Onlangse uitvoerende optrede en herstrukturering van agentskappe dui op 'n beduidende verandering in die federale kuberveiligheidstrategie, wat vrae laat ontstaan oor nasionale veerkragtigheid en die paraatheid van die privaatsektor.
Dit gebeur nie dikwels dat jy 'n regering sien wat doelbewus redelike vooruitgang wat deur 'n voorganger gemaak is, ontmantel nie, maar die uitvoerende gesag van Trump is vol verrassings. Dit lyk nie net of dit aktiwiteite in verskeie kuberveiligheidsgebiede gestaak het op presies die tydstip wanneer dit die versneller moet trap nie; in sommige gevalle beweeg dit so vinnig as moontlik in trurat.
Nêrens is dit duideliker as in die jongste verslag van die Cyber Solarium Commission (CSC) – of liewer die CSC 2.0. Die Kommissie is oorspronklik gestig as deel van die 2019 Defense Authorization Act, om 'n strategiese benadering tot verdediging teen beduidende kuberveiligheidsaanvalle op die VSA te ontwikkel. Nadat dit in 2021 opgehef is, is dit as 'n niewinsorganisasie in die Center on Cyber and Technology Innovations (CCTI) by die Foundation for the Defense of Democracies (FDD) herleef.
Die vyfde jaarverslag van die CSC toon dat die VSA wesenlik agteruitgegaan het in sy kuberveiligheidshouding. Verlede jaar se verslag het getoon dat hulle 48% van die CSC se kuberveiligheidsaanbevelings geïmplementeer het. Vanjaar het die implementering van 48% tot 35% gedaal. Byna 'n kwart van die volledig geïmplementeerde aanbevelings vanaf 2024 het daardie status verloor na ingrypende veranderinge deur die huidige administrasie.
Een van die vyf areas wat die verslag aanbeveel dat die land aanspreek om weer op koers te kom, is die arbeidsmagkrisis by CISA. Die Trump-administrasie het die CISA-werksmag vroeër vanjaar met een derde verminder, van 3 300 tot 2 200 mense.
Vinnig beweeg en dinge doelbewus breek
Die Trump-administrasie het so vinnig met sy veranderinge beweeg dat dit moeilik is om tred te hou, maar hier is 'n paar belangrike veranderinge. Met sy inhuldiging het die president se span alle lidmaatskappe van die DHS-advieskomitees beëindig, wat die Kuberveiligheidsoorsigraad wat die Salt Typhoon-aanvalle ondersoek het, effektief gedood het.
Toe, Trump afgedank hoof van die Amerikaanse Cyber Command, Timothy D. Haugh, in April na druk van die verregse aktivis Laura Loomer.
Nog groter veranderinge het in Junie gekom met Trump se uitvoerende bevel "Volhoubare Uitgesoekte Pogings om die Nasie se Kuberveiligheid te Versterk en Wysiging van Uitvoerende Bevel 13694 en Uitvoerende Bevel 14144", wat baie kuberveiligheidsmaatreëls uit die Biden-era teruggedraai het.
Hierdie EO het KI-sekuriteitsbeleide gesny, die vereistes vir veilige sagteware-sekuriteitsattesering vir federale sagtewareverskaffers (insluitend sagteware-materiaallys, of SBOM) uitgeskakel, en 'n poging om digitale identiteit vir federale voordele aan te neem, belemmer. Dit het laasgenoemde geregverdig deur te beweer dat dit "wydverspreide misbruik in gevaar stel deur onwettige immigrante in staat te stel om onbehoorlike toegang tot openbare voordele te verkry".
Kuberdiplomasie (’n sleutel strategiese pilaar onder die Biden-administrasie) het ook ’n knou gekry. In Julie het die Staatsdepartement die drie jaar oue Kuberdiplomasieburo (CDP) effektief doodgemaak, sleutelpersoneel afgedank, insluitend vyf van die agt mense wat aan bilaterale en streeksake werk, en die aktiewe hoof hertoewys. Dit sal die CDP uitmekaar haal en dele daarvan na verskillende vlerke van die agentskap skuif, genoemde verslaeDie nuwe regering het ook 'n FCC IoT-sekuriteitswet van Januarie 2025 opgeskort.
Trump het veral die primêre befondsing van verkiesingsbestuur en anti-disinformasie-inisiatiewe hard gesny. Hy het befondsing vir die Verkiesingsinfrastruktuur-inligtingsdelingsanalisesentrum (EI-ISAC) gesny, en 'n uitvoerende bevel genaamd "Herstel van Vryheid van Spraak en Beëindig Federale Sensuur" het befondsing vir navorsing oor buitelandse kwaadwillige invloed gesny.
Die administrasie het ook die FBI se Buitelandse Invloed-taakmag en die Globale Betrokkenheidsentrum, wat gefokus het op die bekamping van anti-Amerikaanse inligtingsveldtogte, gesluit. Dit laat state nou nie meer toe om fondse te gebruik om dienste van die Multi-State Information Sharing and Analysis Center te koop nie, en het befondsing vir daardie inisiatief gesny op grond van die veronderstelling dat dit vryheid van spraak sensureer.
AG Pam Bondi het ook die afdwinging van die Wet op die Registrasie van Buitelandse Agente (FARA) afgeprioritiseer en die Departement van Justisie se Taakmag vir Buitelandse Invloed en die Nasionale Veiligheidsafdeling se Korporatiewe Afdwingingseenheid ontmantel. Dit baan die weg vir buitelandse hack-en-lekkasie-operasies en trolplase. En die DoJ verlate Projek KleptoCapture, 'n Biden-era-inisiatief om die bates van Russiese oligarge te beslaglê wat moontlik gebruik kan word om buitelandse invloedsveldtogte te finansier.
Hierdie maatreëls het die regering se vermoë verminder om privaatsektororganisasies te help wanneer hulle dit die nodigste het. April het Checkpoint Software gesien rekord 'n 47% toename in kuber-aanvalle vir die eerste kwartaal van 2025, wat 'n gemiddeld van 1 1,925 weeklikse aanvalle per organisasie bereik, tesame met 'n styging van 126% in ransomware-aanvalle. CrowdStrike aangeteken 'n styging van tot 300% Chinese aanvalle op geteikende nywerhede.
ISO 27001 as 'n Veerkragtigheidsbasislyn
Beplanning vir veerkragtigheid is veral belangrik in die lig van die regering se ommeswaai oor sommige kuberveiligheidsbeleide. Die afwesigheid van regeringsleiding maak dit selfs belangriker dat maatskappye aanvaarde norme volg.
In sommige gevalle sal dit beteken dat die gees van strenger regeringsregulasies wat teruggetrek is, gevolg word. Standaarde soos ISO 27001 is ook nuttige hulpmiddels vir maatskappye wat 'n robuuste grondslag in goeie inligtingsekuriteitspraktyke wil hê. In die besonder definieer ISO 27001:2022 Bylae A 5.29 – Inligtingsekuriteit tydens ontwrigting, om inligtingsekuriteit tydens tye van ontwrigting te verseker.
Vir enige hiervan om te werk, moet sakeleiers egter inkoop en verantwoordelik wees vir struktuurinligtingsekuriteitsmaatreëls. Dit is aan hulle om die behoorlike struktuur te verseker om voor te berei vir, te reageer op en ontwrigting te verminder. Dit is dalk nog nie gepas om te sê "niemand kom om jou te red nie", maar as daar ooit 'n beter tyd was om die ophaalbrug op te rig, sou dit nou wees.
