A Administração Biden-Harris revelou recentemente a Estratégia Nacional de Cibersegurança em resposta à crescente interligação do mundo digital e à crescente complexidade dos sistemas de software. Esta estratégia tem por objetivo garantir um ecossistema digital seguro e protegido para que todos os americanos o utilizem e dele beneficiem. A conetividade digital permeia atualmente quase todos os aspectos da nossa vida, ligando as esferas pessoal e profissional e fazendo a ponte entre os domínios digital e físico. Dado que os Estados-nação e os agentes maliciosos continuam a lançar ciberataques, o governo está empenhado em transformar a sua abordagem para fazer face a estas ameaças persistentes, garantindo que o nosso ecossistema digital é robusto, resistente e coerente com os nossos valores fundamentais.
Embora a administração já tenha dado passos significativos em direção a estes objectivos, a nova abordagem centra-se em cinco pilares em que podemos construir e reforçar a colaboração: defender as infra-estruturas críticas, perturbar e desmantelar os agentes das ameaças, moldar as forças de mercado para promover a segurança e a resiliência, investir num futuro resiliente e criar parcerias internacionais para atingir objectivos comuns. Todos estes pilares são essenciais e, começando pela defesa dasinfra-estruturas críticas, podemos assegurar ao povo americano a dedicação à proteção destes dezasseis sectores e dos serviços essenciais que prestam.
Defender as infra-estruturas críticas
Temos de estabelecer requisitos de cibersegurança (Objetivo 1.1) para apoiar a segurança nacional e a segurança pública. Esta estratégia pode resultar em mais regulamentação em sectores críticos que se alinham com a regulamentação existente noutras áreas. Embora nem todos os sectores exijam os mesmos requisitos de cibersegurança, a garantia de que os regulamentos são coerentes e previsíveis pode reduzir o ónus da conformidade. O objetivo da regulamentação existente e da nova regulamentação é incentivar e exigir melhores práticas de cibersegurança em grande escala. Além disso, os requisitos de cibersegurança devem dar prioridade às tecnologias essenciais que demonstrem eficácia com base em dados comprovados - como Deep Content Disarm and Reconstruction (Deep CDR) para eliminar as ciberameaças e garantir uma abordagem abrangente e fiável da cibersegurança - em vez de se centrarem na forma como as empresas de cibersegurança comercializam as suas soluções.
A escala é fundamental para esta estratégia, tal como a colaboração (Objetivo 1.2). Para enfrentar eficazmente as ameaças avançadas em grande escala, deve haver uma maior colaboração público-privada. Comoo documento de estratégia descreve, a campanha "Shields Up" relacionada com a guerra da Rússia na Ucrânia aumentou a preparação e promoveu medidas eficazes para combater actividades maliciosas. Os esforços futuros devem duplicar esta colaboração e incluir aliados internacionais e civis para investir num futuro mais resiliente, que não dependa da vigilância constante de pequenas organizações e cidadãos individuais. As entidades do sector privado que colaboram estreitamente com as agências federais podem permitir uma resposta mais rápida e coordenada para minimizar o impacto de ataques a infra-estruturas críticas ou, de preferência, até mesmo evitar ataques. Espero que a colaboração seja aberta, cooperativa e dê prioridade às empresas americanas para promover o crescimento e a inovação no país.
Já existem vários departamentos e agências responsáveis pelo apoio à defesa das infra-estruturas críticas. A nova estratégia pretende integrar os centros federais de cibersegurança (Objetivo 1.3), criando nós de colaboração para impulsionar a coordenação intragovernamental. OJoint Cyber Defense Collaborative (JCDC) da CISA é um primeiro passo para atingir este objetivo, integrando o planeamento e as operações de ciberdefesa. A JCDC faz isto em todo o Governo Federal e em colaboração com parceiros internacionais e o sector privado. Embora haja mais trabalho a fazer, estes centros permitem mais oportunidades de colaboração e de partilha de informação oportuna, relevante e ativa com parceiros do sector privado. E para serem mais eficazes, esperamos que o governo federal divulgue os objectivos, as métricas e a atividade não confidencial e não sensível destes centros.
Embora o sector privado seja frequentemente capaz de atenuar os incidentes cibernéticos sem assistência federal, o novo objetivo é dar uma resposta unificada quando necessário. Isto significa uma atualização dos planos e processos de incidentes federais (Objetivo 1.4), para que as organizações saibam qual a agência governamental a contactar quando são alvo de ciberameaças. As organizações também devem saber que tipo de apoio podem esperar do governo federal. Para isso, a CISA está a liderar um processo de atualização doPlano Nacional de Resposta a Incidentes Cibernéticos (NCIRP) em, num esforço para reforçar processos, procedimentos e sistemas. OCyber Incident Reporting for Critical Infrastructure Act of 2022 (CIRCIA) exige que os incidentes cibernéticos abrangidos sejam comunicados à CISA no prazo de horas para as entidades abrangidas em infra-estruturas críticas. Esta notificação rápida acelera a identificação da causa dos incidentes e ajuda a tomar decisões rápidas e informadas. De um modo geral, trata-se de uma iniciativa louvável, mas espero que alguns aspectos fundamentais dos ciberincidentes comunicados possam ser divulgados para que possamos aprender a prevenir as ameaças. Esta abordagem permitir-nos-ia passar do ciclo típico de deteção e resposta para uma mentalidade mais proactiva centrada na prevenção.
Por último, a estratégia visa modernizar as defesas federais (objetivo 1.5). O governo federal depende de comunicações, informações resilientes e seguras, e tecnologia e serviços operacionais para desempenhar suas funções. Neste ambiente digital complexo, isto significa que os sistemas do governo federal devem ser modernizados para garantir que as suas redes sejam resilientes e defensáveis. Parte desses esforços de modernização inclui a aplicação de princípios de confiança zero para combater ameaças dentro e fora dos limites da rede tradicional. É uma iniciativa fantástica, e espero que incorpore tecnologias como Deep CDR, avaliação do país de origem, e garanta que a abordagem de confiança zero vá além da mera substituição de VPNs para criar uma estratégia de cibersegurança mais abrangente e robusta.
Confiança zero nos sectores público e privado
Ao tornar os seus próprios sistemas mais defensáveis e resilientes, o governo federal pode garantir uma defesa mais eficaz das infra-estruturas críticas. Isto começa com uma estratégia de arquitetura de confiança zero, ao mesmo tempo que moderniza a infraestrutura IT e OT. Uma abordagem de confiança zero move as defesas de perímetros baseados em rede para uma baseada em recursos, utilizadores e activos. As cadeias de fornecimento, incluindo a cadeia de fornecimento de software, também devem adotar princípios de confiança zero e não assumir qualquer confiança implícita com base na localização física ou de rede.
Esta abordagem centra-se mais na prevenção de ataques, garantindo que tanto a autenticação como a autorização ocorrem antes de estabelecer uma ligação a dados ou sistemas protegidos. Como o software se tornou cada vez mais complexo e interligado, a cibersegurança deve abranger a nova realidade dos utilizadores remotos, as tendências de trazer o seu próprio dispositivo (BYOD) e o acesso a activos baseados na nuvem. Embora a abordagem se concentre mais na prevenção do que na deteção, parte dos objectivos desta estratégia é aumentar a ciber-resiliência e a fiabilidade gerais - mesmo quando ocorre uma tentativa de ataque.
Todas estas iniciativas dependem do desenvolvimento de uma força de trabalho cibernética competente para testar, proteger, analisar e modernizar a nossa cibersegurança nacional. Embora a proteção dos dados e a garantia da fiabilidade dos sistemas críticos sejam da responsabilidade dos proprietários e operadores desses sistemas, a colaboração entre fornecedores de tecnologia, sistemas de infra-estruturas críticas e agências federais pode ajudar-nos a manter os nossos dados em segurança e a garantir que funcionamos como uma sociedade livre e interligada.
Quer saber mais sobre a forma comoo OPSWAT protege as infra-estruturas críticas? Contacte um dos nossos especialistas em cibersegurança.
