Co rozporządzenie wykonawcze w sprawie bezpieczeństwa cybernetycznego oznacza dla sektora prywatnego
Przedsiębiorstwa i rządy zbyt długo zwlekały z przeprowadzeniem gruntownych zmian w zakresie bezpieczeństwa cybernetycznego, niezbędnych do obrony przed coraz bardziej wyrafinowanymi i powszechnymi atakami.
Rozporządzenie wykonawcze
W odpowiedzi na ten krajobraz zagrożeń, prezydent Joe Biden wydał rozporządzenie wykonawcze dotyczące poprawy bezpieczeństwa cybernetycznego kraju, a w szczególności architektury bezpieczeństwa Zero Trust.
W notatce Białego Domu, która pojawiła się po wydaniu tego zarządzenia, administracja zwróciła się do sektora prywatnego, zachęcając firmy do inwestowania w bezpieczeństwo cybernetyczne i segmentację swoich sieci, co jest pierwszym krokiem w kierunku bezpieczeństwa Zero Trust.
Zarządzenie Bidena i późniejsza notatka podkreślają potrzebę szybkiego przejścia zarówno agencji rządowych, jak i przedsiębiorstw na architekturę Zero Trust.
Wpływ na sektor prywatny
Co to oznacza dla dzisiejszych profesjonalistów z branży prywatnej? Liderzy biznesowi, menedżerowie, kierownicy działów i wszyscy, którzy mają możliwość przewodzenia, muszą zmienić sposób myślenia o bezpieczeństwie i pomóc swoim zespołom zrobić to samo.
Zero Trust to coś więcej niż tylko nowy zestaw narzędzi i procedur. To zupełnie nowa strategia ochrony Twojej firmy.
W skrócie, model bezpieczeństwa Zero Trust wywodzi się z koncepcji „nigdy nie ufaj, zawsze weryfikuj” i „zakładaj naruszenie”. W modelu Zero Trust zaufany jest tylko potwierdzony, bezpieczny ruch, procesy i użytkownicy. Model ten uznaje, że największe zagrożenia dla bezpieczeństwa mogą pochodzić z wewnątrz organizacji i nie pozostawia niczego przypadkowi.
Potrzeba Zero Zaufania
Jako trzeci federalny CIO w Stanach Zjednoczonych, pełniący swoją funkcję w latach 2015-2017, widziałem z pierwszej ręki rosnącą liczbę cyberzagrożeń dla amerykańskich organizacji. Jednym z moich pierwszych projektów na tym stanowisku było kierowanie reakcją rządu federalnego na cyberwłamania do Office of Personnel Management, które w poprzednim roku ujawniły informacje o poświadczeniach bezpieczeństwa około 21,5 miliona pracowników rządowych i obnażyły luki w istniejących modelach cyberbezpieczeństwa.
Jednym z rezultatów tych naruszeń był Narodowy Plan Działań na rzecz Bezpieczeństwa Cybernetycznego, który miał na celu wzmocnienie bezpieczeństwa cybernetycznego zarówno w agencjach rządu federalnego, jak i w cyfrowym życiu wszystkich Amerykanów.
Będąc na pierwszej linii frontu cyberbezpieczeństwa jako CIO w Microsoft i Disney, widziałem, że zagrożenia cybernetyczne stają się coraz bardziej niszczycielskie i coraz bardziej powszechne. Stało się dla mnie jasne, że tradycyjne, obwodowe zabezpieczenia nadal będą zawodzić i że najskuteczniejszą długoterminową strategią będzie przyjęcie modelu Zero Trust.
Co więc powstrzymuje firmy przed wdrożeniem Zero Trust?
Wyzwania wahają się od psychologicznych po materialne.
Największą obawą wielu firm lub liderów zespołów jest to, że szybkie wejście w nieznane spowoduje tylko więcej problemów. Mogą oni myśleć: „Jak przejdę na te zupełnie nowe ramy, nie łamiąc czegoś?”.
Inną powszechną blokadą jest błędne przekonanie, że przyjęcie ram Zero Trust jest ogromnie ciężkim dźwiganiem, które z pewnością przeciąży zespoły. Inne wyzwania obejmują brak umiejętności, czasu, budżetu lub zaangażowania kierownictwa.
Warto podjąć wysiłek
W miarę jak firmy godzą się z nieuchronnym zagrożeniem dla swoich przychodów i reputacji, zdają sobie sprawę, że potrzeba przyjęcia postawy bezpieczeństwa Zero Trust znacznie przewyższa korzyści płynące z tej postawy.wyzwania związane z wdrożeniem.
Zmodernizowana technologia Zero Trust oparta na chmurze
Dzisiejsza zmodernizowana, oparta na chmurze technologia Zero Trust upraszcza drogę do Zero Trust dla przedsiębiorstw, wykorzystując sprawnie działającą automatyzację i uczenie maszynowe oraz integrując się z istniejącymi narzędziami bezpieczeństwa.
Ponieważ rozporządzenie wykonawcze Bidena kładzie nacisk na bezpieczeństwo cybernetyczne w sektorze publicznym, a Biały Dom wzywa sektor prywatny do pójścia w jego ślady, firmy powinny patrzeć na to rozporządzenie jako na gwiazdę przewodnią dla standardów bezpieczeństwa cybernetycznego we wszystkich branżach. Aby wdrożenie Zero Trust przebiegło sprawnie, organizacje muszą przygotować się na trzy następujące sposoby:
1. Skup się najpierw na edukacji w całej organizacji
Ponieważ cała instytucja musi przyjąć wdrożenie Zero Trust, edukacja w całej organizacji jest niezbędnym pierwszym krokiem.
Edukacja pracowników jest niezbędna do zmiany nastawienia i uzyskania akceptacji, a każdy musi zrozumieć, że Zero Trust to nie tylko ćwiczenie dla działu IT. Wymaga raczej pełnego udziału całej organizacji w celu ustanowienia i utrzymania procesów biznesowych dotyczących zweryfikowanych tożsamości, chronionych urządzeń oraz bezpiecznych danych, sieci i infrastruktur.
Edukacja zaczyna się od liderów, zarówno na najwyższym szczeblu, jak i na szczeblu kierowniczym. Liderzy firmy powinni wprawić wdrożenie w ruch, stawiając sobie za cel zapewnienie, aby każda osoba rozumiała, czym jest model Zero Trust, dlaczego jest ważny i jak może pomóc w zabezpieczeniu organizacji i jej zasobów.
Menedżerowie i kierownicy działów mogą pomóc przełożyć to na bardziej szczegółową i ukierunkowaną komunikację i edukację dla pracowników. Na przykład, funkcje takie jak jednokrotne logowanie i uwierzytelnianie wieloczynnikowe są podstawowymi przykładami wdrożenia, z którymi pracownicy mogą być już zaznajomieni.
Pracownicy muszą wiedzieć, że wzmocnione przepływy pracy organizacji w zakresie bezpieczeństwa cybernetycznego nie uniemożliwią im wykonywania pracy. Menedżerowie mogą pokazać pracownikom, w jaki sposób architektura Zero Trust wpłynie na ich pracę i po drodze przypominać o korzyściach.
2. Zbuduj mięśnie Zero Trust
Wszystko, co warto robić, wymaga nauki, praktyki i doskonalenia – to samo dotyczy Zero Trust. Wdrażanie Zero Trust nie zaczyna się w piątek rano i nie kończy się w samą porę na happy hour. Zero Trust to nowe ramy bezpieczeństwa, więc jest to maraton, który będziesz budował w rozsądnym tempie, to nie sprint.
Ćwicz z małą łatką i naucz się nią zarządzać, a następnie rozszerzaj ją stamtąd.
Platformy SaaS mogą zapoczątkować drogę do Zero Trust i uprościć pracę z AI i uczeniem maszynowym, które wydają zalecenia dotyczące polityki za Ciebie. Umożliwiają one również testowanie w trybie symulacji, zmniejszając niepewność i pozwalając na szybsze skalowanie.
Na wczesnych etapach ważne jest również określenie standardów zgodności, których należy przestrzegać (np. HIPAA, PCI, GDPR), aby móc budować swoją postawę bezpieczeństwa z uwzględnieniem tych regulacji.
W miarę jak rośnie mięsień Zero Trust, zauważyłem, że wiele firm może szybko przejść do skalowania wdrożenia Zero Trust, szczególnie w przypadku dzisiejszych platform dostarczanych w chmurze.
Kiedy pracowałem w firmie Microsoft, byliśmy jedną z najczęściej atakowanych organizacji na świecie. Dzięki naszemu doświadczeniu w odpieraniu ataków, staliśmy się w tym całkiem dobrzy. Wiedzieliśmy jednak, że nie jesteśmy całkowicie odporni na ataki, więc zaczęliśmy się głębiej zastanawiać, co jeszcze możemy zrobić, aby zabezpieczyć się przed atakami.
niezbędną powierzchnię, aby być bezpiecznym, skalując kawałek po kawałku.
Nie mogę powiedzieć, że uda Ci się to od razu, ale jest to naprawdę skuteczna strategia długoterminowa, a więc jest to również długa gra w porównaniu do narzędzi typu „ustaw i zapomnij”.
3. Przezwyciężenie wewnętrznych silosów w organizacji
Często zdarza się, że zespoły są ekspertami w swojej funkcji, takiej jak administracja chmurą, ale mają niewielki wgląd w inne, takie jak administracja urządzeniami użytkownika końcowego.
Największe wdrożenia przełamują niektóre z tych barier w trakcie podróży Zero Trust, aby edukować w różnych domenach i wzmacniać postawę nie tylko na poziomie technologicznym, ale także organizacyjnym.
Każde wdrożenie Zero Trust, którego byłem świadkiem, to momenty „a-ha” odkrycia w środowiskach firmowych, w tym niewykryty ruch z zewnątrz, przestarzałe wewnętrzne interfejsy, o których nie sądzono, że nadal działają, oraz błędnie kierowany ruch, który w nieznany sposób obciąża sieć.
Spójrzmy prawdzie w oczy: Intruzi nie mają takich ograniczeń zarządczych i budżetowych, jak zwykła instytucja. Zawsze szukają nowych sposobów, aby przedrzeć się przez Twoje granice. Ale kiedy wdrożysz zasadę Zero Trust, możesz odizolować zagrożenie, zanim wyrządzi ono więcej szkód, a tym samym znacznie szybciej odzyskać zdrowie.
Ramy Zero Trust mogą sprawić, że Twoja organizacja będzie odporna na zagrożenia cybernetyczne, nawet jeśli atakujący pozostaną niewykryci. Nadszedł czas, aby przyznać, że źli ludzie prawdopodobnie znajdą sposób na dostanie się do organizacji i przyjąć podejście Zero Trust, które „zakłada naruszenie”, zatrzymując oprogramowanie ransomware na jego drodze, zanim
zdąży ono dokonać spustoszenia.
Image Credit:
Tony Scott
członek zarządu Color Tokens
Tony Scott jest członkiem zarządu ColorTokens i dyrektorem generalnym TonyScottGroup. Był trzecim federalnym CIO (2015-2017) rządu Stanów Zjednoczonych w historii tego kraju. Scott jest jednym z czołowych światowych ekspertów w dziedzinie bezpieczeństwa i IT.
…
Czytaj dalej: https://readwrite.com/what-the-cybersecurity-executive-order-means-for-the-private-sector/