Przepisy są nadal konieczne, aby wymusić przyjęcie środków cyberbezpieczeństwa
Wytyczne i narzędzia mające pomóc organizacjom we wzmocnieniu ich cyberprzestrzeni staną się bezużyteczne, jeśli nie zostaną wprowadzone zasady zapewniające przyjęcie takich praktyk.
Przepisy są nadal konieczne, aby zapewnić, że organizacje będą zmuszone do przyjęcia środków mających na celu wzmocnienie ich poziomu cyberbezpieczeństwa.
Singapur opublikował w tym tygodniu przewodniki, które według niego pomogą organizacjom, w tym małym i średnim przedsiębiorstwom (SMB), lepiej zrozumieć ryzyko związane z korzystaniem z usług w chmurze oraz to, co one same oraz ich dostawcy usług w chmurze muszą zrobić, aby zabezpieczyć środowiska chmurowe.
Dwa „przewodniki towarzyszące” bezpieczeństwu w chmurze służą ułatwieniu przyjęcia krajowych standardów cyberbezpieczeństwa, Cyber Essentials i Cyber Trust, opracowanych przez singapurską Agencję Bezpieczeństwa Cybernetycznego (CSA), która ogłosiła wprowadzenie na dorocznej konferencji Singapurskiego Międzynarodowego Tygodnia Cyberbezpieczeństwa.
Przewodniki towarzyszące, opublikowane wspólnie z Cloud Security Alliance, zostały opracowane w ścisłej współpracy z trzema dostawcami usług w chmurze - Amazon Web Services (AWS), Google Cloud i Microsoft - którzy zapewnili informacje o klientach i odpowiednie statystyki rynkowe. CSA twierdzi, że gracze w chmurze „zweryfikowali” również treść podaną w towarzyszących przewodnikach.
W przewodnikach omówiono ryzyko i obowiązki związane z chmurą dla organizacji oraz kroki, jakie powinny podjąć, aby chronić swoje środowiska, w tym szkolenia personelu i mechanizmy śledzenia i monitorowania zasobów usług w chmurze. Dokumenty zawierają także przewodniki dla poszczególnych dostawców dotyczące środowisk działających na platformach AWS, Microsoft i Google, które są zorganizowane w oparciu o standardy Cyber Essentials i Cyber Trust.
„[Powszechnym] zamieszaniem, gdy organizacje korzystają z chmury, jest podział odpowiedzialności między nimi samymi jako użytkownikami chmury i ich dostawcami usług w chmurze” - stwierdziło CSA. „W przypadku wdrożenia w chmurze istnieje wspólna odpowiedzialność, a organizacje mogą nie być w pełni świadome obszarów, za które są odpowiedzialne. Może to zwiększyć prawdopodobieństwo błędnej konfiguracji, złośliwych ataków i/lub naruszeń danych”.
Oczekuje się, że bezpłatne przewodniki pomogą 27% firm w Singapurze korzystających z usług przetwarzania w chmurze - podała agencja rządowa, powołując się na badanie przeprowadzone w 2022 r. przez Infocomm Media Development Authority (IMDA).
W tym tygodniu Singapur podjął także dalsze kroki w kierunku rozszerzenia inicjatywy dotyczącej oznakowania bezpieczeństwa narodowego na wyroby medyczne, udostępniając piaskownicę, za pomocą której producenci mogą testować swoje produkty. Uczestnicy piaskownicy przekażą następnie informacje zwrotne na temat wymagań i procesów aplikacyjnych, pod kątem których wyroby zostaną ocenione w ramach programu etykietowania medycznego, który ma zostać wprowadzony w późniejszym terminie.
Piaskownica będzie działać przez dziewięć miesięcy, a opinie zostaną wykorzystane w razie potrzeby do udoskonalenia operacyjnego przepływu pracy i wymagań programu, twierdzi CSA. Piaskownica została uruchomiona we współpracy z Ministerstwem Zdrowia, Urzędem ds. Nauk o Zdrowiu i firmą Synapxe.
Zauważając, że 15%, czyli ponad 16 000 wyrobów medycznych w lokalnych publicznych placówkach opieki zdrowotnej ma połączenie z Internetem, CSA stwierdziło, że urządzenia medyczne są coraz częściej podłączone do szpitali i sieci domowych. Może to zwiększyć ryzyko cyberbezpieczeństwa, w przypadku którego luki w zabezpieczeniach oprogramowania wykorzystywanego na przykład do diagnostyki klinicznej można wykorzystać do stawiania błędnych diagnoz. Niezabezpieczone urządzenia medyczne mogą również stać się celem ataków typu „odmowa usługi”, uniemożliwiając w ten sposób leczenie pacjentów.
Taki sprzęt może również zostać wykorzystany przez złośliwych hakerów w celu włamania się do sieci szpitalnej, co może skutkować wyciekiem danych lub zamknięciem sieci.
Zdaniem CSA wraz z rozszerzeniem systemu oznakowania zabezpieczającego na wyroby medyczne producenci będą zmotywowani do uwzględniania kwestii bezpieczeństwa w projektach swoich produktów, a podmioty świadczące opiekę zdrowotną będą mogły podejmować bardziej świadome decyzje dotyczące stosowania takich wyrobów. Program obejmuje cztery oceny, przy czym każdy poziom odzwierciedla dodatkowe testy, na podstawie których oceniano produkt.
Piaskownica umożliwi producentom urządzeń testowanie swoich produktów na podstawie różnych ocen, w tym analizy binarnej oprogramowania, testów penetracyjnych i oceny bezpieczeństwa.
Jednakże takie inicjatywy i inne najlepsze praktyki w zakresie bezpieczeństwa mogą zajść tak daleko, jeśli będą oferowane w formie wytycznych i porad, a nie mandatów, które firmy muszą przyjąć.
Wielu specjalistów w dziedzinie technologii i CISO odniesie się do przewodników i przyjrzy się najlepszym praktykom branżowym, ale może to zajść tylko wtedy, gdy będą one oferowane jedynie w formie porad, a nie przepisów, powiedział Karan Sondhi, wiceprezes i dyrektor ds. technicznych sektora publicznego ds. dostawca zabezpieczeń, Trellix.
Inicjatywy takie jak na przykład program oznakowania bezpieczeństwa służą jako narzędzie informacyjne, a nie egzekwowanie przepisów, stwierdziła Sondhi w wywiadzie dla ZDNET na marginesie konferencji.
Harold Rivas, który pełni funkcję CISO w firmie Trellix, zgodził się z tym stwierdzeniem, zauważając, że system etykietowania pomaga w podejmowaniu decyzji zakupowych i zwiększa świadomość na temat potencjalnego ryzyka. Daje decydentom powód do rozważenia alternatyw i służy jako dobry punkt odniesienia dla najlepszych praktyk, które są niezależnie weryfikowane, powiedział Rivas.
Ostatecznie jednak powinny istnieć jasne mandaty, które popchną branżę w stronę jasnych wyników, stwierdził Rivas.
Takie wymagania mogą na przykład obejmować odpowiednią strategię zarządzania poprawkami i solidny system monitorowania, powiedział Sondhi. Dodał, że powinny im towarzyszyć plany wdrożenia, aby uczestnicy rynku otrzymali niezbędne ramy czasowe w celu zapewnienia zgodności.
Przyznając, że nieuchronnie pojawi się sprzeciw w związku z obawami, jakie takie mandaty wiążą się z kosztami i czasem wprowadzenia produktów na rynek, stwierdził, że regulacje nie muszą być zbyt skomplikowane. Mogą również wskazać towarzyszące organy normalizacyjne, których zadaniem jest dostarczenie większej liczby szczegółów i, w razie potrzeby, aktualizacja przyjętych najlepszych praktyk. Zauważył, że uwolni to rządy od konieczności nadążania za zmianami rynkowymi i zamiast tego skupi się na nakładaniu wysokich wymagań.
Egzekwowanie przepisów jest również dobrym punktem wyjścia, gdy droga do zapewnienia odporności cybernetycznej może być długa i pełna złożoności.
Zwłaszcza organizacje działające w sektorach technologii operacyjnych (OT) mają ekosystemy, którymi należy zarządzać inaczej niż infrastrukturami IT, stwierdziła Sondhi. Będą musieli sporządzić spis wszystkich swoich systemów i urządzeń OT oraz upewnić się, że narzędzia innych firm są zabezpieczone i zintegrowane, aby zapewnić im wyraźną widoczność w całym łańcuchu dostaw.
Rządy, w tym Singapuru i Stanów Zjednoczonych, pomagają obecnie sektorom OT i CII (krytycznej infrastruktury informacyjnej) radzić sobie z tymi problemami, powiedział Rivas. Podróż jest jednak długa i zajmie trochę czasu - dodał.
Rządy mogą to ułatwić poprzez egzekwowanie pewnych wymogów branżowych, umożliwiając wszystkim podmiotom z branży stopniowe wpasowanie się w sytuację, stwierdziła Sondhi. Na przykład organizacje świadczące usługi dla instytucji rządowych, takie jak inteligentne liczniki, muszą wykazać, że posiadają przejrzysty spis swoich systemów i harmonogram zarządzania poprawkami. Dostawcy, którzy naruszają wymogi określone w tych porozumieniach umownych, powinni zostać ukarani - dodał.
Takie nadrzędne ramy regulacyjne pomagają napędzać działania i służą ochronie zarówno organizacji, jak i obywateli, stwierdził Rivas.
Niezbędna jest solidna odporność cybernetyczna, zwłaszcza że niektóre z tych sektorów stoją w obliczu rosnących zagrożeń.
Według Viveka Gullapalli, CISO regionu Azji i Pacyfiku w Check Point Software Technologies, organizacje sektora publicznego w regionie Azji i Pacyfiku musiały na przykład odpierać średnio prawie 3000 ataków tygodniowo w ciągu ostatnich sześciu miesięcy.
Największą liczbę cotygodniowych ataków w ciągu ostatnich sześciu miesięcy odnotowano w sektorze edukacji i badań (4057 na każdą organizację), następnie w sektorze opieki zdrowotnej (2958) oraz w sektorze rządowym i wojskowym (2882 ataki).
Przejście na technologię cyfrową zwiększa powierzchnię ataku, a oprogramowanie ransomware stwarza poważne zagrożenia, ponieważ może zamykać całe sieci, powiedział Gullapalli. Zagrożenia te zmusiły rządy do ochrony swoich branż CII i OT.
Dodał, że niektóre z tych sektorów dopiero się rodzą, a inteligentne kraje wciąż powstają dzięki nowym technologiom, takim jak pojazdy autonomiczne, inteligentne kamery i inne urządzenia Internetu rzeczy (IoT).
W miarę ewolucji podstawowej infrastruktury OT zdolność do zarządzania całym ekosystemem będzie złożona. Na przykład inne podejście może być wymagane w celu zastosowania poprawek zabezpieczeń dla urządzeń OT. W miarę wzrostu zapotrzebowania na łączność organizacje będą musiały ustalić, które urządzenia są ze sobą połączone, w związku z czym będą potrzebować dalszych zabezpieczeń i wbudowanych narzędzi.
Ponieważ zarządzanie infrastrukturą czasami nakłada się na sektor publiczny i prywatny, konieczne będzie ustanowienie odpowiednich ram w celu ochrony całego ekosystemu OT, stwierdził.
Gullapalli powiedział, że wciąż jest wiele do nauczenia się i potrzebne będą inne podejścia. W obliczu tej ciągłej ewolucji nalegał na potrzebę ciągłych rozmów i współpracy między rządami, producentami urządzeń OT i podmiotami zajmującymi się bezpieczeństwem w celu uzupełnienia luk.