Правила по-прежнему необходимы для обеспечения принятия мер кибербезопасности.
Руководства и инструменты, призванные помочь организациям укрепить свою кибер-позицию, окажутся бесполезными, если не будут установлены правила, гарантирующие принятие таких практик.
Правила по-прежнему необходимы, чтобы гарантировать, что организации будут вынуждены принимать меры, направленные на укрепление своей позиции в области кибербезопасности.
На этой неделе Сингапур выпустил руководства, которые, по его словам, помогут организациям, в том числе предприятиям малого и среднего бизнеса (SMB), лучше понять риски, связанные с использованием облачных сервисов, и то, что им, а также их поставщикам облачных услуг, необходимо делать для обеспечения безопасности облачных сред.
Два «сопутствующих руководства» по облачной безопасности служат для облегчения принятия национальных стандартов кибербезопасности, Cyber Essentials и Cyber Trust, разработанных Сингапурским агентством кибербезопасности (CSA), которое объявило о запуске на своей ежегодной конференции Singapore International Cyber Week.
Сопутствующие руководства, опубликованные совместно с Cloud Security Alliance, были разработаны в тесном сотрудничестве с тремя поставщиками облачных услуг — Amazon Web Services (AWS), Google Cloud и Microsoft — которые предоставили информацию о клиентах и соответствующую рыночную статистику. По словам CSA, облачные проигрыватели также «проверили» контент, представленный в сопутствующих руководствах.
В руководствах описываются риски и обязанности организаций, связанные с облаком, а также шаги, которые им следует предпринять для защиты своей среды, включая обучение персонала и механизмы отслеживания и мониторинга ресурсов облачных сервисов. Документы также включают руководства для конкретных поставщиков для сред, работающих на платформах AWS, Microsoft и Google, которые организованы на основе стандартов Cyber Essentials и Cyber Trust.
«[Обычная] путаница, когда организации используют облако, заключается в разделении ответственности между собой как пользователями облака и ответственностью своих поставщиков облачных услуг», — заявили в CSA. «При развертывании облака существует общая ответственность, и организации могут не полностью осознавать области, за которые они несут ответственность. Это может увеличить вероятность неправильных конфигураций, злонамеренных атак и/или утечки данных».
Ожидается, что эти руководства, доступные бесплатно, помогут 27% предприятий Сингапура, использующих услуги облачных вычислений, сообщило правительственное агентство со ссылкой на исследование 2022 года, проведенное Управлением по развитию информационных технологий (IMDA).
На этой неделе Сингапур также предпринял дальнейшие шаги по расширению инициативы по маркировке национальной безопасности, включив в нее медицинские устройства, выпустив «песочницу», с помощью которой производители могут тестировать свою продукцию. Затем участники «песочницы» предоставят отзывы о требованиях и процессах подачи заявок, на соответствие которым устройства будут оцениваться в соответствии со схемой медицинской маркировки, запуск которой намечен на более поздний срок.
По словам CSA, «песочница» будет работать в течение девяти месяцев, а отзывы будут использоваться для точной настройки рабочего процесса и требований в схеме, где это необходимо. Песочница была запущена в сотрудничестве с Министерством здравоохранения, Управлением медицинских наук и Synapxe.
Отмечая, что 15%, или более 16 000, медицинских устройств в местных государственных учреждениях здравоохранения имеют подключение к Интернету, CSA заявило, что медицинские устройства все чаще подключаются к больницам и домашним сетям. Это может повысить риски кибербезопасности, поскольку, например, бреши в безопасности в программном обеспечении, используемом для клинической диагностики, могут быть использованы для постановки ошибочных диагнозов. Незащищенные медицинские устройства также могут стать объектом атак типа «отказ в обслуживании», что лишает пациентов возможности получать лечение.
Такое оборудование также может быть использовано злонамеренными хакерами для взлома сети больницы, что может привести к утечке данных или отключению сети.
По данным CSA, с расширением схемы защитной маркировки за счет включения в нее медицинских устройств производители будут заинтересованы встраивать безопасность в конструкцию своей продукции, а операторы здравоохранения смогут принимать более обоснованные решения по использованию таких устройств, согласно CSA. Схема включает в себя четыре рейтинга, каждый из которых отражает дополнительные испытания, по которым оценивался продукт.
«Песочница» позволит производителям устройств тестировать свои продукты на основе различных оценок, включая бинарный анализ программного обеспечения, тестирование на проникновение и оценку безопасности.
Однако такие инициативы и другие передовые методы обеспечения безопасности могут добиться успеха только в том случае, если они предлагаются в качестве руководящих указаний и рекомендаций, а не в качестве предписаний, которые должны принять предприятия.
Многие специалисты-практики в области технологий и директора по информационной безопасности будут обращаться к руководствам и изучать лучшие отраслевые практики, но это может зайти так далеко, только если они предлагаются только в качестве рекомендаций, а не в качестве правил, сказал Каран Сондхи, вице-президент и технический директор государственного сектора по поставщик средств безопасности Trellix.
Такие инициативы, как программа маркировки безопасности, например, служат информационным инструментом, а не принуждением, сказал Сондхи в интервью ZDNET в кулуарах конференции.
Гарольд Ривас, директор по информационной безопасности Trellix, согласился, отметив, что схема маркировки помогает принимать решения о покупке и повышает осведомленность о потенциальных рисках. По словам Риваса, это дает лицам, принимающим решения, повод рассмотреть альтернативы и служит хорошим ориентиром для лучших практик, прошедших независимую проверку.
Однако в конечном итоге должны быть четкие мандаты, которые подтолкнут отрасль к четким результатам, сказал Ривас.
По словам Сондхи, такие требования, например, могут включать в себя правильную стратегию управления исправлениями и надежную систему мониторинга. Они должны сопровождаться дорожными картами для внедрения, чтобы игрокам рынка были предоставлены необходимые сроки для обеспечения соблюдения требований, добавил он.
Признавая, что неизбежно будет сопротивление из-за опасений, связанных с такими мандатами по поводу стоимости и времени вывода на рынок, он сказал, что правила не должны быть слишком сложными. Они также могут указать на сопутствующие органы по стандартизации, которым поручено предоставлять более подробную информацию и обновлять информацию о внедрении передового опыта, когда это необходимо. Это освободит правительства от необходимости идти в ногу с изменениями рынка и вместо этого сосредоточиться на установлении требований высокого уровня, отметил он.
Правоприменение также является хорошей отправной точкой, когда путь к киберустойчивости может быть долгим и сопряжен со сложностями.
По словам Сондхи, организации, работающие в секторах операционных технологий (ОТ), в частности, имеют экосистемы, которыми необходимо управлять иначе, чем ИТ-инфраструктурами. Им необходимо будет провести инвентаризацию всех своих OT-систем и устройств, а также обеспечить безопасность и интеграцию сторонних инструментов, чтобы обеспечить четкую видимость всей цепочки поставок.
По словам Риваса, правительства, в том числе Сингапура и США, сейчас помогают секторам OT и CII (критической информационной инфраструктуры) решать эти проблемы. Однако путь долгий и потребует времени, сказал он.
Правительства могут способствовать этому, обеспечивая соблюдение определенных отраслевых требований, позволяя всем игрокам отрасли постепенно встать на свои места, сказал Сондхи. Например, организации, предоставляющие государственные услуги, такие как интеллектуальные счетчики, должны продемонстрировать, что у них есть четкая инвентаризация своих систем и график управления исправлениями. По его словам, поставщики, нарушающие требования, предусмотренные в этих договорных соглашениях, должны быть наказаны.
По словам Риваса, такие всеобъемлющие нормативные рамки помогают продвигать действия и служат защите как организаций, так и граждан.
Надежная киберустойчивость имеет важное значение, особенно в свете того, что некоторые из этих секторов сталкиваются с растущими угрозами.
По словам Вивека Гуллапалли, директора по информационной безопасности в Азиатско-Тихоокеанском регионе компании Check Point Software Technologies, организациям государственного сектора в Азиатско-Тихоокеанском регионе, например, приходилось отражать около 3000 атак в среднем в неделю за последние шесть месяцев.
Сектор образования и исследований испытал наибольшее количество еженедельных атак — 4057 на каждую организацию за последние шесть месяцев, за ним следуют здравоохранение — 2958, а также государственный и военный сектор — 2882 нападения.
Переход на цифровые технологии увеличивает поверхность атаки, а программы-вымогатели представляют собой серьезную угрозу, поскольку способны отключать целые сети, сказал Гуллапалли. Эти риски подтолкнули правительства к защите своих отраслей CII и OT.
Он добавил, что некоторые из этих секторов все еще находятся в зачаточном состоянии, где умные нации все еще строятся с использованием новых технологий, таких как беспилотные автомобили, интеллектуальные камеры и другие устройства Интернета вещей (IoT).
Поскольку базовая инфраструктура OT продолжает развиваться, способность управлять всей экосистемой будет сложной. Например, для применения исправлений безопасности для OT-устройств может потребоваться другой подход. А по мере роста спроса на возможность подключения организациям необходимо будет выяснить, какие устройства взаимосвязаны, и, следовательно, потребуют дополнительных мер безопасности и встроенных инструментов.
По его словам, поскольку управление инфраструктурой иногда дублируется между государственным и частным секторами, необходимо также создать соответствующую структуру для защиты всей экосистемы OT.
По словам Гуллапалли, еще многому предстоит научиться и потребуются разные подходы. На фоне этой продолжающейся эволюции он призвал к необходимости продолжения переговоров и сотрудничества между правительствами, производителями OT-устройств и игроками в сфере безопасности, чтобы устранить пробелы.