Am Nachmittag des 30. Septembers koordinierte das Zentrum für Informationstechnologie und Cybersicherheitsüberwachung des Government Cipher Committee mit einer Reihe von Agenturen und Einheiten innerhalb und außerhalb des Organisationskomitees den Abschluss des praktischen Übungsprogramms zur Gewährleistung der Netzwerkinformationssicherheit für IT-Systeme beim Government Cipher Committee im Jahr 2024.

Folge 2 1.jpg
Generalmajor Nguyen Dang Luc, stellvertretender Vorsitzender des Government Cipher Committee, hielt bei der Abschlusszeremonie des Kampfübungsprogramms 2024 eine Rede. Foto: Organisationskomitee

Das in dieser Schießübung als Ziel der Angriffs- und Verteidigungsteams ausgewählte System ist das öffentliche Serviceportal der Civil Cryptography Administration und der Cryptographic Product Inspection Department.

Dies ist eines der wichtigen Systeme der Kryptografiebranche, das für die Bereitstellung von Lizenzierungsdiensten für den Export und Import ziviler kryptografischer Produkte für Unternehmen verantwortlich ist.

Am diesjährigen Gefechtsübungsprogramm des Government Cipher Committee nehmen neben dem Verteidigungsteam auch Angriffsteams teil, darunter Einheiten innerhalb des Komitees wie die Academy of Cryptography Techniques, das Institute of Cryptography Science and Technology, das Center for Information Technology and Network Security Monitoring sowie externe Unternehmen und Partner wie VNPT, Kaspersky usw.

Statistiken des Organisationskomitees zufolge musste das Verteidigungsteam an drei aufeinanderfolgenden Tagen vom 25. bis 27. September Zehntausende Scans und Angriffe der Angriffsteams auf das System bewältigen.

Zu den vier hochgeschätzten Angriffsteams im Kampfübungsprogramm 2024 des Government Cipher Committee gehören: Das Team des VNPT Information Security Center gewann den ersten Preis, das Team der Cryptography Engineering Academy erhielt den zweiten Preis; Zwei Teams vom Institute of Cryptography Science and Technology und dem Center for Information Technology and Network Security Monitoring gewannen den dritten Preis.

Durch das Übungsprogramm hatten die Behörden und Einheiten des Government Cipher Committee die Möglichkeit, eine Selbsteinschätzung vorzunehmen und ihre Reaktionsfähigkeit auf Bedrohungen und Cyberangriffe zu bewerten.

W-dien tap 001.jpg
Durch praktische Übungen verbessern technische Mitarbeiter ihre Fähigkeiten zur Abwehr von Angriffen und zur Bewältigung von Netzwerksicherheitsvorfällen. Abbildung: TM

Insbesondere haben die Einheiten des Government Cipher Committee beim Angriffs- und Verteidigungsprozess des Systems festgestellt, dass bei der Nutzung von Menschen und Technologie immer noch Schwachstellen und Sicherheitslücken bestehen, und umgehend Maßnahmen ergriffen, um diese zu überwinden und zu beheben. Gleichzeitig gibt es Vorgaben und Pläne, um die Wirksamkeit der Gewährleistung der Sicherheit der verwalteten Informationssysteme in der kommenden Zeit zu verbessern.

In seiner Rede bei der Abschlusszeremonie der Übung forderte Generalmajor Nguyen Dang Luc, stellvertretender Vorsitzender des Government Cipher Committee, die Behörden und Einheiten des Komitees auf, sich darüber im Klaren zu sein, wie wichtig es sei, die Netzwerksicherheit der Informationssysteme ihrer Einheiten zu gewährleisten.

„Agenturen und Einheiten dürfen bei dieser Arbeit weder nachlässig noch subjektiv handeln. „Es ist notwendig, die Leiter des Digital Infrastructure Development Board und der digitalen Umgebung des Ministeriums und der Industrie umgehend zu beraten, um die Anforderungen an Sicherheit und Schutz zu erfüllen“, betonte Generalmajor Nguyen Dang Luc.

Neben der Aufforderung, die Zusammenarbeit und den Informationsaustausch zwischen den Behörden und Einheiten innerhalb und außerhalb des Government Cipher Committee zu stärken, wies Generalmajor Nguyen Dang Luc das Zentrum für Informationstechnologie und Cybersicherheitsüberwachung auch an, weiterhin ähnliche Übungen zu koordinieren, zu beraten und die Organisation solcher Übungen vorzuschlagen, um das Sicherheitsniveau aller Systeme in der Abteilung und im Sektor neu zu bewerten.

Darüber hinaus wies der Vertreter des Government Cipher Committee darauf hin, dass die Behörden und Einheiten des Komitees vor der praktischen Umsetzung eines Informationssystems oder einer Sicherheitslösung eine gründliche Bewertung der Informations- und Netzwerksicherheit durchführen müssen, um Sicherheitslücken im Quellcode oder im Systemdesignmodell zu finden und zu beheben und so Sicherheit gegen die allgegenwärtigen Risiken von Cyberangriffen zu gewährleisten.

In der im September 2021 erlassenen Richtlinie 60 zur Organisation und Durchführung praktischer Übungen zur Gewährleistung der Netzwerkinformationssicherheit wies der Premierminister darauf hin: Damit die Incident-Response-Teams über ausreichende Kapazitäten verfügen, um in ihren Systemen auftretende Vorfälle zu bewältigen, muss die Übung in eine praktische Übungsform mit neuen Methoden, neuem Umfang und neuer Art umgewandelt werden.

Praxisnahe Übungen werden an realen Systemen durchgeführt, ohne vorgegebenes Skript, jedoch mit Vorgaben zu Zielen, Teilnehmern, eingesetzten Werkzeugen, Auslastungsgrad und Dauer, um Risiken zu minimieren.

Bei praxisnahen Übungen wird die Übungsaktivität direkt auf dem System durchgeführt, für dessen Schutz das Incident-Response-Team verantwortlich ist. Dadurch wird die Erfahrung des Incident-Response-Teams im Umgang mit Vorfällen mit Betriebssystemen weiter verbessert.

Die Plattform zur Unterstützung realitätsnaher Übungen wird noch in diesem Jahr eingeführt . Mit der Plattform zur Unterstützung realitätsnaher Übungen wird die Durchführung von Übungen bei Behörden und Organisationen einfacher und qualitativ hochwertiger, synchronisierter und die Lücke zwischen Einheiten sowie zu nationalen Übungen wird schrittweise verringert.