3 Steps Government Policymakers Can Take to Reduce Critical Infrastructure Cyber Attacks

Recommendation: Creare un registro dei rischi inter-agenzie per identificare l'esposizione tra sistemi pubblici connessi, quindi allineare le politiche per migliorare la protezione e semplificare i servizi gestiti.

Action 1: Costruisci e traccia un ciclo unificato di condivisione delle informazioni tra agenzie e partner privati per identificare numerosi rischi, inclusi crimini ed esposizione di dati sensibili.

Azione 2: Implementa un approccio di protezione basato sul prodotto e servizi gestiti, ancorati a policy che ti consentano di monitorare costi e benefici sui sistemi rivolti al pubblico.

Azione 3: Aggiornare la politica interna e di approvvigionamento con controlli standardizzati, richiedere alle agenzie di segnalare i rischi e gli incidenti attualmente in corso e quindi applicare informazioni generali per informare i bilanci e gli aggiornamenti dei programmi per le agenzie stesse.

Quadro pratico per la protezione dei dati per le infrastrutture critiche

Implementare un programma dedicato di protezione dei dati per le reti di servizi chiave, applicando la classificazione formale dei dati e il monitoraggio continuo per i rischi crescenti e per combattere le intrusioni persistenti.

Comprendere lo scenario delle minacce mappando asset, flussi di dati e percorsi utente nel cyberspazio. Secondo la CISA, allineare la progettazione dei controlli con coloro che operano, si affidano o dipendono da queste reti e garantire la continuità applicando la segmentazione e l'accesso con privilegio minimo.

Adottare un approccio di difesa in profondità: identificare i dati che richiedono protezione, crittografare i dati a riposo e in transito e gestire le chiavi attraverso processi dedicati. Sfruttare l'MFA, controlli di accesso granulari e revisioni trimestrali degli accessi, mantenendo al contempo una posizione forte ai margini della rete e degli endpoint, compresi i servizi sanitari e altri fornitori.

Stabilire rituali chiari di gestione e segnalazione degli incidenti: definire i runbook, condurre esercitazioni pratiche trimestrali e segnalare tempestivamente gli incidenti agli enti pertinenti per ridurre i tempi di permanenza e prevenire compromissioni secondarie. Mantenere un monitoraggio 24 ore su 24, 7 giorni su 7 e un contenimento rapido per l'attività informatica in tempo reale.

Stabilire una baseline di protezione dei dati basata sul rischio per le reti OT e IT

Sebbene esista urgenza, l'implementazione di questa baseline è difficile ma necessaria. Una singola baseline a livello di organizzazione consolida gli inventari delle risorse OT e IT e i flussi di dati in un'unica visualizzazione. Questo fatto informa la strategia di un manager per proteggere i dati vitali e ridurre l'esposizione nei settori energetico e industriale. La baseline deve essere attuabile e realizzabile entro 60 giorni, con un chiaro ordine di priorità per le categorie di dati e i flussi. Il piano aiuta i manager a comprendere i punti di esposizione e il valore della protezione dei dati.

La leadership dell'agenzia dovrebbe commissionare uno standard nazionale che generalizzi una baseline basata sul rischio per le reti connesse e la forza lavoro. Il framework deve essere misurabile, allineato alla conformità esistente e aggiornato trimestralmente per riflettere incidenti reali e minacce crescenti. I crimini digitali sono aumentati vertiginosamente, sottolineando la necessità di una baseline formale. L'identificazione degli asset di alto valore e dei flussi di dati dovrebbe essere completata dai proprietari identificati, con la capacità di trasferire rapidamente le azioni di correzione nel piano di esecuzione. Ciò garantisce che i rischi identificati siano acquisiti nella baseline.

Le azioni chiave includono: identificare asset e flussi di dati per colmare le lacune; spostare la segmentazione tra OT e IT ove fattibile; applicare l'accesso con privilegio minimo per manager e ingegneri; richiedere l'MFA per gli account amministratore; crittografare i dati sensibili a riposo e in transito; implementare un ciclo di patch e firmware di 30 giorni per gli elementi ad alto rischio; condurre esercitazioni trimestrali per testare la risposta; stabilire un manuale di risposta agli incidenti. Questa mossa riduce l'esposizione e rende l'organizzazione più resiliente contro gli aggressori.

Per valutare i progressi, adotta un dashboard basato sui fatti: la percentuale di dispositivi connessi con firmware aggiornato, la percentuale di flussi di dati classificati, il tempo necessario per il contenimento degli incidenti e il tempo medio di ripristino. Incidenti reali nell'ultimo anno mostrano una crescente attività di minaccia in tutta la rete, specialmente dove la consapevolezza della forza lavoro è debole. Quando i controlli rimbalzano tra i siti senza allineamento, il contenimento diventa più lento. Un andamento generale mostra che le organizzazioni con una baseline chiara subiscono meno violazioni e un ripristino più rapido rispetto ai pari del settore. Questo schema conferma che la governance e la routine di baseline sono cruciali.

Monitorare e verificare continuamente i controlli identificati; la commissione può richiedere audit trimestrali, con un dataset nazionale per valutare le prestazioni nel settore. In pratica, una rete ben gestita e connessa si sposta verso una posizione resiliente anche di fronte ad attori di minacce sofisticati. Nel complesso, la baseline è fondamentale per una gestione coerente del rischio e aiuta la forza lavoro a comprendere il ruolo della protezione dei dati nel lavoro quotidiano.

Imporre la crittografia, la gestione delle chiavi e la minimizzazione dei dati nei sistemi critici

Richiedere la crittografia predefinita per i dati a riposo e in transito, implementare la gestione centralizzata delle chiavi e implementare la minimizzazione automatizzata dei dati su tutte le risorse essenziali per prevenire la perdita di dati e limitare l'esposizione.

1. Crittografia e gestione delle chiavi per risorse essenziali:

   • Crittografa i dati a riposo e in transito per impostazione predefinita, utilizzando moduli crittografici convalidati da FIPS; centralizza il materiale chiave in un modulo di sicurezza hardware (HSM) o KMS cloud con rotazione automatizzata e controlli di accesso rigorosi. Separa i compiti in modo che nessun singolo ruolo possa accedere ai dati e controllare le chiavi; applica audit trail immutabili per supportare le analisi degli incidenti. Includi la key escrow ove richiesto per prevenire la perdita e consentire il ripristino. Sfrutta il tuo stack tecnologico per automatizzare l'applicazione su tutti i repository e le comunicazioni; Krishnan osserva che il controllo centralizzato e la convalida regolare delle implementazioni crittografiche rafforzano la resilienza e aiutano a identificare le debolezze che gli hacker potrebbero sfruttare.

2. Minimizzazione dei dati e flussi di dati controllati:

   • Document some data types collected and justify their necessity (needed) for service delivery; classify data and apply retention limits; anonymize or pseudonymize where feasible; automate purge of stale records after defined periods. Limit sharing to necessary partners within the supply chain and require encryption in transit for transfers; keep subject data to the minimum required, and tailor handling policies to the needs of health and other sectors. Demonstrate the importance to economies and leverage this approach to meet some policy objectives while reducing exposure.

3. Governance, oversight, and incident response:

   • Establish a cross-agency commission to set role definitions and accountability; align enforcement with policies across economies and sectors, including others; integrate intelligence on rising threats and targeting by hackers; ensure governance in cyberspace and in health and other essential services; maintain pace with evolving risks and lead the way with incident playbooks and exercises. Capture the actions taken and apply lessons learned to close weaknesses in a timely place, showing the value of stronger leadership.

Enforce zero-trust access for remote maintenance and vendor connections

Adopt a zero-trust access model for remote maintenance and vendor connections, requiring short-lived credentials, device posture checks, and continuous session verification for each interaction. This approach strengthens business resilience by ensuring authentic identities, controlled access, and auditable activity across systems.

• Identity and device verification: Enforce certificate-based authentication and MFA for every vendor and technician; integrate with a single identity provider; require ongoing posture checks from enrolled devices and route logs to a centralized data store; policies should be reviewed regularly to confirm alignment with risk appetite and role expectations.
• Access scope and least privilege: Map each vendor task to a defined portfolio of systems; apply role-based access control and time-bounded sessions; restrict commands and data exposure to what is strictly necessary; this reduces significant impact while preserving agility for business needs.
• Mediated connections and session control: All remote access to core systems must pass through a secure gateway or jump host with mutual TLS; block direct vendor connections; enforce granular session boundaries and automatic termination when the task completes; track actions in an immutable log.
• Monitoring, data track and auditing: Enable continuous monitoring of sessions; track data movements and configuration changes; maintain an auditable breakdown of actions for reviews; set near-real-time alerts for anomalous behavior; ensure data currently informs risk decisions.
• Lifecycle, health and developing technology management: Maintain an up-to-date inventory of assets and vendor portfolios; require that changes from developing projects are tested in a controlled environment before deployment to life-supporting systems; monitor system health and automate remediation where feasible.
• Governance, oversight and continuous improvement: Align with business priorities; borough IT teams and agencys oversight should be part of policy review; continuously improve techniques and policies; track performance metrics and the importance of these controls to the wider technology portfolio; this framework should help this portfolio stay resilient as it grows.

Segment networks and implement continuous monitoring with real-time alerting

Implement a segmented topology across your regional network and deploy continuous, real-time alerting in a centralized, managed console. This approach will lead to lower exposure by keeping services in isolated zones and applying dynamic access controls. Use a single management plane to coordinate alerts, policy changes, and response playbooks, so your team can act quickly.

Begin with a regional map of where your assets reside and identify where services are publicly accessible. In each region, map exposure and asset importance. For each zone, assign a trusted vendor and implement tight controls. Include threat intelligence to sharpen detection and monitor indicators from recent fact patterns since the last election. Maintain a heap of incidents and lessons learned to adapt quickly.

Ensure services stay connected through controlled boundaries: called micro-segmentation and zero-trust frameworks; implement power-limited access. Use a managed security stack that supports real-time notifications, automation for containment, and a plan for ongoing changes. The aim is to prevent a single attack from propagating across many regions and services, just in case of containment failures.

From a national perspective, align with a plan that covers vital planning around supply chain, vendor risk, and defense during high-tension periods such as elections. Security teams have been focusing on intelligence, and should continue to lead with intelligence, and adapt tactics to the threat landscape where hackers are currently targeting assets. Focus on the fact that most intrusions begin with exposed services and weak configurations; close those gaps first.

To quantify progress, monitor exposure levels, time to detect, and time to contain. Use regional dashboards and continue refining the tactics based on intelligence and facts. Maintain a heap of proven playbooks since the early days, including inputs from dell and other vendors. Prepare for the next attack and adjust segmentation accordingly. Across the world, adoption of these practices keeps power and services connected.

Build incident response, data backup, and recovery playbooks with drills

Identify the assets that matter most in region-specific operations and appoint a lead for subject areas such as data, network, and health systems. Create a dedicated agencys team to run incident response, data backup, and recovery activities, with a strategy that is understandable by different organization units. This approach helps governments set standards and targeted actions so the program can combat threats when they surface. Just enough procedures to avoid overburdening teams.

Build a data backup playbook that covers scope, cadence, encryption, off-site copies, and integrity checks. Choose a product with versioning and air-gap isolation; test restoration monthly and document the results in a central heap for security review. Schedule automated backups to run fully, with alerts when a restore test fails, and understand the health of each data tier.

Develop a recovery playbook with clear RTO and RPO targets for essential services. Map the network dependencies and identify key recovery sequences, prioritizing different organization units and regions. Use standardized procedures to ensure that recovery steps are repeatable, scalable, and aligned with agencys, standards, and policy. Train teams to understand how to execute the plan during a drill and to document gaps.

Drill program: tabletop, simulated intrusions, and live restoration exercises. Schedule when to run drills; involve stakeholders from governments, regions, and organizations. Use objective scoring for detect-and-contain time, restoration time, and data integrity; capture lessons in a succinct after-action report and update playbooks accordingly.

Governance and improvement: maintain a living catalog of issues and improvements; keep the heap of incident learnings accessible to all, ensuring the subject of data protection and security topics is addressed. Align with standards and targeting of risk; measure health indicators like mean time to identify, time to understand, and time to recover; this ensures region-wide resilience at scale.