A Agência de Segurança Cibernética e Infraestrutura dos Estados Unidos (CISA), em colaboração com o Centro Australiano de Segurança Cibernética (ASD ACSC), o FBI e parceiros internacionais, lançou novas diretrizes conjuntas para fortalecer a resiliência de organizações de infraestrutura crítica (CI). O documento oficial, denominado CI Fortify, fornece recomendações acionáveis para ajudar as organizações a isolar rapidamente sistemas essenciais durante incidentes cibernéticos ativos ou disrupções geopolíticas.
O que mudou agora na estratégia de defesa
Em seu núcleo, as diretrizes do CI Fortify enfatizam a manutenção de serviços essenciais mesmo quando as redes primárias estão comprometidas. Isso inclui garantir que sistemas vitais de tecnologia operacional (OT), como os utilizados nos setores de energia, água, transporte e saúde, possam operar independentemente das redes corporativas de TI e conexões externas. A publicação marca uma mudança de paradigma de modelos puramente preventivos para abordagens orientadas à resiliência.
Identificação e mapeamento de ativos críticos
O documento delineia uma abordagem estruturada para identificar e priorizar "sistemas vitais", definidos como ativos críticos para segurança, entrega de serviços ou segurança nacional. As organizações são encorajadas a avaliar dependências, incluindo sistemas a montante e a jusante, para entender como as disrupções poderiam se propagar em cascata através das operações. O mapeamento de ativos é o primeiro passo crítico, exigindo que as equipes de segurança entendam a interdependência entre ambientes de TI e OT.
Medidas técnicas de isolamento e segmentação
O aviso conjunto fornece uma lista de verificação de medidas técnicas e operacionais para preparar as organizações para o isolamento de emergência. Entre as recomendações estão a implementação de mecanismos de isolamento seguros, como air-gapping, segmentação de rede ou procedimentos de desconexão controlada. É fundamental estabelecer pontos de separação claramente definidos entre sistemas vitais e redes menos críticas, garantindo que um comprometimento em uma área não se propague para outras.
Procedimentos manuais e preparação de pessoal
Além das medidas técnicas, as diretrizes destacam a importância de desenvolver e testar procedimentos de fallback manual para manter operações sem dependências digitais. Isso inclui garantir que o pessoal esteja treinado para executar protocolos de isolamento durante emergências. A preparação humana é tão crítica quanto a configuração técnica, pois a automação pode falhar ou ser comprometida durante um ataque avançado.
Casos de uso e implicações para o setor
Um exemplo de uso prático envolve um operador de rede elétrica que poderia isolar seus sistemas de supervisão e aquisição de dados (SCADA) das redes de TI corporativas durante um ataque de ransomware. Ao estabelecer previamente controles de segmentação e capacidades de override manual, o operador pode continuar entregando eletricidade enquanto as equipes de resposta a incidentes contêm a ameaça dentro de sistemas não críticos. A liberação ocorre em meio a um aumento de ataques cibernéticos direcionando infraestrutura crítica globalmente, incluindo mudanças de campanha em sistemas de controle industrial.
Repercussão e conformidade regulatória
Para líderes de cibersegurança, isso reforça a necessidade de integrar o planejamento de isolamento em estratégias de resposta a incidentes, arquiteturas de segurança OT e planejamento de continuidade de negócios. À medida que a pressão regulatória aumenta em setores críticos, adotar tais frameworks pode também apoiar a conformidade com mandatos de resiliência emergentes. Organizações podem acessar as diretrizes completas através dos recursos oficiais da CISA e ASD ACSC para começar a implementar essas estratégias de isolamento.
O que os CISOs devem fazer imediatamente
As organizações devem revisar seus inventários de ativos para identificar sistemas vitais e mapear suas interdependências. É crucial estabelecer pontos de separação claros e testar procedimentos de fallback manual regularmente. A segmentação de rede entre TI e OT deve ser reavaliada para garantir que não existam caminhos laterais não autorizados. A adoção do framework CI Fortify deve ser vista como um componente essencial da estratégia de resiliência cibernética corporativa.