Sektor wodny skorzysta na wezwaniu do cyberhartowania infrastruktury krytycznej

Pod wpływem cyberataków wysokiego ryzyka i późniejszych doniesień prasowych głównego nurtu rząd federalny zmierza w stronę nowych wymagań w zakresie cyberbezpieczeństwa infrastruktury krytycznej.

Lipiec Notatka Biura Zarządzania i Budżetu (OMB). (PDF) wezwał agencje w całym rządzie federalnym do ustalenia konkretnych „standardów wydajności” cyberbezpieczeństwa dla swoich branż oraz, co jeszcze ważniejsze, do przeznaczenia budżetu na „przegląd i ocenę” agencji federalnych planów wzmacniania cyberbezpieczeństwa przygotowanych przez organizacje, które muszą spełnić te nowe standardy.

Potrzebne: Federalny przegląd i ocena planów

Ten poziom bezpośredniego nadzoru rozszerza podejście, które obecnie jest stosowane jedynie na najbardziej krytyczną infrastrukturę krajową — zwłaszcza sieć elektryczną (regulowaną przez Departament Energii, Federalną Komisję ds. Niezawodności Energetycznej i North American Reliability Corp.) oraz ropę i gaz. rurociągi (Departament Bezpieczeństwa Wewnętrznego i Administracja Bezpieczeństwa Transportu) – w pełnym zakresie gałęzi przemysłu w USA, na których polegają ludzie, w tym handlu detalicznego, farmaceutycznego, chemicznego, transportu i dystrybucji, żywności i napojów i wielu innych.

Jedną z branż, która prawdopodobnie silnie odczuje tę działalność regulacyjną i odnotuje w rezultacie istotne zmiany, jest sektor wodny. Bardzo podatne na cyberataki przedsiębiorstwa wodociągowe pilnie potrzebują odświeżonych i egzekwowanych standardów bezpieczeństwa. W rzeczywistości administracja Bidena zasugerowała niedawno, że Agencja Ochrony Środowiska (EPA) ma wydać nową zasadę, która obejmie cyberbezpieczeństwo podczas przeglądów warunków sanitarnych krajowych obiektów wodnych – co dalej wspieranie wyższych standardów w zakresie cyberbezpieczeństwa.

Stawka jest wysoka: typowy miejski system uzdatniania wody filtruje każdego dnia 16 milionów galonów wody, a jeden udany haker może skazić całą społeczność wodociągową. To nie jest hipotetyczny strach — grupie hakerskiej udało się niedawno przeniknąć do witryny system uzdatniania wody w Oldsmar na Florydzie. Majsterkując przy ilości ługu w wodzie, narazili całe miasto na ryzyko. Niedawno gang ransomware Clop wziął na cel: Południowe Staffordshire wodociąg w Wielkiej Brytanii. Chociaż ataki te nie zawsze kończą się sukcesem, powaga zagrożeń została ukazana aż nadto wyraźnie.

Pomimo wcześniejszych prób poprawy standardów bezpieczeństwa w sektorze wodnym, sektor ten pozostaje podatny na zagrożenia. Nawet Amerykańska ustawa o infrastrukturze wodnej z 2018 r (AWIA), w którym stwierdzono, że przedsiębiorstwa wodociągowe muszą opracować plany reagowania kryzysowego uwzględniające zagrożenia cyberbezpieczeństwa w ramach: szersze wysiłki na rzecz poprawy ogólnej infrastruktury i jakości, nie zmieniło znacząco stanu cyberbezpieczeństwa w branży. Sektor obejmuje 50,000 XNUMX odrębnych przedsiębiorstw użyteczności publicznej w Stanach Zjednoczonych, z których większość to małe podmioty zarządzane przez gminy; to rozdrobnienie, w połączeniu z ogólną niechęcią operatorów do porzucenia istniejących praktyk, spowodowało wygaśnięcie impulsu do zmian.

Ale precedens mówi nam, że przepisy federalne, jeśli zostaną właściwie wykonane, mogą coś zmienić. Już teraz widzimy postęp w innym wrażliwym sektorze infrastruktury krytycznej: ropie i gazie. Podążanie za głośnymi Hack Colonial Pipeline w 2021 r. Administracja Bezpieczeństwa Transportu (TSA) Departamentu Bezpieczeństwa Wewnętrznego szybko zwolniła dwa Dyrektywy bezpieczeństwaZ aktualizacja w 2022 r., podwajając wysiłki na rzecz zapewnienia lepszej ochrony infrastruktury energetycznej w całym kraju. Dyrektywy te kładły nacisk na zarządzanie danymi uwierzytelniającymi i kontrolę dostępu, czyli dwie rzeczy, które przede wszystkim pomogłyby zablokować atak oprogramowania ransomware.

Pomimo początkowego sprzeciwu ze strony właścicieli i operatorów rurociągów, te pierwsze w swoim rodzaju wymogi TSA już prowadzą cały sektor w kierunku bardziej chronionego środowiska. Operatorzy skłaniają się obecnie ku środkom bezpieczeństwa skupiającym się na proaktywności i zapobieganiu atakom.

Wezwanie do zapobiegania atakom prowadzi do większej ochrony

Kluczowa różnica polega na tym, że Dyrektywy TSA wymagają planów wdrożenia dla cyber ochronanie tylko do wykrywania i reagowania na incydenty. Kiedyś operatorzy byli do tego zobowiązani chronić
nie tylko reagować na wydarzenia po fakcie – a gdy rząd federalny dokonał przeglądu swoich planów cyberochrony – sektor naftowo-gazowy zaczął się ożywiać.

A teraz, dzięki wytycznym OMB dla agencji, ten sam bezpośredni nadzór nad cyberochroną obejmie także inne sektory, w tym wodę. Innymi słowy, ruch w sektorze ropy i gazu jest wskazówką, co czeka inną infrastrukturę krytyczną.

Hack Oldsmar z 2021 r. pokazał światu, jak łatwy – i jak niszczycielski – może być atak na elektrownię wodną. Niezależnie od historycznych norm branżowych, a wyraźna potrzeba poprawy cyberbezpieczeństwa się ujawniła i wydaje się, że rząd jest gotowy działać bardziej agresywnie niż kiedykolwiek. Jej szerokie dążenie do poprawy bezpieczeństwa infrastruktury krytycznej może stać się katalizatorem, którego desperacko potrzebowało wiele sektorów, takich jak gospodarka wodna.

Właściciele i operatorzy zakładów nie mogą już ignorować ryzyka; cięższa regulacja to „kiedy”, a nie „jeśli”. Nadszedł czas, aby zaczęli szukać lepszego, bardziej nowoczesnego cyberbezpieczeństwa.