بسبب الهجمات السيبرانية عالية المخاطر والتغطية الصحفية السائدة اللاحقة، تتجه الحكومة الفيدرالية نحو متطلبات جديدة للأمن السيبراني للبنية التحتية الحيوية.
يوليو مذكرة مكتب الإدارة والميزانية (OMB). (PDF) دعت الوكالات عبر الحكومة الفيدرالية إلى إنشاء "معايير أداء" محددة للأمن السيبراني لصناعاتها - والأهم من ذلك، تخصيص ميزانية "لمراجعة وتقييم" الوكالة الفيدرالية لخطط التعزيز السيبراني التي أعدتها المنظمات المطلوبة للوفاء تلك المعايير الجديدة.
مطلوب: المراجعة الفيدرالية وتقييم الخطط
يعمل هذا المستوى من الإشراف المباشر على توسيع النهج الذي يتم تطبيقه اليوم فقط على البنية التحتية الوطنية الأكثر أهمية - ولا سيما الشبكة الكهربائية (التي تنظمها وزارة الطاقة، واللجنة الفيدرالية لموثوقية الطاقة، ومؤسسة موثوقية أمريكا الشمالية) والنفط والغاز. خطوط الأنابيب (وزارة الأمن الداخلي وإدارة أمن النقل) – عبر مجموعة كاملة من الصناعات الأمريكية التي يعتمد عليها الناس، بما في ذلك تجارة التجزئة، والأدوية، والمواد الكيميائية، والنقل والتوزيع، والأغذية والمشروبات، وغيرها الكثير.
إحدى الصناعات التي من المرجح أن تشعر بهذا النشاط التنظيمي بقوة، وستشهد تغييرات جوهرية نتيجة لذلك، هي قطاع المياه. مرافق المياه معرضة بشدة للهجمات السيبرانية، وهي في حاجة ماسة إلى معايير أمنية محدثة ومطبقة. في الواقع، ألمحت إدارة بايدن مؤخرًا إلى أن وكالة حماية البيئة (EPA) من المقرر أن تصدر قاعدة جديدة من شأنها أن تشمل الأمن السيبراني في مراجعات الصرف الصحي لمرافق المياه في البلاد – بالإضافة إلى ذلك. دعم معايير أعلى عندما يتعلق الأمر بالأمن السيبراني.
المخاطر كبيرة: يقوم نظام معالجة المياه البلدي النموذجي بتصفية 16 مليون جالون من المياه يوميًا، ويمكن لقراصنة ناجحين أن يلوثوا إمدادات المياه بأكملها في المجتمع. هذا ليس خوفًا افتراضيًا، فقد تمكنت مجموعة قرصنة مؤخرًا من التسلل إلى أحد المواقع نظام معالجة المياه في أولدسمار، فلوريدا. ومن خلال التلاعب بكمية الغسول الموجودة في الماء، يعرضون مدينة بأكملها للخطر. ومؤخرًا، استهدفت عصابة برامج الفدية Clop جنوب ستافوردشاير مرافق المياه في المملكة المتحدة. ورغم أن هذه الهجمات لا تكون ناجحة دائما، فقد أصبحت خطورة المخاطر واضحة تماما.
وعلى الرغم من المحاولات السابقة لتحسين المعايير الأمنية لقطاع المياه، إلا أنه لا يزال عرضة للخطر. حتى قانون البنية التحتية للمياه في أمريكا لعام 2018 (AWIA)، التي نصت على أن مرافق المياه يجب أن تضع خطط استجابة للطوارئ تعالج تهديدات الأمن السيبراني كجزء من بذل جهد أوسع لتحسين البنية التحتية الشاملة والجودة، لم يغير بشكل كبير وضع الأمن السيبراني لهذه الصناعة. ويضم القطاع 50,000 ألف مرفق منفصل في الولايات المتحدة، معظمها صغيرة وتديرها البلديات؛ وقد أدى هذا التشرذم، إلى جانب عدم الرغبة العامة من جانب المشغلين في التخلي عن الممارسات الحالية، إلى تلاشي الدافع للتغيير.
لكن السوابق تخبرنا أنه عندما يتم تطبيق القواعد التنظيمية الفيدرالية بشكل صحيح، فمن الممكن أن تحدث فرقًا. ونحن نشهد بالفعل تقدما في قطاع البنية التحتية الحيوي الآخر الضعيف: النفط والغاز. بعد رفيعة المستوى اختراق خط الأنابيب الاستعماري وفي عام 2021، أصدرت إدارة أمن النقل (TSA) التابعة لوزارة الأمن الداخلي سريعًا اثنين توجيهات أمنية، مع تحديث في عام 2022، ومضاعفة جهودها لضمان حماية أفضل للبنية التحتية للطاقة على الصعيد الوطني. وشددت هذه التوجيهات على إدارة بيانات الاعتماد والتحكم في الوصول، وهما أمران من شأنهما أن يساعدا في منع هجوم برامج الفدية في المقام الأول.
على الرغم من المعارضة الأولية من أصحاب ومشغلي خطوط الأنابيب، فإن متطلبات إدارة أمن النقل الأولى من نوعها تقود القطاع بأكمله نحو بيئة أكثر حماية. يميل المشغلون الآن إلى التدابير الأمنية التي تتمحور حول الاستباقية ومنع الهجمات.
الدعوة لمنع الهجمات تؤدي إلى مزيد من الحماية
والفرق الرئيسي هنا هو أن تتطلب توجيهات TSA خطط التنفيذ للسايبر الحماية، وليس فقط للكشف عن الحوادث والاستجابة لها. بمجرد مطالبة المشغلين بذلك حماية
ولم يقتصر الأمر على الاستجابة للأحداث بعد وقوعها فحسب - وبمجرد أن قامت الحكومة الفيدرالية بمراجعة خطط الحماية السيبرانية الخاصة بها - بدأ قطاع النفط والغاز في التحرك بجدية.
والآن، مع توجيهات مكتب الإدارة والميزانية للوكالات، سيأتي نفس الإشراف المباشر على الحماية السيبرانية إلى قطاعات أخرى أيضا، بما في ذلك المياه. وبعبارة أخرى، فإن الحركة في قطاع النفط والغاز هي إشارة إلى ما سيأتي بالنسبة للبنية التحتية الحيوية الأخرى.
أظهر اختراق Oldsmar لعام 2021 للعالم مدى سهولة الهجوم على محطة المياه ومدى تدميره. بغض النظر عن معايير الصناعة التاريخية، أ حاجة واضحة لتحسين الأمن السيبراني لقد ظهر هذا الأمر، ويبدو أن الحكومة مستعدة للمضي قدماً بقوة أكبر من أي وقت مضى. ومن المتوقع أن يكون اندفاعها الواسع النطاق نحو تحسين الأمن للبنية التحتية الحيوية بمثابة الحافز الذي تحتاج إليه العديد من القطاعات، مثل المياه، بشدة.
ولم يعد بإمكان أصحاب المصانع ومشغليها تجاهل المخاطر؛ تنظيم أثقل هي "متى" وليست "إذا". والآن هو الوقت المناسب لهم لمتابعة الأمن السيبراني الأفضل والأكثر حداثة.
