Iniciativa de infraestrutura crítica “Shields Ready” aborda ataques cibernéticos inevitáveis

O governo dos EUA emitiu uma série de prescrições para preparar os operadores de infra-estruturas críticas para desastres, ataques físicos e ataques cibernéticos, com ênfase na capacidade de recuperação de perturbações no futuro.

A iniciativa, denominada “Shields Ready”, visa convencer 16 sectores de infra-estruturas críticas identificados a investir no reforço dos seus sistemas e serviços contra qualquer perturbação, independentemente da origem. O esforço, liderado pela Agência de Segurança Cibernética e de Infraestruturas (CISA) e pela Agência Federal de Gestão de Emergências (FEMA), assume que ocorrerão ataques e desastres e apela aos operadores de infraestruturas críticas para que se preparem para manter os serviços em funcionamento.

A interligação dos 16 sectores de infra-estruturas críticas, e a cadeia de abastecimento da qual dependem, significa que a preparação é crítica, disse Jen Easterly, directora da CISA.

“As entidades de infra-estruturas críticas do nosso país – desde escolas a hospitais e instalações de abastecimento de água – devem ter as ferramentas e os recursos para responder e recuperar das perturbações”, disse ela. disse em um comunicado. “Ao tomar medidas hoje para se preparar para incidentes, as infraestruturas críticas, as comunidades e os indivíduos podem estar melhor preparados para recuperar do impacto das ameaças de amanhã e do futuro.”

Os perigos para as infraestruturas críticas aumentaram nos últimos anos, com perturbações causadas por catástrofes graves — como os incêndios florestais na Califórnia e a pandemia do coronavírus — e ataques cibernéticos. Nos últimos cinco anos, por exemplo, a empresa farmacêutica Merck sofreu uma grande interrupção por causa do ataque cibernético NotPetya em 2017, enquanto este ano a concorrente Pfizer sofreu um ataque de tornado num grande armazém que causou interrupções no fornecimento de certos medicamentos. E notoriamente, em maio de 2021, a operadora de oleodutos dos EUA Colonial Pipeline sofreu um ataque de ransomware, encerrando seus serviços por uma semana, o que levou à escassez de gás em todo o sudeste dos Estados Unidos.

Uma campanha anterior, conhecida como “Shields Up”, concentrou-se em convencer organizações de infraestrutura crítica a tomarem ações defensivas em reação a informações específicas sobre ameaças. Shields Ready tem como objetivo se preparar para o pior em todos os aspectos, diz Michael Hamilton, cofundador e CISO da Critical Insight, uma consultoria de segurança cibernética.

“A mensagem oculta aqui é que está chegando e, olhando ao redor do mundo, não é tão difícil de prever”, diz ele, apontando para os avisos regulares do FBI e da CISA aos fornecedores de controle industrial e de infraestrutura crítica. “Não é difícil somar dois mais dois e dizer que você sabe que o nível de ameaça aumentou devido à interrupção da infraestrutura.”

Iniciativas políticas para Shields Ready

Um problema para a iniciativa é que muitas das recomendações atuais são voluntárias e informativas. Desde novembro foi designado “Mês da Segurança e Resiliência de Infraestruturas Críticas”, CISA publicou um kit de ferramentas para fornecedores de infraestruturas críticas, um documento de 15 páginas que abrange ameaças específicas, desafios de segurança e exercícios de autoavaliação. A agência também publicado o Quadro de Planeamento de Resiliência de Infraestruturas (IRPF) e guias sobre como desenvolver uma cadeia de abastecimento resiliente e como responder a um ataque cibernético.

Ainda assim, o esforço carece de força regulatória, diz Tom Guarente, vice-presidente de assuntos governamentais da Armis, uma empresa de segurança de tecnologia operacional (TO).

“O que parece realmente tratar é de construir resiliência em termos de começar pela consciência situacional, falando sobre a importância da partilha de informação entre entidades do sector público e privado”, diz ele. “Dizem que existe um kit de ferramentas, mas o kit de ferramentas parece ser composto principalmente de diretrizes – você sabe, documentos PDF. Portanto, a resposta curta é: não sei o que resultará da campanha Shields Ready.”

No entanto, é provavelmente impossível definir diretrizes gerais sob a égide do Shields Ready para todos os 16 setores de infraestrutura crítica, por isso não é surpreendente que o esforço inicial careça de detalhes, diz Danielle Jablanski, estrategista de segurança cibernética de OT da Nozomi Networks, fornecedora de segurança cibernética para OT. redes. Cada setor de infraestrutura crítica tem um Agência de gestão de risco setorial — normalmente o Departamento de Segurança Interna, mas em alguns casos o Departamento de Energia, Defesa, Saúde e Serviços Humanos, ou Transportes é o SRMA designado — que estabelecerá diretrizes e requisitos específicos do setor.

“Acho que o governo está mais em modo de auditoria hoje”, diz ela. “É importante lembrar que a infraestrutura crítica não é monolítica, não existe um plano, programa ou conjunto de controles de segurança que sirva para todos os casos e que beneficie todos os 16 setores da mesma forma.”

Incentivar a segurança de infraestruturas críticas: incentivo ou castigo?

Esses esforços, em sua maior parte, parecem ter um leve impacto no sentido de atrair os executivos do setor. Como a segurança continua a ser um centro de custos – o imposto de fazer negócios – as empresas querem naturalmente minimizar essas despesas, razão pela qual serão provavelmente necessárias medidas punitivas para implementar muitas das recomendações, diz Hamilton da Critical Insight.

Responsabilizar os executivos pelo desempenho da sua empresa durante um desastre ou ataque cibernético - como as acusações contra o CISO da SolarWinds – já foi um rude despertar para a indústria, diz ele.

“Tendo informado senadores, generais e governadores, descobri que você pode falar sobre russos assustadores, cadeias de suprimentos, buffer overflows e injeção de SQL o quanto quiser, e você simplesmente ficará surpreso”, diz Hamilton. “Mas assim que você diz 'negligência executiva', você tem uma audiência. É exactamente isso que o governo está a fazer: vão considerar a liderança executiva negligente e isso está a chamar a atenção de todos.”

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• PlatoData.Network Gerativa Vertical Ai. Capacite-se. Acesse aqui.
• PlatoAiStream. Inteligência Web3. Conhecimento Amplificado. Acesse aqui.
• PlatãoESG. Carbono Tecnologia Limpa, Energia, Ambiente, Solar, Gestão de resíduos. Acesse aqui.
• PlatoHealth. Inteligência em Biotecnologia e Ensaios Clínicos. Acesse aqui.
• Fonte: https://www.darkreading.com/ics-ot/shields-ready-initiative-inevitable-cyberattacks