Den australske regering udstikker planer om at ændre love og regler for cybersikkerhed i kølvandet på en række skadelige højprofilerede databrud, der rystede landet.

Regeringsembedsmænd udgav for nylig, hvad det kaldte et høringspapir, der skitserede specifikke forslag og anmodede om input fra den private sektor i en proklameret strategi for at positionere nationen som en verdensleder inden for cybersikkerhed inden 2030.

Ud over at løse huller i eksisterende love om cyberkriminalitet håber australske lovgivere at ændre landets lov om sikkerhed for kritisk infrastruktur (SOCI) 2018 for at lægge større vægt på trusselforebyggelse, informationsdeling og reaktion på cyberhændelser.

Svagheder i Australiens evner til at reagere på cyberhændelser blev blotlagt i cyberangrebet i september 2022 på telekommunikationsudbyderen Optus, efterfulgt i oktober af en ransomware-baseret angreb på sygesikringsselskab Medibank.

Millioner af følsomme optegnelser, herunder biometriske data i kørekort og pasfotos, blev afsløret efter angribere skrabet en Optus-database indeholdende forbrugeroptegnelser; det Medibank brud afsløret millioner af patientjournaler.

"Begge brud kom gennem grundlæggende fejl og dårlig cyberhygiejne, så de kunne undgås," siger Richard Sorosina, chef for teknisk sikkerhedsofficer for Qualys Australien og New Zealand.

Australiens cybermodstandsdygtighed kom under smertefuld undersøgelse i november 2023, da et landsdækkende afbrydelse forlod Optus' fastnet og mobil kunder uden internetadgang. Udfaldet fik skylden for et problem med en Border Gateway Protocol (BGP) routing table-opdatering.

Så kom et massivt cyberangreb dage senere på shippingindustrien, der førte til langvarige forstyrrelser i fire australske havne.

Reform af cyberstrategi

Cyberangrebene på Optus, Medibank og landets havne var meget offentlige hændelser, der påvirkede borgere og virksomheder, hvilket skubbede cybersikkerhed højere op på nationens politiske dagsorden. Som svar reviderede den australske regering sin cybersikkerhedsstrategi og lancerede høringsprocessen om lovgivnings- og reguleringsreformer.

Clare O'Neil, Australiens minister for cybersikkerhed, sagde i en erklæring at regeringen var forpligtet til at arbejde sammen med den private sektor for at indlede en "ny æra af offentlig-privat partnerskab for at forbedre Australiens cybersikkerhed og modstandsdygtighed."

Australiens nye foreslåede cybersikkerhedslovgivning dækker en bred vifte af foranstaltninger, herunder påbud om sikre-by-design-standarder for Internet of Things (IoT)-enheder, etablering af en ransomware-rapporteringsregel, oprettelse af en "begrænset brug"-forpligtelse til deling af hændelsesoplysninger og etablering af en National Cyber ​​Incident Review Board.

Også på dagsordenen: reformer af loven om sikkerhed af kritisk infrastruktur fra 2018, som er gearet til at adressere cybersikkerhedsmangler afsløret af nylige brud.

Disse revisioner inkluderer at give mere foreskrivende vejledning til kritiske industrier som forsyningsselskaber og telekommunikation, forenkle informationsdeling, levere direktiver til risikostyringsprogrammer og konsolidere sikkerhedskrav til telekommunikationssektoren i henhold til SOCI-loven for kritisk infrastruktur.

Casey Ellis, grundlægger, formand og strategichef for Bugcrowd, siger, at den australske regering tager de rigtige skridt. "Konsultationspapiret [Cyber ​​Security Strategy] omhandler IoT-sikkerhed, ransomware-rapportering, hændelsesdeling og styring af kritisk infrastruktur, rapportering og ansvarlighed, som alle helt sikkert er områder med blødhed i australsk politik," siger Ellis.

Stort land, store cybersikkerhedsudfordringer

Den store udstrækning af Australien gør det vanskeligt at beskytte kritisk infrastruktur, især for strategiske industrier som minedrift, som er meget spredt og med steder på fjerntliggende steder.

I mellemtiden dropper minedrift, maritime og andre forsyningsvirksomheder ældre teknologier og omfavner internet-tilsluttede og IoT-teknologier for mere effektivt at administrere og overvåge deres infrastruktur. Men denne omfavnelse af digital transformation har ofte efterladt ældre udstyr udsat for cybertrusler.

"For at sikre, at angreb som det på australske havne forbliver isolerede i stedet for en almindelig hændelse, undersøger regeringen med rette, hvordan man lovgiver en kritisk national infrastrukturpolitik og ser til andre lande for at lære lektier om, hvordan man beskytter øgede angrebsflader. ud af IT/OT-konvergens,” siger Shane Read, CISO hos Goldilock, en fysisk cybersikkerhedsstartup.

Australien mangler dog både omfanget og befolkningen til at klare det alene - så det giver mening at henvise til kendte, globale standarder, hvor det er muligt, ifølge uafhængige eksperter.

"Australien har set til Storbritannien/USA/EU for vejledning, når det kommer til cybersikkerhedspolitik," bemærker Qualys' Sorosina.

Ligesom mange andre lande kæmper Australien for at bygge bro over kløften inden for cybersikkerhed.

Phillip Ivancic, APAC-løsningschef hos Synopsys Software Integrity Group, siger, at på grund af den lille befolkning i forhold til økonomiens størrelse er der en "stor mangel på dygtige ingeniører og cybersikkerhedseksperter" i Australien.

"Det er grunden til, at regeringens tiltag til at være mere foreskrivende og give reel standardbaseret vejledning, samt at tvinge ændringer gennem mandater, bør hilses velkommen," siger Ivancic. "Vi har simpelthen ikke skalaen til at gå ud på egen hånd, og at påbyde internationale standarder, der allerede er meget brugt, er den rigtige tilgang."

Regeringens politiske forslag mangler nøgleelementer som kontrol omkring softwareforsyningskæder, såsom softwaresedler, der viser de komponenter, der udgør applikationer, ifølge Ivancic. Det er et "blændende hul," siger han.

Større cybersikkerhedsinvesteringer

Vejen til at blive en cybersikker nation er ikke udelukkende et statsligt ansvar. I anerkendelse af sin egen egeninteresse i at forbedre cybersikkerhedspraksis, foretager den private sektor i Australien også enorme investeringer i at forbedre informationssikkerhedspraksis.

Australske organisationer vil bruge mere end 7.3 milliarder AU$ på informationssikkerhed og risikostyringsprodukter og -tjenester i 2024, en stigning på 11.5 % fra 2023, ifølge Gartner. Cloud-sikkerhed vil nyde den største stigning, stigende til A$248 mio. (en stigning på 26.9 % år-til-år).

Stigningen i udgifter er drevet af en kombination af højprofilerede cyberangreb og øgede regulatoriske forpligtelser, skrev Gartner.

BugCrowds Ellis mener, at Australiens indsats for at blive en cybersikkerhedsleder er opnåelig. "Australien har altid været en nation af innovatører og regelbrydere, og jeg tror på, at målet om at blive verdensledende inden for cybersikkerhed, selvom det er ambitiøst, er et opnåeligt mål."

• SEO Powered Content & PR Distribution. Bliv forstærket i dag.
• PlatoData.Network Vertical Generative Ai. Styrk dig selv. Adgang her.
• PlatoAiStream. Web3 intelligens. Viden forstærket. Adgang her.
• PlatoESG. Kulstof, CleanTech, Energi, Miljø, Solenergi, Affaldshåndtering. Adgang her.
• PlatoHealth. Bioteknologiske og kliniske forsøgs intelligens. Adgang her.
• Kilde: https://www.darkreading.com/cyber-risk/australian-government-doubles-down-on-cybersecurity-in-wake-of-major-attacks