เหตุใดจึงเป็นเป้าหมายใหม่สำหรับอาชญากรไซเบอร์ การสนทนากับ Ian Bramson

จำนวนการโจมตีโครงสร้างพื้นฐานที่สำคัญโดยกลุ่มรัฐชาติเพิ่มขึ้นสองเท่าในปีที่ผ่านมา ตามข้อมูลปี 2022 รายงานการป้องกันดิจิทัลของ Microsoft. ในช่วงเดือนกรกฎาคม 2021 ถึงมิถุนายน 2022 การโจมตีทางไซเบอร์ในบริษัทด้านไอที บริการทางการเงิน การขนส่ง และโครงสร้างพื้นฐานด้านการสื่อสารคิดเป็น 40% ของกิจกรรมทั้งหมด เทียบกับเพียง 20% ในช่วง 12 เดือนก่อนหน้า

Mathieu Gorge ซีอีโอของ VigiTrust และ Ian Bramson หัวหน้าระดับโลกด้านความปลอดภัยในโลกไซเบอร์ของ ABS Group นั่งลงเพื่อหารือเกี่ยวกับประเด็นที่เกี่ยวข้องกับความปลอดภัยของโครงสร้างพื้นฐานที่สำคัญ บทบาทของ OT และ IT ในการปกป้องสิ่งอำนวยความสะดวกที่สำคัญ และผู้นำด้านความปลอดภัยสามารถสื่อสารสิ่งเหล่านี้ได้อย่างไร ข้อกังวลต่อสมาชิกคณะกรรมการและผู้ที่อยู่ใน C-suite

การรักษาความปลอดภัยโครงสร้างพื้นฐานที่สำคัญ

หลังจากเกิดการโจมตีเช่นการโจมตีผู้บริหารบริการด้านสุขภาพของไอร์แลนด์ (HSE), Colonial Pipeline และ JBS Food โลกได้ตื่นขึ้นพร้อมกับแรนซั่มแวร์ที่เป็นภัยคุกคามที่สำคัญซึ่งก่อให้เกิดระบบ เครือข่าย และทรัพย์สินที่สำคัญที่อำนวยความสะดวกของประเทศ สังคมและเศรษฐกิจ สิ่งอำนวยความสะดวกและผู้ให้บริการชุดนี้มักเรียกกันว่า “โครงสร้างพื้นฐานที่สำคัญ” และครอบคลุมถึงสิ่งต่างๆ เช่น ระบบการศึกษา สถานบริการสาธารณสุข โรงไฟฟ้า ระบบการคมนาคม โรงบำบัดน้ำ และบริการรักษาความปลอดภัย เป็นต้น

ความเสี่ยงด้านความปลอดภัยต่อโครงสร้างพื้นฐานที่สำคัญได้เพิ่มสูงขึ้นอย่างรวดเร็วในช่วงไม่กี่ปีที่ผ่านมา เนื่องจากการผสานรวมทางดิจิทัลในสภาพแวดล้อมดั้งเดิมได้เปิดช่องทางให้สิ่งอำนวยความสะดวกเหล่านี้ถูกโจมตี ผู้คุกคามตระหนักอย่างรวดเร็วถึงศักยภาพของผลประโยชน์ทางการเงินที่เกี่ยวข้องกับการแทรกแซงในภาคส่วนเหล่านี้ กระตุ้นให้รัฐบาลและหน่วยงานเอกชนเร่งรัดการอภิปรายเกี่ยวกับการรักษาความปลอดภัยของบริการที่จำเป็น

โครงสร้างพื้นฐานที่สำคัญและการโจมตีตามเทรนด์

Ian Bramson กล่าวว่าสภาพแวดล้อมของภัยคุกคามกำลังพัฒนา การโจมตีมีความซับซ้อนมากขึ้น เนื่องจากผู้มีส่วนได้ส่วนเสียที่ได้รับการสนับสนุนจากประเทศและเป็นอิสระได้เปลี่ยนจุดสนใจจากสภาพแวดล้อมที่ให้ข้อมูลมาเป็นปฏิบัติการ

แม้ว่าที่ผ่านมาจะมีตัวอย่างอื่นๆ เช่น สทักซ์เน็ตในปี 2010—การโจมตีเช่นเดียวกับ Colonial Pipeline เป็นสัญญาณเตือนว่าภาครัฐและเอกชนควรเพิ่มความปลอดภัยให้กับระบบดังกล่าว ในขณะเดียวกัน พวกเขาได้กระตุ้นความสนใจของอาชญากรไซเบอร์ เนื่องจากพวกเขาได้แสดงให้เห็นถึงผลตอบแทนที่เป็นไปได้ของการดำเนินการโจมตีขนาดใหญ่และส่งผลกระทบดังกล่าว

“มีนักคุกคามจำนวนมากที่ตอนนี้พูดว่า 'เดี๋ยวก่อน เดี๋ยวก่อน ฉันปิดท่อส่งน้ำมันได้'” Bramson อธิบาย เนื่องจากการโจมตีมีความซับซ้อนมากขึ้นและความขัดแย้งในยูเครนทำให้การโจมตีในระบบ OT รุนแรงขึ้น ผู้ไม่หวังดีจำนวนมากขึ้นเรื่อย ๆ ก็เริ่มใช้การโจมตีประเภทนี้ คำถามที่แท้จริงสำหรับผู้เชี่ยวชาญด้านไซเบอร์ในปัจจุบันคือ “พวกเขาจะปรับตัวได้เร็วกว่าที่เราจะพัฒนาได้หรือไม่”

ช่องว่างความรู้ความเป็นผู้นำ

ในความเห็นของ Bramson ผู้มีอำนาจตัดสินใจระดับคณะกรรมการยังไม่มีรูปแบบในการจัดการกับข้อกังวลเหล่านี้ พวกเขายังคงค้นหาว่าใครเป็นผู้รับผิดชอบโครงสร้างความปลอดภัยของสภาพแวดล้อมเทคโนโลยีการดำเนินงาน (OT) ขององค์กร นี่เป็นเพราะขาดความรู้เกี่ยวกับวิธีที่เทคโนโลยีสารสนเทศ (IT) และทีม OT และนโยบายโต้ตอบในองค์กรของพวกเขา ความเข้าใจผิดนี้ทำให้ยากแก่การพิจารณาว่าใครเป็นผู้รับผิดชอบในแต่ละพื้นที่ ใครควรรับผิดชอบต่อความผิดพลาด และวิธีการทำงานของโครงสร้าง

แม้ว่าผู้เชี่ยวชาญด้าน IT และ OT จะเกี่ยวข้องกับการรักษาความปลอดภัย แต่บทบาทของพวกเขาต่างกัน ในขณะที่ทีม IT ให้ความสำคัญกับการควบคุมข้อมูลตามนโยบายการรักษาความปลอดภัยของข้อมูล (ความน่าเชื่อถือ ความสมบูรณ์ และความพร้อมใช้งาน) และการป้องกันการละเมิดข้อมูล ทีม OT มีหน้าที่รับผิดชอบต่อความปลอดภัยของ กายภาพ การควบคุมในสิ่งแวดล้อม พวกเขาได้รับมอบหมายให้ดูแลให้การดำเนินงานยังคงดำเนินต่อไปและไม่ลดทอนประสิทธิภาพ

การละเมิดเครือข่าย OT ใดๆ อาจส่งผลกระทบต่อโครงสร้างพื้นฐานที่สำคัญ ขัดขวางบริการสาธารณะ ส่งผลกระทบต่อเศรษฐกิจโลก และทำให้ชีวิตมนุษย์ตกอยู่ในความเสี่ยง สิ่งนี้จะกลายเป็นความท้าทายเมื่อเน้นที่ไอที—และผู้นำระดับคณะกรรมการมักจะไม่มีข้อมูลเชิงลึกที่ชัดเจนเกี่ยวกับความแตกต่างเล็กน้อยนี้

แปลความเสี่ยงด้าน OT และ IT สำหรับคณะกรรมการ

วิธีการของ Bramson ในการอธิบายความเสี่ยงเหล่านี้แก่สมาชิกคณะกรรมการคือการพูดภาษาของพวกเขา “เมื่อผู้นำทางไซเบอร์ไปที่คณะกรรมการ พวกเขาให้ข้อมูลทางเทคนิคมากมาย” เขาอธิบาย “และเป็นข้อมูลที่คณะกรรมการไม่เข้าใจ”

เขาแนะนำ CISO และผู้เชี่ยวชาญด้านไซเบอร์อื่น ๆ แทน:

• อธิบายแนวคิดทางไซเบอร์เช่นเดียวกับที่คนธรรมดาทั่วไป ตัวอย่างเช่น ในด้าน OT พวกเขาควรทำให้ชัดเจนว่าภัยคุกคามต่อ OT ไม่ใช่แค่การขโมยข้อมูล ในกรณีนี้ ผู้ไม่หวังดีกำลังพยายามขัดขวางการดำเนินงานซึ่งอาจมีผลกระทบที่จับต้องได้ต่อความปลอดภัยทางกายภาพของสิ่งอำนวยความสะดวกและความปลอดภัยของพนักงานและสมาชิกในชุมชนโดยรวม
• แสดงผลกระทบต่อรายได้และความเสี่ยงทางธุรกิจของบริษัท ตัวอย่างเช่น ผู้นำทางไซเบอร์ที่สถานีไฟฟ้าต้องการเน้นย้ำว่าการโจมตีทางไซเบอร์อาจส่งผลกระทบต่อความสามารถของโรงงานในการสร้างพลังงานและแจกจ่ายไฟฟ้าอย่างปลอดภัยได้อย่างไร
• สาธิตสิ่งที่พวกเขากำลังทำเพื่อตรวจจับและตอบสนองต่อเหตุการณ์ ระบุว่าการกระทำและนโยบายเหล่านั้นสามารถลดผลกระทบของการโจมตีได้อย่างไร

ใกล้กระดาน

Bramson เชื่อว่าแนวทางที่ดีที่สุดในการเจรจากับคณะกรรมการคือการทำให้ง่าย เขาแนะนำให้เริ่มต้นด้วยการกำหนดกรอบการสนทนาเกี่ยวกับคำถามพื้นฐานเหล่านี้:

1. เรารู้หรือไม่ว่าเราต้องปกป้องอะไร?
2. เรารู้ไหมว่าหลุมอยู่ที่ไหน? เรารู้ไหมว่านักแสดงร้ายเข้ามาได้ยังไง?
3. เราสามารถดูว่ามีใครละเมิดระบบหรือไม่?
4. เรามีแผนที่จะดึงคนที่ละเมิดระบบออกจากระบบหรือไม่?

Bramson กล่าวว่า “การใส่ประเด็นลงในคำง่ายๆ เหล่านี้สามารถช่วยให้ผู้นำระดับคณะกรรมการเข้าใจว่าคำถามที่ถูกต้องคืออะไร เพื่อให้ผู้เชี่ยวชาญด้านไซเบอร์สามารถขับเคลื่อนการสนทนาที่ถูกต้อง”