Vodni sektor bo imel koristi od poziva za kibernetsko utrjevanje kritične infrastrukture

Zvezna vlada se zaradi kibernetskih napadov z visokim tveganjem in poznejšega poročanja v medijih usmerja k novim zahtevam za kibernetsko varnost kritične infrastrukture.

julija Obvestilo Urada za upravljanje in proračun (OMB). (PDF) called for agencies across the federal government to establish specific cybersecurity “performance standards” for their respective industries — and, even more significantly, to budget for federal agency “review and assessment” of cyber-hardening plans prepared by organizations required to meet those new standards.

Potrebno: Zvezni pregled in ocena načrtov

Ta raven neposrednega nadzora razširja pristop, ki se danes uporablja le za najbolj kritično nacionalno infrastrukturo – zlasti električno omrežje (ki ga ureja Ministrstvo za energijo, Zvezna komisija za zanesljivost energije in North Amerian Reliability Corp.) ter nafto in plin. cevovodov (Ministrstvo za domovinsko varnost in Uprava za prometno varnost) — v celotnem obsegu panog ZDA, na katere se ljudje zanašajo, vključno z maloprodajo, farmacevtskimi izdelki, kemikalijami, transportom in distribucijo, hrano in pijačo ter mnogimi drugimi.

One industry that’s likely to feel this regulatory activity strongly, and see substantial changes as a result, is the water sector. Heavily vulnerable to cyberattacks, water utilities are in urgent need of refreshed — and enforced — security standards. In fact, the Biden administration recently hinted that the Environmental Protection Agency (EPA) is set to issue a new rule that would include cybersecurity in sanitation reviews of the nation’s water facilities — further podpiranje višjih standardov, ko gre za kibernetsko varnost.

The stakes are high: A typical municipal water processing system filters 16 million gallons of water each day, and one successful hacker could taint the community’s entire water supply. This is not a hypothetical fear — a hacking group recently managed to infiltrate a sistem za čiščenje vode v Oldsmarju na Floridi. S spreminjanjem količine luga v vodi so ogrozili celotno mesto. In pred kratkim je tolpa izsiljevalske programske opreme Clop ciljala na Južni Staffordshire vodno podjetje v Združenem kraljestvu. Čeprav ti napadi niso vedno uspešni, je resnost tveganja povsem jasna.

Kljub prejšnjim poskusom izboljšanja varnostnih standardov za vodni sektor je ta še vedno ranljiv. celo America’s Water Infrastructure Act of 2018 (AWIA), ki je izjavil, da morajo vodovodna podjetja razviti načrte za odzivanje v sili, ki obravnavajo grožnje kibernetski varnosti kot del širše prizadevanje za izboljšanje splošne infrastrukture in kakovosti, ni bistveno spremenil položaja kibernetske varnosti v industriji. Sektor obsega 50,000 ločenih javnih služb v Združenih državah, od katerih je večina majhnih in jih upravljajo občine; ta razdrobljenost je skupaj s splošno nepripravljenostjo operaterjev, da bi opustili obstoječe prakse, omogočila, da je spodbuda za spremembe izzvenela.

But precedent tells us that, when done right, federal regulations can make a difference. We’re already seeing progress in another vulnerable critical infrastructure sector: oil and gas. Following the high-profile Colonial Pipeline kramp in 2021, the Department of Homeland Security’s Transportation Security Administration (TSA) quickly released two Varnostne direktive, S posodobitev leta 2022 podvoji svoja prizadevanja za zagotovitev boljše zaščite energetske infrastrukture po vsej državi. Te direktive so poudarjale upravljanje poverilnic in nadzor dostopa, dve stvari, ki bi sploh pomagali preprečiti napad izsiljevalske programske opreme.

Kljub začetnemu nasprotovanju lastnikov in upravljavcev plinovodov te prve te vrste zahteve TSA že vodijo celoten sektor k bolj zaščitenemu okolju. Operaterji se zdaj nagibajo k varnostnim ukrepom, osredotočenim na proaktivnost in preprečevanje napadov.

Poziv k preprečevanju napadov vodi k večji zaščiti

Ključna razlika pri tem je, da TSA direktive zahtevajo izvedbene načrte za cyber zaščita, ne samo za odkrivanje incidentov in odziv. Nekoč so morali operaterji zaščito
sami, ne le odziv na dogodke naknadno - in ko je zvezna vlada pregledala svoje načrte za kibernetsko zaščito - se je sektor nafte in plina začel resno premikati.

And now, with the OMB’s guidance to agencies, the same direct supervision of cyber protection will come to other sectors, too, including water. In other words, the movement within oil and gas is a hint at what’s to come for other critical infrastructure.

Vdor v Oldsmar iz leta 2021 je svetu pokazal, kako enostaven – in kako uničujoč – je lahko napad na vodno tovarno. Ne glede na zgodovinske industrijske norme, a jasna potreba po boljši kibernetski varnosti in zdi se, da je vlada pripravljena nadaljevati bolj agresivno kot kdaj koli prej. Njegovo široko prizadevanje za večjo varnost kritične infrastrukture je pripravljeno postati katalizator, ki ga mnogi sektorji, kot je voda, nujno potrebujejo.

Lastniki in upravljavci obratov ne morejo več zanemariti tveganj; strožja regulacija is a “when,” not an “if.” Now is the time for them to pursue better, more modern cybersecurity.