Jonathan Greig Staff Writer
Jonathan Greig er journalist baseret i New York City.
Fuld bio den 26. januar 2022 | Emne: Regering: USA
Biden-administrationen har frigivet en ny cybersikkerhedsstrategi for føderale agenturer, der vil flytte regeringen hen imod en “nul tillid”-sikkerhedsmodel.
Den næsten 30 sider lange plan beskriver snesevis af foranstaltninger, som føderale agenturer skal træffe i de næste to år for at sikre systemer og begrænse risikoen for sikkerhedshændelser. Regeringen er stadig ved at komme sig over SolarWinds-skandalen, hvor russiske hackere tilbragte måneder inde i regeringssystemer hos flere amerikanske agenturer.
Også: DHS: Amerikanerne bør være forberedte på potentielle russiske cyberangreb
Regeringsorganer har indtil udgangen af regnskabsåret 2024 til at iværksætte mange af de foranstaltninger, der er beskrevet i planen, som omfatter mere stringent netværkssegmentering, multifaktorautentificering og udbredt kryptering. Afdelinger får 60 dage eller 120 dage til at udpege ledere, som vil implementere foranstaltningerne og klassificere visse oplysninger baseret på følsomhed.
Det Hvide Hus
Det Hvide Hus sagde, at den voksende trussel om sofistikerede cyberangreb “understreger, at den føderale regering ikke længere kan stole på konventionelt perimeterbaseret forsvar for at beskytte kritiske systemer og data.”
“Nul-tillidsstrategien vil gøre det muligt for agenturer hurtigere at opdage, isolere og reagere på disse typer trusler. Ved at beskrive en række specifikke sikkerhedsmål for agenturer vil den nye strategi tjene som en omfattende køreplan for at flytte den føderale regering til en nyt cybersikkerhedsparadigme, der vil hjælpe med at beskytte vores nation. Disse mål er direkte tilpasset og understøtter eksisterende nul-tillidsmodeller,” forklarede Det Hvide Hus.
Flytningen er et led i en større indsats for at sikre landets systemer, der startede sidste år med en bekendtgørelse.
I september udgav Det Hvide Hus et første udkast til strategien. Det endelige udkast omfatter indsigt fra cybersikkerhedseksperter, virksomheder og nonprofitorganisationer.
Det Hvide Hus bemærkede, at den nylige Log4j-sårbarhed er “det seneste bevis på, at modstandere vil fortsætte med at finde nye muligheder for at få foden inden for døren.”
Direktør Jen Easterly for Cybersecurity and Infrastructure Security Agency (CISA). nul tillid er et afgørende element for at modernisere og styrke regeringens forsvar.
“Når vores modstandere fortsætter med at forfølge innovative måder at bryde vores infrastruktur på, må vi fortsætte med at transformere vores tilgang til føderal cybersikkerhed fundamentalt,” sagde Easterly. “CISA vil fortsætte med at yde teknisk support og operationel ekspertise til bureauer, mens vi stræber efter at opnå en fælles basislinje for modenhed.”
Også: CISA tilføjer 13 udnyttede sårbarheder til liste, 9. med afhjælpningsdato 1. februar
En række organisationer støttede flytningen og bemærkede, at den føderale regering har været nødt til at opdatere sin sikkerhedsposition og gøre mere for at låse visse systemer.
Phil Venables, CISO hos Google Cloud, sagde, at Google længe har slået til lyd for vedtagelsen af moderne sikkerhedstilgange – som nul tillid – og vil støtte den føderale regering “når den påbegynder sin nultillidsrejse.”
Tim Erlin, VP for strategi hos Tripwire, kaldte memorandummet et væsentligt skridt fremad for cybersikkerhed på tværs af den amerikanske regering. Han bemærkede dog, at det er “uheldigt”, at strategien ikke giver en klarere rolle for en af nøgleprincipperne for nul tillid: integritetsovervågning.
“Dokumenter fra både CISA og NIST inkluderer integritetsovervågning som en nøglekomponent i nul tillid, men OMB-memorandummet omfatter ikke lignende behandling. Dette memorandum omfatter væsentlige krav og diskussion omkring Endpoint Detection and Response (EDR), og i den forbindelse, løber en risiko for overdreven afhængighed af en specifik teknologi,” sagde Erlin.
“EDR er allerede ved at udvikle sig til Managed Detection and Response (MDR) og Extended Detection and Response. Cybersikkerhedsteknologilandskabet bevæger sig hurtigt, og der er en reel risiko for, at bureauer vil finde sig selv forpligtet til at implementere og køre en erstattet kapacitet.”
Sikkerhed
Cybersikkerhed: 11 trin at tage, når trusselsniveauet stiger. Hun stolede ikke på sine flyttemænd. Et enkelt Apple AirTag beviste, at hun havde ret Hvordan teknologien er et våben i moderne misbrug i hjemmet Log4J: Microsoft opdager angribere, der er rettet mod SolarWinds sårbarhed. Den bedste antivirussoftware og -apps: Hold din pc, telefon og tablet sikker Sikkerhed | CXO | Innovation | Smarte byer