A infraestrutura crítica resiliente começa com zero trust

Este artigo foi publicado originalmente em Conversa sobre mérito em 30 de junho de 2022.

Do Violação do oleoduto colonial para o Ataque de ransomware JBS, o ano passado nos mostrou que os ataques cibernéticos à infraestrutura crítica dos EUA estão mais implacáveis, sofisticados e impactantes do que nunca — e muitas vezes ameaçam a estabilidade econômica e o bem-estar dos cidadãos dos EUA.

Por causa disso, a proteção da infraestrutura crítica continua sendo o principal foco do governo federal. 2021 do governo Biden Ordem Executiva para Melhorar a Segurança Cibernética do País (EO) estabeleceu mandatos e requisitos de segurança específicos que as agências devem cumprir antes do ano fiscal de 2024 para reforçar a resiliência organizacional e da cadeia de suprimentos. Um componente crítico que o EO articulou especificamente é o avanço em direção a uma arquitetura Zero Trust — uma cibersegurança. metodologia introduzido pela primeira vez há quase uma década e baseado nos princípios de “menor privilégio” e “presumir violação”.

Em março de 2022, o presidente Biden reafirmou o EO de 2021 com seu “Declaração... sobre a cibersegurança da nossa nação”, novamente apontando o Zero Trust como a melhor prática de segurança cibernética, já que os EUA buscam melhorar a segurança cibernética doméstica e reforçar a resiliência nacional após um conflito global emergente. Além disso, o Lei de relatórios de incidentes cibernéticos para infraestrutura crítica de 2022 assinada em março de 2022, exigirá que os operadores de infraestrutura do setor privado relatem incidentes cibernéticos e pagamentos de ransomware ao governo, aumentando o foco dos EUA na proteção da infraestrutura crítica.

Adotando a “suposição de violação”

Para reforçar os esforços contínuos de resiliência, as organizações do governo federal e do setor privado devem começar a adotar uma abordagem proativa à segurança cibernética. Isso começa com a reformulação da forma como abordamos fundamentalmente a segurança.

A transformação digital expandiu dramaticamente a superfície de ataque. Atualmente, a arquitetura de TI moderna é cada vez mais uma mistura híbrida de nuvens locais, públicas e multinuvens, abrindo novas portas para que os invasores não apenas obtenham acesso, mas também se movam pelos ambientes com facilidade. À medida que a frequência e a gravidade das violações continuam aumentando, nosso setor está adotando rapidamente uma”presumir violação” mentalidade — um entendimento de que, mesmo com as melhores tecnologias preventivas e de detecção rápida, as violações são indo para acontecer.

Pense nas recentes mudanças do setor de segurança cibernética desta forma: a primeira era de segurança foi focada exclusivamente na proteção. Em um data center fechado e local, o foco estava na segurança do perímetro — construa uma parede digital e mantenha os bandidos afastados. Há cerca de uma década, uma onda de brechas de alto perfil nos despertou para o fato de que um muro não consegue afastar totalmente os bandidos. A partir daí, o foco mudou da segurança somente perimetral para a segunda era de segurança de detecção e resposta rápidas: encontre o bandido rapidamente depois que ele escalar a parede.

Agora estamos na terceira onda de segurança: foco na contenção e mitigação. É aqui que os recursos do Zero Trust, como Segmentação Zero Trust (ou seja, microssegmentação) pode ajudar. Por exemplo, no caso de agentes mal-intencionados obterem acesso a uma agência federal, a segmentação Zero Trust pode ajudar a limitar seu impacto ao conter a intrusão em um único sistema comprometido, limitando consideravelmente o acesso a dados confidenciais.

Na verdade, de acordo com um estudo recente da ESG, as organizações que utilizam a segmentação Zero Trust têm 2,1 vezes mais chances de evitar uma paralisação crítica durante um ataque nos últimos 24 meses, economizarem USD 20,1 milhões no custo anual de tempo de inatividade e evitarem cinco desastres cibernéticos anualmente.

Voltando ao básico

Como os ataques cibernéticos angustiantes continuam sendo a norma, nunca foi tão essencial que as organizações de infraestrutura crítica priorizem a prática e a manutenção adequadas Segurança cibernética higiene. A higiene cibernética não é nada revolucionária — trata-se de adotar e colocar o básico em prática, dia após dia.

Em 2021, a Casa Branca emitiu um memorando descrevendo as principais práticas recomendadas para organizações que buscam se proteger contra ataques contínuos de ransomware: faça backup de seus dados, aplique patches quando necessário, teste seus planos de resposta a incidentes, verifique o trabalho de sua equipe (ou seja, considere o erro humano) e segmente suas redes, cargas de trabalho e aplicativos adequadamente.

Com os princípios básicos de segurança cibernética adequados, as agências federais estão melhor posicionadas para expandir os esforços contínuos de resiliência, como acelerar suas jornadas de Zero Trust.

Começa a construir resiliência agora

No final das contas, priorizar abordagens proativas e preventivas de segurança cibernética, como o Zero Trust, e obrigá-las em nível nacional, trará benefícios positivos a longo prazo na postura de segurança e na resiliência geral do país. Mas uma boa higiene da cibersegurança e a construção de resiliência real são um esforço contínuo. É importante começar aos poucos. Por exemplo, comece segmentando seus ativos mais críticos dos sistemas legados. Dessa forma, se ocorrer uma violação, ela não poderá se espalhar pela sua arquitetura híbrida para alcançar informações essenciais. A partir daí, você pode migrar para empreendimentos de resiliência maiores e mais amplos.

Mas, como acontece com qualquer objetivo, é importante não fazer do “perfeito” o inimigo do bem. Em outras palavras, não ter um plano perfeito não deve ser uma barreira para começar em algum lugar. O importante é começar hoje. Os malfeitores estão evoluindo, surgindo e agora rebranding — e qualquer prática de higiene de cibersegurança (grande ou pequena) ajuda a aumentar a resiliência organizacional. No final das contas, especialmente quando se trata de operações do setor público, somos todos tão fortes quanto o elo mais fraco de nossa cadeia de suprimentos.

Lembre-se de “presumir uma violação”, colocar o básico em prática e priorizar primeiro a proteção de sua infraestrutura mais crítica com os controles de segurança Zero Trust.