Il presidente Joe Biden ha firmato mercoledì un memorandum sulla sicurezza informatica per le infrastrutture critiche, ordinando a CISA e NIST di creare parametri di riferimento per le organizzazioni che gestiscono infrastrutture critiche.
La mossa si basa e ufficializza, uno sforzo iniziato ad aprile per proteggere i sistemi di controllo industriale, che ora stanno affrontando una raffica di attacchi sia da parte di criminali informatici che da entità statali.
In una conferenza stampa, un alto funzionario dell'amministrazione ha spiegato che la regolamentazione federale sulla sicurezza informatica negli Stati Uniti è settoriale, osservando che il paese ha “un mosaico di statuti settoriali che sono stati adottati in modo frammentario, in genere in risposta a discrete minacce alla sicurezza in particolari settori che attirato l'attenzione del pubblico».
Il funzionario ha aggiunto che non esiste un requisito strategico e coordinato per la sicurezza informatica delle infrastrutture critiche.
“Nella misura in cui, come ho notato, ci sono requisiti di sicurezza informatica obbligatori. Sono o specifici del settore – finanziario e chimico; sono imposti dalla legge statale o locale, come quelle elettriche; o sono limitati e frammentari – l'acqua e l'elettricità sono due cose che abbiamo studiato molto nelle ultime settimane”, ha detto il funzionario.
“Quindi, la nostra posizione attuale è tristemente insufficiente data la minaccia in continua evoluzione che affrontiamo oggi. Abbiamo davvero dato un calcio alla strada per molto tempo. L'amministrazione si impegna a sfruttare ogni autorità che abbiamo, anche se limitata, e siamo anche aperti a nuovi approcci, sia volontari che obbligatori. I proprietari e gli operatori responsabili delle infrastrutture critiche dovrebbero seguire le linee guida volontarie e i requisiti obbligatori al fine di garantire che i servizi critici su cui si basano gli americani siano protetti dalle minacce informatiche”.
< p>Il memorandum ufficializza l'Iniziativa per la sicurezza informatica dei sistemi di controllo industriale, che la Casa Bianca ha definito uno “sforzo volontario e collaborativo tra il governo federale e la comunità delle infrastrutture critiche per migliorare significativamente la sicurezza informatica di questi sistemi critici”.
Il La prima parte dell'iniziativa è partita dal sottosettore elettrico, secondo un comunicato della Casa Bianca. Il pilota inizierà ora un secondo round sui gasdotti. I sistemi idrici, così come i sistemi del settore delle acque reflue e il settore chimico saranno i prossimi.
Gli alti funzionari dell'amministrazione hanno affermato che lo sforzo ha già portato a oltre 150 aziende elettriche che rappresentano quasi 90 milioni di clienti residenziali che implementano o accettano di implementare tecnologie di sicurezza informatica del sistema di controllo.
“Queste sono le tecnologie che, se fossero state messe in atto , avrebbe bloccato quanto accaduto a Colonial Pipeline in quanto collegano il lato tecnologico operativo della rete al lato IT della rete.Il piano d'azione per i gasdotti è in corso, e ulteriori iniziative per altri settori seguiranno entro la fine dell'anno, ” ha detto il funzionario.
La Casa Bianca ha riconosciuto che ogni organizzazione ha esigenze di sicurezza informatica diverse, ma ha ordinato a CISA e NIST di lavorare insieme alla creazione di linee di base per la sicurezza informatica “che siano coerenti in tutti i settori delle infrastrutture critiche” e “controlli di sicurezza per determinate infrastrutture critiche che dipendono dai sistemi di controllo. “
Il DHS ha tempo fino al 22 settembre per rilasciare le linee guida preliminari e un anno per emanare la bozza finale delle regole. Entro un anno verranno emanate anche le norme settoriali.
“Questi obiettivi di prestazione dovrebbero servire da chiara guida ai proprietari e agli operatori sulle pratiche e le posizioni di sicurezza informatica di cui il popolo americano può fidarsi e che dovrebbe aspettarsi per tali servizi essenziali”, afferma il memorandum.
“Questo sforzo potrebbe includere anche un esame per stabilire se ulteriori autorità legali sarebbero utili per migliorare la sicurezza informatica delle infrastrutture critiche, che è vitale per il popolo americano e la sicurezza della nostra nazione.”
Un rapporto dei ricercatori di sicurezza informatica di Trend Micro all'inizio di questo mese ha avvertito che il ransomware è “una minaccia preoccupante e in rapida evoluzione per gli endpoint dei sistemi di controllo industriale a livello globale” con un significativo aumento dell'attività durante lo scorso anno.
Di tutti i paesi trattati nel rapporto, gli Stati Uniti hanno il maggior numero di casi di ransomware che interessano i sistemi di controllo industriale. La Casa Bianca ha affermato che quasi il 90% delle infrastrutture critiche negli Stati Uniti è di proprietà e gestita dal settore privato.
I recenti attacchi alla Colonial Pipeline e al trasformatore di carne JBS hanno spinto il governo federale a prendere sul serio la necessità di imporre misure di sicurezza informatica alle società private che gestiscono sistemi critici. La Casa Bianca ha menzionato specificamente entrambi gli attacchi ransomware come ragioni per cui erano necessarie misure più rigorose.
Il DHS ha presentato una nuova direttiva sulla sicurezza una settimana fa che obbliga i proprietari e gli operatori di importanti pipeline a mettere in atto protezioni più severe per la sicurezza informatica.
Il memorandum arriva un giorno dopo che Biden ha suscitato un piccolo scalpore con i suoi commenti sulla capacità di un conflitto informatico di trasformarsi in una guerra fisica.
“Sapete, abbiamo visto come le minacce informatiche, inclusi gli attacchi ransomware, siano sempre più in grado di causare danni e disagi al mondo reale”, ha detto Biden ai giornalisti martedì.
“Non posso garantire questo, e tu sei informato quanto me, ma penso che sia più probabile che finiremo — beh, se finiamo in una guerra, una vera guerra sparatoria con un maggiore potere, sarà la conseguenza di una violazione informatica di grande conseguenza. E sta aumentando in modo esponenziale: le capacità.”
Sicurezza
Attacco ransomware Kaseya: cosa vuoi bisogno di sapere Recensione VPN Surfshark: è economico, ma è buono? I migliori browser per la privacy Sicurezza informatica 101: proteggi la tua privacy I migliori software e app antivirus Le migliori VPN per uso aziendale e domestico Le migliori chiavi di sicurezza per 2FA Come le vittime che pagano il riscatto incoraggiano più attacchi (ZDNet YouTube)
Argomenti correlati :
Data Center CXO di gestione dei dati TV di sicurezza del governo 