יוזמת תשתית קריטית 'מוכנה למגנים' מטפלת במתקפות סייבר בלתי נמנעות

ממשלת ארה"ב הוציאה שורה של מרשמים להכנת מפעילי תשתית קריטית לאסונות, התקפות פיזיות ומתקפות סייבר, בדגש על היכולת להתאושש משיבושים בעתיד.

היוזמה, שזכתה לכינוי "Shields Ready", נועדה לשכנע 16 מגזרי תשתית קריטיים שזוהו להשקיע בהקשחת המערכות והשירותים שלהם מפני כל הפרעה, ללא קשר למקור. המאמץ, בראשות הסוכנות לאבטחת סייבר ותשתיות (CISA) והן הסוכנות הפדרלית לניהול חירום (FEMA), מניח שיתרחשו התקפות ואסונות וקורא למפעילי תשתית קריטיים להיערך להמשך הפעלת השירותים.

הקשר ההדדי של 16 מגזרי התשתית הקריטיים, ושרשרת האספקה ​​שעליה הם מסתמכים, פירושו שההיערכות היא קריטית, אמרה ג'ן איסטרלי, מנהלת CISA.

"ישויות התשתית הקריטיות של האומה שלנו - מבתי ספר לבתי חולים ועד מתקני מים - חייבות לקבל את הכלים והמשאבים להגיב ולהתאושש מהשיבוש", היא אמר בהצהרה. "על ידי נקיטת צעדים היום כדי להתכונן לתקריות, תשתית קריטית, קהילות ואנשים יכולים להיות מוכנים טוב יותר להתאושש מההשפעה של איומי המחר ולעתיד".

הסכנות לתשתיות קריטיות גדלו בשנים האחרונות, עם שיבושים שנגרמו על ידי אסונות קשים - כמו שריפות בקליפורניה ומגיפת הקורונה - ומתקפות סייבר. בחמש השנים האחרונות, למשל, חברת התרופות Merck סבל מהפסקה גדולה בגלל מתקפת הסייבר NotPetya ב-2017, בעוד שהשנה המתחרה פייזר ספג מכת טורנדו על מחסן גדול שגרם לשיבושים באספקת תרופות מסוימות. ובאופן מפורסם, במאי 2021, מפעילת הצינורות האמריקאית Colonial Pipeline ספג התקפת תוכנת כופר, השבתת שירותיה למשך שבוע, מה שהוביל למחסור בגז ברחבי דרום מזרח ארצות הברית.

קמפיין קודם, המכונה "Shields Up", התמקד בשכנוע ארגוני תשתית קריטיים לנקוט בפעולות הגנה בתגובה למודיעין איומים ספציפי. Shields Ready עוסקת בהכנות לגרוע מכל, אומר מייקל המילטון, מייסד שותף ו-CISO של Critical Insight, חברת ייעוץ לאבטחת סייבר.

"המסר החבוי כאן הוא שהוא מגיע, ומסתכל מסביב לעולם, לא כל כך קשה לחזות את זה", הוא אומר ומצביע על אזהרות רגילות של ה-FBI וה-CISA לספקי בקרה תעשייתית וספקי תשתית קריטיים. "לא קשה לחבר שניים ושתיים ולומר, אתה יודע שרמת האיום עלתה בגלל שיבוש תשתית."

יוזמות מדיניות ל-Shields Ready

בעיה של היוזמה היא שרבות מההמלצות הנוכחיות הן וולונטריות והסברתיות. מאז נובמבר הוגדר "חודש אבטחת תשתיות קריטיות וחוסן", CISA פרסם ערכת כלים עבור ספקי תשתית קריטית, מסמך בן 15 עמודים המכסה איומים ספציפיים, אתגרי אבטחה ותרגילי הערכה עצמית. גם הסוכנות לאור מסגרת תכנון חוסן תשתיות (IRPF) ומדריכים כיצד לפתח שרשרת אספקה ​​עמידה וכיצד להגיב למתקפת סייבר.

ובכל זאת, המאמץ חסר שיניים רגולטוריות, אומר טום גוארנטה, סגן נשיא לענייני ממשל בארמיס, חברת אבטחה טכנולוגית תפעולית (OT).

"מה שנראה שזה באמת עוסק הוא בניית חוסן במונחים של התחלה עם מודעות למצב, דיבור על החשיבות של שיתוף מידע בין גופים במגזר הציבורי והפרטי", הוא אומר. "אומרים שיש ערכת כלים, אבל נראה כי ערכת הכלים מורכבת בעיקר מהנחיות - אתה יודע, מסמכי PDF. אז התשובה הקצרה היא, אני לא יודע מה ייצא מקמפיין Shields Ready”.

עם זאת, סביר להניח שלא ניתן להמציא קווים מנחים כלליים תחת המטריה של Shields Ready עבור כל 16 מגזרי התשתית הקריטיים, ולכן אין זה מפתיע שהמאמץ הראשוני חסר פרטים, אומרת דניאל ז'בלנסקי, אסטרטגיית אבטחת סייבר OT בחברת Nozomi Networks, ספקית אבטחת סייבר עבור OT. רשתות. לכל מגזר תשתית קריטית יש א סוכנות לניהול סיכונים מגזרית - בדרך כלל המחלקה לביטחון פנים, אבל במקרים מסוימים משרד האנרגיה, הביטחון, הבריאות ושירותי האנוש או התחבורה הוא ה-SRMA המיועד - שיקבע הנחיות ודרישות ספציפיות למגזר.

"אני חושבת שהממשלה נמצאת היום יותר במצב ביקורת", היא אומרת. "חשוב לזכור שתשתית קריטית אינה מונוליטית, אין תוכנית אבטחה, תוכנית או ערכת בקרה חד-משמעית שמתאימה לכל 16 המגזרים באותה מידה."

עידוד בטיחות תשתיות קריטיות: גזר או מקל?

נראה כי המאמצים הללו, על פי רוב, נוטלים נגיעה קלה לקראת הכנסת בכירים בתעשייה. מכיוון שאבטחה ממשיכה להיות מרכז עלות - המס של עשיית עסקים - חברות רוצות באופן טבעי למזער את ההוצאות הללו, וזו הסיבה שסביר להניח שתהיה צורך בפעולת ענישה כדי ליישם רבות מההמלצות, אומר המילטון מ-Critical Insight.

החזקת מנהלים באחריות לביצועי החברה שלהם במהלך אסון או מתקפת סייבר - כגון האישומים נגד CISO של SolarWinds - כבר הייתה התעוררות גסה עבור התעשייה, הוא אומר.

"לאחר תדריך סנאטורים, גנרלים ומושלים, גיליתי שאתה יכול לדבר על רוסים מפחידים, שרשראות אספקה, הצפת חיץ והזרקת SQL כל מה שאתה רוצה, ואתה פשוט הולך לגלגל עיניים", אומר המילטון. "אבל ברגע שאתה אומר 'רשלנות מנהלים', יש לך קהל. זה בדיוק מה שהממשלה עושה - הם הולכים להחזיק בהנהגה מבצעת כרשלנית וזה מושך את תשומת הלב של כולם".

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• PlatoData.Network Vertical Generative Ai. העצים את עצמך. גישה כאן.
• PlatoAiStream. Web3 Intelligence. הידע מוגבר. גישה כאן.
• PlatoESG. פחמן, קלינטק, אנרגיה, סביבה, שמש, ניהול פסולת. גישה כאן.
• PlatoHealth. מודיעין ביוטכנולוגיה וניסויים קליניים. גישה כאן.
• מקור: https://www.darkreading.com/ics-ot/shields-ready-initiative-inevitable-cyberattacks