Zero Trust не может остановиться на федеральном уровне



Между уязвимостями, вызванными удаленной работой во время пандемии, и кибератаками, которые стали более частыми, чем когда-либо, сейчас необходим агрессивный и инновационный подход к преодолению киберкризиса. Недавнее требование Белого дома к федеральным агентствам создать архитектуру с нулевым доверием — отличный первый шаг, но на этом нельзя останавливаться.

Требование нулевого доверия, являющееся частью киберплана президента Джо Байдена, адресовано федеральным агентствам. Поэтому для местных и государственных лидеров может быть легко отклонить это как не относящееся к делу. Это не может быть дальше от истины. Руководители правительств на всех уровнях должны внедрить собственную форму нулевого доверия, чтобы лучше защитить всех нас.

В то же время Белому дому необходимо предпринять важные шаги, прежде чем у нулевого доверия появится хоть какая-то надежда выйти за пределы федерального уровня в более широком масштабе.

1. Дайте определение нулевому доверию и почему это важно
Местным и государственным чиновникам необходимо разъяснить, что такое нулевое доверие и почему их это должно волновать. Особенно это касается тех, кто не занимается информационными технологиями. Нулевое доверие — это не программа для установки, а скорее подход, при котором ни один пользователь, устройство или приложение, работающие внутри или вне периметра безопасности, не являются доверенными. Это требует проверки всего, что пытается установить доступ, и минимизации доступа к тому, что необходимо, за счет сочетания технологий и политик. Например, при нулевом доверии запросы на доступ от устройств в известных и неизвестных сетях будут обрабатываться одинаково, и к ним применяются одни и те же требования безопасности. Это отличается от традиционного подхода к обеспечению безопасности, когда брандмауэр устанавливает периметр, но предоставляет широкий доступ ко всему, что находится внутри него.

Пандемия высветила необходимость нулевого доверия из-за перехода на удаленную работу, когда сотрудники предпочитали безопасность внутренней сетевой инфраструктуры компьютерам дома. Между тем, количество и серьезность кибер-инцидентов среди местных органов власти и органов власти штатов продолжают расти, что делает крайне важным, чтобы усилия не останавливались на федеральном уровне. Нулевое доверие может не решить полностью ни одну из проблем, но это будет шаг в правильном направлении.

2. Уточните процесс внедрения нулевого доверия
Федеральное правительство должно уточнить шаги, необходимые для реализации нулевого доверия. Существует множество примеров передовой практики, в том числе от Министерства обороны и Национального института стандартов и технологий. Требование Белого дома соответствует модели Агентства кибербезопасности и инфраструктуры (CISA). Без четких указаний, как местные лидеры должны знать, какие рекомендации и передовой опыт лучше всего подходят для них и с чего начать? Администрация должна выбрать агентство, которое будет лидировать в этой области — вероятно, CISA — и дать последовательные рекомендации.

Многие организации уже имеют элементы нулевого доверия, такие как аутентификация и ограничения доступа, но им следует стремиться расширить нулевое доверие и убедиться, что у них есть план для этого. Вместо того, чтобы стремиться к идеальной архитектуре в краткосрочной перспективе, лучше что-то, чем ничего. Например, по данным Microsoft, использование только многофакторной аутентификации может заблокировать более 99,9% атак с компрометацией учетной записи.

3. Восполнить пробел в навыках
Необходимо устранить пробелы в технических знаниях и финансировании на местном и государственном уровне. Некоторые уже задаются вопросом, сможет ли федеральное правительство достичь цели нулевого доверия к концу 2024 финансового года. Если это вызов на федеральном уровне, то еще более тяжелое бремя ляжет на штаты и местные органы, где готовность к кибербезопасности сильно различается. от юрисдикции к юрисдикции, и пандемия повлияла на бюджеты. Федеральному правительству необходимо предоставить доступные и готовые к внедрению ресурсы с нулевым доверием, аналогичные руководству CISA для управляющих и стартовому набору Cyber ​​​​Necessities. Это дополнит призыв CISA к местным лидерам принять меры и новую программу грантов в области кибербезопасности на сумму 1 миллиард долларов.

Заключение
Нулевое доверие будет не так просто реализовать местным органам власти и органам власти штатов, как частному сектору и федеральному правительству, но это не означает, что им следует его избегать. Местные органы власти и органы власти штатов должны сейчас перейти к нулевому доверию, но федеральное правительство должно действовать, чтобы добиться прогресса.

https://cyberxhack.org/