"Shields Ready" kriittisen infrastruktuurin aloite käsittelee väistämättömiä kyberhyökkäyksiä

Yhdysvaltain hallitus on antanut joukon reseptejä kriittisen infrastruktuurin operaattoreiden valmistelemiseksi katastrofeja, fyysisiä hyökkäyksiä ja kyberhyökkäyksiä varten painottaen kykyä toipua häiriöistä tulevaisuudessa.

"Shields Ready" -niminen aloite pyrkii vakuuttamaan 16 tunnistettua kriittistä infrastruktuurialaa investoimaan järjestelmiensä ja palveluidensa karkaisemiseen häiriötä vastaan ​​lähteestä riippumatta. Sekä Cybersecurity and Infrastructure Security Agency (CISA) että Federal Emergency Management Agency (FEMA) johtavat ponnistelut edellyttävät, että hyökkäyksiä ja katastrofeja tapahtuu, ja kehottaa kriittisten infrastruktuurien operaattoreita valmistautumaan pitämään palvelut käynnissä.

CISA:n johtaja Jen Easterly sanoi, että 16 kriittisen infrastruktuurin alan ja toimitusketjun, johon ne perustuvat, yhteenliittäminen tarkoittaa, että valmistautuminen on kriittistä.

"Maamme kriittisen infrastruktuurin yksiköillä - kouluista sairaaloihin ja vesilaitoksiin - on oltava työkalut ja resurssit reagoida häiriöihin ja toipua niistä", hän sanoi lausunnossaan. "Ottamalla toimenpiteitä tänään varautuakseen vaaratilanteisiin, kriittinen infrastruktuuri, yhteisöt ja yksilöt voivat olla paremmin valmistautuneita toipumaan huomisen uhkien vaikutuksista ja tulevaisuuteen."

Kriittisen infrastruktuurin vaarat ovat lisääntyneet viime vuosina vakavien katastrofien – kuten Kalifornian metsäpalojen ja koronaviruspandemia – ja kyberhyökkäysten aiheuttamien häiriöiden myötä. Viimeisen viiden vuoden aikana esimerkiksi lääkeyhtiö Merck kärsi suuresta katkoksesta vuoden 2017 NotPetya-kyberhyökkäyksen takia, kun taas tänä vuonna kilpailija Pfizer kärsi tornado-iskusta suuressa varastossa, joka aiheutti häiriöitä tiettyjen lääkkeiden toimituksissa. Ja tunnetusti toukokuussa 2021 yhdysvaltalainen putkioperaattori Colonial Pipeline joutui ransomware-hyökkäykseen, sulki palvelunsa viikoksi, mikä johti kaasupulaan kaikkialla Yhdysvaltojen kaakkoisosassa.

Edellinen kampanja, joka tunnettiin nimellä "Shields Up", keskittyi kriittisen infrastruktuurin organisaatioiden vakuuttamiseen ryhtymään puolustaviin toimiin reagoidakseen tiettyihin uhkien tiedustelutietoihin. Shields Readyssa on kyse pahimpaan valmistautumisesta, sanoo Michael Hamilton, kyberturvallisuuskonsulttiyrityksen Critical Insightin perustaja ja CISO.

"Piilotettu viesti tässä on, se on tulossa, ja ympäri maailmaa katsellen sitä ei ole niin vaikea ennustaa", hän sanoo ja viittaa säännöllisiin FBI- ja CISA-varoituksiin teollisuuden valvonnan ja kriittisen infrastruktuurin tarjoajille. "Ei ole vaikeaa yhdistää kaksi ja kaksi ja sanoa, että tiedät, että infrastruktuurihäiriöiden uhkataso on noussut."

Shieldsin poliittiset aloitteet ovat valmiina

Aloitteen ongelmana on, että monet tämänhetkisistä suosituksista ovat vapaaehtoisia ja tiedottavia. Marraskuusta lähtien CISA on nimetty "kriittisen infrastruktuurin turvallisuuden ja kestävyyden kuukaudeksi". julkaisi työkalupakin kriittisen infrastruktuurin tarjoajille 15-sivuinen asiakirja, joka kattaa erityisiä uhkia, turvallisuushaasteita ja itsearviointiharjoituksia. Virasto myös julkaistu Infrastructure Resilience Planning Framework (IRPF) ja oppaat kestävän toimitusketjun kehittämiseen ja kyberhyökkäykseen reagoimiseen.

Silti ponnisteluista puuttuu sääntelyhampaita, sanoo Tom Guarente, operatiivisen teknologian (OT) turvayrityksen Armisin hallituksen varapuheenjohtaja.

"Se näyttää todella tarkoittavan joustavuuden rakentamista tilannetietoisuudella, puhumalla tiedon jakamisen tärkeydestä julkisen ja yksityisen sektorin välillä", hän sanoo. ”He sanovat, että siellä on työkalupakki, mutta työkalupakki näyttää koostuvan enimmäkseen ohjeista – tiedäthän, PDF-dokumenteista. Joten lyhyt vastaus on, en tiedä mitä Shields Ready -kampanjasta tulee ulos.

Silti yleisten ohjeiden laatiminen Shields Readyn sateenvarjossa kaikille 16 kriittisen infrastruktuurin sektorille on todennäköisesti mahdotonta, joten ei ole yllättävää, että alkuperäisistä ponnisteluista puuttuu yksityiskohtia, sanoo Danielle Jablanski, OT:n kyberturvallisuusstrategi Nozomi Networksistä, OT:n kyberturvallisuuden tarjoajasta. verkkoja. Jokaisella kriittisen infrastruktuurin sektorilla on a Toimialan riskienhallintavirasto – tyypillisesti Department of Homeland Security, mutta joissakin tapauksissa energia-, puolustus-, terveys- ja henkilöstöpalvelu- tai liikenneministeriö on nimetty SRMA – joka laatii alakohtaiset ohjeet ja vaatimukset.

"Luulen, että hallitus on nykyään enemmän tilintarkastustilassa", hän sanoo. "On tärkeää muistaa, että kriittinen infrastruktuuri ei ole monoliittinen, ei ole olemassa yhtä kattavaa tietoturvasuunnitelmaa, -ohjelmaa tai -hallintajärjestelmää, joka hyödyttäisi kaikkia 16 sektoria samalla tavalla."

Kriittisen infrastruktuurin turvallisuuden edistäminen: porkkana vai keppi?

Nämä ponnistelut näyttävät pääosin ottavan kevyen kosketuksen kohti alan johtajien saamista mukaan. Koska turvallisuus on edelleen kustannuspaikka – liiketoiminnan verotus – yritykset haluavat luonnollisesti minimoida nämä menot, minkä vuoksi rankaisevat toimet ovat todennäköisesti tarpeen monien suositusten toteuttamiseksi, sanoo Critical Insightin Hamilton.

Johtajien saattaminen vastuuseen yrityksensä suorituksista katastrofin tai kyberhyökkäyksen aikana - esim. syytteet SolarWindsin CISO:ta vastaan — on ollut jo töykeä herätys teollisuudelle, hän sanoo.

"Kun olen tiedottanut senaattoreille, kenraaleille ja kuvernööreille, olen huomannut, että voit puhua pelottavista venäläisistä, toimitusketjuista, puskureiden ylivuodoista ja SQL-injektiosta mitä haluat, ja saat vain pyöritellä silmiä", Hamilton sanoo. "Mutta heti kun sanotte "johtajan huolimattomuutta", sinulla on yleisö. Juuri niin hallitus tekee – he aikovat pitää toimeenpanojohtajuutta välinpitämättömänä ja se kiinnittää kaikkien huomion.

• SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
• PlatoData.Network Vertical Generatiivinen Ai. Vahvista itseäsi. Pääsy tästä.
• PlatoAiStream. Web3 Intelligence. Tietoa laajennettu. Pääsy tästä.
• PlatoESG. hiili, CleanTech, energia, ympäristö, Aurinko, Jätehuolto. Pääsy tästä.
• PlatonHealth. Biotekniikan ja kliinisten kokeiden älykkyys. Pääsy tästä.
• Lähde: https://www.darkreading.com/ics-ot/shields-ready-initiative-inevitable-cyberattacks