OIG tar DoD til oppgaven for å ignorere cybersikkerhetsanbefalinger i over ti år

Publisert av Platon

Følgere: 0

Implikasjonene kan være katastrofale hvis DoD, vår største forsvarslinje mot interne og eksterne cybertrusler, bruker én dag, én time eller ett minutt for lang tid på å iverksette korrigerende handlinger for å fjerne sårbarhetspakket og utdatert maskinvare og programvare fra sin kritiske IT infrastruktur.

RIEGELSVILLE, PA (PRWEB) Kan 15, 2023

Når Hollywood skildrer datahackeres underverden, med pulserende scener av en kamp mellom gode og onde regjeringsaktører som prøver å redde eller ta ned verden, er lyset illevarslende, fingrene flyr uanstrengt over flere tastaturer samtidig mens de åpner og lukker brannmurer med lynets hastighet. Og glatte føderale etterretningsbyråer har alltid det siste innen prangende, høyteknologisk gadgets. Men virkeligheten måler sjelden opp. Pentagon, hovedkvarteret til forsvarsdepartementet (DoD), er et mektig symbol på USAs militære makt og styrke. Fra 2014 til 2022 har imidlertid 822 offentlige etater vært ofre for nettangrep, og har påvirket nesten 175 millioner offentlige poster til en kostnad på omtrent 26 milliarder dollar.(1) DoD er under det våkne øye av DoD OIG (Office of Inspector General) , og deres siste revisjonsrapport er et svart øye til omdømmet til landets største offentlige etat. Walt Szablowski, grunnlegger og administrerende styreleder i Eracent, som har gitt fullstendig innsyn i sine store bedriftskunders nettverk i over to tiår, advarer: «Implikasjonene kan være katastrofale hvis DoD, vår største forsvarslinje mot interne og eksterne cybertrusler, tar én dag, én time eller én minutt for lang tid til å iverksette korrigerende tiltak for å fjerne sårbarhetspakket og foreldet maskinvare og programvare fra den kritiske IT-infrastrukturen. Zero Trust Architecture er det største og mest effektive verktøyet i verktøykassen for cybersikkerhet.»

Så sent som i januar 2023 holdt verden pusten etter at et bakkestopp ble initiert av FAA, og forhindret alle flyavganger og ankomster. Ikke siden hendelsene 9. september har så ekstreme tiltak blitt tatt. FAAs endelige vurdering var at et brudd i Notice to Air Missions-systemet (NOTAM) som var ansvarlig for å gi viktig sikkerhetsinformasjon for å forhindre luftkatastrofer, ble kompromittert under rutinemessig vedlikehold når en fil ved en feiltakelse ble erstattet med en annen.(11) Tre uker senere, DoD OIG offentliggjorde sin oppsummering av rapporter og vitnesbyrd angående DoD Cybersecurity fra 2. juli 1 til og med 2020. juni 30 (DODIG-2022-2023) revisjon som oppsummerer de uklassifiserte og klassifiserte rapportene og vitnesbyrdene angående DoD cybersecurity.(047)

I følge OIG-rapporten er føderale byråer pålagt å følge retningslinjene til National Institute of Standards and Technology (NIST) Framework for Improving Critical Infrastructure Cybersecurity. Rammeverket inkluderer fem pilarer – Identifiser, Beskytt, Oppdag, Svar og Gjenopprett – for å implementere cybersikkerhetstiltak på høyt nivå som fungerer sammen som en omfattende risikostyringsstrategi. OIG og andre DoD-tilsynsenheter har først og fremst fokusert på to pilarer - Identify and Protect, med mindre vekt på de resterende tre - Detect, Response og Recover. Rapporten konkluderte med at av de 895 cybersikkerhetsrelaterte anbefalingene i gjeldende og tidligere sammendragsrapporter, hadde DoD fortsatt 478 åpne sikkerhetsproblemer som dateres tilbake så langt som i 2012.(3)

I mai 2021 utstedte Det hvite hus Executive Order 14028: Improving the Nation's Cyber Security, som krever at føderale byråer forbedrer cybersikkerhet og programvareforsyningskjedens integritet ved å ta i bruk Zero Trust Architecture med et direktiv om å bruke multifaktorautentiseringskryptering. Zero Trust forbedrer identifiseringen av ondsinnet cyberaktivitet på føderale nettverk ved å legge til rette for et myndighetsomfattende endepunktdeteksjons- og responssystem. Kravene til hendelseslogg for cybersikkerhet er utformet for å forbedre krysskommunikasjon mellom føderale myndigheter.(4)

Zero Trust Architecture, på sitt mest grunnleggende nivå, antar holdningen til resolut skepsis og mistillit til hver komponent langs forsyningskjeden for cybersikkerhet ved alltid å forutsette eksistensen av interne og eksterne trusler mot nettverket. Men Zero Trust er mye mer enn det.

Implementeringer av Zero Trust tvinger organisasjonen til å endelig:

Definer organisasjonens nettverk som forsvares.
Design en organisasjonsspesifikk prosess og system som beskytter nettverket.
Vedlikeholde, modifisere og overvåke systemet for å sikre at prosessen fungerer.
Gjennomgå hele tiden prosessen og modifiser den for å møte nydefinerte risikoer.

Cybersecurity and Infrastructure Security Agency (CISA) utvikler en Zero Trust Maturity Model med sine egne fem pilarer – identitet, enheter, nettverk, data og applikasjoner og arbeidsbelastninger – for å hjelpe offentlige etater i utviklingen og implementeringen av Zero Trust-strategier og -løsninger .(5)

Zero Trust Architecture forblir et teoretisk konsept uten en strukturert og kontrollerbar prosess som Eracents ClearArmor Zero Trust Resource Planning (ZTRP) initiativ. Dens uforkortede rammeverk syntetiserer systematisk alle komponenter, programvareapplikasjoner, data, nettverk og endepunkter ved å bruke sanntids revisjonsrisikoanalyse. Vellykket distribusjon av Zero Trust krever at alle komponentene i programvareforsyningskjeden beviser uten tvil at den kan stole på og stole på.

Konvensjonelle sårbarhetsanalyseverktøy undersøker ikke metodisk alle komponenter i en applikasjons forsyningskjede, for eksempel utdatert og foreldet kode som kan utgjøre en sikkerhetsrisiko. Szablowski anerkjenner og applauderer disse regjeringsinitiativene, og advarer: "Zero Trust er en klart definert, administrert og kontinuerlig utviklende prosess; det er ikke «en og ferdig». Det første trinnet er å definere størrelsen og omfanget av nettverket og identifisere hva som må beskyttes. Hva er de største risikoene og prioriteringene? Lag deretter et foreskrevet sett med retningslinjer i en automatisert, kontinuerlig og repeterbar administrasjonsprosess på én enkelt administrasjons- og rapporteringsplattform."

Om Eracent
Walt Szablowski er grunnlegger og administrerende styreleder for Eracent og fungerer som styreleder for Eracents datterselskaper (Eracent SP ZOO, Warszawa, Polen; Eracent Private LTD i Bangalore, India og Eracent Brasil). Eracent hjelper kundene sine med å møte utfordringene med å administrere IT-nettverksressurser, programvarelisenser og cybersikkerhet i dagens komplekse og utviklende IT-miljøer. Eracents bedriftskunder sparer betydelig på sine årlige programvareutgifter, reduserer revisjons- og sikkerhetsrisikoer og etablerer mer effektive prosesser for aktivaforvaltning. Eracents kundebase inkluderer noen av verdens største bedrifts- og offentlige nettverk og IT-miljøer. Dusinvis av Fortune 500-selskaper er avhengige av Eracent-løsninger for å administrere og beskytte nettverkene sine. Besøk https://eracent.com/. 

Referanser:
1) Bischoff, P. (2022, 29. november). Regjeringsbrudd – kan du stole på den amerikanske regjeringen med dataene dine? Comparitech. Hentet 28. april 2023 fra comparitech.com/blog/vpn-privacy/us-government-breaches/
2) FAA Notam-erklæring. FAA NOTAM-erklæring | Federal Aviation Administration. (nd). Hentet 1. februar 2023 fra.faa.gov/newsroom/faa-notam-statement
3) Sammendrag av rapporter og vitnesbyrd angående DOD-cybersikkerhet fra 1. juli 2020 til og med. Forsvarsdepartementets kontor for generalinspektøren. (2023, 30. januar). Hentet 28. april 2023 fra dodig.mil/reports.html/Article/3284561/summary-of-reports-and-testimonies-regarding-dod-cybersecurity-from-july-1-2020/
4) Bestilling 14028: Forbedring av nasjonens cybersikkerhet. GSA. (2021, 28. oktober). Hentet 29. mars 2023 fra gsa.gov/technology/technology-products-services/it-security/executive-order-14028-improving-the-nations-cybersecurity
5) CISA lanserer oppdatert Zero trust modenhetsmodell: CISA. Cybersecurity and Infrastructure Security Agency CISA. (2023, 25. april). Hentet 28. april 2023 fra cisa.gov/news-events/news/cisa-releases-updated-zero-trust-maturity-model#:~:text=The%20five%20pillars%20of%20the,the%202021% 20offentlig%20kommentar%20periode