OIG Membawa Departemen Pertahanan Untuk Mengabaikan Rekomendasi Keamanan Siber Selama Lebih Dari Sepuluh Tahun

Diterbitkan Ulang Oleh Plato

Followers: 0

Implikasinya bisa menjadi bencana besar jika Departemen Pertahanan, garis pertahanan terbesar kami terhadap ancaman siber internal dan eksternal, memerlukan waktu satu hari, satu jam, atau satu menit terlalu lama untuk mengambil tindakan korektif untuk menghapus perangkat keras dan perangkat lunak yang penuh kerentanan dan usang dari TI kritisnya. infrastruktur.

RIEGELSVILLE, Pa.(PRWEB) 15 Mei 2023

Ketika Hollywood menggambarkan dunia bawah tanah para peretas komputer, dengan adegan-adegan mendebarkan dari pertempuran antara aktor pemerintah yang baik dan jahat yang mencoba menyelamatkan atau menjatuhkan dunia, pencahayaannya tidak menyenangkan, jari-jari terbang dengan mudah melintasi beberapa keyboard sekaligus sambil membuka dan menutup firewall dengan kecepatan kilat. Dan agen intelijen federal yang apik selalu memiliki gadget terbaru yang mencolok dan berteknologi tinggi. Tetapi kenyataan jarang mengukur. Pentagon, markas besar Departemen Pertahanan (DoD), adalah simbol kekuatan dan kekuatan militer Amerika Serikat. Namun, dari tahun 2014 hingga 2022, 822 lembaga pemerintah telah menjadi korban serangan siber, memengaruhi hampir 175 juta catatan pemerintah dengan biaya sekitar $26 miliar.(1) DoD berada di bawah pengawasan DoD OIG (Kantor Inspektur Jenderal) , dan laporan audit terbaru mereka adalah mata hitam terhadap reputasi lembaga pemerintah terbesar di negara itu. Walt Szablowski, Pendiri dan Ketua Eksekutif Erasen, yang telah memberikan visibilitas lengkap ke dalam jaringan klien perusahaan besarnya selama lebih dari dua dekade, memperingatkan, “Implikasinya bisa menjadi bencana besar jika DoD, garis pertahanan terbesar kami terhadap ancaman siber internal dan eksternal, memerlukan waktu satu hari, satu jam, atau satu jam. menit terlalu lama untuk mengambil tindakan korektif untuk menghapus perangkat keras dan perangkat lunak yang rentan dan usang dari infrastruktur TI kritisnya. Zero Trust Architecture adalah alat terbesar dan paling efektif dalam kotak alat keamanan siber.”

Baru-baru ini pada Januari 2023, dunia menahan napas bersama setelah ground stop diprakarsai oleh FAA, mencegah semua keberangkatan dan kedatangan pesawat. Sejak peristiwa 9/11 tindakan ekstrem seperti itu tidak pernah diambil. Keputusan akhir FAA adalah bahwa gangguan pada sistem Notice to Air Missions (NOTAM) yang bertanggung jawab untuk memberikan informasi keselamatan penting untuk mencegah bencana udara terganggu selama pemeliharaan rutin ketika satu file secara keliru diganti dengan yang lain.(2) Tiga minggu kemudian, DoD OIG secara publik merilis Ringkasan Laporan dan Kesaksian Mengenai Keamanan Siber DoD dari 1 Juli 2020 hingga 30 Juni 2022 (DODIG-2023-047) audit yang merangkum laporan dan kesaksian yang tidak diklasifikasikan dan rahasia mengenai keamanan siber DoD.(3)

Menurut laporan OIG, badan-badan federal diharuskan untuk mengikuti pedoman Kerangka Kerja Institut Standar dan Teknologi Nasional (NIST) untuk Meningkatkan Keamanan Siber Infrastruktur Kritis. Kerangka kerja ini mencakup lima pilar — Identifikasi, Lindungi, Deteksi, Tanggapi, dan Pulihkan — untuk menerapkan tindakan keamanan siber tingkat tinggi yang bekerja sama sebagai strategi manajemen risiko yang komprehensif. OIG dan entitas pengawas DoD lainnya berfokus terutama pada dua pilar — Identifikasi dan Lindungi, dengan sedikit penekanan pada tiga pilar lainnya — Deteksi, Tanggapi, dan Pulihkan. Laporan tersebut menyimpulkan bahwa dari 895 rekomendasi terkait keamanan siber dalam laporan ringkasan saat ini dan sebelumnya, DoD masih memiliki 478 masalah keamanan terbuka sejak tahun 2012.(3)

Pada Mei 2021, Gedung Putih mengeluarkan Perintah Eksekutif 14028: Meningkatkan Keamanan Siber Negara, yang mewajibkan lembaga federal untuk meningkatkan keamanan siber dan integritas rantai pasokan perangkat lunak dengan mengadopsi Zero Trust Architecture dengan arahan untuk menerapkan enkripsi autentikasi multifaktor. Zero Trust meningkatkan identifikasi aktivitas dunia maya berbahaya di jaringan federal dengan memfasilitasi sistem deteksi dan respons titik akhir di seluruh pemerintah. Persyaratan log peristiwa keamanan siber dirancang untuk meningkatkan komunikasi silang antara lembaga pemerintah federal.(4)

Zero Trust Architecture, pada tingkat paling dasar, mengasumsikan sikap skeptis dan ketidakpercayaan yang tegas dari setiap komponen di sepanjang rantai pasokan keamanan siber dengan selalu mengandaikan adanya ancaman internal dan eksternal terhadap jaringan. Tapi Zero Trust lebih dari itu.

Implementasi Zero Trust memaksa organisasi untuk akhirnya:

Tentukan jaringan organisasi yang dipertahankan.
Rancang proses dan sistem khusus organisasi yang melindungi jaringan.
Memelihara, memodifikasi, dan memantau sistem untuk memastikan proses berjalan dengan baik.
Tinjau proses secara konstan dan modifikasi untuk mengatasi risiko yang baru ditentukan.

Cybersecurity and Infrastructure Security Agency (CISA) sedang mengembangkan Model Kematangan Zero Trust dengan lima pilarnya sendiri — Identitas, Perangkat, Jaringan, Data, dan Aplikasi dan Beban Kerja — untuk membantu lembaga pemerintah dalam pengembangan dan implementasi strategi dan solusi Zero Trust .(5)

Zero Trust Architecture tetap menjadi konsep teoretis tanpa proses yang terstruktur dan dapat diaudit seperti milik Eracent Inisiatif ClearArmor Zero Trust Resource Planning (ZTRP).. Kerangka kerja lengkapnya secara sistematis mensintesis semua komponen, aplikasi perangkat lunak, data, jaringan, dan titik akhir menggunakan analisis risiko audit real-time. Penyebaran Zero Trust yang berhasil mengharuskan setiap konstituen dalam rantai pasokan perangkat lunak untuk membuktikan tanpa keraguan bahwa itu dapat dipercaya dan diandalkan.

Alat analisis kerentanan konvensional tidak memeriksa semua komponen rantai pasokan aplikasi secara metodis, seperti kode usang dan usang yang dapat menimbulkan risiko keamanan. Szablowski mengakui dan memuji inisiatif pemerintah ini, memperingatkan, “Zero Trust adalah proses yang didefinisikan dengan jelas, dikelola, dan terus berkembang; itu bukan 'satu dan selesai.' Langkah pertama adalah menentukan ukuran dan ruang lingkup jaringan dan mengidentifikasi apa yang perlu dilindungi. Apa risiko dan prioritas terbesar? Kemudian buat seperangkat pedoman yang ditentukan dalam proses manajemen otomatis, berkelanjutan, dan berulang pada satu platform manajemen dan pelaporan.”

Tentang Eracent
Walt Szablowski adalah Pendiri dan Ketua Eksekutif Eracent dan menjabat sebagai Ketua anak perusahaan Eracent (Eracent SP ZOO, Warsawa, Polandia; Eracent Private LTD di Bangalore, India, dan Eracent Brasil). Eracent membantu pelanggannya menghadapi tantangan dalam mengelola aset jaringan TI, lisensi perangkat lunak, dan keamanan dunia maya di lingkungan TI yang kompleks dan berkembang saat ini. Klien perusahaan Eracent menghemat secara signifikan pengeluaran perangkat lunak tahunan mereka, mengurangi risiko audit dan keamanan mereka, dan membangun proses manajemen aset yang lebih efisien. Basis klien Eracent mencakup beberapa jaringan perusahaan dan pemerintah terbesar di dunia serta lingkungan TI. Lusinan perusahaan Fortune 500 mengandalkan solusi Eracent untuk mengelola dan melindungi jaringan mereka. Mengunjungi https://eracent.com/. 

Referensi:
1) Bischoff, P. (2022, 29 November). Pelanggaran pemerintah – dapatkah Anda mempercayai pemerintah AS dengan data Anda? Bandingkan Diambil 28 April 2023, dari comparitech.com/blog/vpn-privacy/us-government-breaches/
2) Pernyataan Notam FAA. Pernyataan NOTAM FAA | Administrasi Penerbangan Federal. (td). Diambil 1 Februari 2023, dari.faa.gov/newsroom/faa-notam-statement
3) Rangkuman laporan dan kesaksian terkait keamanan siber DOD mulai 1 Juli 2020 sampai dengan. Departemen Pertahanan Kantor Inspektur Jenderal. (2023, 30 Januari). Diakses pada 28 April 2023, dari dodig.mil/reports.html/Article/3284561/summary-of-reports-and-testimonies-regarding-dod-cybersecurity-from-july-1-2020/
4) Perintah Eksekutif 14028: Meningkatkan keamanan siber negara. GSA. (2021, 28 Oktober). Diambil 29 Maret 2023, dari gsa.gov/technology/technology-products-services/it-security/executive-order-14028-improving-the-nations-cybersecurity
5) CISA merilis model kematangan Zero trust yang diperbarui: CISA. Cybersecurity dan Badan Keamanan Infrastruktur CISA. (2023, 25 April). Diakses pada 28 April 2023, dari cisa.gov/news-events/news/cisa-releases-updated-zero-trust-maturity-model#:~:text=The%20five%20pillars%20of%20the,the%202021% 20publik%20komentar%20periode