0 
0 O que é infraestrutura crítica? Se você perguntar a 5 pessoas diferentes, poderá receber 5 respostas diferentes. O termo infraestrutura crítica perdeu muito do seu significado como diferenciador de entidades privadas e atualmente define setores de energia a instalações comerciais.
Bob Kolasky, vice-presidente sênior de infraestrutura crítica da Exiger , atuou anteriormente como diretor assistente da Agência de Segurança Cibernética e Infraestrutura (CISA), e nesta entrevista da Help Net Security fala sobre proteção de infraestrutura crítica, a importância do compartilhamento de informações, preparação nacional de segurança cibernética e mais.
Por que é essencial definir legalmente o que é infraestrutura crítica? Existe um consenso global?
Os Estados Unidos definem infraestrutura crítica como os “sistemas e ativos, físicos ou virtuais, tão vitais para os Estados Unidos que a incapacidade ou destruição de tais sistemas e ativos teria um impacto debilitante na segurança, segurança econômica nacional, saúde pública nacional ou segurança, ou qualquer combinação dessas questões”.
A definição de infraestrutura crítica é a espinha dorsal da priorização de risco para atividades de segurança cibernética. Muito do que o governo depende para realizar funções essenciais e manter a segurança nacional e econômica, bem como o bem-estar da comunidade, está fora do controle operacional direto dos governos e pode ser considerado uma infraestrutura crítica. Portanto, garantir a segurança e a resiliência dessa infraestrutura é um esforço conjunto público-privado. Ao definir legalmente essa infraestrutura crítica, os governos podem se concentrar em permitir o compartilhamento público-privado de informações, esforços conjuntos para proteger a infraestrutura e estabelecer prioridades de segurança. Também é a base para as normas globais sobre o que está “fora dos limites” dos atores cibernéticos para manter a dissuasão e desencorajar os atores do estado-nação.
Existe um consenso geral, conforme demonstrado através do trabalho realizado pela Organização para a Cooperação e Desenvolvimento Econômico ( OCDE ) e a FVEY entre os Estados Unidos, Canadá, Reino Unido, Austrália e Nova Zelândia sobre a definição de infraestrutura crítica. No entanto, há nuances em determinados setores da indústria que são destacados como tal por vários países. A União Europeia também confiou nesse consenso para a política da Comissão Europeia.
As organizações governamentais devem colaborar com o setor privado para repelir efetivamente os invasores. Quais são os benefícios desse processo de compartilhamento de informações?
O compartilhamento de informações público-privadas é necessário, mas não suficiente para a defesa cibernética. O compartilhamento de informações deve ser multidirecional e incluir informações sobre ameaças cibernéticas aprendidas por meio de coleta de inteligência e monitoramento do sistema, informações sobre vulnerabilidades aprendidas por meio de revisão de produtos, testes de penetração e incidentes do mundo real, bem como informações contextuais sobre riscos cibernéticos que é criado por meio da agregação de relatórios cibernéticos.
Não deve ser pensado como compartilhamento do governo com a indústria ou compartilhamento da indústria com o governo, mas sim como compartilhamento entre governos e entidades privadas para criar um rico conjunto de dados sobre ameaças cibernéticas e vulnerabilidades que podem ajudar a orientar as prioridades de defesa da rede. Fazer isso em tempo real permite operações de segurança cibernética ágeis.
A infraestrutura crítica geralmente contém uma infinidade de soluções de hardware e software herdadas, muitas das quais não são suportadas pelo fabricante. Quais são os desafios envolvidos na proteção de arquiteturas tão complexas e desatualizadas?
Infelizmente, isso é verdade e geralmente acontece de duas formas: uma é através da ideia de um “déficit tecnológico” onde as organizações não têm experiência, conhecimento e vontade de gastar para manter soluções técnicas seguras; a outra é por causa dos ciclos operacionais de longo prazo em que as atualizações do sistema (principalmente em torno da tecnologia operacional) acontecem apenas uma vez a cada duas décadas. Em ambos os casos, isso pode levar a softwares e hardwares desatualizados, que são inerentemente mais vulneráveis, já que as soluções de segurança para eles não são dinâmicas.
Em um mundo ideal, as organizações priorizariam investimentos para remover tecnologia desatualizada de seus ambientes operacionais. No entanto, isso nem sempre acontece; quando isso não acontece, há algumas opções para resolver o problema. Eles podem incluir a colocação de requisitos por meio de políticas governamentais ou contratos privados para que as entidades não possam operar sistemas desatualizados.
Outra abordagem é identificar sistemas desatualizados e garantir que eles não estejam conectados a ativos e funções críticas para que qualquer vulnerabilidade nesses sistemas não apresente um risco significativo, pois a consequência de uma violação seria minimizada. Se nenhuma dessas duas soluções for utilizada, é importante priorizar a resiliência cibernética para que os sistemas desatualizados tenham processos de backup implementados para garantir que as operações críticas continuem mesmo em condições degradadas.
A preparação nacional de segurança cibernética requer uma abordagem em camadas para o gerenciamento de riscos com várias linhas de defesa. Quão difícil é configurar um?
Em geral, os países foram bem-sucedidos em estabelecer abordagens em camadas para o gerenciamento de riscos em termos de implementação de estratégias de mitigação de riscos para responder a ameaças, identificar e fechar vulnerabilidades e minimizar as consequências de um ataque.
Essas abordagens, no entanto, geralmente não são suficientemente robustas e atores dedicados ainda podem causar grandes danos aos interesses nacionais. Como a Moody’s acaba de informar, há cerca de US$ 22 trilhões em dívida global com exposição “alta” ou “muito alta” ao risco de ataques cibernéticos. A Moody’s destacou particularmente os hospitais e as concessionárias de gás, eletricidade e água por terem exposição significativa.
A conclusão óbvia para a realidade de que muitas atividades de gerenciamento de risco foram realizadas em nível nacional (e internacional), mas ainda há muitos riscos de que os esforços de gerenciamento de risco não levaram suficientemente à redução de risco. Isso deve levar a um apelo por esforços contínuos em todos os aspectos das “camadas” de gerenciamento de risco.
Um exemplo em que a camada não é suficientemente forte é o gerenciamento de riscos da cadeia de suprimentos cibernética. Governos e empresas ainda não têm transparência suficiente em suas cadeias de suprimentos e a capacidade de avaliar o risco de uma violação cibernética de um fornecedor em suas operações. Como tal, os acordos comerciais estão criando riscos adicionais e, infelizmente, grande parte desse risco está concentrado, o que pode ter impactos sistêmicos nos interesses nacionais e na atividade econômica. Trazer transparência ao risco sistêmico é um passo necessário para melhorar a gestão de risco em nível nacional.
FONTE: HELPNET SECURITY