Pentágono cria roteiro para acesso à Internet de 'confiança zero' até 2027

O Departamento de Defesa finalmente apresentou seu plano para proteger suas redes cibernéticas depois de anos prometendo torná-lo um compromisso.

O Office of the Chief Information Officer lançou a “Estratégia DoD Zero Trust” em novembro - que estabeleceu métricas e prazos para o departamento alcançar a adoção total de confiança zero até 2027. Especialistas em segurança cibernética disseram que o governo e o setor privado devem trabalhar juntos para alavancar recursos para entrar com sucesso no novo regime.

“Ameaças físicas cibernéticas à infraestrutura crítica realmente são um dos maiores desafios de segurança nacional que enfrentamos hoje, e o cenário com o qual estamos lidando se tornou mais complexo”, Nitin Natarajan, vice-diretor do Cybersecurity and Infrastructure Security Agência, disse durante um evento MeriTalk em outubro.

Os invasores cibernéticos têm mais recursos do que no passado e é mais barato causar muitos danos a um sistema inseguro, disse ele. Não são apenas hackers lobos solitários, mas estados-nação e terroristas cibernéticos que podem representar uma ameaça.

Por exemplo, o ataque cibernético SolarWinds de 2019, que ultrapassou as defesas de milhares de organizações, incluindo o governo federal, foi vinculado a agentes apoiados pela Rússia.

O princípio básico da nova estratégia é que tratar a segurança das organizações como um fosso ao redor de um castelo não impede a entrada de pessoas mal-intencionadas.

“Proprietários de missões e sistemas, bem como operadores, adotam cada vez mais essa visão como um fato. Eles também veem a jornada para [confiança zero] como uma oportunidade de afetar positivamente a missão, abordando as modernizações tecnológicas, refinando os processos de segurança e melhorando o desempenho operacional”, diz o documento.

A cultura de confiança zero exige que cada pessoa dentro de uma rede assuma que ela já está comprometida e exige que todos os usuários provem suas identidades o tempo todo.

A estratégia lista tecnologias que podem ajudar a cultivar um ambiente de confiança zero, como autenticação multifator contínua, microssegmentação, criptografia avançada, segurança de endpoint, análise e auditoria robusta.

Embora essas várias tecnologias possam ser usadas para implementar essa premissa básica, isso significa essencialmente que “os usuários têm acesso apenas aos dados de que precisam e quando precisam”.

A estratégia gira em torno de quatro pilares: aceitação da cultura de confiança zero, operacionalização de práticas de confiança zero, aceleração da tecnologia de confiança zero e integração em todo o departamento. A estratégia observa que, embora os departamentos de TI em todo o Pentágono possam precisar comprar produtos, não há capacidade única que possa resolver todos os seus problemas.

“Embora os objetivos prescrevam 'o que' deve ser feito em prol da meta, eles não prescrevem 'como', pois os componentes do DoD podem precisar realizar os objetivos de maneiras diferentes”, dizia a estratégia.

Para o pilar de tecnologia, a estratégia de confiança zero do Pentágono exige que os recursos sejam ampliados mais rapidamente, reduzindo os silos. Recursos que promovem arquitetura mais simples e gerenciamento de dados eficiente também são importantes, de acordo com o documento.

Embora muitos métodos possam ser usados ​​para autenticar usuários, o pilar de integração exige a criação de um plano de aquisição de tecnologias que possam ser dimensionadas para todo o departamento até o início do ano fiscal de 2023.

Um desenvolvimento tecnológico já em andamento é o Thunderdome, um contrato de US$ 6.8 milhões concedido à Booz Allen Hamilton no início deste ano. A tecnologia protegeria o acesso à Secure Internet Protocol Router Network, o transmissor de informações classificadas do Pentágono, de acordo com um comunicado de imprensa da Defense Information Systems Agency.

Não será possível adaptar completamente todas as plataformas legadas com tecnologia como autenticação multifator, aponta a estratégia. No entanto, os serviços podem implementar salvaguardas para esses sistemas menos modernos nesse ínterim.

O pilar de segurança dos sistemas de informação também exigirá a automação das operações de inteligência artificial e a segurança das comunicações em todos os níveis.

A automação de sistemas é uma parte importante da confiança zero, disse Andy Stewart, estrategista federal sênior da empresa de comunicações digitais Cisco Systems e ex-diretor da Fleet Cyber ​​Command/US Tenth Fleet. Se os processos por trás da confiança zero não funcionarem bem, as pessoas podem se esforçar para usar a tecnologia e adotar a mentalidade de confiança zero.

“Confiança zero significa aumentar a segurança, mas também significa 'Como operar com mais eficiência?'”, disse ele. “A experiência do usuário deve ser votada.”

Embora a estratégia marque um ponto de virada para o esforço, o Pentágono iniciou o caminho da confiança zero anos atrás. Sua Estratégia de Modernização Digital de 2019 mencionou que a confiança zero era um conceito de iniciativa emergente que estava “explorando”.

Aceitar medidas de segurança cibernética mais rigorosas por meio da mentalidade de confiança zero é algo em que o Corpo de Fuzileiros Navais vem trabalhando por meio da educação e da conscientização, disse Renata Spinks, diretora adjunta e vice-diretora de informações de informações, comando, controle, comunicações e computadores e informações sênior em exercício oficial de segurança.

“Gastamos muito tempo educando, porque se as pessoas sabem o que estão fazendo e por que estão fazendo…

O mandato de confiança zero de 2021 do governo do presidente Joe Biden foi “uma dádiva de Deus” porque justificou o pessoal dentro do Corpo de Fuzileiros Navais que pode não ter entendido a necessidade de algumas das iniciativas de TI, disse ela.

Uma implementação de confiança zero bem-sucedida reduzirá as ameaças a alguns dos tipos mais críticos de recursos com os quais os combatentes contarão no futuro: nuvem, inteligência artificial e comando, controle, comunicações, computador e inteligência.

Os militares precisam da ajuda de empreiteiros de defesa para proteger dados confidenciais, observou Spinks. A indústria pode ajudar o pessoal de TI militar a entender como trabalhar com o tipo de dados que eles fornecerão e a quanto os militares precisarão de acesso.

“Confiança zero não será confiança zero com sucesso se não conseguirmos ajuda no gerenciamento de identidades”, disse ela.

O Corpo de Fuzileiros Navais contratou recentemente um oficial de dados de serviço que poderia usar informações de contratados sobre quanto acesso os militares precisarão para descobrir as melhores maneiras de classificar e gerenciar os dados do serviço, observou ela.

Ter acesso a dados seguros em qualquer lugar ajudará os militares e o pessoal da base industrial de defesa que trabalham fora do horário comercial e em locais remotos, de acordo com a estratégia do Pentágono.

A pressão pela confiança zero é diferente de algumas iniciativas de segurança cibernética porque tem força por trás disso, acrescentou Spinks. A liderança forneceu políticas e procedimentos e está disposta a ser responsabilizada, disse ela.

“A segurança cibernética não é um empreendimento barato. Mas acho que o que realmente impulsiona é o adversário cruel e toda a atividade não apenas no governo federal, mas também nos níveis estadual e local”, disse ela.

Melhores práticas de segurança cibernética também serão necessárias para proteger as cadeias de suprimentos, observou Natarajan. Torná-los mais resilientes, especialmente em tecnologias críticas, como semicondutores, tem sido um foco do Pentágono nos últimos anos.

“Sabemos que isso está sendo usado por atores cibernéticos mal-intencionados para explorar muitos riscos de terceiros depois de perseguir a cadeia de suprimentos de uma organização”, disse ele.

Essa é outra razão pela qual o governo não pode trabalhar sozinho, acrescentou.

“Ao olharmos para isso, estamos olhando para isso não apenas de uma perspectiva do setor, mas também de funções críticas nacionais”, disse ele.

A CISA divulgou metas de desempenho de segurança cibernética para as empresas medirem a si mesmas em outubro. Embora as metas de desempenho não mencionem especificamente a confiança zero, as metas são destinadas a empresas, independentemente de seu tamanho.

“Estamos realmente olhando para eles como a linha de base mínima de proteções cibernéticas que reduzirão o restante dos operadores de infraestrutura crítica”, disse ele. “Mas, no final das contas, ao fazer isso, também estamos impactando a segurança nacional e a saúde e segurança dos americanos em todo o país.”

O setor privado, por sua vez, precisa do investimento do governo em educação e recursos para formar sua força de trabalho cibernética.

“O ciberespaço envolve não apenas o hardware e o software, a tecnologia, seus tablets, seus iPhones, sua tecnologia, mas envolve pessoas. As pessoas desenvolveram o ciberespaço. As pessoas usam o ciberespaço. Estamos no ciberespaço”, disse Kemba Walden, vice-diretor principal do Gabinete do Diretor Cibernético Nacional, durante o evento MeriTalk.

Ainda não em plena capacidade operacional, o Gabinete do Diretor Nacional Cibernético foi criado em 2021 para assumir a liderança em questões cibernéticas no nível federal, incluindo a primeira estratégia nacional de segurança cibernética.

Tão importante quanto a estratégia ampla será o documento nacional sobre força de trabalho e educação que será divulgado após a estratégia de segurança cibernética, disse Walden.

“Demos uma olhada e reconhecemos que cerca de 700,000 empregos nos Estados Unidos com a palavra cibernética não foram preenchidos”, disse ela. Esse número vem do relatório de 2022 da empresa de pesquisa de mercado Lightcast, com base nos dados de 2021.

“Como advogada cibernética nacional e de segurança nacional, isso me assusta”, disse ela. “Isso é um risco de segurança nacional da minha perspectiva.”

Nos últimos anos, organizações como Joint Cyber ​​Defense Collaborative e Cybersecurity Collaboration Center da National Security Association surgiram para avaliar as necessidades e coletar feedback de grandes empresas, disse ela.

“Esses são os tipos de esforços colaborativos que considero necessários para desenvolver a colaboração público-privada e o compartilhamento de informações em geral”, disse ela.

Em última análise, os benefícios da confiança zero chegam ao combatente, de acordo com o documento.

Por exemplo, o esforço conjunto de comando e controle de todos os domínios do Pentágono – que visa conectar sensores e atiradores enquanto usa inteligência artificial para tomar decisões – depende da segurança desses dados. Se cair em mãos erradas, os líderes militares não conseguirão dominar as informações, observa a estratégia.

“Precisamos garantir que, quando agentes mal-intencionados tentarem violar nossas defesas de confiança zero; eles não podem mais circular livremente por nossas redes e ameaçar nossa capacidade de fornecer suporte máximo ao combatente”, disse o diretor de informações John Sherman na estratégia.

Leia a história completa aqui…