Закон SOCI 2024: отчет Thales раскрывает критические нарушения инфраструктуры в Австралии

Согласно новому отчету, рост числа инцидентов с программами-вымогателями и внедрение искусственного интеллекта считаются потенциальными рисками для данных, с которыми сталкиваются организации критической инфраструктуры Австралии. Эта новость появилась в связи с вступлением в силу новых правил кибербезопасности в соответствии с Законом о безопасности критической инфраструктуры 2018 года в августе 2024 года.

В выпуске «Critical Infrastructure Edition» отчета об угрозах данным за 2024 год, подготовленном технологической организацией Thales, говорится, что число инцидентов с использованием программ-вымогателей в организациях, представляющих критически важную инфраструктуру, растет во всем мире — даже несмотря на то, что эти организации изучают приложения и риски для данных ИИ.

В разговоре с TechRepublic директор по безопасности данных Thales ANZ Эрик Рейес сказал, что злоумышленники с программами-вымогателями, скорее всего, будут нацелены на организации критической инфраструктуры, которые хранят критически важные данные. Он рекомендует использовать многоуровневый подход к безопасности, сделав его основополагающей частью разработки технологий.

Критически важные инфраструктурные организации жонглируют программами-вымогателями и искусственным интеллектом

В отчете Thales говорится, что 42% организаций критической инфраструктуры на всех исследованных мировых рынках были взломаны в какой-то момент в прошлом — на 7% меньше, чем во всех отраслях. За последние 12 месяцев было взломано всего 15% организаций, что ниже 22%, когда опрос проводился в 2021 году.

Число программ-вымогателей растет, но подготовка плохая

Двадцать четыре процента организаций критической инфраструктуры мира сообщили, что в прошлом они подвергались атакам программ-вымогателей, что на 4% больше, чем в 2022 году. Во всем мире только 15% опрошенных организаций имели официальный план реагирования на атаки программ-вымогателей, что на 5% меньше, чем во всех отраслях.

SEE: Как улучшение основ промышленной кибербезопасности может помочь в Азиатско-Тихоокеанском регионе

Утечки данных: часто являются результатом человеческой ошибки

Человеческие ошибки привели к 34% утечек облачных данных в критически важной инфраструктуре, что на 4% выше, чем в среднем по всем отраслям. Неспособность применить многофакторную аутентификацию к привилегированным учетным записям также была серьезной проблемой, вызывающей 20% нарушений, что на 6% выше, чем в других отраслях вместе взятых.

Внедрение ИИ происходит, несмотря на опасения по поводу рисков

Двадцать шесть процентов организаций критической инфраструктуры планируют интегрировать ИИ в свои основные продукты в следующем году. Thales заявила, что внедрение ИИ происходит, несмотря на то, что критическая инфраструктура больше всего обеспокоена (69%) управлением быстрыми экологическими и эксплуатационными рисками новой технологии.

Программы-вымогатели стали глобальной проблемой

Рейес сказал, что австралийские организации критической инфраструктуры, опрошенные в отчете 2024 Data Threat Report, наряду с другими участниками рынка, сообщили о схожих отзывах со своими глобальными коллегами. Это было особенно актуально, когда речь шла об угрозе программ-вымогателей.

По его словам, ценность данных, хранящихся в этих организациях, является основным стимулом для киберпреступников.

«Для организаций критической инфраструктуры в Австралии, имеющих дело с критически важными данными, они становятся главными целями для киберпреступников», — пояснил он.

Что «мешает большинству людей спать по ночам»

Внедрение ИИ также происходит среди организаций критической инфраструктуры в Австралии.

Рейес сказал, что большинство организаций критической инфраструктуры — от поставщиков телекоммуникационных услуг до компаний в транспортном и логистическом секторе — в последние годы инвестировали в технологии ИИ. Они стремились сделать свои операции более эффективными, добиться экономии средств и внедрять инновации, сказал он.

Стремление к инновациям побуждает организации быстро внедрять ИИ. Рейес сказал: «Готовы ли команды по кибербезопасности к тому, что грядет, — вот что не дает большинству людей спать по ночам».

Закон SOCI может помочь сделать австралийскую критическую инфраструктуру безопасной

Усиление регулирования может подтолкнуть австралийские организации критической инфраструктуры к повышению уровня безопасности.

Австралия представила новый Закон о SOCI в 2018 году.

В 2020 году в Закон о безопасности критической инфраструктуры 2018 года, который регулирует риски критической инфраструктуры в Австралии, были внесены поправки с целью расширения определения критической инфраструктуры на более широкий спектр отраслей, включая финансовые услуги, здравоохранение, высшее образование, а также хранение и обработку данных.

Кибербезопасность находится в центре внимания организаций в соответствии с Законом SOCI. Новые правила, введенные в августе 2024 года, требуют от объектов критической инфраструктуры создать и поддерживать систему кибербезопасности, соответствующую их уровню зрелости, для защиты данных в рамках более широкой программы управления рисками.

SEE: Стоит ли австралийским специалистам по кибербезопасности беспокоиться об атаках, спонсируемых государством?

Повышение планки соответствия затрудняет нарушения

В отчете Thales показана тесная взаимосвязь между достижениями в области соответствия и сокращением количества нарушений: среди респондентов, представляющих критически важную инфраструктуру, которые заявили, что не прошли аудит соответствия за последние 12 месяцев, 84% сообщили, что сталкивались с какими-либо нарушениями в своей истории.

Напротив, среди организаций критической инфраструктуры, которые не провалили аудит на соответствие, только 17% имеют историю нарушений, и только 2% были нарушены в течение последних 12 месяцев.

Могут быть реализованы дальнейшие улучшения безопасности.

Закон SOCI может означать более позитивные результаты безопасности для критической инфраструктуры. Рейес сказал, что некоторые менее операционные технологические отрасли, такие как финансовые услуги, лидируют в области защиты данных, в то время как более традиционные отрасли с операционными технологиями все еще догоняют.

Он добавил, что OT становится все более привлекательной целью для киберпреступников, поскольку операционные технологии все больше сливаются с IT. В то время как традиционные организации критической инфраструктуры находятся на пути к лучшей безопасности за счет большего объема знаний и осведомленности, Рейес предупредил, что «мы еще не достигли этой цели».

На чем должны сосредоточиться австралийские организации

По словам Рейеса, австралийские организации критической инфраструктуры должны сосредоточиться на безопасности.

«Они знают, что это важно; они знают, что им нужно делать; они знают, как выглядит хорошее кибермоделирование», — сказал он. «Теперь речь идет больше о том, как они становятся проактивными и спрашивают, как они могут сделать шаг вперед, чтобы, если что-то произойдет, они знали, что их критически важные активы могут быть защищены».

Интеграция безопасности как части будущего дизайна

DevSecOps предлагает ценную структуру для организаций, которые следует учитывать при рассмотрении как ИТ-, так и ОТ-аспектов критической инфраструктуры. Рейес подчеркнул, что нельзя недооценивать требования надлежащих практик безопасности на протяжении всего процесса.

Многоуровневый подход к безопасности CI

Хотя безопасность на периферии посредством управления идентификацией важна, Рейес сказал, что организациям критической инфраструктуры все больше придется думать многомерно о том, как защитить критические активы. Это начинается с понимания активов, которые они должны защищать, почему они должны их защищать, а затем с контроля этих рисков.

Рейес отметил, что риски, связанные с цепочками поставок, а также новые технологии, такие как искусственный интеллект или квантовые вычисления (области, в которых NIST недавно выпустил новые стандарты), являются факторами, которые поставщики критически важной инфраструктуры должны учитывать в рамках многоуровневого подхода.

Превращаем знания в проактивность

Отчет об угрозах данных 2024 года пришел к выводу, что предприятия критической инфраструктуры должны принимать упреждающие меры, которые они могут контролировать. Это может включать реализацию формальных мер реагирования на вымогателей для успешного соответствия аудиту.

«Новые технологии, такие как 5G, облачные технологии, IAM и GenAI, обещают новую эффективность при программировании в операциях CI», — говорится в отчете. «Более высокие ожидания и возросшие обязательства в отношении операционной устойчивости и надежности приведут предприятия к большей безопасности и меньшей уязвимости».