Cingapura ajusta estratégia de segurança cibernética com ênfase OT
HomeSocial Media & InternetCingapura ajusta estratégia de segurança cibernética com ênfase OT
Cingapura ajustou sua estratégia de segurança cibernética para reforçar seu foco em tecnologia operacional (OT), oferecendo uma nova estrutura de competência para fornecer orientação sobre conjuntos de habilidades e competências técnicas necessárias para os setores da indústria de OT. O roteiro de cibersegurança nacional revisado também visa reforçar a postura geral de cibersegurança e fomentar a cooperação cibernética internacional.
A estratégia de segurança cibernética de 2021 também se baseará nos esforços para proteger a infraestrutura de informação crítica de Cingapura (CII) e outra infraestrutura digital, disse a Agência de Segurança Cibernética (CSA). A organização governamental disse que trabalharia com os operadores CII para aumentar a segurança cibernética dos sistemas OT, onde os ataques cibernéticos podem representar riscos físicos e econômicos.
A CSA define os sistemas OT para incluir o controle industrial, gerenciamento de edifícios e sistemas de controle de semáforos que abrangem o monitoramento ou alteração do "estado físico de um sistema", como o controle de sistemas ferroviários.
"Muitos sistemas OT são historicamente projetados para serem autônomos e não conectados à internet ou redes externas. No entanto, com a introdução de novas soluções digitais em sistemas OT para aumentar a automação e facilitar a coleta e análise de dados, isso introduziu novos riscos de segurança cibernética para o que costumava ser um ambiente operacional relativamente 'seguro' com entreferro ", disse.
Para lidar com esses riscos, observou, as empresas precisavam de uma estrutura da qual pudessem obter orientação sobre processos, estruturas e habilidades necessárias para gerenciar sua segurança cibernética de OT.
Chamado de OT Cybersecurity Competency Framework, é recomendado para fornecer uma "análise mais granular" e referência de habilidades de segurança cibernética e competências técnicas necessárias para os setores da indústria de OT. O objetivo é preencher as lacunas existentes no treinamento de cibersegurança da OT, de acordo com a CSA. Anteriormente, os proprietários de sistemas OT, incluindo aqueles em setores CII, recebiam orientação do Skills Framework for ICT, disponível no SkillsFuture Singapore, para identificar lacunas de habilidades e desenvolver planos de treinamento.
Desenvolvido em conjunto com a Mercer Singapore, a nova estrutura de segurança OT ofereceu roteiros de várias funções de trabalho e as correspondentes habilidades técnicas e competências essenciais necessárias. Tanto os proprietários de sistemas de OT quanto de TI podem consultar o guia de referência para fornecer treinamento adequado e traçar a progressão na carreira dos funcionários, enquanto os provedores de treinamento podem usá-lo para identificar as competências técnicas e certificações necessárias para apoiar as necessidades de treinamento local, disse a CSA.
Além disso, a CSA Academy hospedaria roadshows para ajudar as organizações a adotar a estrutura de segurança OT com base em seus requisitos de negócios.
O maior foco na cibersegurança OT estava alinhado com a estratégia de cibersegurança atualizada de Cingapura, anunciada no início desta semana. Ele detalhou os esforços para assumir uma postura mais proativa na abordagem de ameaças digitais, impulsionar a postura de segurança cibernética do país e promover normas e padrões internacionais de segurança cibernética.
Foco ajustado necessário para lidar com ameaças cibernéticas crescentes
Isso foi essencial em meio ao aumento da conectividade, digitalização e complexidade das ameaças cibernéticas, disse o Ministro Sênior e Ministro Coordenador da Segurança Nacional, Teo Chee Hean, na abertura da conferência na noite de terça-feira.
Teletrabalho, chamadas de vídeo, compras online e pagamento digital tornaram-se o "novo normal", à medida que as populações em todo o mundo se voltaram para as tecnologias online para lidar com as restrições físicas em torno da pandemia global. Isso proporcionou benefícios e oportunidades, e o impacto nos negócios, empregos e vidas seria permanente, disse Teo.
Ele acrescentou que, a cada dia, mais empresas e pessoas estavam se engajando no espaço digital e essas interações estavam se tornando mais difundidas. Novos aplicativos e serviços eram lançados todos os dias, e tecnologias como 5G, nuvem, Internet das coisas (IoT), inteligência artificial (IA) e análise de dados estavam levando a digitalização a um novo nível.
"Mas conectar mais pessoas, trazer novos serviços e implementá-los rapidamente traz riscos adicionais. Eles abrem uma superfície de ataque mais ampla e aumentam a probabilidade, o impacto e o custo de uma violação", disse Teo. "As estratégias para aumentar a segurança, por outro lado, visam inerentemente estabilidade, conservadorismo e redução de riscos. Instintivamente, os dois parecem mutuamente exclusivos. Esses são dilemas reais que todos nós enfrentamos."
As tensões geopolíticas agravaram ainda mais este cenário crescente, ameaçando bifurcar o mundo da tecnologia e aumentar os riscos digitais, disse o ministro. Referindo-se à Operação HAECHI-I, uma operação conjunta transnacional que visa cinco tipos de crimes financeiros cibernéticos, incluindo phishing de voz e lavagem de dinheiro, ele disse que mais de 1.600 contas bancárias vinculadas a esses crimes foram congeladas e US $ 83 milhões interceptadas.
Mais de 585 pessoas foram presas e pelo menos 890 casos resolvidos, disse ele, observando que a operação bem-sucedida demonstrou o que seria possível se a comunidade global trabalhasse em conjunto para tornar o espaço cibernético mais seguro e seguro.
De acordo com a Interpol, a Operação HAECHI-I envolveu policiais especializados em nove economias asiáticas, incluindo Cingapura, China, Indonésia, Coréia do Sul e Tailândia.
Ataques recentes à cadeia de suprimentos, incluindo a violação SolarWinds e Kaseya, também destacaram a urgência de Cingapura investir em seus recursos e reforçar a abordagem "confiar, mas verificar" em seus sistemas digitais, disse Teo. A necessidade de verificar e validar continuamente todas as atividades nas redes do país daria maior confiança para confiar em suas tecnologias e dispositivos digitais, afirmou.
Essas considerações impulsionaram a estratégia de segurança cibernética atualizada de Cingapura, que delineou sua abordagem para proteger seu ciberespaço mais amplo em um ambiente cada vez mais complexo, disse o ministro. Entre esses requisitos estava a necessidade de desenvolver e implementar padrões de segurança cibernética em nível nacional e elevar o padrão mínimo de segurança cibernética em produtos e serviços de TIC usados ​​pelo país.
Teo disse: "Um elemento-chave da estratégia revisada é ir além da proteção meramente de nossa infraestrutura crítica de informações e trabalhar para proteger nosso ciberespaço mais amplo, dado o uso cada vez mais amplo e interconectado da tecnologia digital em todos os domínios. Isso precisa ser sustentado pela construção organizacional desenvolvimento de capacidade e talento. "
A estratégia de segurança cibernética de Cingapura para 2021 reconheceu ainda a necessidade de construir consenso e aprofundar a colaboração, na qual procuraria defender uma ordem multilateral baseada em regras no ciberespaço e um ambiente de TIC interoperável.
Teo disse: "Por mais difícil que pareça, devemos trabalhar para chegar a um consenso sobre regras, normas, princípios e padrões. Dada a natureza sem fronteiras do domínio digital – alguns o compararam a um bem comum digital global – precisamos aspirar a um consenso global. Cingapura apóia a criação dessa ordem multilateral no ciberespaço. Os países precisam trabalhar juntos para desenvolver novos princípios, estruturas e padrões de governança para os bens comuns digitais para preservar a confiança e para que funcione bem e com segurança e com segurança para todos nós.
"A construção de consenso é crucial para manter um domínio digital aberto, seguro e interoperável", acrescentou.
Atualmente presidente do Grupo de Trabalho Aberto das Nações Unidas (ONU) sobre Segurança, de 2021 a 2026, Cingapura disse que iria contribuir e conduzir as discussões sobre as normas cibernéticas internacionais, bem como apoiar os esforços globais para aumentar as capacidades das nações de se protegerem contra ameaças cibernéticas. Aqui, acrescentou a CSA, Cingapura apelaria ao desenvolvimento e adoção de padrões de segurança cibernética para que um nível mínimo de segurança cibernética fosse implementado em produtos e serviços de TIC usados ​​por cidadãos e empresas.
No início desta semana, Cingapura assinou um acordo com a Finlândia para reconhecer mutuamente os rótulos de segurança cibernética de cada país para dispositivos IoT e ajudar os consumidores a avaliar o nível de segurança de tais produtos. Apresentando-o como o primeiro reconhecimento bilateral, Cingapura disse que a parceria visa reduzir a necessidade de testes duplicados.
A Asean também foi o primeiro grupo regional a subscrever, em princípio, as 11 normas voluntárias e não vinculativas de comportamento do Estado responsável no ciberespaço da ONU, observou Teo. Os Estados membros da Asean atualmente estão trabalhando para implementar essas normas e traduzir os princípios em resultados tangíveis, disse ele, acrescentando que a cooperação em nível regional é um importante alicerce e um trampolim para o consenso global.
"O ciberespaço transcende as fronteiras físicas e muitos sistemas abrangem diferentes países e jurisdições", disse ele. "Os países, portanto, precisam colaborar estreitamente para alinhar nossas abordagens políticas para lidar com e policiar as ameaças cibernéticas transfronteiriças. Também precisamos colaborar no nível operacional para responder às ameaças cibernéticas de forma rápida e coordenada."
A estratégia de segurança cibernética revisada de Cingapura para 2021 ocorre cinco anos após o primeiro plano desse tipo ter sido introduzido em 2016. No futuro, a CSA disse que iria "explorar a expansão" das regulamentações da Lei de Segurança Cibernética do país para incluir entidades e sistemas além das CIIs.