I passaggi per garantire la tecnologia operativa nel settore governativo

Perché il governo ha bisogno di zero fiducia per proteggere la sua tecnologia operativa

Sulla scia dell’attacco ransomware dell’anno scorso al Colonial Pipeline, il governo federale ha lanciato uno sforzo concertato per proteggere i sistemi infrastrutturali critici, inclusa la tecnologia operativa (OT) al suo interno. E mentre gran parte dell’attenzione, comprensibilmente, è stata concentrata su settori come l’energia, i trasporti e l’assistenza sanitaria, il governo stesso ha un’evidente necessità di assicurarsi il proprio OT.

Le agenzie governative gestiscono la più ampia gamma di OT della nazione, che vanno dai sistemi di energia idroelettrica presso la diga di Hoover e le sottostazioni elettriche nelle basi militari alle apparecchiature mediche negli ospedali VA e qualsiasi numero di sistemi nei 9.600 edifici che l’Amministrazione dei servizi generali possiede e gestisce. La Marina gestisce sistemi di controllo dell’energia sulle navi, il Dipartimento dell’Energia gestisce sistemi OT critici, compresi quelli che coinvolgono l’energia nucleare, e le amministrazioni cittadine e municipali hanno una mano nel funzionamento dei sistemi energetici, idrici e di trasporto.

In mezzo all’aumento della frequenza e della portata degli attacchi alle infrastrutture critiche, molti dei quali, come Colonial, collegati a gruppi russi o altre entità straniere, la necessità non è mai stata così grande per le agenzie governative federali, statali e municipali di proteggere il loro OT. E al centro di questi sforzi c’è la creazione di una Zero Trust Architecture (ZTA).

Tutti i percorsi portano a zero trust

All’inizio di quest’anno, il governo federale ha lanciato una forte spinta per implementare ZTA nelle agenzie della difesa e civili al fine di proteggere i dati sensibili. Il rilascio di tale strategia ha seguito l’ordine esecutivo della Casa Bianca sul miglioramento della sicurezza informatica della nazione del maggio 2021 (poco dopo l’attacco alla catena di approvvigionamento di SolarWinds) e un memorandum sulla sicurezza nazionale sulla protezione delle infrastrutture critiche, insieme ad altre misure.

Il memorandum ha istituito l’Iniziativa per la sicurezza informatica del sistema di controllo industriale (ICS) del presidente e ha indirizzato la Cybersecurity & Infrastructure Security Agency (CISA) e il National Institute of Standards and Technology (NIST) a sviluppare obiettivi di prestazioni di sicurezza informatica per le infrastrutture critiche. E all’inizio di quest’anno, il presidente ha convertito in legge il Cyber ​​Incident Reporting for Critical Infrastructure Act.

Una componente chiave in ogni misura per rafforzare le difese dell’infrastruttura critica è una strategia zero-trust per OT, che consentirà alle agenzie di rilevare, isolare e rispondere rapidamente a sofisticati attacchi informatici. È il filo conduttore delle strategie di sicurezza negli ambienti di elaborazione connessi al cloud di fronte a un panorama di minacce sempre più perniciose.

Le vulnerabilità di OT richiedono una forte risposta di sicurezza

Le agenzie governative, dal livello municipale a quello federale, hanno il numero più ampio e vario di casi d’uso che richiedono una ZTA, a causa della gamma di sistemi in cui operano e dei punti deboli della sicurezza OT.

La maggior parte delle reti ICS e OT dispone di sistemi informatici antiquati che non sono stati progettati per proteggere le informazioni critiche. Essendo stati tradizionalmente isolati dai sistemi IT, potrebbero essere ancora in esecuzione sistemi operativi vecchi come Windows XP e altri programmi software che non sono più supportati e non possono essere patchati o aggiornati. Possono utilizzare protocolli specifici per la loro funzione che espone inavvertitamente gli endpoint critici. Molti utilizzano anche una tecnologia VPN obsoleta. Ora che la maggior parte dei sistemi OT è stata integrata con i sistemi IT connessi a Internet, questi sistemi lasciano le agenzie esposte agli attori delle minacce che cercano un modo per entrare nelle reti.

Strategie zero-trust evolute in risposta alla crescita delle reti distribuite basate su cloud e alla necessità di concentrare la sicurezza sulla verifica continua delle identità di rete (sia umane che non umane) piuttosto che difendere un perimetro di rete tradizionale che non esiste più frequentemente. Negli ambienti OT, tali identità includono dipendenti, terze parti e altre parti interessate che potrebbero lavorare in remoto, nonché un numero crescente di dispositivi Internet of Things (IoT).

Un approccio zero-trust all’OT, comprese le moderne tecnologie di accesso remoto sicuro, ridurrebbe drasticamente la superficie di attacco per le agenzie governative. I passaggi includerebbero l’implementazione (e l’applicazione) dell’autenticazione a più fattori (MFA), le politiche sui privilegi minimi, la segmentazione della rete e l’isolamento del protocollo, nonché procedure complete di registrazione e monitoraggio. Dovrebbe essere implementata anche una crittografia avanzata per tutte le comunicazioni tra i sistemi OT e IT.

Le minacce sono reali e ora è il momento di adottare zero trust per il governo OT

Le agenzie che operano in OT necessitano di una chiara visibilità nelle loro imprese, di una comprensione completa dei loro rischi e di un approccio olistico e efficiente all’implementazione e alla gestione della sicurezza. Negli ambienti connessi, le vulnerabilità create dai dispositivi e dai sistemi OT legacy sono evidenti e un approccio zero-trust fornisce il modo migliore per colmare queste lacune.

Le agenzie governative, dal livello municipale a quello federale, hanno il numero più ampio e vario di casi d’uso che richiedono un’Architettura #ZeroTrust, a causa della gamma di sistemi in cui operano e dei punti deboli della #sicurezza OT. #rispettoClicca per twittare

Come accennato, il governo gestisce una grande varietà di reti OT, dai servizi municipali agli impianti nucleari, con qualsiasi cosa, dai controlli di accesso agli edifici alle macchine per lo smistamento della posta e tutto il resto. Il denominatore comune nel garantire uno di loro è ZTA. E il momento di implementarlo è ora. Altrimenti, la catastrofe è un trucco.

Leave a Comment

Your email address will not be published. Required fields are marked *