A Casa Branca está pedindo às empresas que façam mais para conter a onda de ataques de ransomware, agora que eles estão começando a impactar a infraestrutura crítica e as cadeias de suprimentos. É um bom começo, mas qual será a implicação disso para as empresas dos EUA?
Os governos não possuem todas as respostas, mas podem fazer muito para tornar o mundo digital um lugar mais seguro para fazer negócios. Agora que os ataques de ransomware estão começando a afetar a infraestrutura crítica e as cadeias de suprimentos, a Casa Branca está pressionando as empresas a agirem. Este é um bom começo, mas quais são as implicações de sua última carta aberta às empresas americanas, instando-as a fazer mais para conter a maré de infecções?
Por que agora?
Embora multinacionais e pequenas e médias empresas tenham sido visadas com frequência e sucesso cada vez maiores nos últimos anos, o ataque ao Oleoduto Colonial parece ter sido um alerta para o governo. Foi seguido apenas alguns dias depois por uma grande interrupção relacionada ao ransomware no maior processador de carne do mundo, afetando o abastecimento de alimentos na América do Norte e além.
Agora, a vice-assessora de segurança nacional para o ciberespaço, Anne Neuberger, quer que as empresas dos EUA aumentem a cibersegurança. “Todas as organizações devem reconhecer que nenhuma empresa está a salvo de ser alvo de ransomware, independentemente do tamanho ou localização”, escreveu ela.
Todas as empresas, independentemente do porte ou setor, certamente devem tomar nota. Os ataques de ransomware se tornaram a ameaça existencial número um às suas operações. Cadeias de suprimentos, incluindo fabricação e distribuição just-in-time, já foram enfraquecidas devido à pandemia. Agora eles estão expostos à ameaça de sérias interrupções por meio de ransomware. Talvez não seja surpresa que a Casa Branca esteja se preparando para tratar esses ataques com a mesma gravidade do terrorismo.
Como são as práticas recomendadas?
Como sugere a Casa Branca, reunir equipes de liderança para lidar com essas ameaças é uma necessidade. Essas equipes devem começar conduzindo avaliações abrangentes de vulnerabilidade de suas operações de missão crítica e suas equipes de cibersegurança que as protegem, e usar essas avaliações para construir guias de ransomware abrangentes, começando a testá-los imediatamente. Paralelamente, as organizações devem aplicar as práticas recomendadas para mitigar ataques de ransomware que incluem:
- Patch de software rápido
- Uso de autenticação multifator (MFA), especialmente para servidores RDP
- Segmentação de rede
- Implantação da arquitetura Zero Trust para desacelerar os invasores
- Implantação de soluções XDR para melhorar a visibilidade e aumentar os tempos de resposta
- Uso de soluções de defesa em profundidade em endpoint, redes, servidores de nuvem híbrida e camadas de e-mail/gateway
- Backup-Back-up- Back-up usando a regra 3-2-1
- Treinamento abrangente de anti-phishing e conscientização de segurança com base em riscos
Muitas dessas medidas são estabelecidas em uma nova Ordem Executiva do Presidente Biden, que contém alguns conselhos úteis sobre as melhores práticas destinadas a aumentar a segurança do governo e dos fornecedores.
Como o governo pode fazer isso melhor?
Para os criminosos que usam ransomware e que lançam ataques globais com impunidade, atualmente há pouco risco com altas recompensas. Isso significa que, a cada ano, os grupos de agentes de ameaças ficam mais ricos e ousados em suas táticas. A redução do risco de ataques de ransomware só pode ser alcançada de forma holística. As organizações estão transferindo o risco por meio de apólices de seguro cibernético maiores. No entanto, esses grandes pagamentos podem perpetuar o problema e causar grandes desafios para as seguradoras. Eles desejam alterar suas políticas ou cancelar ou restringir sua subscrição.
O governo pode desempenhar um papel mais amplo para reduzir o risco. Eles podem aumentar a regulamentação na esperança de criar comportamentos de redução de risco. Entretanto, podem ter um impacto ainda maior ao incentivar as organizações a agirem. Isso poderia assumir a forma de concessões ou empréstimos sem juros emitidos por agências específicas do setor para operadores proprietários que adotassem a estrutura de cibersegurança do NIST ou fornecer-lhes acesso a programas de menor responsabilidade na forma de responsabilidade civil reduzida ou indenização limitada. O governo federal também poderia simplificar a regulamentação para reduzir a carga maciça de auditoria e recompensar as organizações por meio de incentivos fiscais.
Mudar o comportamento individual e organizacional é algo complexo. E isso não vai acontecer durante a noite. Mas, ao mostrar o quão sério estão levando a questão, o governo federal e seus parceiros da indústria podem começar a fazer uma diferença positiva.
Confira meu primeiro blog, onde examinamos as três seções administrativas e avaliamos seu potencial para serem “mudanças ousadas” que reduzem rapidamente o risco em toda a organização federal. Também avaliamos o impacto potencial para os outros setores.
