Storbritanniens leverandører af kritisk national infrastruktur (CNI) er på vagt. National Cyber ​​Security Centre (NCSC) har i de seneste måneder intensiveret sin retorik og advaret om et forestående angreb, der kan få alvorlige samfundsmæssige konsekvenser. Ifølge centret er der en "voksende kløft" mellem truslen mod disse systemer og CNI-udbydernes evne til at forsvare dem.

Senest har Jonathan Ellison, direktør for national modstandsdygtighed, på LinkedIn endnu engang opfordret til udvikling af "stærkt cyberforsvar og modstandsdygtighed" i sektoren. "Operatører af britisk kritisk national infrastruktur (CNI) skal ikke blot være opmærksomme på dette, men, som vi har sagt før, handle nu," sagde han.

Men hvad betyder "handle nu" præcist i denne sammenhæng? Og hvordan kan der handles på en gennemtænkt og sammenhængende måde?

Et værst tænkeligt scenarie

Ellisons brev blev udløst af et hidtil uset cyberangreb på polsk energiinfrastruktur udført af en formodet russisk hærs efterretningsenhed kendt som Sandworm. Omkring 30 steder, herunder vindmølleparker, solcelleanlæg og kraftvarmeanlæg, blev målrettet i en koordineret kampagne. Selvom det blev afværget, før det forårsagede et større strømafbrydelse, lykkedes det hackerne at få adgang til driftsteknologiske systemer (OT), der var "afgørende for nettets drift", og deaktiverede nøgleudstyr på stedet uden reparation, ifølge Dragos.

Brugen af ​​destruktiv wiper-malware burde sende kuldegysninger ned ad ryggen på britiske ITSO'er, der arbejder i CNI-sektorer. Som trofaste allierede med Ukraine er både Polen og Storbritannien udsat for potentielle russiske angreb – noget, der ikke er gået ubemærket hen over NCSC. Chancerne for en lignende kampagne, der er rettet mod faciliteter tættere på hjemmet, er netop steget.

Vi burde alle vide, hvad der står på spil. Angreb på CNI truer ikke kun økonomiske tab, men også den offentlige og nationale sikkerhed. Og de bliver hyppigere. NCSC registreres en stigning på 50 % i antallet af "meget betydelige hændelser", som den håndterede sidste år, hvilket er tredje år i træk, at tallet er steget. En kombination af geopolitiske spændinger, hurtige teknologiske forandringer og en sofistikeret cyberkriminalitetsøkonomi fortsætter med at forstærke risikoen for en alvorlig hændelse.

Hvor skal vi hen herfra?

Den gode nyhed er, at der allerede findes forskellige ressourcer, der kan hjælpe CISO'er med at udarbejde en reaktion. Ellison citerede NCSC's Cybervurderingsramme (CAF) og en nyere CNI-vejledning til håndtering af alvorlige trusler. Den har også udarbejdet dokumentation om principper for sikker forbindelse til OT og anbefalinger til udvikling af sikker OT-arkitekturSpørgsmålet er, hvordan man absorberer al denne vejledning på en holistisk og komplementær måde.

Det handler ikke om at rive eksisterende planer ned. Det handler om at fokusere på de mest alvorlige trusler og planlægge ud fra den antagelse, at der vil ske et kompromis, at genopretning kan tage tid, og at modstandere kan forsøge at ødelægge snarere end blot at forstyrre. Mens CAF hælder mere mod forebyggende kontrol, ligger værdien af ​​CNI-vejledningen i at designe systemer til modstandsdygtighed – for at sikre, at de fortsætter med at fungere og understøtter genopretning i længere perioder med forstyrrelser.

Forventningen er at designe systemer, der hurtigt kan segmenteres, isoleres eller betjenes i degraderede tilstande under angreb.

Gør teori til praksis

For Cytidels medstifter og administrerende direktør, Matt Conlon, er udfordringen, hvordan man operationaliserer de forskellige frameworks, som CISO'er har til rådighed, for at bevæge sig væk fra en reaktiv "kontrol-implementering"-tilgang.

"Alt for ofte falder sikkerhedsteams ind i en 'whack-a-mole'-cyklus: de reagerer på advarsler, retter sårbarheder og implementerer ad hoc tekniske kontroller i isolation," fortæller han IO (tidligere ISMS.online). "Selvom det er nødvendigt, forbinder denne tilgang ikke styring, operationel risiko og tekniske sikkerhedsforanstaltninger i et samlet styringssystem."

For at modne sikkerhedsstillingen bør ITSO'er integrere trusselsinformation direkte i risiko- og styringsprocesser, argumenterer han. Det betyder at overvåge trusselsbilledet, identificere hvilke sårbarheder der udnyttes, inddrage disse oplysninger i sikkerhedsbeslutninger og prioritere de trusler, der mest sandsynligt vil forårsage "væsentlig indvirkning", tilføjer han.

"Denne tilgang sikrer, at sikkerhedsteams fokuserer på det, der virkelig betyder noget, i stedet for at forsøge at løse alt på én gang og håbe på, at de kan håndtere de mest kritiske risici i tide. Det afgørende er, at dette skal implementeres kulturelt på tværs af forretningsenheder, ikke kun inden for sikkerhed," argumenterer Conlon.

"Ledelse, drift, risiko og revisionsfunktioner skal alle være i overensstemmelse med dynamisk risikoprioritering. Det kan føles ubehageligt, da løbende omprioritering af risici ikke altid passer perfekt ind i traditionelle årlige gennemgangscyklusser eller statiske politikker. Men i dagens miljø, især inden for CNI, er årlige risikovurderinger alene ikke bare utilstrækkelige; de ​​ses i stigende grad som uagtsomme."

De næste skridt med ISO 27001

Conlon siger, at denne type tilgang vil skabe et "levende ledelsessystem", der forbinder strategi, styring, tekniske kontroller og forbedringer. Men CISO'er kan og bør gå længere – til at håndtere risikostyring i forsyningskæden, netværkshærdning, modstandsdygtighed og genopretning samt andre områder. Det er her, ISO 27001 kan tilføre værdi.

"Standarder som ISO/IEC 27001 spiller en vigtig rolle," siger Conlon. "De giver struktur, styringsdisciplin og sikkerhed for, at sikkerhedskontroller og -processer er formelt dokumenterede og anvendes konsekvent."

Disse bedste praksisser vil i sidste ende hjælpe IT-chefer med at udvikle deres strategi med en proaktiv, struktureret og bestyrelsessynlig tilgang til risikostyring. Og med lovforslaget om cybersikkerhed og modstandsdygtighed på vej gennem parlamentet, tilbyder de en uvurderlig mulighed for at fremtidssikre driften i en verden, hvor cybermodstandsdygtighed er ufravigelig.

Udvid din viden

Blog - Hvad lovforslaget om cybersikkerhed og modstandsdygtighed betyder for kritisk infrastruktur

Blog - Når det kommer til OT, er synlighed fundamentet for effektiv sikkerhed

Blog - OT-risiko kan være et problem på 330 milliarder dollars: Hvordan løser vi det?