A infraestrutura crítica resiliente começa com zero trust

Este artigo foi publicado originalmente em Conversa sobre mérito em 30 de junho de 2022.

Da violação da Colonial Pipeline ao ataque de ransomware da JBS, o ano passado nos mostrou que os ataques cibernéticos à infraestrutura crítica dos EUA estão mais implacáveis, sofisticados e impactantes do que nunca — e muitas vezes ameaçam a estabilidade econômica e o bem-estar dos cidadãos dos EUA.

Por causa disso, a proteção da infraestrutura crítica continua sendo o principal foco do governo federal. A Ordem Executiva de 2021 do governo Biden sobre a melhoria da segurança cibernética (EO) do país estabeleceu mandatos e requisitos de segurança específicos que as agências devem cumprir antes do ano fiscal de 2024 para reforçar a resiliência organizacional e da cadeia de suprimentos. Um componente crítico que o EO articulou especificamente é o avanço em direção a uma arquitetura Zero Trust — uma metodologia de segurança cibernética introduzida pela primeira vez há quase uma década e baseada nos princípios de “privilégio mínimo” e “suposição de violação”.

Em março de 2022, o presidente Biden reafirmou o EO de 2021 com sua “Declaração... sobre a segurança cibernética de nossa nação”, novamente apontando o Zero Trust como uma melhor prática de segurança cibernética, já que os EUA buscam melhorar a segurança cibernética doméstica e reforçar a resiliência nacional após um conflito global emergente. Além disso, a Lei de Relatórios de Incidentes Cibernéticos para Infraestrutura Crítica de 2022, assinada em março de 2022, exigirá que os operadores de infraestrutura do setor privado relatem incidentes cibernéticos e pagamentos de ransomware ao governo, aumentando o foco dos EUA na proteção da infraestrutura crítica.

Abraçando ", assuma a violação "

Para reforçar os esforços contínuos de resiliência, as organizações do governo federal e do setor privado devem começar a adotar uma abordagem proativa à segurança cibernética. Isso começa com a reformulação da forma como abordamos fundamentalmente a segurança.

A transformação digital expandiu dramaticamente a superfície de ataque. Atualmente, a arquitetura de TI moderna é cada vez mais uma mistura híbrida de nuvens locais, públicas e multinuvens, abrindo novas portas para que os invasores não apenas obtenham acesso, mas também se movam pelos ambientes com facilidade. À medida que a frequência e a gravidade das violações continuam aumentando, nosso setor está adotando rapidamente umamentalidade de“ presumir uma violação”, entendendo que, mesmo com as melhores tecnologias preventivas e de detecção rápida, as violações acontecerão.

Pense nas recentes mudanças do setor de segurança cibernética desta forma: a primeira era de segurança foi focada exclusivamente na proteção. Em um data center fechado e local, o foco estava na segurança do perímetro — construa uma parede digital e mantenha os bandidos afastados. Há cerca de uma década, uma onda de brechas de alto perfil nos despertou para o fato de que um muro não consegue afastar totalmente os bandidos. A partir daí, o foco mudou da segurança somente perimetral para a segunda era de segurança de detecção e resposta rápidas: encontre o bandido rapidamente depois que ele escalar a parede.

Agora estamos na terceira onda de segurança: foco na contenção e mitigação. É aqui que os recursos de Zero Trust, como a segmentação Zero Trust (ou seja, microssegmentação), podem ajudar. Por exemplo, no caso de agentes mal-intencionados obterem acesso a uma agência federal, a segmentação Zero Trust pode ajudar a limitar seu impacto ao conter a intrusão em um único sistema comprometido, limitando consideravelmente o acesso a dados confidenciais.

Na verdade, de acordo com um estudo recente do ESG, as organizações que utilizam a segmentação Zero Trust têm 2,1 vezes mais chances de evitar uma interrupção crítica durante um ataque nos últimos 24 meses, economizaram USD 20,1 milhões no custo anual do tempo de inatividade e evitaram cinco desastres cibernéticos anualmente.

Voltando ao básico

Como os ataques cibernéticos angustiantes continuam sendo a norma, nunca foi tão essencial que as organizações de infraestrutura crítica priorizem a prática e a manutenção da higiene adequada da segurança cibernética. A higiene cibernética não é nada revolucionária — trata-se de adotar e colocar o básico em prática, dia após dia.

Em 2021, a Casa Branca emitiu um memorando descrevendo as principais práticas recomendadas para organizações que buscam se proteger contra ataques contínuos de ransomware: certifique-se de fazer backup de seus dados, corrigir quando necessário, testar seus planos de resposta a incidentes, verificar o trabalho de sua equipe (ou seja, contabilizar erros humanos) e segmentar suas redes, cargas de trabalho e aplicativos adequadamente.

Com os princípios básicos de segurança cibernética adequados, as agências federais estão melhor posicionadas para expandir os esforços contínuos de resiliência, como acelerar suas jornadas de Zero Trust.

A construção da resiliência começa agora

No final das contas, priorizar abordagens proativas e preventivas de segurança cibernética, como o Zero Trust, e obrigá-las em nível nacional, trará benefícios positivos a longo prazo na postura de segurança e na resiliência geral do país. Mas uma boa higiene da cibersegurança e a construção de resiliência real são um esforço contínuo. É importante começar aos poucos. Por exemplo, comece segmentando seus ativos mais críticos dos sistemas legados. Dessa forma, se ocorrer uma violação, ela não poderá se espalhar pela sua arquitetura híbrida para alcançar informações essenciais. A partir daí, você pode migrar para empreendimentos de resiliência maiores e mais amplos.

Mas, como acontece com qualquer objetivo, é importante não fazer do “perfeito” o inimigo do bem. Em outras palavras, não ter um plano perfeito não deve ser uma barreira para começar em algum lugar. O importante é começar hoje. Os malfeitores estão evoluindo, surgindo e agora mudando sua marca, e qualquer prática de higiene de cibersegurança (grande ou pequena) ajuda a aumentar a resiliência organizacional. No final das contas, especialmente quando se trata de operações do setor público, somos todos tão fortes quanto o elo mais fraco de nossa cadeia de suprimentos.

Lembre-se de “presumir uma violação”, colocar o básico em prática e priorizar primeiro a proteção de sua infraestrutura mais crítica com os controles de segurança Zero Trust.