0 
0 Qual é a melhor forma de gastar um orçamento de segurança cibernética que há muito esperava receber? Essa é a pergunta que os governos estaduais, locais e territoriais (SLT) estão começando a se fazer após um grande anúncio de setembro do Departamento de Segurança Interna.
O DHS distribuirá US$ 1 bilhão em financiamento nos próximos quatro anos como parte de um programa de subsídios de segurança cibernética pioneiro especificamente voltado para governos SLT. A Agência de Segurança Cibernética e Infraestrutura (CISA) e a Agência Federal de Gerenciamento de Emergências (FEMA) estão gerenciando conjuntamente as doações, e a CISA estabeleceu as metas gerais para o financiamento:
- Implementar governança e planejamento cibernéticos
- Avaliar e avaliar sistemas e capacidades
- Mitigar problemas priorizados e
- Crie uma força de trabalho de segurança cibernética
Embora a Agência Administrativa Estadual (SAA) designada para cada estado e território seja a única entidade elegível para solicitar financiamento (esta ficha técnica faz um ótimo trabalho ao resumir o que você precisa saber), a legislação exige que os estados distribuam pelo menos 80% de recursos para governos locais, com um mínimo de 25% dos recursos alocados distribuídos para áreas rurais. Isso é uma ótima notícia, porque esse dinheiro terá o maior impacto no nível da cidade e do condado.
“O que devo fazer com esse dinheiro se eu conseguir?”
Os líderes de TI nesses níveis invariavelmente farão essa pergunta a si mesmos.
Uma rápida olhada para trás pode nos ajudar a olhar para frente. Dois grandes financiamentos liderados pelo governo aconteceram nos últimos 20 anos: em 2001 e depois da aprovação do Affordable Care Act. Se você fizer as contas, esses foram aproximadamente 7 ou 8 anos de diferença, normalmente a idade em que o hardware é substituído.
Muito do investimento que foi feito nessa segunda onda de financiamento foi em infraestrutura e segurança de rede, como substituição de firewalls e atualização para a mais recente tecnologia antivírus. Isso faz sentido. Se estivéssemos falando sobre como gastar dinheiro para escorar a infraestrutura física, uma cidade poderia substituir uma ponte – o que for mais antigo e vulnerável.
O mesmo pensamento se aplica aqui. Após décadas de experiência em segurança de TI, rede e conformidade (ajudei a fundar a divisão de educação e local do estado da Symantec), eu diria para começar aqui:
- Identifique o que é envelhecimento e vulnerabilidade
- Conheça suas lacunas e crie um roteiro em torno delas
- Sua lista de projetos em potencial provavelmente será longa, então a priorização é fundamental
Às vezes, entender a empresa em que você se encontra pode ajudar. Uma pesquisa recente do Center for Digital Government com 103 autoridades estaduais e locais apontou os desafios de segurança e conformidade como os principais buracos, entre eles, “redes legadas, sem patches e sem suporte que aumentam sua exposição” e “visibilidade limitada da empresa em torno dos endpoints que se conectam aos seus redes”.
Isso reforça a postura cibernética que comumente vejo entre as organizações governamentais SLT. O aumento do trabalho remoto/híbrido e o número de serviços oferecidos digitalmente aumentaram sua exposição e, no entanto, muitas organizações estão usando firewalls, antivírus legados e VPN para conexão com o escritório. Cidades e condados seriam sensatos ao procurar reforçar a segurança de sua infraestrutura de rede e seu tratamento de segmentação de dados, bem como mudar para soluções mais modernas de detecção e resposta de endpoint (EDR), que monitoram continuamente os dispositivos do usuário final para detectar e responder a ameaças cibernéticas como ransomware e malware.
No que diz respeito aos dados, as agências governamentais que oferecem serviços digitais geralmente devem estar em conformidade com o Criminal Justice Information Services (CJIS) e o Payment Card Industry Data Security Standard (PCI DSS); os departamentos de saúde do condado também devem cumprir a Lei de Portabilidade e Responsabilidade do Seguro de Saúde (HIPAA).
Eles exigem que os dados que contenham informações criminais, de pagamento ou de saúde sejam segmentados do restante da rede. Adotar uma abordagem de confiança zero é a melhor maneira de conseguir isso e é um investimento que recomendo fazer. Sob o modelo de confiança zero, todas as pessoas e dispositivos são tratados como ameaças em potencial, com acesso a recursos específicos concedido somente após a autenticação de sua identidade.
Uma maneira de visualizar a melhoria da segurança: pense em entrar em uma sala e ver 3 portas. Antes da segmentação, pilhas de informações ficavam em mesas em frente a cada uma das três portas. Após a segmentação, algumas informações eram, por exemplo, colocadas atrás da porta nº 3, e quem quisesse entrar precisaria de um crachá. Com Zero Trust, aquela pessoa que entra na porta nº 3 nem vê as outras duas portas e pode não ver tudo mesmo dentro da porta três.
Conhecer os melhores recursos para recorrer pode ajudar a fornecer uma base sólida, e eu recomendo dois: uma ordem executiva da Casa Branca sobre segurança cibernética que tem ótimas pepitas sobre Zero Trust e este artigo do NIST sobre Zero Trust Architecture.
Para todas as organizações que recebem esse financiamento, resumirei minha esperança para você: que isso ajude você a amadurecer sua postura de segurança e trazer sua infraestrutura de segurança para a era moderna.
FONTE: HELPNET SECURITY