Cięcia budżetowe w CISA mogą mieć wpływ na cyberbezpieczeństwo przedsiębiorstw

Cięcia budżetowe w CISA mogą mieć wpływ na cyberbezpieczeństwo przedsiębiorstw

Znacznik czasu: 30 października 2023 3:23
Węzeł źródłowy: 2963088

Wysiłki amerykańskiej Agencji ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury mające na celu zwalczanie dezinformacji na temat amerykańskich wyborów i infrastruktury wyborczej – co stanowi niewielką część jej ogólnej misji – mogą prowadzić do cięć budżetowych, które wpływają na dwa główne zadania CISA: ochronę sieci federalnych i pomaganie operatorom infrastruktury krytycznej przed cyberatakami.

W zeszłym miesiącu, połowa Republikanów w Izbie Reprezentantów głosowało za poprawką mającą na celu zmniejszenie finansowania CISA o 25%. W Senacie USA senator Rand Paul (R-KY) zablokował ustawodawstwo dotyczące cyberbezpieczeństwa co najmniej 11 razy w związku z obawami, że CISA i jej spółka macierzysta, Departament Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych (DHS), cenzurują wolność słowa.

Te wysiłki legislacyjne już utrudniają CISA wypełnianie swoich obowiązków, a wszelkie głębokie cięcia mogą zakłócić ciężko wypracowane postępy, mówi Josh Corman, były główny strateg grupy zadaniowej ds. COVID w CISA.

„Myślę, że cięcia byłyby dość katastrofalne” – mówi Corman. „Obserwujemy rosnącą gęstość ataków w 16 sektorach infrastruktury krytycznej. Powinni zwiększać budżet, aby poradzić sobie z tymi atakami, a nie ograniczać”.

Wśród swoich wysiłków CISA podjęła szeroko zakrojone działania skierowane do sektora prywatnego, producentów oprogramowania i firm zajmujących się cyberbezpieczeństwem. Agencja co miesiąc publikuje dziesiątki porad i wytycznych, m.in ostrzeżenie z września obejmujące operację oprogramowania ransomware Snatch jako usługi i prowadzi listę znane wykorzystywane luki w zabezpieczeniach stało się to dobrodziejstwem w ustalaniu priorytetów poprawek. CISA odegrała także ważną rolę we współpracy z branżą oprogramowania i społecznościami open source poprawić bezpieczeństwo oprogramowania open source, Nawet wypuszczając własne narzędzia dla cyberobrońców. Wreszcie agencja to zrobiła zaangażowana w pomoc w „dotarciu do bogatych i cyberbiednych” organizacji, Takie jak małe i średnie firmy oraz władze państwowe i lokalne.

Wszelkie cięcia w finansowaniu odwróciłyby historię obustronne zwiększenie budżetu dla CISA w ciągu pięciu lat jej istnienia. Na ostatni rok budżetowy Kongres przyjął budżet na rok 2.9 w wysokości 2023 miliarda dolarów, w porównaniu z 2 miliardami dolarów w 2020 roku. Administracja Bidena zażądała dla agencji 3.1 miliarda dolarów na rok 2024, przeznaczając około 58% środków dla Pionu Cyberbezpieczeństwa, około 25% na wsparcie misji i podstawowe usługi, 8% na integrację operacji z partnerami stanowymi, lokalnymi i plemiennymi oraz 6% na bezpieczeństwo infrastruktury, według pisemne zeznania złożone przez dyrektor CISA Jen Easterly do Komisji ds. Środków Izby Reprezentantów.

Ogólnie rzecz biorąc, CISA odniosła spory sukces w uruchamianiu programów i staniu się centralnym źródłem informacji dla rządu federalnego i sektorów infrastruktury krytycznej, mówi Benjamin Jensen, starszy pracownik w grupie Future War, Gaming, and Strategy w Center for Strategic i Studiów Międzynarodowych (CSIS).

„Nie lekceważcie nawet samych biurokratycznych wysiłków związanych z utworzeniem organizacji i dostosowaniem środków finansowych na budowanie siły roboczej, aby… zwiększyć liczbę prowadzonych przez nie działań w zakresie reagowania kryzysowego, infrastruktury krytycznej i ataków” – mówi. „Koordynacja międzyagencyjna była monumentalnym wyzwaniem”.

Infrastruktura krytyczna potrzebuje CISA

Ponieważ jego powstanie w 2018 rCISA musiała walczyć zarówno z zakorzenionymi kulturami biurokratycznymi, jak i napięty rynek pracy w zakresie cyberbezpieczeństwa - sił, które utrudniają jego wysiłki zmierzające do stania się centralnym repozytorium wiedzy o cyberbezpieczeństwie i centralnym dostawcą usług zarówno dla rządu federalnego, jak i operatorów infrastruktury krytycznej. W 2022 r. – stwierdziło Biuro Odpowiedzialności Rządu (GAO). że agencja zapewniła korzyści swoim zainteresowanym stronom, ale musi włożyć więcej pracy w poprawę wysiłków w zakresie ochrony infrastruktury krytycznej i usług w zakresie cyberbezpieczeństwa.

Nie wiadomo, jak duże cięcia budżetowe przeszkodziłyby agencji w skutecznych wysiłkach w zakresie doradztwa w zakresie cyberbezpieczeństwa, zarządzania lukami w zabezpieczeniach i bezpieczeństwa oprogramowania typu open source, ale brak funduszy z pewnością spowolniłby agencję w realizacji jej programów. Jest oczywiste, że zespoły ds. bezpieczeństwa korzystające z katalogu znanych luk w zabezpieczeniach (KEV) w ramach swoich programów zarządzania lukami w zabezpieczeniach lub polegające na narzędziach open source do ochrony przedsiębiorstwa mogą potencjalnie zostać naruszone, jeśli praca CISA zostanie ograniczona.

„Ponieważ nasz naród w dalszym ciągu stoi w obliczu złożonych i pilnych zagrożeń cybernetycznych, finansowanie na poziomach niższych od kwot, o które wnioskowała administracja, naraziłoby na poważne ryzyko bezpieczeństwo infrastruktury krytycznej, z której Amerykanie korzystają na co dzień” – mówi rzecznik CISA Avery Mulligan. „Doświadczenie CISA w połączeniu z naszą współpracą z władzami stanowymi, lokalnymi, plemiennymi i terytorialnymi, a także z sektorem prywatnym, znacznie poprawiło stan cyberbezpieczeństwa naszego kraju. To po prostu nie czas na ograniczanie naszej zdolności do wykonywania tej krytycznej misji”.

Obecnie postęp CISA wśród agencji federalnych i sektorów infrastruktury krytycznej jest znaczny, ale nierówny. Niektóre sektory, takie jak Departament Zdrowia i Opieki Społecznej oraz sektor opieki zdrowotnej, to „całkowita katastrofa” – mówi strateg Cormana. Jego zdaniem sektor ochrony środowiska oraz sektor żywności i rolnictwa dysponowały minimalnymi zasobami w zakresie cyberbezpieczeństwa.

„Zakładając 700 okupów rocznie dla szpitali, CISA będzie musiała zwiększyć wysiłki, aby pomóc je chronić” – mówi Corman. „Obniżka o 25% tylko jeszcze bardziej zwiąże ręce [Ameryki] za naszymi plecami. Jeśli będziemy potrzebować dalszych działań w wyznaczonych sektorach infrastruktury krytycznej – a tak się stanie – nie będziemy gotowi”.

Debata na temat przyszłości CISA

Pomimo konieczności dalszego wzmacniania cyberbezpieczeństwa Stanów Zjednoczonych przez CISA, agencja spotyka się z rosnącym sprzeciwem ze strony niektórych członków Kongresu, rozgniewanych oświadczeniami CISA potwierdzający uczciwość wyborów w 2020 r oraz wysiłki agencji mające na celu zwalczanie dezinformacji wyborczej.

„Zaangażowanie CISA w zwalczanie rzekomych fałszywych i dezinformacyjnych informacji, a także fałszywych informacji – prawdziwych informacji bez „wystarczającego” kontekstu – stanowi bezpośrednie i poważne zagrożenie dla zasad Pierwszej Poprawki” stwierdza raport wydany przez Select Subcommittee on the Weaponization of the Federal Government, grupę utworzoną w styczniu przez przedstawicieli Republikanów.

CISA uzyskała uprawnienia w zakresie bezpieczeństwa wyborów w ramach swoich obowiązków w zakresie infrastruktury krytycznej, a odpowiedzialność odziedziczyła po swoim poprzedniku, Dyrekcji Ochrony Narodowej i Programów, w następstwie Rosyjskie ataki na wybory w 2016 roku. Jednakże nadzorowanie fałszywych oświadczeń na temat wyborów prawdopodobnie nie należy do ich obowiązków, zwłaszcza jeśli zagraża to misjom operacyjnym agencji ze względu na hiperpartyjny charakter dzisiejszej polityki, mówi Corman.

„CISA przesadnie wyraziła jedno ze swoich zadań - w szczególności bezpieczeństwo wyborów - i niedostatecznie wyrażali swoją koncentrację na infrastrukturze krytycznej” – mówi. „Dezinformacja wydaje się dość odległa od infrastruktury krytycznej, a jeśli chodzi o treść pomysłów, trzymaj się od niej z daleka”.

Finansowanie jest częścią większego problemu

Utrzymanie odpowiedniego budżetu nie jest jedyną przeszkodą na horyzoncie dla CISA. Głównym wyzwaniem w dalszym ciągu pozostaje zatrudnienie i utrzymanie specjalistów ds. cyberbezpieczeństwa. Według najnowszych dostępnych danych z sierpnia 2022 r. w Dziale Cyberbezpieczeństwa CISA brakowało personelu o 38%, co stanowi większą różnicę w porównaniu z niedoborem wynoszącym 33% rok wcześniej. Raport z 2023 marca przez Biuro Generalnego Inspektora przy DHS.

Fundusze będą miały kluczowe znaczenie dla rozwiązania tego problemu i napełnienia rurociągu, mówi Jensen z CSIS.

„Załatali powódź cyberataków, ale teraz muszą zacząć przewidywać, gdzie będą kolejne, korzystając ze zintegrowanego środowiska danych w ramach wspólnego środowiska współpracy, a następnie dopasowując je do cyberataków, którzy faktycznie mogą się przedostać przed problemami” – mówi. „A więc więcej strażaków, mniej strażaków”.

Znak czasu:

Więcej z Mroczne czytanie