Rząd Australii opracowuje plany zmiany przepisów i regulacji dotyczących cyberbezpieczeństwa w następstwie serii szkodliwych i głośnych naruszeń danych, które wstrząsnęły krajem.

Urzędnicy rządowi opublikowali niedawno tak zwany dokument konsultacyjny, w którym nakreślono konkretne propozycje i zwrócono się do sektora prywatnego o wkład w ogłoszoną strategię mającą na celu pozycjonowanie narodu jako światowego lidera w dziedzinie cyberbezpieczeństwa do 2030 r.

Oprócz usunięcia luk w istniejących przepisach dotyczących cyberprzestępczości australijscy ustawodawcy mają nadzieję zmienić ustawę o bezpieczeństwie infrastruktury krytycznej (SOCI) z 2018 r., aby położyć większy nacisk na zapobieganie zagrożeniom, wymianę informacji i reagowanie na incydenty cybernetyczne.

Słabości australijskich zdolności reagowania na incydenty cybernetyczne zostały obnażone podczas cyberataku we wrześniu 2022 r. na dostawcę usług telekomunikacyjnych Optus, po którym w październiku nastąpił atak oparty na oprogramowaniu ransomware atak na ubezpieczyciela zdrowotnego Medibank.

Następnie ujawniono miliony wrażliwych danych, w tym dane biometryczne w prawach jazdy i zdjęciach paszportowych napastnicy zeskrobali bazę danych Optus zawierające dane konsumenckie; the Włamanie do Medibanku ujawnił miliony dokumentacji zdrowotnej pacjentów.

„Obydwa naruszenia wynikały z podstawowych błędów i braku higieny cybernetycznej, więc można było ich uniknąć” – mówi Richard Sorosina, dyrektor ds. bezpieczeństwa technicznego w Qualys Australia i Nowa Zelandia.

Odporność cybernetyczna Australii została poddana bolesnej analizie w listopadzie 2023 r., kiedy w całym kraju doszło do awarii sieci stacjonarnej i komórkowej Optus klientów bez dostępu do Internetu. Za awarię uznano problem z aktualizacją tabeli routingu protokołu Border Gateway Protocol (BGP).

Kilka dni później nastąpił masowy cyberatak na branżę żeglugową, który doprowadził do tego długotrwałe zakłócenia w czterech australijskich portach.

Reforma strategii cybernetycznej

Cyberataki na Optus, Medibank i krajowe porty były incydentami o charakterze wysoce publicznym, które dotknęły obywateli i przedsiębiorstwa, co spowodowało, że cyberbezpieczeństwo stało się ważniejsze w programie politycznym kraju. W odpowiedzi rząd Australii zrewidował swoją strategię cyberbezpieczeństwa i uruchomił ją proces konsultacji w sprawie reform legislacyjnych i regulacyjnych.

Clare O'Neil, australijska minister cyberbezpieczeństwa, w oświadczeniu że rząd zobowiązał się do współpracy z sektorem prywatnym, aby zapoczątkować „nową erę partnerstwa publiczno-prywatnego w celu zwiększenia cyberbezpieczeństwa i odporności Australii”.

Nowe australijskie ustawodawstwo dotyczące cyberbezpieczeństwa obejmuje szeroki zakres środków, w tym nałożenie standardów bezpiecznego projektowania dla urządzeń Internetu rzeczy (IoT), ustanowienie zasady zgłaszania oprogramowania ransomware, wprowadzenie obowiązku „ograniczonego wykorzystania” w zakresie udostępniania informacji o incydentach oraz ustanowienie krajowa Rada ds. Przeglądu Incydentów Cybernetycznych.

W porządku obrad: reformy ustawy o bezpieczeństwie infrastruktury krytycznej z 2018 r., których celem jest wyeliminowanie niedociągnięć w zakresie cyberbezpieczeństwa ujawnionych w wyniku niedawnych naruszeń.

Zmiany te obejmują zapewnienie bardziej normatywnych wytycznych dla branż krytycznych, takich jak usługi użyteczności publicznej i telekomunikacja, uproszczenie wymiany informacji, zapewnienie wytycznych dla programów zarządzania ryzykiem oraz skonsolidowanie wymogów bezpieczeństwa dla sektora telekomunikacyjnego zgodnie z ustawą SOCI dotyczącą infrastruktury krytycznej.

Casey Ellis, założyciel, prezes i dyrektor ds. strategii Bugcrowd, twierdzi, że rząd australijski podejmuje właściwe kroki. „Dokument konsultacyjny [Strategia bezpieczeństwa cybernetycznego] dotyczy bezpieczeństwa Internetu Rzeczy, zgłaszania oprogramowania ransomware, udostępniania incydentów oraz zarządzania infrastrukturą krytyczną, raportowania i odpowiedzialności, czyli wszystkich obszarów, które z pewnością są miękkimi obszarami australijskiej polityki” – mówi Ellis.

Duży kraj, duże wyzwania związane z cyberbezpieczeństwem

Już sam rozległy obszar Australii utrudnia ochronę infrastruktury krytycznej, szczególnie w przypadku strategicznych branż, takich jak górnictwo, które jest bardzo rozproszone i ma siedziby w odległych lokalizacjach.

Tymczasem przedsiębiorstwa wydobywcze, morskie i inne przedsiębiorstwa użyteczności publicznej rezygnują ze starszych technologii i wykorzystują technologie połączone z Internetem oraz IoT, aby efektywniej zarządzać swoją infrastrukturą i monitorować ją. Jednak przyjęcie transformacji cyfrowej często naraża starszy sprzęt na zagrożenia cybernetyczne.

„Aby mieć pewność, że ataki takie jak ten na australijskie porty pozostaną odizolowane, a nie częste, rząd słusznie zastanawia się, w jaki sposób uchwalić politykę dotyczącą infrastruktury krytycznej kraju i oczekuje, że inne kraje wyciągną wnioski na temat ochrony zwiększonej powierzchni ataków poza konwergencją IT/OT” – mówi Shane Read, CISO w Goldilock, startupie zajmującym się cyberbezpieczeństwem fizycznym.

Australii brakuje jednak zarówno skali, jak i populacji, aby poradzić sobie z tym samodzielnie, dlatego zdaniem niezależnych ekspertów odwoływanie się do znanych, światowych standardów, tam gdzie to możliwe, ma sens.

„Australia zwróciła się do Wielkiej Brytanii, Stanów Zjednoczonych i UE o wskazówki dotyczące polityki cyberbezpieczeństwa” – zauważa Sorosina z Qualys.

Podobnie jak wiele innych krajów, Australia stara się wypełnić lukę w umiejętnościach w zakresie cyberbezpieczeństwa.

Phillip Ivancic, szef rozwiązań dla regionu APAC w Synopsys Software Integrity Group, twierdzi, że ze względu na małą populację w stosunku do wielkości gospodarki w Australii występuje „ogromny niedobór wykwalifikowanych inżynierów i ekspertów ds. cyberbezpieczeństwa”.

„Dlatego należy z zadowoleniem przyjąć decyzję rządu, aby przyjąć bardziej normatywne podejście i zapewnić wytyczne oparte na rzeczywistych standardach, a także wymusić zmiany poprzez mandaty” – mówi Ivancic. „Po prostu nie mamy takiej skali, aby działać samodzielnie, a właściwym podejściem jest narzucenie standardów międzynarodowych, które są już powszechnie stosowane”.

Według Ivancica w propozycjach politycznych rządu brakuje kluczowych elementów, takich jak kontrole łańcuchów dostaw oprogramowania, takich jak zestawienia materiałów oprogramowania zawierające listę komponentów składających się na aplikacje. To „rażąca luka” – mówi.

Główne inwestycje w cyberbezpieczeństwo

Droga do stania się krajem zapewniającym bezpieczeństwo cybernetyczne nie leży wyłącznie w gestii rządu. Uznając swój własny interes w ulepszaniu praktyk w zakresie cyberbezpieczeństwa, sektor prywatny w Australii również dokonuje ogromnych inwestycji w poprawę praktyk w zakresie bezpieczeństwa informacji.

Australijskie organizacje wydadzą w 7.3 r. ponad 2024 miliarda dolarów australijskich na produkty i usługi związane z bezpieczeństwem informacji oraz zarządzaniem ryzykiem, co oznacza wzrost o 11.5% w porównaniu z 2023 r., według Gartnera. Największy wzrost odnotuje bezpieczeństwo w chmurze, które wyniesie 248 mln dolarów australijskich (wzrost o 26.9% rok do roku).

Gartner napisał, że wzrost wydatków wynika z połączenia głośnych cyberataków i zwiększonych obowiązków regulacyjnych.

Ellis z BugCrowd wierzy, że wysiłki Australii zmierzające do zostania liderem cyberbezpieczeństwa są możliwe. „Australia zawsze była krajem innowatorów i łamaczy zasad i naprawdę wierzę, że cel, jakim jest zostanie światowym liderem w dziedzinie cyberbezpieczeństwa, choć ambitny, jest osiągalny”.

• Dystrybucja treści i PR oparta na SEO. Uzyskaj wzmocnienie już dziś.
• PlatoData.Network Pionowe generatywne AI. Wzmocnij się. Dostęp tutaj.
• PlatoAiStream. Inteligencja Web3. Wiedza wzmocniona. Dostęp tutaj.
• PlatonESG. Węgiel Czysta technologia, Energia, Środowisko, Słoneczny, Gospodarowanie odpadami. Dostęp tutaj.
• Platon Zdrowie. Inteligencja w zakresie biotechnologii i badań klinicznych. Dostęp tutaj.
• Źródło: https://www.darkreading.com/cyber-risk/australian-government-doubles-down-on-cybersecurity-in-wake-of-major-attacks