'Shields Ready'-initiatief voor kritieke infrastructuur pakt onvermijdelijke cyberaanvallen aan

'Shields Ready'-initiatief voor kritieke infrastructuur pakt onvermijdelijke cyberaanvallen aan

Tijdstempel: 10 november 2023 1:23 uur
'Shields Ready'-initiatief voor kritieke infrastructuur pakt onvermijdelijke cyberaanvallen aan PlatoBlockchain Data Intelligence. Verticaal zoeken. Ai.

De Amerikaanse overheid heeft een reeks voorschriften uitgevaardigd om exploitanten van kritieke infrastructuur voor te bereiden op rampen, fysieke aanvallen en cyberaanvallen, met de nadruk op het vermogen om te herstellen van verstoringen in de toekomst.

Het initiatief, genaamd ‘Shields Ready’, heeft tot doel zestien geïdentificeerde kritieke infrastructuursectoren te overtuigen om te investeren in het versterken van hun systemen en diensten tegen elke verstoring, ongeacht de bron. De inspanning, onder leiding van zowel de Cybersecurity and Infrastructure Security Agency (CISA) als de Federal Emergency Management Agency (FEMA), gaat ervan uit dat aanvallen en rampen zullen plaatsvinden en roept exploitanten van kritieke infrastructuur op om zich voor te bereiden om de diensten draaiende te houden.

De onderlinge verbondenheid van de 16 kritieke infrastructuursectoren en de toeleveringsketen waarvan zij afhankelijk zijn, betekent dat paraatheid van cruciaal belang is, zegt Jen Easterly, directeur van CISA.

“De kritieke infrastructuurentiteiten van ons land – van scholen tot ziekenhuizen tot watervoorzieningen – moeten over de instrumenten en middelen beschikken om te reageren op en te herstellen van verstoringen”, zegt ze. zei in een verklaring. “Door vandaag stappen te ondernemen om je voor te bereiden op incidenten, kunnen kritieke infrastructuur, gemeenschappen en individuen beter voorbereid zijn om te herstellen van de impact van de bedreigingen van morgen en in de toekomst.”

De gevaren voor kritieke infrastructuur zijn de afgelopen jaren toegenomen, met verstoringen veroorzaakt door ernstige rampen – zoals de bosbranden in Californië en de coronaviruspandemie – en cyberaanvallen. In de afgelopen vijf jaar bijvoorbeeld farmaceutisch bedrijf Merck leed aan een grote storing vanwege de NotPetya-cyberaanval in 2017, terwijl dit jaar concurrent Pfizer getroffen door een tornadoaanval op een groot pakhuis dat verstoringen van de aanvoer van bepaalde medicijnen veroorzaakte. En beroemd is in mei 2021 de Amerikaanse pijpleidingbeheerder Colonial Pipeline getroffen door een ransomware-aanval, waarbij de diensten een week lang werden stilgelegd, wat leidde tot gastekorten in het zuidoosten van de Verenigde Staten.

Een eerdere campagne, bekend als ‘Shields Up’, was gericht op het overtuigen van kritieke infrastructuurorganisaties om defensieve maatregelen te nemen als reactie op specifieke dreigingsinformatie. Bij Shields Ready draait alles om het voorbereiden op het ergste over de hele linie, zegt Michael Hamilton, medeoprichter en CISO van Critical Insight, een cybersecurityadviesbureau.

“De verborgen boodschap hier is: het komt eraan, en als je over de hele wereld kijkt, is dat niet zo moeilijk te voorspellen”, zegt hij, wijzend op de regelmatige waarschuwingen van de FBI en de CISA aan leveranciers van industriële controle en kritieke infrastructuur. “Het is niet moeilijk om twee en twee bij elkaar op te tellen en te zeggen: je weet dat het dreigingsniveau voor verstoring van de infrastructuur is gestegen.”

Beleidsinitiatieven voor Shields Ready

Een probleem voor het initiatief is dat veel van de huidige aanbevelingen vrijwillig en informatief zijn. Sinds november is CISA uitgeroepen tot ‘Critical Infrastructure Security and Resilience Month’ een toolkit gepubliceerd voor aanbieders van kritieke infrastructuur: een document van 15 pagina's over specifieke bedreigingen, beveiligingsuitdagingen en zelfevaluatieoefeningen. Het agentschap ook gepubliceerde het Infrastructure Resilience Planning Framework (IRPF) en handleidingen over hoe u een veerkrachtige toeleveringsketen kunt ontwikkelen en hoe u op een cyberaanval kunt reageren.

Toch ontbreekt het bij deze inspanning aan regelgeving, zegt Tom Guarente, vice-president overheidszaken bij Armis, een beveiligingsbedrijf op het gebied van operationele technologie (OT).

“Waar het in werkelijkheid om lijkt te gaan is het opbouwen van veerkracht, door te beginnen met situationeel bewustzijn, en te praten over het belang van het delen van informatie tussen entiteiten uit de publieke en private sector”, zegt hij. “Ze zeggen dat er een toolkit is, maar die toolkit lijkt voornamelijk uit richtlijnen te bestaan, je weet wel, pdf-documenten. Het korte antwoord is dus: ik weet niet wat er uit de Shields Ready-campagne zal komen.”

Toch is het waarschijnlijk onmogelijk om algemene richtlijnen te bedenken onder de paraplu van Shields Ready voor alle zestien kritieke infrastructuursectoren, dus het is niet verwonderlijk dat de initiële inspanning details ontbeert, zegt Danielle Jablanski, OT-cyberbeveiligingsstrateeg bij Nozomi Networks, een leverancier van cyberbeveiliging voor OT netwerken. Elke sector van de kritieke infrastructuur heeft een Agentschap voor sectorrisicobeheer – doorgaans het Department of Homeland Security, maar in sommige gevallen is het Department of Energy, Defense, Health and Human Services, of Transportation de aangewezen SRMA – die sectorspecifieke richtlijnen en vereisten zal opstellen.

“Ik denk dat de overheid tegenwoordig meer in een auditmodus zit”, zegt ze. “Het is belangrijk om te onthouden dat kritieke infrastructuur niet monolithisch is; er bestaat geen one-size-fits-all beveiligingsplan, programma of reeks controles waar alle zestien sectoren in gelijke mate van profiteren.”

Het aanmoedigen van de veiligheid van kritieke infrastructuur: wortel of stok?

Deze inspanningen lijken voor het grootste deel maar een lichte poging te doen om leidinggevenden uit de sector aan boord te krijgen. Omdat beveiliging een kostenpost blijft – de belasting op het zakendoen – willen bedrijven deze uitgaven uiteraard minimaliseren. Daarom zullen er waarschijnlijk strafmaatregelen nodig zijn om veel van de aanbevelingen ten uitvoer te krijgen, zegt Hamilton van Critical Insight.

Het aansprakelijk stellen van leidinggevenden voor de prestaties van hun bedrijf tijdens een ramp of een cyberaanval, zoals de aanklacht tegen de CISO van SolarWinds – is al een ruw ontwaken geweest voor de industrie, zegt hij.

“Nadat ik senatoren, generaals en gouverneurs heb geïnformeerd, heb ik ontdekt dat je zoveel kunt praten over angstaanjagende Russen, toeleveringsketens, bufferoverflows en SQL-injectie, en dat je alleen maar oogrollen krijgt”, zegt Hamilton. “Maar zodra je 'nalatigheid van de uitvoerende macht' zegt, heb je een publiek. Dat is precies wat de regering doet: ze gaan het uitvoerend leiderschap als nalatig beschouwen en dat trekt ieders aandacht.”

Tijdstempel:

Meer van Donkere lezing