CISA stellt sechs kostenlose Cybersicherheitsprogramme ein
Die Cybersicherheits- und Infrastrukturschutzbehörde (CISA) hat sechs kostenlose Programme zur Bewertung der Cybersicherheit eingestellt, was bei Experten Bedenken hinsichtlich der Auswirkungen auf die Sicherheit kleinerer Organisationen hervorruft.
Die US-Behörde für Cybersicherheit und Infrastrukturschutz (CISA) hat die Bereitstellung von sechs spezifischen kostenlosen Cybersicherheitsbewertungen eingestellt. Diese Programme, darunter Ransomware-Bereitschaftsanalysen und Überprüfungen des Incident Managements, unterstützten Organisationen bei der Einschätzung ihrer Sicherheitslage und ihrer Vorbereitung auf Cyberbedrohungen.
Die Entscheidung hat bei Experten Besorgnis ausgelöst. Sie befürchten, dass kleinere Organisationen wichtige Ressourcen zur Identifizierung und Behebung von Schwachstellen verlieren könnten. Die Einschränkung der Programme wird teilweise als Folge der anhaltenden Personalprobleme und begrenzten Ressourcen der Behörde angesehen.
CISA versichert jedoch, die Bemühungen nicht vollständig einzustellen. Die Behörde hat einen neuen, standardisierten Fragebogen eingeführt, die "Cross-Sector Cybersecurity Performance Goals 2.0 assessment". Dieser soll die bisherigen sechs Bewertungen durch einen optimierten Prozess ersetzen, um die Datenqualität zu verbessern und den Verwaltungsaufwand für die geprüften Organisationen zu verringern.
"Dies spiegelt eine Behörde wider, die nach erheblichen Personalabbauten mit einem Bruchteil ihrer früheren Kapazität arbeitet und schwierige Entscheidungen darüber treffen muss, wo ihre verbleibenden Mitarbeiter den größten Wert schaffen können", sagte Dave Bailey, Vizepräsident für Beratungs- und Strategielösungen. CISA betont, dass sie weiterhin andere kostenlose, freiwillige Dienstleistungen wie die Weitergabe von Bedrohungsinformationen und technische Expertise anbieten wird.
Trotz der Zusicherungen von CISA äußern einige Experten die Sorge, dass der neue Prozess die praktische Expertise und die unabhängige Validierung, die die eingestellten Programme boten, insbesondere für Organisationen mit begrenzten internen Cybersicherheitsressourcen, möglicherweise nicht vollständig ersetzen kann.