Pentagon lager veikart for 'Zero Trust' Internett-tilgang innen 2027

Forsvarsdepartementet har endelig lagt frem sin plan for å beskytte sine cybernettverk etter år med løfte om å gjøre det til en forpliktelse.

Kontoret til Chief Information Officer slapp "The DoD Zero Trust Strategy" i november – som la ut beregninger og tidsfrister for avdelingen for å oppnå full null tillitsadopsjon innen 2027. Eksperter på nettsikkerhet sa at regjeringen og privat sektor burde samarbeide for å utnytte ressursene for å lykkes med å gå inn i det nye regimet.

"Fysiske cybertrusler mot kritisk infrastruktur er virkelig en av våre største nasjonale sikkerhetsutfordringer som vi står overfor i dag, og at landskapet vi har å gjøre med har blitt mer komplekst," Nitin Natarajan, visedirektør ved Cybersecurity and Infrastructure Security Agency, sa under et MeriTalk-arrangement i oktober.

Cyberangripere har flere ressurser enn de har tidligere, og det er billigere å gjøre mye skade på et usikkert system, sa han. Det er ikke bare ensomme ulvehackere, men nasjonalstater og cyberterrorister som kan utgjøre en trussel.

For eksempel har SolarWinds cyberangrep i 2019, som feide forbi forsvaret til tusenvis av organisasjoner, inkludert den føderale regjeringen, blitt knyttet til Russland-støttede operatører.

Den nye strategiens grunnleggende prinsipp er at behandling av organisasjoners sikkerhet som en vollgrav rundt et slott ikke holder dårlige aktører ute.

«Oppdrags- og systemeiere, så vel som operatører, omfavner i økende grad dette synet som et faktum. De ser også på reisen til [null tillit] som en mulighet til å påvirke oppdraget positivt ved å adressere teknologimoderniseringer, foredle sikkerhetsprosesser og forbedre operasjonell ytelse, heter det i dokumentet.

Null tillitskultur krever at hver person i et nettverk antar at det allerede er kompromittert og krever at alle brukere beviser identiteten sin til enhver tid.

Strategien lister opp teknologier som kan bidra til å dyrke et null tillitsmiljø som kontinuerlig multifaktorautentisering, mikrosegmentering, avansert kryptering, endepunktsikkerhet, analyser og robust revisjon.

Selv om disse forskjellige teknologiene kan brukes til å implementere denne grunnleggende forutsetningen, betyr det i hovedsak at "brukere gis tilgang til bare dataene de trenger og når det er nødvendig."

Strategien dreier seg om fire pilarer: akseptere kulturen med null tillit, operasjonalisere null tillitspraksis, akselerere nulltillit-teknologi og avdelingsomfattende integrasjon. Strategien bemerker at selv om IT-avdelinger over hele Pentagon kan trenge å kjøpe produkter, er det ingen funksjon som kan løse alle problemene deres.

"Mens målene foreskriver 'hva' skal gjøres for å fremme målet, foreskriver de ikke 'hvordan', da DoD Components kan trenge å gjennomføre mål på forskjellige måter," heter det i strategien.

For teknologisøylen krever Pentagons null-tillit-strategi at evner skal presses ut raskere samtidig som siloer reduseres. Evner som fremmer enklere arkitektur og effektiv datahåndtering er også viktig, ifølge dokumentet.

Mens mange metoder kan brukes for å autentisere brukere, krever integrasjonspilaren å lage en anskaffelsesplan for teknologier som kan skaleres avdelingsomfattende innen tidlig regnskapsår 2023.

En teknologiutvikling som allerede er i gang er Thunderdome, en kontrakt på 6.8 millioner dollar tildelt Booz Allen Hamilton tidligere i år. Teknologien vil beskytte tilgangen til Secure Internet Protocol Router Network, Pentagons klassifiserte informasjonssender, ifølge en pressemelding fra Defense Information Systems Agency.

Det vil ikke være mulig å komplettere alle eldre plattformer med teknologi som multifaktorautentisering, påpeker strategien. Tjenestene kan imidlertid implementere sikkerhetstiltak for disse mindre moderne systemene i mellomtiden.

Pilaren for sikring av informasjonssystem vil også kreve automatisering av kunstig intelligens-operasjoner og sikring av kommunikasjon på alle nivåer.

Automatisering av systemer er en viktig del av null tillit, sa Andy Stewart, senior føderal strateg i det digitale kommunikasjonsselskapet Cisco Systems og tidligere direktør ved Fleet Cyber ​​Command/US Tenth Fleet. Hvis prosessene bak null tillit ikke fungerer bra, kan folk slite med å bruke teknologien og ta i bruk null-tillit-tankegangen.

"Null tillit handler om å heve sikkerheten, men det betyr også: 'Hvordan opererer jeg mer effektivt?'" sa han. "Brukeropplevelsen bør få en stemme."

Mens strategien markerer et vendepunkt for innsatsen, startet Pentagon på veien med null tillit for år siden. Dens digitale moderniseringsstrategi for 2019 nevnte at null tillit var et fremvoksende initiativkonsept det "utforsket".

Å akseptere strengere cybersikkerhetstiltak gjennom null-tillit-tankegangen er noe Marine Corps har jobbet med gjennom utdanning og bevisstgjøring, sa Renata Spinks, assisterende direktør og nestleder informasjonssjef for informasjon, kommando, kontroll, kommunikasjon og datamaskiner og fungerende seniorinformasjon. sikkerhetsvakt.

"Vi bruker mye tid på å utdanne, for hvis folk vet hva de gjør og hvorfor de gjør det ... har det vært min erfaring at de vil komme ombord mye raskere enn å gjøre motstand," sa hun

2021-nulltillitsmandatet fra president Joe Bidens administrasjon var "en gave" fordi det ga begrunnelse for personell i Marine Corps som kanskje ikke har forstått nødvendigheten av noen av IT-initiativene, sa hun.

En vellykket implementering av null tillit vil redusere trusler mot noen av de mest kritiske typene evner som krigskrigere vil stole på i fremtiden: sky, kunstig intelligens og kommando, kontroll, kommunikasjon, datamaskin og intelligens.

Militæret trenger hjelp fra forsvarsentreprenører for å beskytte sensitive data, bemerket Spinks. Industrien kan hjelpe militærets IT-personell til å forstå hvordan de skal jobbe med typen data de skal levere og hvor mye militæret trenger tilgang.

"Null tillit vil ikke være null tillit vellykket hvis vi ikke får hjelp til å administrere identiteter," sa hun.

Marine Corps ansatt nylig en tjenestedataoffiser som kunne bruke innspill fra entreprenører om hvor mye tilgang militæret trenger for å finne ut de beste måtene å klassifisere og administrere tjenestens data, bemerket hun.

Å ha tilgang til sikre data hvor som helst vil hjelpe militære medlemmer og personell i forsvarsindustribasen som jobber utenom arbeidstid og på avsidesliggende steder, ifølge Pentagons strategi.

Presset for null tillit er forskjellig fra noen cybersikkerhetsinitiativer fordi det har muskler bak seg, la Spinks til. Ledelse har gitt retningslinjer og prosedyrer og er villige til å bli holdt ansvarlige, sa hun.

"Cybersikkerhet er ikke en billig satsing. Men jeg tror at det som virkelig driver den er den ondskapsfulle motstanderen og all aktivitet på tvers av ikke bare den føderale regjeringen, men til og med på statlig og lokalt nivå, sa hun.

Bedre cybersikkerhetspraksis vil også være nødvendig for å sikre forsyningskjeder, bemerket Natarajan. Å gjøre dem mer motstandsdyktige, spesielt innen kritiske teknologier som halvledere, har vært et fokus i Pentagon de siste årene.

"Vi vet at dette blir brukt av ondsinnede cyberaktører for å utnytte mye tredjepartsrisiko etter å ha gått etter en organisasjons forsyningskjede," sa han.

Det er en annen grunn til at regjeringen ikke kan jobbe alene, la han til.

"Når vi ser på dette, ser vi på dette ikke bare fra et sektorperspektiv, men ser også på dette fra nasjonale kritiske funksjoner," sa han.

CISA la ut ytelsesmål for cybersikkerhet for bedrifter å måle seg selv i oktober. Selv om resultatmålene ikke spesifikt siterer null tillit, er målene ment for bedrifter å bruke uavhengig av størrelse.

"Vi ser virkelig på at disse er den minste grunnlinjen for cyberbeskyttelse som vil redusere resten av kritiske infrastrukturoperatører," sa han. "Men på slutten av dagen, ved å gjøre det, påvirker vi også nasjonal sikkerhet og helsen og sikkerheten til amerikanere i hele nasjonen."

Privat sektor trenger på sin side statens investering i utdanning og ressurser for å bygge opp sin cyberarbeidsstyrke.

"Cyberspace involverer ikke bare maskinvaren og programvaren, teknologien, nettbrettene dine, iPhones, teknologien din, men det involverer mennesker. Folk utviklet cyberspace. Folk bruker cyberspace. Vi er i cyberspace, sa Kemba Walden, rektor underdirektør for National Cyber ​​Director's Office, under MeriTalk-arrangementet.

Den nasjonale cyberdirektørens kontor, som ennå ikke har full driftskapasitet, ble opprettet i 2021 for å ta ledelsen i cyberspørsmål på føderalt nivå, inkludert den første nasjonale cybersikkerhetsstrategien.

Like viktig som den brede strategien vil være det nasjonale arbeidsstyrke- og utdanningsdokumentet som vil bli utgitt etter cybersikkerhetsstrategien, sa Walden.

"Vi tok en titt og erkjente at omtrent 700,000 2022 amerikanske jobber med ordet cyber i det er ubesatt," sa hun. Dette tallet kommer fra markedsundersøkelsesfirmaet Lightcasts 2021-rapport basert på XNUMX-data.

"Som nasjonal cyber- og nasjonal sikkerhetsadvokat skremmer det meg," sa hun. "Det er en nasjonal sikkerhetsrisiko fra mitt perspektiv."

De siste årene har organisasjoner som Joint Cyber ​​Defense Collaborative og National Security Associations Cybersecurity Collaboration Center dukket opp for å måle behovene og samle inn tilbakemeldinger fra store bedrifter, sa hun.

"Dette er typene samarbeidsinnsats som jeg tror er nødvendig for å utvikle offentlig-privat samarbeid og informasjonsdeling generelt," sa hun.

Til syvende og sist risler fordelene med null tillit ned til krigsfighteren, ifølge dokumentet.

For eksempel er Pentagons felles kommando- og kontrollinnsats – som tar sikte på å koble sammen sensorer og skyttere mens du bruker kunstig intelligens for å ta avgjørelser – på at dataene er sikre. Hvis det faller i feil hender, kan ikke militære ledere oppnå informasjonsdominans, bemerker strategien.

«Vi må forsikre oss om at når ondsinnede aktører forsøker å bryte vårt nulltillitsforsvar; de kan ikke lenger streife fritt gjennom nettverkene våre og true vår evne til å levere maksimal støtte til krigsfighteren,” sa Chief Information Officer John Sherman i strategien.

Les hele historien her ...