Die VK se kritieke nasionale infrastruktuur (KNI) verskaffers is op hoogte. Die Nasionale Kuberveiligheidsentrum (NCSC) het die afgelope maande sy retoriek verskerp en gewaarsku teen 'n dreigende aanval wat ernstige gevolge vir die samelewing kan hê. Volgens hulle is daar 'n "groeiende gaping" tussen die bedreiging vir hierdie stelsels en die vermoë van KNI-verskaffers om hulle te verdedig.
Mees onlangs het die direkteur vir nasionale veerkragtigheid, Jonathan Ellison, op LinkedIn weereens die ontwikkeling van "sterk kuberverdediging en veerkragtigheid" in die sektor aangespoor. "Operateurs van kritieke nasionale infrastruktuur (CNI) in die VK moet nie net kennis neem nie, maar, soos ons voorheen gesê het, nou optree," het hy gesê.
Maar in hierdie konteks, wat presies beteken "tree nou op"? En hoe kan daar op 'n deurdagte en samehangende manier opgetree word?
'n Ergste-geval scenario
Ellison se brief is veroorsaak deur 'n ongekende kuberaanval op Poolse energie-infrastruktuur deur 'n vermeende Russiese leërinligtingseenheid bekend as Sandworm. Sowat 30 plekke, insluitend windplase, sonkraginstallasies en gekombineerde hitte- en kragfasiliteite, is in 'n gekoördineerde veldtog geteiken. Alhoewel dit gefnuik is voordat dit 'n groot onderbreking veroorsaak het, het die hackers daarin geslaag om toegang tot operasionele tegnologie (OT)-stelsels te verkry wat "krities is vir netwerkbedrywighede en sleuteltoerusting onherstelbaar op die terrein gedeaktiveer het", volgens draak bome.
Die gebruik van vernietigende ruitveër-wanware behoort rillings oor die ruggraat van Britse KISO's wat in CNI-sektore werk, te stuur. As lojale bondgenote van Oekraïne, is beide Pole en die Verenigde Koninkryk blootgestel aan potensiële Russiese aanvalle – iets wat die NCSC nie ontgaan het nie. Die kanse op 'n soortgelyke veldtog wat fasiliteite nader aan die huis teiken, het pas toegeneem.
Ons behoort almal te weet wat op die spel is. Aanvalle op CNI bedreig nie net finansiële verliese nie, maar ook openbare veiligheid en nasionale sekuriteit. En hulle kom al hoe meer gereeld voor. Die NCSC aangeteken 'n 50%-toename in "uiters beduidende voorvalle" wat dit verlede jaar hanteer het, die derde agtereenvolgende jaar wat die syfer gestyg het. 'n Kombinasie van geopolitieke spanning, vinnige tegnologiese verandering en 'n gesofistikeerde kubermisdaad-ekonomie bly die risiko van 'n ernstige voorval versterk.
Waarheen om van hier af te gaan?
Die goeie nuus is dat daar reeds verskeie hulpbronne is om KISO's te help om 'n reaksie te formuleer. Ellison het die NCSC se Siber-assesseringsraamwerk (CAF) en 'n nuwer CNI-gids vir die hantering van ernstige bedreigings. Dit het ook dokumentasie opgestel oor beginsels van veilige konnektiwiteit vir OT en aanbevelings oor die ontwikkeling van veilige OT-argitektuurDie kwessie is hoe om al hierdie leiding op 'n holistiese en komplementêre wyse te absorbeer.
Dit gaan nie daaroor om bestaande planne te skeur nie. Dit gaan daaroor om op die ernstigste bedreigings te fokus, en te beplan op die basis dat kompromieë sal plaasvind, herstel tyd kan neem en teenstanders kan probeer om te vernietig eerder as om bloot te ontwrig. Terwyl die CAF meer na voorkomende beheermaatreëls neig, lê die waarde van die CNI-leiding in die ontwerp van stelsels vir veerkragtigheid – om te verseker dat hulle voortgaan om te funksioneer en herstel te ondersteun gedurende lang periodes van ontwrigting.
Die verwagting is om stelsels te ontwerp wat vinnig gesegmenteer, geïsoleer of in gedegradeerde modusse onder aanval bedryf kan word.
Verander teorie in praktyk
Vir Cytidel se medestigter en uitvoerende hoof, Matt Conlon, is die uitdaging hoe om die verskillende raamwerke wat KISO's tot hul beskikking het, te operasionaliseer om weg te beweeg van 'n reaktiewe "beheer-implementering"-benadering.
“Te dikwels verval sekuriteitspanne in 'n 'molslaan'-siklus: reageer op waarskuwings, herstel kwesbaarhede en implementeer ad hoc tegniese beheermaatreëls in isolasie,” sê hy vir IO (voorheen ISMS.online). “Alhoewel dit nodig is, verbind hierdie benadering nie bestuur, operasionele risiko en tegniese voorsorgmaatreëls in 'n verenigde bestuurstelsel nie.”
Om 'n volwasse sekuriteitshouding te ontwikkel, moet ITSO's bedreigingsintelligensie direk in risiko- en bestuursprosesse integreer, voer hy aan. Dit beteken om die bedreigingslandskap te monitor, te identifiseer watter kwesbaarhede uitgebuit word, daardie inligting in sekuriteitsbesluitneming te voed, en die bedreigings te prioritiseer wat die meeste waarskynlik "wesenlike impak" sal hê, voeg hy by.
“Hierdie benadering verseker dat sekuriteitspanne fokus op wat werklik saak maak, eerder as om alles gelyktydig te probeer regstel en te hoop dat hulle die mees kritieke risiko's betyds aanspreek. Dit moet kultureel oor sake-eenhede heen aangeneem word, nie net binne sekuriteit nie,” voer Conlon aan.
“Bestuurs-, bedrywighede-, risiko- en ouditfunksies moet almal rondom dinamiese risikoprioritisering in lyn wees. Dit kan ongemaklik voel, aangesien die voortdurende herprioritisering van risiko nie altyd netjies binne tradisionele jaarlikse hersieningsiklusse of statiese beleide pas nie. Maar in vandag se omgewing, veral binne CNI, is jaarlikse risikobepalings alleen nie net onvoldoende nie; hulle word toenemend as nalatig beskou.”
Die volgende stappe met ISO 27001 neem
Conlon sê dat hierdie soort benadering 'n "lewende bestuurstelsel" sal skep wat strategie, bestuur, tegniese beheermaatreëls en verbetering verbind. Maar KISO's kan en behoort verder te gaan – om voorsieningskettingrisikobestuur, netwerkverharding, veerkragtigheid en herstel, en ander areas aan te pak. Dit is waar ISO 27001 waarde kan toevoeg.
“Standaarde soos ISO/IEC 27001 speel ’n belangrike rol,” sê Conlon. “Hulle bied struktuur, bestuursdissipline en versekering dat sekuriteitsbeheermaatreëls en -prosesse formeel gedokumenteer en konsekwent toegepas word.”
Hierdie beste praktyke sal uiteindelik KSI-beamptes help om hul strategie te ontwikkel met 'n proaktiewe, gestruktureerde en direksie-sigbare benadering tot risikobestuur. En met die Wet op Kuberveiligheid en Veerkragtigheid wat deur die parlement vorder, bied hulle 'n waardevolle geleentheid om bedrywighede toekomsbestand te maak in 'n wêreld waar kuberveerkragtigheid ononderhandelbaar is.
Brei jou kennis uit
Blog - Wat die Wet op Kuberveiligheid en Veerkragtigheid vir Kritieke Infrastruktuur beteken
Blog - Wanneer dit by OT kom, is sigbaarheid die fondament van effektiewe sekuriteit
Blog - OT-risiko kan 'n probleem van $330 miljard wees: Hoe los ons dit op?
