Az előző, bevezető poszt után lássuk a főbb fejleményeket!
A Colonial Pipeline incidens után néhány nappal elnöki rendelet került kiadásra (Executive Order on Improving the Nation’s Cybersecurity, 2021. május 12.). Ennek leglényegesebb elemei:
- áttérés az eddigi reagálás-centrikus stratégiáról a megelőzés-centrikusra
- a kormányzat és a magánszektor közötti információcsere érdemi fejlesztése, az ennek útjában álló szerződéses stb. akadályok lebontása,
- a magánszektorbeli vállalatok ösztönzése a szövetségi szintű intézkedések saját hatáskörben történő végrehajtására,
- a Zero Trust Architecture alkalmazása a kormányzati rendszerekben,
- a felhőszolgáltatások biztonságának növelése,
- a szövetségi beszerzések rendszerének átalakítása a kiberbiztonsági követelmények érvényesítése érdekében,
- a Nemzeti Közlekedésbiztonsági Testület mintájára a kormányzat és a magánszektor által közösen működtetendő Kiberbiztonsági Felülvizsgálati Bizottság létrehozása,
- szövetségi szintű eljárásrend kidolgozása a kiberincidensek kezelésére, továbbá a magánszektor ösztönzése az ebben foglaltak végrehajtására,
- az szövetségi rendszereket érintő incidensek észlelési képességének erősítése,
- a vizsgálati és helyreállítási képességek javítása.
Az elnöki rendeletben foglaltak széles sajtó és szakmai nyilvánosságot kaptak. Az elnöki rendelet mögött rejlő megfontolásokról a legátfogóbb képet talán a Center for Strategic & International Studies (CSIS) online eseménye adta, amelyen Anne Neuberger, a nemzetbiztonsági tanácsadó kibernetikai és új technológiákért felelős helyettese adott részletes tájékoztatást, majd az azt követő panelbeszélgetés egy részén is részt vett.
Hangsúllyal emelte ki, hogy a kormányzat elszánt abban, hogy a közbeszerzési feltételek megváltoztatásával kikényszerítse a jelenleginél lényegesen biztonságosabb hardver és szoftver eszközök beszerzését, továbbá ugyanerre ösztönözze a magánszektort is.
Miközben az amerikai szaksajtó alapvetően helyesnek tartja az eddig meghozott intézkedések irányát, addig ezeket többnyire még nem tartják elégségesnek a kívánt cél elérése szempontjából.
És mindezeket látva logikusan felvetődhetnek a hazai helyzetet érintő kérdések is (nem fontossági sorrendben). Pl.:
1. Megfelelő-e az ICS-eket érintő incidensekkel kapcsolatos hazai információáramlás?
2. A jelenlegi közbeszerzési szabályaink az ICS-ek vonatkozásában kellő súlyt adnak-e a kiberbiztonsági szempontoknak?
3. Indokolt lehet-e egy az állami és a magánszektor által közösen működtetett testület létrehozása az incidensek – közte ICS-eket érintők – vizsgálatára?
Örömmel vesszük és bátorítjuk, ha a fentiekkel kapcsolatos akár egyetértő, akár eltérő nézeteiteket nekünk küldendő üzenetben megosztjátok.
Megjegyzés: Bár a fentiek az USA-ban történtekre fókuszálnak, de örömmel vesszük, ha más országok idevágó történéseit (pl. India?), intézkedéseit is behozzátok a remélhetőleg meginduló virtuális párbeszédbe, mind a mai poszt, mind a későbbiek kapcsán.
Szívesen vesszük a fentiekre vonatkozó hozzászólásokat. Ezekre pl. újabb posztban reagálva akár érdemi szakmai eszmecsere is megindulhat.