Готов ли государственный сектор Австралии к крупному инциденту, связанному с кибербезопасностью?

Недавние расследования готовности федеральных правительственных учреждений Австралии к кибербезопасности выявили пробелы в готовности государственного сектора к кибератакам или серьезным утечкам данных, что побудило в 2024 году сосредоточиться на повышении их киберготовности.

Аудит двух правительственных агентств, Services Australia и AUSTRAC, опубликованный в 2024 году, показал, что эти агентства не очень хорошо подготовлены к восстановлению после серьезной кибератаки, в то время как предыдущее общеправительственное обследование выявило пробелы в некоторых областях киберзрелости агентств.

В Стратегии кибербезопасности правительства Австралии на 2023–2030 годы говорится, что федеральное правительство должно «придерживаться тех же стандартов, которых оно ожидает от промышленности». В 2024 году основное внимание Австралийского управления связи будет уделяться повышению квалификации в области кибербезопасности в государственных учреждениях.

Австралийские государственные учреждения не готовы к работе в условиях повышенной киберугрозы

Государственные учреждения Австралии являются основными целями киберпреступников из-за хранящихся у них данных. Например, в 2024 году Австралийское налоговое управление сообщило, что сталкивается с 4,7 миллионами атак в месяц из-за 50 петабайт хранящихся у него данных, в то время как данные значительного числа людей были скомпрометированы, когда в 2023 году был скомпрометирован оператор суперфонда Южной Австралии Super SA.

Атаки, которым подверглись государственные учреждения Австралии в 2022–2023 гг.

Официальная статистика, основанная на инцидентах, сообщенных в ASD, показывает, что государственные учреждения продолжают оставаться привлекательными целями для киберпреступников, с большим объемом атак. В 2022-2023 годах:

Примерно 31% инцидентов кибербезопасности, о которых было сообщено в Австралийское управление радиоэлектронной борьбы, были совершены австралийскими государственными организациями. Более 40% из них были скоординированными вредоносными кибератаками низкого уровня, направленными на федеральное правительство, государственные службы или регулируемую критическую инфраструктуру. Программы-вымогатели являются самой значительной угрозой киберпреступности, представляя значительный риск для австралийских государственных организаций, а также для предприятий и частных лиц.

SEE: Сможет ли Австралия когда-нибудь выбраться из нехватки специалистов по кибербезопасности?

Текущее состояние кибербезопасности государственных учреждений

В отчете ASD о состоянии кибербезопасности за 2023 год, в котором оценивается уровень зрелости всех государственных учреждений, указано, что «общий уровень зрелости всех организаций оставался низким в 2023 году». В отчете говорится:

25% организаций прошли самооценку на втором уровне зрелости по восьми основным стратегиям смягчения последствий ASD. Структура Essential Eight включает четыре уровня зрелости, при этом нулевой уровень зрелости является самым низким, а третий уровень считается лучшей практикой. Большинство организаций государственного сектора — 71% — оценили второй уровень зрелости стратегии смягчения последствий «Основной восьмерки» «Регулярное резервное копирование». Это указывало на потенциальную проблему с возможностью восстановления после серьезной кибератаки. Лишь 82% имели план реагирования на инциденты, хотя это улучшение по сравнению с 2022 годом. Из них 90% заявили, что их план последний раз обновлялся в течение последних двух лет, а 69% указали, что он вводился в действие не реже одного раза в два года.

Предыдущие проверки органов государственного сектора, включая Австралийскую федеральную полицию, Австралийское налоговое управление и Министерство иностранных дел и торговли, проведенные Австралийским национальным аудиторским управлением, также «выявили низкий уровень киберустойчивости организаций».

AUSTRAC и Services Australia выявили недостатки в кибербезопасности

В отчете ANAO по управлению инцидентами кибербезопасности в Services Australia и AUSTRAC, опубликованном в июне 2024 года, указано, что принятые ими меры являются лишь «частично эффективными», и ни одна из них не способна обеспечить непрерывность бизнеса или аварийное восстановление после серьезного инцидента кибербезопасности.

Службы Австралии, предоставляющие услуги и платежи гражданам, и AUSTRAC, отвечающие за пресечение преступных злоупотреблений финансовой системой, являются хранителями экономической или коммерческой информации, а также личной информации и классифицируются как национальная безопасность или критически важная инфраструктура.

АВСТРАК

В отчете ANAO установлено, что процедуры AUSTRAC, поддерживающие процессы восстановления после инцидентов, не включают безопасность и тестирование решений для резервного копирования, а также не содержат подробной информации о системах, приложениях и серверах, поддерживающих критически важные бизнес-процессы.

Кроме того, в нем не были подробно описаны обязанности CISO — его подход к непрерывному мониторингу и улучшению отчетности — или определены временные рамки для отчетности. Кроме того, в организации не было политики регистрации событий или документирования ее анализа всех событий кибербезопасности, что нарушало руководящие принципы ASD.

СМОТРЕТЬ: Директоров по информационной безопасности в Австралии призывают более внимательно изучить риски утечки данных

Услуги Австралия

Services Australia лишь «частично эффективна» в разработке процедур управления инцидентами кибербезопасности, не имея документированного подхода к оценке угроз и уязвимостей. Также не было временных рамок для сортировки и эскалации, и не было определенного подхода к расследованиям.

Агентство «частично внедрило эффективные процессы восстановления», включая регулярное резервное копирование. Однако в его планы вошли не все системы и приложения, поддерживающие критически важные бизнес-процессы, и агентство не проверяет возможность восстановления резервных копий.

Какова национальная стратегия кибербезопасности Австралии?

Правительство Австралии осознает необходимость повышения уровня готовности и устойчивости агентств к кибербезопасности. Например, в Стратегии кибербезопасности на 2023–2030 годы правительство пишет, что, будучи владельцем и оператором критической инфраструктуры и отвечая за хранение некоторых из наиболее конфиденциальных данных о людях, экономике и национальной безопасности Австралии, «правительство должно придерживаться тех же стандартов, которые оно предъявляет к промышленности».

В рамках стратегии правительство взяло на себя обязательства:

Повышение киберзрелости государственных департаментов и агентств. Выявление и защита критически важных систем в правительстве. Повышение кибернавыков австралийской государственной службы.

ASD заявило, что оно играет роль в усилении безопасности в государственных учреждениях в 2024 году, используя дополнительное финансирование. Это включает в себя внедрение большего количества технических возможностей в департаменты и предоставление большего количества экспертов для помощи учреждениям в укреплении своих сетей против киберпреступников.

Частный сектор требует повышения стандартов безопасности в государственном секторе

Частный сектор будет приветствовать шаги по улучшению кибербезопасности в государственном секторе.

В недавнем представлении правительству предлагаемых законодательных реформ в области кибербезопасности Технологический совет Австралии, представляющий технологическую отрасль, призвал правительство Австралии улучшить и защитить свои собственные практики и методы информационной безопасности. Это делается для того, чтобы любая информация, предоставляемая ей организациями частного сектора в рамках обязательных предложений по обмену информацией о киберинцидентах, происходила в безопасных средах и каналах передачи.

Amazon Web Services предложила правительству официально включить свою собственную критическую инфраструктуру и «системы государственного значения» в сферу действия Закона о безопасности критической инфраструктуры или другой законодательной базы.

«Это установит важные обязательные для исполнения критерии для правительства, — пишет AWS, — и пошлет важный сигнал отрасли о том, что правительство действительно видит себя равноправным партнером в деле кибермодернизации страны».