SUA au nevoie de o apărare cibernetică mai puternică împotriva Rusiei

Această piesă a fost publicată pentru prima dată de prietenii noștri de la Russia Matters, de la Centrul Belfer pentru Știință și Afaceri Internaționale al Școlii Harvard Kennedy.

Potrivit oficialilor americani, Rusia este probabil autorul compromisului cibernetic SolarWinds al agențiilor federale, firmelor din sectorul privat, ONG-urilor și instituțiilor academice. Scara și impactul au adus acuzații de operațiune nesăbuită și nediscriminatorie. Unii politicieni au etichetat acest lucru drept un act de război, în timp ce alți comentatori au respins compromisul SolarWinds drept spionaj. Cererile de răzbunare erau răspândite.

Știm puține detalii despre amploarea, profunzimea și impactul operațiunii cibernetice SolarWinds, deși scara a fost în mod clar masivă, cu peste 18.000 de clienți SolarWinds care au încărcat instrumente încărcate de malware. Dar nu știm ce companii și agenții au fost afectate, ce informații au fost compromise sau dacă s-au produs daune unor sisteme de informații. Această lipsă de divulgare publică reprezintă, probabil, precauție în dezvăluirea a ceea ce este cunoscut și necunoscut, dar semnalează și dificultatea de a evalua cât de rău am fost.

Deci, cum ar trebui să răspundă SUA?

O înclinație naturală va fi atacul înapoi pentru a modifica comportamentul rus în viitor și pentru a introduce o descurajare cibernetică mai puternică pentru alți actori potențiali. Răspunsurile ar putea include declararea personalului rus de informații persona non grata, punerea sub acuzare a autorilor, sancțiuni vizate și executarea unor operațiuni similare împotriva unor sisteme ruse selectate. Scopul nu ar fi doar pedeapsa, ci schimbarea calculului risc-câștig pentru Rusia și pentru alții, atunci când se analizează noi operațiuni cibernetice.

Dar, sincer, toate aceste acțiuni au fost încercate în trecut și nu au încetinit atacul cibernetic. Rusia apreciază și respectă reciprocitatea, iar o lovitură specifică și atent calibrată peste arc este adecvată ca răspuns la SolarWinds. Dar nu ar trebui să ne păcălim și să credem că astfel de răspunsuri vor opri spionajul sau atacurile cibernetice. Pur și simplu suntem o țintă prea grasă și ușoară.

Din acest motiv, represaliile nu sunt nici cea mai urgentă, nici cea mai importantă sarcină la îndemână. Misiunea noastră cea mai critică este să ne îmbunătățim neîncetat și cuprinzător apărarea cibernetică.

SolarWinds a expus dramatic ceea ce mulți experți cibernetici au știut și avertizat despre faptul că Statele Unite sunt răspândite, vulnerabile sistemic. Suprafața noastră de atac – sistemele, rețelele și dispozitivele care pot fi vizate și compromise – este extraordinar de mare. Abilitatea și numărul adversarilor americani – state, organizații criminale și persoane care ar exploata acele vulnerabilități – proliferează. Rusia este doar un lup într-un pachet de prădători cibernetici în evoluție și în creștere.

Citiți amenințarea cibernetică din 2021 va conduce la alianțe mai puternice de către fostul secretar pentru securitate internă, Michael Chertoff, exclusiv în The Cipher Brief

Între timp, rețelele noastre sunt interconectate, dar ne organizăm apărarea în siloz după siloz. Apărările guvernamentale sunt împrăștiate în diferite agenții, companiile sunt reticente în a împărtăși știri despre încălcări, iar agențiile noastre de informații sunt îndreptate spre exterior. Nimeni nu are o vedere completă a câmpului de luptă. Companiile consideră apărarea cibernetică ca un cost împovărător. Bugetele guvernamentale favorizează infracțiunile și chiar și atunci când sunt alocate noi fonduri pentru apărarea cibernetică, accentul este pus pe securizarea sistemelor guvernamentale, nu pe îmbunătățirea securității fundamentale a infrastructurii mai mari și mai vulnerabile din sectorul privat.

Cum am putea aborda mai bine vulnerabilitatea noastră cibernetică sistemică?

În primul rând, eforturile guvernamentale de consolidare a apărării ar trebui să se concentreze asupra sectorului privat, care construiește, deține, administrează și este responsabil pentru majoritatea infrastructurii noastre cibernetice. Sunt necesare stimulente mai bune pentru a îmbunătăți practicile și cultura de securitate. De asemenea, sunt necesare măsuri de descurajare care extrag un cost pentru a pune pe alții în pericol. Unele elemente în acest sens ar putea include:

• Standarde federale de securitate: aplicați standarde federale minime de securitate pentru software și dispozitive, la fel ca în cazul produselor de siguranță pentru consumatori. Producătorii se vor plânge, la fel ca și companiile auto cu reglementări de siguranță, dar progresul este puțin probabil fără eforturile de a construi componente mai sigure ale infrastructurii noastre cibernetice.
• Legea privind delictele: companiile care proiectează neglijent sisteme și dispozitive nesigure ar trebui să fie răspunzătoare. În prea multe cazuri, reducerea costurilor și eliminarea elementelor de securitate de bază îi pun pe toți în pericol. Producătorii de hardware și software au o responsabilitate specială în acest sens și nu ar trebui să poată transmite cu blândețe riscul cibernetic către milioane, fără teamă de consecințe.
• Partajarea informațiilor: informațiile despre amenințare trebuie să curgă fără probleme și instantaneu în rețelele private și publice, dar sunt împărțite în schimb de clasificare, interes comercial, restricții legale și înclinații culturale de ascundere în loc de distribuire. Ar trebui să existe o cerință federală pentru a raporta încălcările securității cibernetice. Rareori o singură companie este victima unui atac dat, iar cerințele solide de raportare ar putea ajuta la detectarea și atenuarea timpurie. Transparența încălcării ar stimula, de asemenea, bunele practici de securitate și ar oferi un avantaj competitiv companiilor care își protejează clienții și comunitatea cibernetică.

Ne aflăm într-un nou „Război lung”, un conflict cibernetic ambiental care se va desfășura de-a lungul deceniilor împotriva mai multor adversari. Acesta este un conflict în care cea mai bună infracțiune poate fi o bună apărare. Limitarea potențialelor daune pe care ni le pot impune adversarii, păstrând în același timp capacitatea de a provoca daune asimetrice, oferă cea mai bună speranță de a consolida securitatea națională a SUA și de a crea o lume de descurajare și reținere cibernetică. Sperăm că SolarWinds marchează punctul de inflexiune al unui pivot către o strategie cibernetică națională mai eficientă bazată pe apărare.

Un răspuns poate fi citit aici: „Răspunsul punitiv la SolarWinds ar fi înlocuit, dar descurajarea cibernetică mai contează” de Erica D. Borghard

Cipher Brief găzduiește briefinguri private cu cei mai experimentați experți din lume în securitate națională și globală. Deveniți membru astăzi.