Abstract: Pensar na Tecnologia Operacional (TO) como uma extensão da TI fornecerá uma imagem consolidada da sua infraestrutura.
Este artigo divide-se em duas partes:
Na Parte 1, vamos falar sobre as falhas na tentativa de aplicar as melhores práticas confiáveis de segurança cibernética de TI no ambiente de Tecnologia Operacional (TO).
Na parte 2, falaremos sobre como resolver lacunas de segurança da TI-TO, eliminando complexidades para simplificar a governança.
A maioria das empresas da Fortune 500 conta com o apoio de seu conselho de administração e o orçamento para fortalecer a segurança de suas redes de TO. No entanto, quando eles começam a criar um programa de segurança, logo percebem que o alinhamento entre as equipes de TI e TO não existe. A desconexão é refletida de duas maneiras principais:
• A primeira fonte de desalinhamento deriva da própria lógica de segurança da informação. A famosa tríade de confidencialidade, integridade e disponibilidade (CIA), pois as equipes de TI e TO priorizam esses três princípios de maneira diferente. As equipes que gerenciam a segurança da informação geralmente priorizam a confidencialidade dos dados, em vez da integridade e disponibilidade, enquanto as equipes que executam redes TO priorizam a disponibilidade, deixando em segundo plano a integridade e confidencialidade. Para avançar na redução dessa lacuna de segurança TI-TO, devemos respeitar essas prioridades. O risco de interrupção e tempo de inatividade na implementação de um novo controle de segurança, atualização de patch ou sistema não é obrigatório para as equipes de TO. Sem mencionar que fazer alterações em sistemas multimilionários que executam ambientes de produção, geralmente anula garantias e gera indisponibilidade.
• A outra desconexão é resultado de equipes e esforços isolados. À medida que as grandes organizações começam a se concentrar em proteger suas redes TO, geralmente vemos muitas equipes diferentes trabalhando no projeto, mas cada uma de uma perspectiva diferente. Por exemplo, pode haver uma equipe de engenharia encarregada de obter informações sobre ativos de redes TO; uma segunda equipe de segurança de rede encarregada de monitorar essas redes; e uma terceira equipe, encarregada do gerenciamento de vulnerabilidades. Devido à urgência, todos estão sempre com muitas atividades e não estão bem orquestrados. Cada um deles está procurando ferramentas para ajudá-los em seus casos de uso específicos e, como não estão coordenando entre si, não estão percebendo que geralmente a mesma tecnologia pode ser aplicada a vários casos de uso. Quando não há coordenação central, de tomada de decisão ou orçamento, ninguém pensa na plataforma de segurança de maneira holística. Isso dilui o benefício e o valor de quaisquer investimentos feitos para fortalecer a segurança da informação.
A boa notícia é que a maioria das organizações está começando com uma lista em branco e pode criar o programa de segurança TO sem se preocupar com a tecnologia de segurança existente. Isso significa que pode-se priorizar casos de uso mais importantes e implementá-los.
Outra boa notícia é que as redes TO são projetadas para se comunicar e compartilhar muito mais informações do que as normalmente disponíveis nos componentes de TI – coisas como a versão do software em execução, firmware, números de série, slots de placa de rede e muito mais. Como o tráfego de rede TO fornece todas as informações de segurança necessárias para monitorar ameaças e vulnerabilidades, pode-se alcançar alcançar os principais casos de uso com a mesma tecnologia – não sendo necessário utilizar ferramentas separadas. Uma solução única, já testada e implementada, sem agente para visibilidade de ativos e monitoramento contínuo de ameaças, atende aos objetivos de várias equipes e pode ser implementada sem interromper a produtividade ou causar indisponibilidade.
Simplificar a governança
Muitas organizações lutam para incorporar novos processos e governança de TO à sua estrutura de TI existente. Algumas organizações criam processos de governança separados da TI porque assumem que precisarão de diferentes conjuntos de habilidades e ferramentas. Essa abordagem não é aconselhável por vários motivos, incluindo:
• É difícil e dispendioso encontrar e contratar especialistas em segurança de TI.
• Os agentes maliciosos não veem a TI e TO separadas. Os ataques estão interligados, não importando se a falha ocorrer pelo SOC equipe A ou pelo SOC equipe B.
• Recriar processos de governança e duplicar os esforços de coordenação desperdiçam tempo e esforço.
A melhor prática mais comum é centralizar a responsabilidade e a prestação de contas para proteger o ambiente do AT com o CISO. Pensando na sua rede OT como uma extensão da sua rede de TI e analisando a governança e os processos de forma holística, você obtém uma imagem consolidada da sua infraestrutura de tecnologia.
A solução de segurança TO eleita, deve também ser passível de uma abordagem holística, o que significa que ela deve se integrar igualmente bem ao seu ecossistema de sistemas e fluxos de trabalho e TO e de TI. Ela deve também traduzir seus conhecimentos das redes TO para analistas do SOC de TI, para que o conjunto de informações e de habilidades sejam múltiplos, não sendo necessário contratar um analista SOC TO.
Com o CISO (Chief Information Security Officer) como ponto focal, um único SOC e uma única solução em gestão para as equipes de TI e TO, você otimiza recursos, talentos, orçamento e tempo. Você também ganha continuidade frente a incidentes e ataques, para poder governar com os mesmos processos e métricas.
Eliminar a complexidade através do alinhamento das equipes de TI e TO e simplificar a governança são recomendações que a meu ver, ajudam a corrigir lacunas de segurança de TI-TO. Essas recomendações são focadas na gestão, através de remoção de barreiras, para que as organizações possam avançar rapidamente, protegendo seus ativos, patrimônios e negócios, contra ataques que evoluem a cada dia, em suas abordagens e contra as redes TO.
Então, comece logo!
I must show some thanks to you just for rescuing me from this type of situation. Just after researching through the world wide web and seeing basics which are not productive, I believed my entire life was gone. Being alive without the presence of solutions to the issues you’ve sorted out by way of your guideline is a crucial case, and the kind which could have adversely affected my entire career if I hadn’t come across your web blog. Your good capability and kindness in maneuvering a lot of things was very useful. I’m not sure what I would have done if I had not come upon such a point like this. I am able to at this moment relish my future. Thanks so much for the reliable and amazing guide. I will not think twice to refer your web page to any individual who requires guide on this subject.
I wanted to draft you this little bit of remark so as to give thanks yet again for these lovely strategies you’ve documented in this article. It’s simply surprisingly open-handed of you to provide unreservedly what exactly a number of us might have advertised as an ebook in order to make some cash for their own end, certainly considering that you might have tried it in case you decided. These basics additionally acted to be the good way to fully grasp other people have similar desire the same as mine to grasp great deal more with regard to this issue. I believe there are a lot more pleasurable occasions up front for individuals who take a look at your site.
I simply wished to appreciate you once more. I am not sure the things that I might have accomplished without the suggestions shown by you about this topic. It seemed to be an absolute traumatic problem for me personally, however , noticing the specialised avenue you handled that made me to weep for gladness. I’m happier for your advice and as well , trust you are aware of a powerful job you’re getting into instructing other individuals using your web blog. I know that you haven’t got to know all of us.
I wanted to put you that very small note so as to thank you yet again on the beautiful opinions you’ve featured on this website. It was certainly pretty generous of people like you to make openly what exactly many people would have made available as an e-book in making some dough on their own, chiefly considering the fact that you could possibly have tried it in the event you considered necessary. These strategies additionally acted to become good way to be sure that other people have the identical zeal just as my personal own to learn much more in regard to this condition. Certainly there are some more pleasurable moments in the future for individuals who find out your site.
I have to get across my passion for your kindness in support of men and women who need help on your concept. Your real dedication to getting the solution along appears to be exceptionally significant and has continually allowed somebody much like me to attain their goals. The important guidelines indicates a lot to me and far more to my mates. Best wishes; from all of us.
Thanks a lot for providing individuals with a very pleasant possiblity to read critical reviews from this web site. It is usually so pleasing and jam-packed with fun for me and my office co-workers to search the blog at minimum three times weekly to read through the latest issues you have got. Not to mention, I’m just actually contented with all the mind-boggling information served by you. Certain 2 ideas in this article are completely the most efficient I’ve ever had.
I wanted to send you one little word to be able to say thank you once again for those wonderful suggestions you have contributed on this site. It is quite strangely open-handed with people like you to convey extensively all a few individuals would’ve marketed as an e book to help with making some cash for themselves, precisely since you could possibly have done it in the event you considered necessary. These creative ideas in addition served as a easy way to understand that other people online have a similar passion the same as my own to see somewhat more concerning this issue. I’m sure there are a lot more pleasant times ahead for individuals who read your blog.
Thank you for your entire labor on this website. My mum take interest in carrying out research and it’s easy to see why. I know all concerning the compelling form you provide effective information through this blog and as well as welcome participation from other people on this theme plus our own child is without question understanding so much. Take pleasure in the rest of the new year. Your doing a really good job.
I needed to write you the bit of word to finally give many thanks yet again relating to the awesome basics you have contributed in this case. This has been certainly pretty open-handed of you to present easily precisely what a few people would’ve distributed for an e-book to make some money on their own, mostly considering that you might have done it if you wanted. These tricks also acted to become great way to fully grasp other people have the same dreams much like mine to know the truth very much more pertaining to this condition. I’m certain there are lots of more pleasurable situations in the future for individuals who check out your blog post.