A „Shields Ready” kritikus infrastruktúra kezdeményezés az elkerülhetetlen kibertámadásokat kezeli

Az Egyesült Államok kormánya egy sor előírást adott ki a kritikus infrastruktúra üzemeltetőinek felkészítésére a katasztrófákra, fizikai támadásokra és kibertámadásokra, különös hangsúlyt fektetve arra, hogy a jövőben képesek legyenek felépülni a zavarok után.

A „Shields Ready” elnevezésű kezdeményezés célja, hogy meggyőzze 16 azonosított kritikus infrastrukturális szektort, hogy fektessenek be rendszereik és szolgáltatásaik megszilárdításába, függetlenül a forrástól. A Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség (CISA) és a Szövetségi Vészhelyzet-kezelési Ügynökség (FEMA) által vezetett erőfeszítés feltételezi, hogy támadások és katasztrófák történnek, és felszólítja a kritikus infrastruktúra üzemeltetőit, hogy készüljenek fel a szolgáltatások folyamatos működésére.

A 16 létfontosságú infrastrukturális szektor összekapcsolása és az ellátási lánc, amelyre támaszkodnak, azt jelenti, hogy a felkészültség kritikus fontosságú – mondta Jen Easterly, a CISA igazgatója.

„Nemzetünk kritikus infrastrukturális egységeinek – az iskoláktól a kórházakon át a vízi létesítményekig – rendelkezniük kell azokkal az eszközökkel és erőforrásokkal, hogy reagáljanak a zavarokra, és felépüljenek azokból” nyilatkozta. „Ha ma lépéseket teszünk az incidensekre való felkészülés érdekében, a kritikus infrastruktúra, a közösségek és az egyének jobban felkészülhetnek arra, hogy felépüljenek a holnap fenyegetéseinek hatásaiból, és a jövőben is felépüljenek.”

A kritikus infrastruktúrát fenyegető veszélyek az elmúlt években megnőttek, súlyos katasztrófák – például a kaliforniai erdőtüzek és a koronavírus-járvány – és kibertámadások által okozott fennakadások miatt. Az elmúlt öt évben például a Merck gyógyszercég jelentős kiesést szenvedett el a 2017-es NotPetya kibertámadás miatt, míg idén a versenytárs Pfizer tornádócsapást szenvedett egy nagy raktáron, amely fennakadásokat okozott bizonyos gyógyszerek ellátásában. És híres, 2021 májusában az amerikai csővezeték-üzemeltető, a Colonial Pipeline ransomware támadást szenvedett el, egy hétre leállította szolgáltatásait, ami gázhiányhoz vezetett az Egyesült Államok délkeleti részén.

Egy korábbi, „Shields Up” nevű kampány a kritikus infrastruktúrával foglalkozó szervezetek meggyőzésére összpontosított, hogy tegyenek védekező lépéseket a konkrét fenyegetésekkel kapcsolatos hírszerzésre reagálva. A Shields Ready a legrosszabbra való felkészülésről szól – mondja Michael Hamilton, a Critical Insight, egy kiberbiztonsági tanácsadó cég társalapítója és CISO-ja.

"A rejtett üzenet az, hogy jön, és körülnézve a világban, nem olyan nehéz megjósolni" - mondja, rámutatva az ipari ellenőrzés és a kritikus infrastruktúra szolgáltatóinak rendszeres FBI és CISA figyelmeztetésekre. „Nem nehéz összerakni a kettőt és a kettőt, és azt mondani: tudod, hogy a fenyegetettség szintje megemelkedett az infrastruktúra megzavarása miatt.”

A Shields-politikai kezdeményezések készen állnak

A kezdeményezés problémája, hogy a jelenlegi ajánlások közül sok önkéntes és tájékoztató jellegű. November óta a CISA a „Critical Infrastructure Security and Resilience Month”, azaz a kritikus infrastruktúra biztonságának és ellenálló képességének hónapja eszköztárat adott ki a kritikus infrastruktúra-szolgáltatók számára egy 15 oldalas dokumentum, amely konkrét fenyegetéseket, biztonsági kihívásokat és önértékelési gyakorlatokat tartalmaz. Az ügynökség is közzétett az Infrastructure Resilience Planning Framework (IRPF) és útmutatók a rugalmas ellátási lánc kialakításához és a kibertámadásokra való reagáláshoz.

Ennek ellenére az erőfeszítésnek hiányzik a szabályozási foga, mondja Tom Guarente, az Armis, az operatív technológiai (OT) biztonsági cég kormányzati ügyekért felelős alelnöke.

„Úgy tűnik, hogy valójában a rugalmasság kialakításáról van szó, a helyzetfelismeréssel kezdődően, az állami és a magánszektorbeli szervezetek közötti információmegosztás fontosságáról beszélve” – mondja. „Azt mondják, van egy eszköztár, de úgy tűnik, hogy az eszköztár többnyire irányelvekből áll – tudod, PDF dokumentumokból. A rövid válasz tehát az, hogy nem tudom, mi sül ki a Shields Ready kampányból.”

A Shields Ready keretein belül azonban valószínűleg lehetetlen általános irányelveket kidolgozni mind a 16 kritikus infrastrukturális szektorra, így nem meglepő, hogy a kezdeti erőfeszítések nem tartalmaznak részleteket – mondja Danielle Jablanski, az OT kiberbiztonsági szolgáltatója, a Nozomi Networks OT kiberbiztonsági stratégája. hálózatok. Minden kritikus infrastrukturális ágazat rendelkezik a Ágazati Kockázatkezelési Ügynökség – jellemzően a Nemzetbiztonsági Minisztérium, de bizonyos esetekben az Energiaügyi, Védelmi, Egészségügyi és Humánszolgáltatási Minisztérium vagy a Közlekedési Minisztérium a kijelölt SRMA – amely ágazatspecifikus iránymutatásokat és követelményeket fogalmaz meg.

„Úgy gondolom, hogy a kormány ma inkább ellenőrzési módban van” – mondja. „Fontos emlékezni arra, hogy a kritikus infrastruktúra nem monolitikus, nincs olyan, mindenki számára megfelelő biztonsági terv, program vagy vezérlőkészlet, amely mind a 16 szektor számára egyformán előnyös.”

A kritikus infrastruktúra biztonságának ösztönzése: sárgarépa vagy bot?

Úgy tűnik, ezek az erőfeszítések nagyrészt enyhén hatnak az iparág vezetőinek bevonására. Mivel a biztonság továbbra is költségközpont – az üzleti tevékenység adója –, a vállalatok természetesen minimalizálni akarják ezeket a kiadásokat, ezért valószínűleg büntetőintézkedésekre lesz szükség az ajánlások végrehajtásához, mondja a Critical Insight Hamilton.

A vezetők felelősségre vonása cégük teljesítményéért katasztrófa vagy kibertámadás során – mint pl. a SolarWinds CISO-ja elleni vádak – már durva ébredés volt az ipar számára – mondja.

„Miután tájékoztattam a szenátorokat, a tábornokokat és a kormányzókat, rájöttem, hogy ijesztő oroszokról, ellátási láncokról, puffertúlcsordulásról és SQL-befecskendezésről beszélhet, amit csak akar, és csak forgatni fogja a szemét” – mondja Hamilton. „De amint azt mondod, hogy „vezetői hanyagság”, közönséged van. A kormány pontosan ezt teszi – hanyagnak fogják tartani a végrehajtó vezetést, és ez felkelti mindenki figyelmét.”

• SEO által támogatott tartalom és PR terjesztés. Erősödjön még ma.
• PlatoData.Network Vertical Generative Ai. Erősítse meg magát. Hozzáférés itt.
• PlatoAiStream. Web3 Intelligence. Felerősített tudás. Hozzáférés itt.
• PlatoESG. Carbon, CleanTech, Energia, Környezet, Nap, Hulladékgazdálkodás. Hozzáférés itt.
• PlatoHealth. Biotechnológiai és klinikai vizsgálatok intelligencia. Hozzáférés itt.
• Forrás: https://www.darkreading.com/ics-ot/shields-ready-initiative-inevitable-cyberattacks