Pentagonul creează o foaie de parcurs pentru accesul la internet „zero încredere” până în 2027

Departamentul Apărării și-a prezentat în sfârșit planul pentru protejarea rețelelor sale cibernetice, după ani în care s-a angajat să-și facă un angajament.

Biroul Chief Information Officer a lansat „Strategia DoD Zero Trust” în noiembrie – care a stabilit valorile și termenele limită pentru ca departamentul să obțină adoptarea completă a zero încredere până în 2027. Experții în securitate cibernetică au spus că guvernul și sectorul privat ar trebui să lucreze împreună pentru a mobiliza resursele. pentru a intra cu succes în noul regim.

„Amenințările fizice cibernetice la adresa infrastructurii critice sunt într-adevăr una dintre cele mai mari provocări de securitate națională cu care ne confruntăm astăzi și peisajul cu care ne confruntăm a devenit mai complex”, Nitin Natarajan, director adjunct la Securitatea cibernetică și securitatea infrastructurii. Agenție, a declarat în timpul unui eveniment MeriTalk în octombrie.

Atacatorii cibernetici au mai multe resurse decât au în trecut și este mai puțin costisitor să distrugi un sistem nesigur, a spus el. Nu doar hackerii lupii singuratici, ci statele naționale și teroriștii cibernetici pot reprezenta o amenințare.

De exemplu, atacul cibernetic SolarWinds din 2019, care a trecut de apărarea a mii de organizații, inclusiv guvernul federal, a fost legat de agenți susținuți de Rusia.

Principiul de bază al noii strategii este că tratarea securității organizațiilor ca pe un șanț în jurul unui castel nu ține departe actorii răi.

„Deținătorii de misiuni și sisteme, precum și operatorii, îmbrățișează din ce în ce mai mult această viziune ca pe un fapt. Ei văd, de asemenea, călătoria către [încredere zero] ca pe o oportunitate de a afecta pozitiv misiunea prin abordarea modernizărilor tehnologice, rafinarea proceselor de securitate și îmbunătățirea performanței operaționale”, se arată în document.

Cultura de încredere zero necesită ca fiecare persoană din cadrul unei rețele să presupună că aceasta este deja compromisă și solicită tuturor utilizatorilor să-și demonstreze identitatea în orice moment.

Strategia enumeră tehnologii care pot ajuta la cultivarea unui mediu de încredere zero, cum ar fi autentificarea continuă cu mai mulți factori, micro-segmentarea, criptarea avansată, securitatea punctelor finale, analizele și auditarea robustă.

În timp ce aceste tehnologii diferite pot fi folosite pentru a implementa această premisă de bază, înseamnă în esență că „utilizatorilor li se acordă acces doar la datele de care au nevoie și atunci când au nevoie”.

Strategia se învârte în jurul a patru piloni: acceptarea culturii zero încredere, operaționalizarea practicilor zero trust, accelerarea tehnologiei zero trust și integrarea la nivel de departament. Strategia notează că, deși departamentele IT din Pentagon ar putea avea nevoie să achiziționeze produse, nu există o singură capacitate care să le poată rezolva toate problemele.

„În timp ce obiectivele prescriu „ce” se va face în vederea realizării obiectivului, ele nu prescriu „cum”, deoarece Componentele DoD ar putea avea nevoie să realizeze obiective în moduri diferite”, se arată în strategie.

Pentru pilonul tehnologic, strategia de încredere zero a Pentagonului cere ca capabilitățile să fie expuse mai rapid, reducând în același timp silozurile. Capabilitățile care promovează o arhitectură mai simplă și un management eficient al datelor sunt, de asemenea, importante, conform documentului.

În timp ce multe metode pot fi folosite pentru a autentificarea utilizatorilor, pilonul de integrare necesită crearea unui plan de achiziție pentru tehnologii care pot fi scalate la nivelul întregului departament până la începutul anului fiscal 2023.

O dezvoltare tehnologică deja în curs este Thunderdome, un contract de 6.8 milioane de dolari atribuit lui Booz Allen Hamilton la începutul acestui an. Tehnologia ar proteja accesul la Secure Internet Protocol Router Network, transmițătorul de informații clasificate al Pentagonului, potrivit unui comunicat de presă al Agenției pentru Sisteme de Informații pentru Apărare.

Nu va fi posibilă modernizarea completă a fiecărei platforme moștenite cu tehnologii precum autentificarea cu mai mulți factori, subliniază strategia. Cu toate acestea, serviciile pot implementa măsuri de protecție pentru aceste sisteme mai puțin moderne între timp.

Pilonul de securizare a sistemelor informatice va necesita, de asemenea, automatizarea operațiunilor de inteligență artificială și securizarea comunicațiilor la toate nivelurile.

Automatizarea sistemelor este o parte importantă a încrederii zero, a spus Andy Stewart, strateg federal senior la compania de comunicații digitale Cisco Systems și fost director la Fleet Cyber ​​Command/US Tenth Fleet. Dacă procesele din spatele zero încredere nu funcționează bine, oamenii se pot lupta să folosească tehnologia și să adopte mentalitatea zero trust.

„Încrederea zero înseamnă creșterea securității, dar înseamnă și „Cum funcționez mai eficient?””, a spus el. „Experiența utilizatorului ar trebui să primească un vot.”

În timp ce strategia marchează un punct de cotitură pentru efort, Pentagonul a început pe drumul încrederii zero cu ani în urmă. Strategia sa de modernizare digitală din 2019 a menționat că încrederea zero a fost un concept de inițiativă în curs de dezvoltare pe care îl „explorea”.

Acceptarea unor măsuri mai riguroase de securitate cibernetică prin mentalitatea de încredere zero este ceva la care Corpul Marin a lucrat prin educație și creșterea gradului de conștientizare, a declarat Renata Spinks, director adjunct și ofițer șef adjunct de informații pentru informații, comandă, control, comunicații și computere și informație senior interioară. agent de securitate.

„Petrecem mult timp educand, pentru că dacă oamenii știu ce fac și de ce fac asta... experiența mea a fost că se vor integra mult mai devreme decât să reziste”, a spus ea.

Mandatul de încredere zero din 2021 din partea administrației președintelui Joe Biden a fost „o mană cerească”, deoarece a oferit o justificare pentru personalul din cadrul Marinei care poate nu a înțeles necesitatea unora dintre inițiativele IT, a spus ea.

O implementare de succes zero încredere va reduce amenințările la unele dintre cele mai critice tipuri de capabilități pe care luptătorii se vor baza în viitor: cloud, inteligență artificială și comandă, control, comunicații, computer și inteligență.

Armata are nevoie de ajutorul contractorilor de apărare pentru a proteja datele sensibile, a remarcat Spinks. Industria poate ajuta personalul IT al armatei să înțeleagă cum să lucreze cu tipul de date pe care le vor furniza și cât de mult va avea nevoie de acces armata.

„Încrederea zero nu va fi încredere zero cu succes dacă nu primim ajutor în gestionarea identităților”, a spus ea.

Marine Corps a angajat recent un ofițer de date de serviciu care ar putea folosi informațiile contractorilor despre cât de mult acces va avea nevoie armata pentru a găsi cele mai bune modalități de a clasifica și gestiona datele serviciului, a remarcat ea.

A avea acces la date securizate oriunde va ajuta militarii și personalul din baza industrială de apărare care lucrează în afara orelor de lucru și în locații îndepărtate, conform strategiei Pentagonului.

Împingerea pentru încredere zero este diferită de unele inițiative de securitate cibernetică, deoarece are putere în spate, a adăugat Spinks. Conducerea a oferit politici și proceduri și este dispus să fie tras la răspundere, a spus ea.

„Securitatea cibernetică nu este o afacere ieftină. Dar cred că ceea ce o determină cu adevărat este adversarul vicios și întreaga activitate nu doar la nivelul guvernului federal, ci chiar și la nivel statal și local”, a spus ea.

De asemenea, vor fi necesare practici mai bune de securitate cibernetică pentru a securiza lanțurile de aprovizionare, a menționat Natarajan. Facerea acestora mai rezistente, în special în tehnologiile critice, cum ar fi semiconductorii, a fost un accent al Pentagonului în ultimii ani.

„Știm că acest lucru este folosit de actori cibernetici rău intenționați cu adevărat pentru a exploata o mulțime de riscuri ale terților după ce a urmărit lanțul de aprovizionare al unei organizații”, a spus el.

Acesta este un alt motiv pentru care guvernul nu poate lucra singur, a adăugat el.

„Pe măsură ce ne uităm la asta, ne uităm la asta nu doar dintr-o perspectivă sectorială, ci și din funcții critice naționale”, a spus el.

CISA a lansat obiective de performanță în domeniul securității cibernetice pentru ca companiile să se măsoare singure în octombrie. Deși obiectivele de performanță nu citează în mod specific încrederea zero, obiectivele sunt destinate companiilor să le folosească, indiferent de dimensiunea lor.

„Ne uităm într-adevăr ca acestea să fie acea bază minimă de protecție cibernetică care va reduce restul operatorilor de infrastructură critică”, a spus el. „Dar la sfârșitul zilei, făcând asta, avem un impact asupra securității naționale și asupra sănătății și siguranței americanilor din întreaga națiune.”

Sectorul privat, la rândul său, are nevoie de investițiile guvernului în educație și resurse pentru a-și consolida forța de muncă cibernetică.

„Ciberspațiul implică nu doar hardware și software, tehnologia, tabletele, iPhone-urile, tehnologia, ci implică oameni. Oamenii au dezvoltat spațiul cibernetic. Oamenii folosesc cyberspațiul. Suntem în spațiul cibernetic”, a declarat Kemba Walden, director adjunct principal al Biroului Directorului Cibernetic Național, în timpul evenimentului MeriTalk.

Nefiind încă la capacitate maximă de operare, Biroul directorului național cibernetic a fost înființat în 2021 pentru a prelua conducerea problemelor cibernetice la nivel federal, inclusiv prima strategie națională de securitate cibernetică.

La fel de important ca strategia generală va fi documentul național privind forța de muncă și educația care va fi lansat după strategia de securitate cibernetică, a spus Walden.

„Ne-am uitat și am recunoscut că aproximativ 700,000 de locuri de muncă din SUA cu cuvântul cibernetic sunt lăsate neocupate”, a spus ea. Acest număr provine din raportul 2022 al companiei de cercetare de piață Lightcast, bazat pe datele din 2021.

„Ca avocat național în domeniul cibernetic și al securității naționale, asta mă sperie”, a spus ea. „Acesta este un risc de securitate națională din perspectiva mea.”

În ultimii ani, organizații precum Joint Cyber ​​Defense Collaborative și Centrul de colaborare în domeniul securității cibernetice al Asociației Naționale de Securitate au apărut pentru a evalua nevoile și a colecta feedback de la întreprinderile mari, a spus ea.

„Acestea sunt tipurile de eforturi de colaborare care cred că sunt necesare pentru a evolua colaborarea public-privată și schimbul de informații în general”, a spus ea.

În cele din urmă, beneficiile încrederii zero se scurg până la războinic, conform documentului.

De exemplu, efortul comun de comandă și control al Pentagonului – care urmărește să conecteze senzori și trăgători în timp ce folosește inteligența artificială pentru a lua decizii – se bazează pe faptul că datele respective sunt sigure. Dacă cade în mâini greșite, liderii militari nu pot atinge dominația informațională, notează strategia.

„Trebuie să ne asigurăm că atunci când actorii rău intenționați încearcă să încalce apărările noastre de încredere zero; ei nu mai pot circula liber prin rețelele noastre și ne amenință capacitatea de a oferi un sprijin maxim luptătorului”, a spus responsabilul șef de informații John Sherman în strategie.

Citește povestea completă aici ...