen unsere Fähigkeit zur Abwehr und Entschärfung eines Angriffs verbessern, und so können wir das tun", und zwar auf der Grundlage der von R-Score gelieferten Erkenntnisse.

F: Wir wissen, dass Sie viel in der Branche und auch mit Privatunternehmen arbeiten. Wo sehen Sie die Diskussion auf Vorstandsebene zum jetzigen Zeitpunkt?

KP: Dieses Thema wird immer mehr zu einem Thema auf Vorstandsebene, und das schon seit einer Weile. Als wir unser Programm am Boston College ins Leben riefen (und das gilt auch heute noch), bestand die ganze Idee darin, die Kommunikationslücke zwischen der IT-Abteilung und den Führungskräften der oberen Ebene und dem Vorstand zu schließen. Es gibt immer noch eine Kluft zwischen ihnen. Die CISOs haben ihre Aufgabe. Sie machen ihre Arbeit übrigens sehr gut, aber es liegt immer noch an der Kommunikation. Manchmal wissen die CISOs nicht, was sie dem Vorstand präsentieren sollen, oder sie wissen es, aber sie tun es nicht so, dass es leicht verdaulich ist. Dann sagen Vorstandsmitglieder und leitende Angestellte: "Hey, ich verstehe die Bedrohung durch die Cybersicherheit", aber es wird dann als IT-Problem betrachtet. Ich sage das jetzt schon eine ganze Weile: "Cybersicherheit ist kein technisches Problem. Es ist eigentlich ein geschäftliches Problem, ein Problem des Risikomanagements in Unternehmen, das von oben nach unten und nicht von unten nach oben gesteuert werden muss." Wir müssen wirklich einen besseren Weg finden, um auf beiden Ebenen zu kommunizieren, von der IT-Abteilung über die leitenden Angestellten bis hin zum Vorstand und über das gesamte Unternehmen hinweg.

Unabhängig davon, ob Sie im Vorstand sitzen oder eine Geschäfts- oder IT-Abteilung leiten, bietet Ihnen R-Score eine leicht verständliche, nicht-technische Dashboard-Ansicht Ihres aktuellen Status in Bezug auf den Schutz Ihrer Geschäftsabläufe und sensiblen Daten vor einem Ransomware-Angriff. Sobald Sie Ihren Score sehen, können Sie die notwendigen Maßnahmen zur Verbesserung Ihrer Cybersicherheit ergreifen.

F: Wo können die Leser mehr darüber erfahren, worauf Sie sich konzentrieren und welche Veranstaltungen Sie in den kommenden Monaten durchführen werden?

KP: Nun, wir beginnen das akademische Jahr mit dem ersten unserer "Cyber & National Security Webinars" am Boston College am 16. September. Das Webinar hat das Thema "Cybersecurity Risk Management": Ransomware Planning, Response, Mitigation, and Recovery" und unsere Diskussionsteilnehmer sind: Supervisory Special Agent Doug Domin, Criminal Cyber Squad beim FBI - Boston Division, und Simon Taylor, CEO und Gründer von HYCU, Inc. Ransomware wird zweifellos ein Hauptthema der Diskussion sein. Weitere Informationen finden Sie auf unserer Website unter: www.bc.edu/mscybersecurity

Außerdem gibt es viele Gespräche und Interesse an der Cloud-Sicherheit, und wir konzentrieren uns im Unterricht und in unseren Webinaren darauf. Die Leute denken: "Oh, ich werde alles in die Cloud verlagern, und alles ist gut. Wir reduzieren das Risiko. Wir reduzieren die Kosten." Nun, man reduziert beides, aber die Haftung bleibt bestehen, und es gibt eine Menge zu beachten, wenn man von einem Netzwerk in die Cloud wechselt. Es gibt eine Reihe von Dingen zu bedenken: Wie konfiguriert man es? Wie verwalten Sie es? Wer speichert die Daten für Sie? Was sind die vertraglichen Auswirkungen? Und dann kommt es darauf an, dass die Leute denken: "Hey, es ist ja in der Cloud. Wir sind doch alle abgesichert, oder?" Das ist in der Regel nicht der Fall.

Schaut man sich die Ratschläge und Anleitungen der Bundesbehörden an, ob FBI, CISA, FTC oder andere, so beginnen sie mit "Sichern Sie Ihre Daten". Ich erinnere mich an unsere erste Bostoner Konferenz für Cybersicherheit im Jahr 2017, als FBI-Direktor Comey als Hauptredner der Konferenz auftrat. Einer seiner wichtigsten Ratschläge an die Teilnehmer lautete: "Sichern Sie Ihre Daten." Zweifellos ist die Sicherung Ihrer Daten ein wichtiger Teil des Puzzles.

Außerdem werde ich am 24. September zusammen mit Simon Taylor einen Vortrag an der MIT Sloan School of Management halten. Es handelt sich um eine virtuelle Veranstaltung, bei der wir Strategien zur Wiederherstellung von Ransomware erörtern werden.

Und natürlich ist es noch ein bisschen hin, aber wir planen bereits die 6. jährliche Boston Conference on Cyber Security (BCCS 2022), die für den 2. März geplant ist und wieder im BC stattfinden wird.

Wenn Sie mehr über R-Score und die Beteiligung von Professor Kevin Powers erfahren möchten, lesen Sie sein kürzlich geführtes Gespräch mit Boston College News unter "GetRScore helps organizations assess ability to recover from ransomware attack". Um den R-Score zu machen und herauszufinden, wie weit Sie bereit sind, sich von einem Ransomware-Angriff zu erholen, besuchen Sie www.getrscore.org.