Infraestructura Crítica Resiliente Comienza con Cero Confianza

Este artículo fue publicado originalmente en MeritaTalk el 30 de junio de 2022.

Desde el Violación del oleoducto Colonial a la Ataque ransomware JBS, el año pasado nos ha demostrado que los ataques cibernéticos contra la infraestructura crítica de Estados Unidos son más implacables, sofisticados e impactantes que nunca, y con demasiada frecuencia amenazan la estabilidad económica y el bienestar de los ciudadanos estadounidenses.

Debido a esto, la protección de infraestructura crítica sigue siendo un foco principal para el gobierno federal. 2021 de la Administración Biden Orden Ejecutiva para Mejorar la Ciberseguridad de la Nación (EO) estableció mandatos y requisitos de seguridad específicos que las agencias deben cumplir antes del año fiscal 2024 para reforzar la resiliencia organizacional y de la cadena de suministro. Un componente crítico que el EO articuló específicamente es el avance hacia una arquitectura Zero Trust, una ciberseguridad. metodología introducida por primera vez hace casi una década, y se sustentan en los principios de “privilegio mínimo” y “supuesto incumplimiento”.

En marzo de 2022, el presidente Biden reafirmó la EO 2021 con su “Declaración... sobre la Ciberseguridad de nuestra Nación”, señalando nuevamente a Zero Trust como una de las mejores prácticas de ciberseguridad, ya que Estados Unidos busca mejorar la ciberseguridad nacional y reforzar la resiliencia nacional a raíz de un conflicto global emergente. Además, el Ley de Reporte de Incidentes Cibernéticos para Infraestructura Crítica de 2022 promulgada en marzo de 2022 requerirá que los operadores de infraestructura del sector privado informen al gobierno de incidentes cibernéticos y pagos de ransomware, lo que impulsará el enfoque de Estados Unidos en proteger la infraestructura crítica.

Adopción de “asumir una violación”

Para reforzar los esfuerzos de resiliencia en curso, las organizaciones tanto del gobierno federal como de la industria privada deben comenzar a adoptar un enfoque proactivo de la ciberseguridad. Esto comienza con repensar la forma en que enfocamos fundamentalmente la seguridad.

La transformación digital ha ampliado drásticamente la superficie de ataque. Hoy en día, la arquitectura de TI moderna es cada vez más una mezcla híbrida de nubes locales, públicas y nubes múltiples, lo que abre nuevas puertas para que los atacantes no solo obtengan acceso, sino que también se muevan entre entornos con facilidad. A medida que la frecuencia y la gravedad de las brechas continúan aumentando, nuestra industria está adoptando rápidamente un”asumir una violación” mentalidad: una comprensión de que incluso con las mejores tecnologías preventivas y de detección rápida, las brechas son yendo que suceda.

Piense en los recientes cambios de la industria de la ciberseguridad de esta manera: La primera era de seguridad se centró únicamente en la protección. En un centro de datos amurallado en las instalaciones, la atención se centró en la seguridad perimetral: construir un muro digital y mantener alejados a los malos. Hace aproximadamente una década, una ola de brechas de alto perfil nos despertó al hecho de que un muro no puede mantener a los malos afuera por completo. A partir de ahí, el enfoque pasó de la seguridad solo perimetral a la segunda era de seguridad de detección y respuesta rápidas: encontrar al malo rápidamente después de escalar el muro.

Ahora estamos en la tercera ola de seguridad: Enfocarse en la contención y mitigación. Aquí es donde las capacidades de Zero Trust como Segmentación de confianza cero (es decir, la microsegmentación) puede ayudar. Por ejemplo, en el caso de que los malos actores obtengan acceso a una agencia federal, la Segmentación de Confianza Cero puede ayudar a limitar su impacto al contener la intrusión en un solo sistema comprometido, lo que limita enormemente el acceso a datos confidenciales.

De hecho, según un estudio reciente de ESG, las organizaciones que aprovechan la Segmentación de Confianza Cero tienen 2.1 veces más probabilidades de haber evitado una interrupción crítica durante un ataque en los últimos 24 meses, han ahorrado $20,1 millones en el costo anual del downtime y han evitado cinco desastres cibernéticos al año.

Volviendo a lo básico

Dado que los ataques cibernéticos desgarrantes siguen siendo la norma, nunca ha sido más esencial para las organizaciones de infraestructura crítica priorizar la práctica y el mantenimiento adecuados ciberseguridad higiene. La higiene cibernética no es nada revolucionario, se trata de adoptar y poner en práctica lo básico, día tras día.

En 2021, la Casa Blanca emitió un memo esbozar las mejores prácticas clave para las organizaciones que buscan protegerse contra los ataques de ransomware en curso: asegúrese de realizar copias de seguridad de sus datos, aplicar parches cuando se le pida que realice un parche, pruebe sus planes de respuesta a incidentes, verifique el trabajo de su equipo (es decir, tenga en cuenta los errores humanos) y segmente sus redes, cargas de trabajo y aplicaciones en consecuencia.

Con los fundamentos adecuados de ciberseguridad establecidos, las agencias federales están mejor posicionadas para ampliar los esfuerzos de resiliencia en curso, como acelerar sus viajes de confianza cero.

Comienza el desarrollo de resiliencia ahora

Al final, priorizar enfoques proactivos y preventivos de ciberseguridad como Zero Trust, y imponerlos a nivel nacional, tendrá beneficios positivos a largo plazo en la postura de seguridad de la nación y la resiliencia general. Pero una buena higiene en ciberseguridad y la construcción de una resiliencia real es un esfuerzo continuo. Es importante comenzar poco a poco. Por ejemplo, comience segmentando sus activos más críticos lejos de los sistemas heredados. De esa manera, si se produce una brecha, no se puede propagar a través de su arquitectura híbrida para llegar a la información de misión crítica. A partir de ahí, puede pasar a empresas de resiliencia más grandes y más amplias.

Pero como con cualquier meta, es importante no hacer “perfecto” el enemigo del bien. En otras palabras, no tener un plan perfecto no debería ser una barrera para comenzar en alguna parte. Lo importante es comenzar hoy. Los malos actores están evolucionando, emergiendo y ahora cambio de marca y cualquier práctica de higiene de ciberseguridad (grande o pequeña) ayuda a elevar la resiliencia organizacional. Al final, especialmente cuando se trata de operaciones del sector público, todos somos tan fuertes como el eslabón más débil de nuestra cadena de suministro.

Recuerde “asumir una violación”, poner en práctica lo básico y priorizar la seguridad de su infraestructura más crítica con los controles de seguridad Zero Trust primero.