Austrália duplica segurança cibernética após ataques

O governo australiano está a elaborar planos para renovar as leis e regulamentos de segurança cibernética na sequência de uma série de violações de dados prejudiciais de alto perfil que abalaram o país.

Autoridades governamentais divulgaram recentemente o que chamaram de documento de consulta que delineava propostas específicas e solicitava contribuições do sector privado numa estratégia proclamada para posicionar a nação como líder mundial em segurança cibernética até 2030.

Além de abordar as lacunas nas leis existentes sobre crimes cibernéticos, os legisladores australianos esperam alterar a Lei de Segurança de Infraestruturas Críticas (SOCI) de 2018 para colocar uma maior ênfase na prevenção de ameaças, partilha de informações e resposta a incidentes cibernéticos.

As fraquezas nas capacidades de resposta a incidentes cibernéticos da Austrália foram reveladas no ataque cibernético de setembro de 2022 ao provedor de telecomunicações Optus, seguido em outubro por um ataque baseado em ransomware ataque à seguradora de saúde Medibank.

Milhões de registros confidenciais, incluindo dados biométricos em carteiras de motorista e fotos de passaporte, foram expostos após invasores rasparam um banco de dados Optus contendo registros de consumidores; o Violação do Medibank expôs milhões de registros de saúde de pacientes.

“Ambas as violações ocorreram através de erros básicos e falta de higiene cibernética, por isso eram evitáveis”, diz Richard Sorosina, diretor de segurança técnica da Qualys Austrália e Nova Zelândia.

A resiliência cibernética da Austrália foi submetida a um doloroso escrutínio em novembro de 2023, quando uma interrupção nacional deixou a linha fixa e móvel da Optus clientes sem acesso à Internet. A interrupção foi atribuída a um problema com uma atualização da tabela de roteamento do Border Gateway Protocol (BGP).

Então, dias depois, ocorreu um ataque cibernético massivo à indústria naval que levou a prolongadas interrupções em quatro portos australianos.

Reforma da Estratégia Cibernética

Os ataques cibernéticos ao Optus, ao Medibank e aos portos do país foram incidentes altamente públicos que afectaram cidadãos e empresas, o que elevou a segurança cibernética na agenda política do país. Em resposta, o governo australiano reviu a sua estratégia de segurança cibernética e lançou o processo de consulta sobre reformas legislativas e regulamentares.

Clare O'Neil, ministra da segurança cibernética da Austrália, disse em um comunicado que o governo estava empenhado em trabalhar com o setor privado para inaugurar uma “nova era de parceria público-privada para melhorar a segurança cibernética e a resiliência da Austrália”.

A nova legislação de segurança cibernética proposta pela Austrália abrange uma ampla gama de medidas, incluindo a exigência de padrões seguros desde o projeto para dispositivos de Internet das Coisas (IoT), o estabelecimento de uma regra de notificação de ransomware, a criação de uma obrigação de “uso limitado” para o compartilhamento de informações de incidentes e o estabelecimento de um Conselho Nacional de Revisão de Incidentes Cibernéticos.

Também na agenda: reformas da Lei de Segurança de Infraestruturas Críticas de 2018, que visam resolver as deficiências de segurança cibernética expostas por violações recentes.

Estas revisões incluem o fornecimento de orientações mais prescritivas para indústrias críticas, como os serviços públicos e as telecomunicações, a simplificação da partilha de informações, o fornecimento de directivas para programas de gestão de riscos e a consolidação dos requisitos de segurança para o sector das telecomunicações ao abrigo da Lei SOCI para infra-estruturas críticas.

Casey Ellis, fundador, presidente e diretor de estratégia da Bugcrowd, diz que o governo australiano está tomando as medidas certas. “O documento de consulta [Estratégia de segurança cibernética] aborda segurança de IoT, relatórios de ransomware, compartilhamento de incidentes e gerenciamento, relatórios e responsabilização de infraestrutura crítica, que são certamente áreas de suavidade na política australiana”, diz Ellis.

Grande país, grandes desafios de segurança cibernética

A enorme extensão da Austrália torna difícil proteger infra-estruturas críticas, especialmente para indústrias estratégicas como a mineração, que é altamente dispersa e com instalações em locais remotos.

Entretanto, os sectores mineiro, marítimo e outros serviços públicos estão a abandonar tecnologias legadas e a adoptar tecnologias ligadas à Internet e IoT para gerir e monitorizar de forma mais eficiente a sua infra-estrutura. Mas esta adoção da transformação digital muitas vezes deixou equipamentos legados expostos a ameaças cibernéticas.

“Para garantir que ataques como o que ocorreu nos portos australianos permaneçam isolados em vez de uma ocorrência comum, o governo está, com razão, a estudar como legislar uma Política Nacional de Infraestruturas Críticas e a recorrer a outros países para aprenderem lições sobre como proteger o aumento das superfícies de ataque suportadas. fora da convergência TI/TO”, diz Shane Read, CISO da Goldilock, uma startup de segurança cibernética física.

No entanto, a Austrália carece de escala e de população para agir sozinha – portanto, faz sentido fazer referência a padrões globais conhecidos sempre que possível, de acordo com especialistas independentes.

“A Austrália recorreu ao Reino Unido/EUA/UE em busca de orientação no que diz respeito à política de segurança cibernética”, observa Sorosina, da Qualys.

Tal como muitos outros países, a Austrália está a lutar para colmatar a lacuna de competências em cibersegurança.

Phillip Ivancic, chefe de soluções APAC do Synopsys Software Integrity Group, diz que devido à pequena população em relação ao tamanho da economia, há uma “enorme escassez de engenheiros qualificados e especialistas em segurança cibernética” na Austrália.

“É por isso que a decisão do governo de ser mais prescritivo e de fornecer orientações reais baseadas em padrões, bem como de forçar a mudança através de mandatos, deve ser bem-vinda”, afirma Ivancic. “Simplesmente não temos escala para avançarmos sozinhos, e impor padrões internacionais que já são amplamente utilizados é a abordagem correta.”

As propostas políticas do governo carecem de elementos-chave, como controles em torno das cadeias de fornecimento de software, como listas de materiais de software que listem os componentes que compõem as aplicações, de acordo com Ivancic. Essa é uma “lacuna gritante”, diz ele.

Principais investimentos em segurança cibernética

O caminho para se tornar uma nação cibersegura não é apenas uma responsabilidade governamental. Reconhecendo o seu próprio interesse em melhorar as práticas de segurança cibernética, o sector privado na Austrália também está a fazer enormes investimentos na melhoria das práticas de segurança da informação.

As organizações australianas gastarão mais de AU$ 7.3 bilhões em produtos e serviços de segurança da informação e gerenciamento de risco em 2024, um aumento de 11.5% em relação a 2023, de acordo com o Gartner. A segurança na nuvem terá o maior aumento, aumentando para A$ 248 milhões (um aumento de 26.9% ano a ano).

O aumento nos gastos é impulsionado por uma combinação de ataques cibernéticos de alto perfil e aumento das obrigações regulatórias, escreveu o Gartner.

Ellis, da BugCrowd, acredita que o esforço da Austrália para se tornar um líder em segurança cibernética é alcançável. “A Austrália sempre foi uma nação de inovadores e violadores de regras, e acredito que o objetivo de se tornar um líder mundial em segurança cibernética, embora ambicioso, é alcançável.”

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• PlatoData.Network Gerativa Vertical Ai. Capacite-se. Acesse aqui.
• PlatoAiStream. Inteligência Web3. Conhecimento Amplificado. Acesse aqui.
• PlatãoESG. Carbono Tecnologia Limpa, Energia, Ambiente, Solar, Gestão de resíduos. Acesse aqui.
• PlatoHealth. Inteligência em Biotecnologia e Ensaios Clínicos. Acesse aqui.
• Fonte: https://www.darkreading.com/cyber-risk/australian-government-doubles-down-on-cybersecurity-in-wake-of-major-attacks