O OIG responsabiliza o DoD por ignorar as recomendações de segurança cibernética por mais de dez anos

Republicado por Platão

seguidores: 0

As implicações podem ser catastróficas se o DoD, nossa maior linha de defesa contra ameaças cibernéticas internas e externas, levar um dia, uma hora ou um minuto a mais para tomar ações corretivas para remover hardware e software obsoletos e repletos de vulnerabilidades de sua TI crítica. a infraestrutura.

RIEGELSVILLE, Pensilvânia (PRWEB) 15 de maio de 2023

Quando Hollywood retrata o submundo dos hackers de computador, com cenas emocionantes de uma batalha entre atores governamentais bons e maus tentando salvar ou derrubar o mundo, a iluminação é ameaçadora, os dedos voam sem esforço por vários teclados ao mesmo tempo enquanto abrem e fecham firewalls na velocidade da luz. E as engenhosas agências federais de inteligência sempre têm o que há de mais moderno em engenhocas chamativas e de alta tecnologia. Mas a realidade raramente se compara. O Pentágono, sede do Departamento de Defesa (DoD), é um poderoso símbolo do poderio militar e da força dos Estados Unidos. No entanto, de 2014 a 2022, 822 agências governamentais foram vítimas de ataques cibernéticos, afetando quase 175 milhões de registros governamentais a um custo de aproximadamente US$ 26 bilhões.(1) O DoD está sob o olhar atento do DoD OIG (Office of Inspector General) , e seu relatório de auditoria mais recente é um olho roxo para a reputação da maior agência governamental do país. Walt Szablowski, fundador e presidente executivo da eracent, que fornece visibilidade completa das redes de seus grandes clientes corporativos há mais de duas décadas, adverte: “As implicações podem ser catastróficas se o DoD, nossa maior linha de defesa contra ameaças cibernéticas internas e externas, demorar um dia, uma hora ou um minuto demais para tomar ações corretivas para remover hardware e software obsoletos e repletos de vulnerabilidades de sua infraestrutura crítica de TI. Zero Trust Architecture é a maior e mais eficaz ferramenta na caixa de ferramentas de segurança cibernética.”

Em janeiro de 2023, o mundo prendeu a respiração coletiva depois que uma parada no solo foi iniciada pela FAA, impedindo todas as partidas e chegadas de aeronaves. Desde os eventos de 9 de setembro, medidas tão extremas não foram tomadas. O julgamento final da FAA foi que uma falha no sistema de Notificação para Missões Aéreas (NOTAM) responsável por fornecer informações de segurança cruciais para evitar desastres aéreos foi comprometida durante a manutenção de rotina quando um arquivo foi substituído por outro por engano.(11) Três semanas depois, o O DoD OIG divulgou publicamente seu resumo de relatórios e depoimentos sobre segurança cibernética do DoD de 2º de julho de 1 até 2020 de junho de 30 (DODIG-2022-2023) auditoria resumindo os relatórios e testemunhos não classificados e classificados sobre segurança cibernética do DoD. (047)

De acordo com o relatório do OIG, as agências federais são obrigadas a seguir as diretrizes do National Institute of Standards and Technology (NIST) Framework for Improving Critical Infrastructure Cybersecurity. A estrutura inclui cinco pilares — Identificar, Proteger, Detectar, Responder e Recuperar — para implementar medidas de segurança cibernética de alto nível que funcionam juntas como uma estratégia abrangente de gerenciamento de riscos. O OIG e outras entidades de supervisão do DoD têm se concentrado principalmente em dois pilares — Identificar e Proteger, com menos ênfase nos três restantes — Detectar, Responder e Recuperar. O relatório concluiu que das 895 recomendações relacionadas à segurança cibernética nos relatórios de resumo atuais e anteriores, o DoD ainda tinha 478 problemas de segurança abertos desde 2012.(3)

Em maio de 2021, a Casa Branca emitiu a Ordem Executiva 14028: Melhorando a segurança cibernética da nação, exigindo que as agências federais melhorem a segurança cibernética e a integridade da cadeia de suprimentos de software adotando a Zero Trust Architecture com uma diretiva para empregar criptografia de autenticação multifator. O Zero Trust aprimora a identificação de atividades cibernéticas maliciosas em redes federais, facilitando um sistema de detecção e resposta de endpoint em todo o governo. Os requisitos de log de eventos de segurança cibernética são projetados para melhorar a comunicação cruzada entre agências do governo federal.(4)

A Zero Trust Architecture, em seu nível mais básico, assume a postura de resoluto ceticismo e desconfiança de todos os componentes ao longo da cadeia de suprimentos de segurança cibernética, sempre pressupondo a existência de ameaças internas e externas à rede. Mas o Zero Trust é muito mais do que isso.

Implementações de Zero Trust forçam a organização a finalmente:

Defina a rede da organização que está sendo defendida.
Projetar um processo e sistema específico da organização que proteja a rede.
Manter, modificar e monitorar o sistema para garantir que o processo esteja funcionando.
Revise constantemente o processo e modifique-o para lidar com riscos recém-definidos.

A Agência de Segurança Cibernética e de Infraestrutura (CISA) está desenvolvendo um Modelo de Maturidade de Confiança Zero com seus próprios cinco pilares – Identidade, Dispositivos, Rede, Dados e Aplicativos e Cargas de Trabalho – para auxiliar agências governamentais no desenvolvimento e implementação de estratégias e soluções de Confiança Zero .(5)

Zero Trust Architecture continua sendo um conceito teórico sem um processo estruturado e auditável como o da Eracent Iniciativa ClearArmor Zero Trust Resource Planning (ZTRP). Sua estrutura completa sintetiza sistematicamente todos os componentes, aplicativos de software, dados, redes e endpoints usando análise de risco de auditoria em tempo real. A implantação bem-sucedida do Zero Trust exige que todos os constituintes da cadeia de suprimentos de software provem, sem sombra de dúvida, que ele é confiável e confiável.

As ferramentas convencionais de análise de vulnerabilidade não examinam metodicamente todos os componentes da cadeia de suprimentos de um aplicativo, como códigos desatualizados e obsoletos que podem representar um risco à segurança. Szablowski reconhece e aplaude essas iniciativas do governo, alertando: “Zero Trust é um processo claramente definido, gerenciado e em constante evolução; não é 'um e pronto'. O primeiro passo é definir o tamanho e o escopo da rede e identificar o que precisa ser protegido. Quais são os maiores riscos e prioridades? Em seguida, crie um conjunto prescrito de diretrizes em um processo de gerenciamento automatizado, contínuo e repetível em uma única plataforma de gerenciamento e relatórios.”

Sobre a Eracent
Walt Szablowski é o fundador e presidente executivo da Eracent e atua como presidente das subsidiárias da Eracent (Eracent SP ZOO, Varsóvia, Polônia; Eracent Private LTD em Bangalore, Índia e Eracent Brasil). A Eracent ajuda seus clientes a enfrentar os desafios de gerenciamento de ativos de rede de TI, licenças de software e segurança cibernética nos ambientes de TI complexos e em evolução de hoje. Os clientes corporativos da Eracent economizam significativamente em seus gastos anuais com software, reduzem seus riscos de auditoria e segurança e estabelecem processos de gerenciamento de ativos mais eficientes. A base de clientes da Eracent inclui algumas das maiores redes corporativas e governamentais e ambientes de TI do mundo. Dezenas de empresas da Fortune 500 confiam nas soluções da Eracent para gerenciar e proteger suas redes. Visita https://eracent.com/. 

Referências:
1) Bischoff, P. (2022, 29 de novembro). Violações do governo – você pode confiar seus dados ao governo dos EUA? Comparitech. Recuperado em 28 de abril de 2023, em comparitech.com/blog/vpn-privacy/us-government-breaches/
2) FAA Notam Declaração. Declaração FAA NOTAM | Administração da Aviação Federal. (nd). Recuperado em 1º de fevereiro de 2023, from.faa.gov/newsroom/faa-notam-statement
3) Resumo de relatórios e testemunhos sobre segurança cibernética do DOD de 1º de julho de 2020 até. Gabinete do Inspetor-Geral do Departamento de Defesa. (2023, 30 de janeiro). Recuperado em 28 de abril de 2023, de dodig.mil/reports.html/Article/3284561/summary-of-reports-and-testimonies-regarding-dod-cybersecurity-from-july-1-2020/
4) Ordem executiva 14028: Melhorar a segurança cibernética do país. GSA. (2021, 28 de outubro). Recuperado em 29 de março de 2023, de gsa.gov/technology/technology-products-services/it-security/executive-order-14028-improving-the-nations-cybersecurity
5) CISA lança modelo atualizado de maturidade de confiança zero: CISA. Agência de Segurança Cibernética e Infraestrutura CISA. (2023, 25 de abril). Recuperado em 28 de abril de 2023, de cisa.gov/news-events/news/cisa-releases-updated-zero-trust-maturity-model#:~:text=The%20five%20pillars%20of%20the,the%202021% 20público%20comentário%20período