Kiberdrošība: Baltais nams federālajām aģentūrām ievieš nulles uzticības stratēģiju

Baidena administrācija atbrīvots jauna kiberdrošības stratēģija federālajām aģentūrām, kas virzīs valdību uz "nulles uzticības" drošības modeli.

Gandrīz 30 lappušu biezajā plānā ir izklāstīti desmitiem pasākumu, kas federālajām aģentūrām jāveic nākamajos divos gados, lai nodrošinātu sistēmas un ierobežotu drošības incidentu risku. Valdība joprojām atgūstas no SolarWinds skandāls, kurā Krievijas hakeri pavadīja mēnešus valdības sistēmās vairākās ASV aģentūrās.

Skatīt arī: IDD: amerikāņiem jābūt gataviem iespējamiem Krievijas kiberuzbrukumiem

Valdības aģentūrām līdz 2024. fiskālā gada beigām ir jāievieš daudzi no rakstā aprakstītajiem pasākumiem plāns, kas ietver stingrāku tīkla segmentāciju, daudzfaktoru autentifikāciju un plašu izplatību šifrēšana. Departamentiem tiek dotas 60 vai 120 dienas, lai ieceltu vadošos darbiniekus, kas īstenos pasākumus un klasificēs noteiktu informāciju, pamatojoties uz jutīgumu.

Baltais nams teica pieaugošie sarežģītu kiberuzbrukumu draudi "uzsvēra, ka federālā valdība vairs nevar būt atkarīga no tradicionālajiem perimetra aizsardzības līdzekļiem, lai aizsargātu kritiskās sistēmas un datus."

"Nulles uzticības stratēģija ļaus aģentūrām ātrāk atklāt, izolēt un reaģēt uz šāda veida draudiem. Sīki izklāstot virkni konkrētu drošības mērķu aģentūrām, jaunā stratēģija kalpos kā visaptveroša ceļvedis federālās valdības pārejai uz jaunu kiberdrošības paradigmu, kas palīdzēs aizsargāt mūsu valsti. Šie mērķi ir tieši saskaņoti ar esošajiem nulles uzticības modeļiem un atbalsta tos," skaidroja Baltais nams.

Šis solis ir daļa no lielākiem centieniem nodrošināt valsts sistēmas, kas sākās pagājušajā gadā ar izpildu rīkojumu.

Septembrī Baltais nams izdeva pirmo stratēģijas projektu. Galīgajā projektā ir iekļauti kiberdrošības ekspertu, uzņēmumu un bezpeļņas organizāciju ieskati.

Baltais nams atzīmēja, ka nesen Log4j ievainojamība ir "jaunākais pierādījums tam, ka pretinieki turpinās atrast jaunas iespējas dabūt kāju durvīs".

Kiberdrošības un infrastruktūras drošības aģentūras (CISA) direktore Džena Īsterlija sacīja, ka nulles uzticēšanās ir būtisks elements, lai modernizētu un stiprinātu valdības aizsardzību.

"Tā kā mūsu pretinieki turpina meklēt novatoriskus veidus, kā pārkāpt mūsu infrastruktūru, mums ir jāturpina fundamentāli pārveidot mūsu pieeju federālajai kiberdrošībai," sacīja Īsterlijs. "CISA turpinās sniegt aģentūrām tehnisko atbalstu un operatīvās zināšanas, cenšoties sasniegt kopīgu brieduma pamatlīniju."

Skatīt arī: CISA sarakstam pievieno 13 izmantotās ievainojamības, no kurām 9 ar labošanas datumu 1. februārī

Vairākas organizācijas atbalstīja šo soli, norādot, ka federālajai valdībai ir jāatjaunina sava drošības pozīcija un jādara vairāk, lai bloķētu noteiktas sistēmas.

Fils Venables, Google Cloud CISO, sacīja, ka Google jau sen ir iestājies par modernas drošības ieviešanu. tuvojas, piemēram, nulles uzticēšanās, un atbalstītu federālo valdību, "kad tā sāk uzticēties nullei ceļojums."

Tims Erlins, Tripwire stratēģijas viceprezidents, nosauca memorandu par būtisku soli uz priekšu kiberdrošības jomā visā ASV valdībā. Tomēr viņš norādīja, ka ir "žēl", ka stratēģija neparedz skaidrāku lomu vienam no galvenajiem nulles uzticības principiem: integritātes uzraudzībai.

"Gan CISA, gan NIST dokumentos ir iekļauta integritātes uzraudzība kā nulles uzticības galvenā sastāvdaļa, taču OMB memorands neietver līdzīgu attieksmi. Šajā memorandā ir ietvertas būtiskas prasības un diskusijas par galapunktu noteikšanu un reaģēšanu (EDR), un, to darot, pastāv risks, ka tiks pārmērīga paļaušanās uz konkrētu tehnoloģiju," sacīja Erlins.

"EDR jau attīstās par pārvaldītu noteikšanu un reaģēšanu (MDR) un paplašinātu noteikšanu un reaģēšanu. Kiberdrošības tehnoloģiju ainava mainās ātri, un pastāv reāls risks, ka aģentūrām būs jāievieš un jāpārvalda aizstātas iespējas.