Pentagon skapar färdplan för "Zero Trust"-internetåtkomst till 2027

Försvarsdepartementet har äntligen lagt fram sin plan för att skydda sina cybernätverk efter år av löfte om att göra det till ett åtagande.

Office of Chief Information Officer släppte "The DoD Zero Trust Strategy" i november – som fastställde mätvärden och deadlines för avdelningen att uppnå full noll trust-antagande senast 2027. Cybersäkerhetsexperter sa att regeringen och den privata sektorn borde arbeta tillsammans för att utnyttja resurserna för att framgångsrikt gå in i den nya regimen.

"Cyberfysiska hot mot kritisk infrastruktur är verkligen en av våra största nationella säkerhetsutmaningar som vi står inför idag, och att landskapet som vi har att göra med har blivit mer komplext," Nitin Natarajan, biträdande direktör på Cybersecurity and Infrastructure Security Agency, sa under ett MeriTalk-evenemang i oktober.

Cyberangripare har mer resurser än de har tidigare, och det är billigare att göra mycket skada på ett osäkert system, sa han. Det är inte bara ensamvarghackare, utan nationalstater och cyberterrorister som kan utgöra ett hot.

Till exempel har SolarWinds cyberattack 2019, som svepte förbi tusentals organisationers försvar, inklusive den federala regeringen, kopplats till ryskstödda operatörer.

Den nya strategins grundprincip är att behandling av organisationers säkerhet som en vallgrav runt ett slott inte håller dåliga aktörer ute.

”Uppdrags- och systemägare, såväl som operatörer, anammar denna syn i allt högre grad som ett faktum. De ser också resan till [noll förtroende] som en möjlighet att positivt påverka uppdraget genom att ta itu med teknikmoderniseringar, förfina säkerhetsprocesser och förbättra operativa prestanda”, står det i dokumentet.

Noll förtroendekultur kräver att varje person inom ett nätverk antar att det redan är äventyrat och kräver att alla användare alltid bevisar sin identitet.

Strategin listar teknologier som kan hjälpa till att odla en miljö med noll förtroende, såsom kontinuerlig multifaktorautentisering, mikrosegmentering, avancerad kryptering, slutpunktssäkerhet, analys och robust revision.

Även om dessa olika tekniker kan användas för att implementera denna grundläggande premiss, betyder det i huvudsak att "användare ges tillgång till endast den data de behöver och när det behövs."

Strategin kretsar kring fyra pelare: att acceptera kulturen med noll förtroende, operationalisera nollförtroende-praxis, accelerera nollförtroendeteknologi och avdelningsövergripande integration. Strategin noterar att även om IT-avdelningar över hela Pentagon kan behöva köpa produkter, finns det ingen kapacitet som kan lösa alla deras problem.

"Medan målen föreskriver "vad" som ska göras för att främja målet, föreskriver de inte "hur", eftersom DoD-komponenter kan behöva genomföra mål på olika sätt," stod det i strategin.

För teknikpelaren kräver Pentagons nollförtroendestrategi att kapaciteter ska pressas ut snabbare samtidigt som silos minskar. Förmåga som främjar enklare arkitektur och effektiv datahantering är också viktiga, enligt dokumentet.

Även om många metoder kan användas för att autentisera användare, kräver integrationspelaren att man skapar en förvärvsplan för teknologier som kan skalas över hela avdelningen i början av räkenskapsåret 2023.

En teknikutveckling som redan pågår är Thunderdome, ett kontrakt på 6.8 miljoner dollar som tilldelades Booz Allen Hamilton tidigare i år. Tekniken skulle skydda åtkomsten till Secure Internet Protocol Router Network, Pentagons hemligstämplade informationssändare, enligt ett pressmeddelande från Defense Information Systems Agency.

Det kommer inte att vara möjligt att helt eftermontera alla äldre plattformar med teknik som multifaktorautentisering, påpekar strategin. Tjänsterna kan dock implementera skyddsåtgärder för dessa mindre moderna system under tiden.

Pelaren för säkra informationssystem kommer också att kräva automatisering av artificiell intelligens och säkra kommunikationer på alla nivåer.

Att automatisera system är en viktig del av noll förtroende, säger Andy Stewart, senior federal strateg på digitala kommunikationsföretaget Cisco Systems och tidigare direktör på Fleet Cyber ​​Command/US Tenth Fleet. Om processerna bakom nollförtroende inte fungerar bra, kan människor kämpa för att använda tekniken och anta nollförtroendetänket.

"Noll förtroende handlar om att höja säkerheten, men det betyder också 'Hur fungerar jag mer effektivt?'" sa han. "Användarupplevelsen borde få en röst."

Medan strategin markerar en vändpunkt för ansträngningen, började Pentagon på vägen mot noll förtroende för flera år sedan. Dess digitala moderniseringsstrategi 2019 nämnde att noll förtroende var ett framväxande initiativkoncept som det "utforskade".

Att acceptera mer rigorösa cybersäkerhetsåtgärder genom nollförtroendetänket är något som Marine Corps har arbetat med genom utbildning och ökad medvetenhet, säger Renata Spinks, biträdande direktör och biträdande informationschef för information, ledning, kontroll, kommunikation och datorer och tillförordnad seniorinformation säkerhetstjänsteman.

"Vi spenderar mycket tid på att utbilda, för om folk vet vad de gör och varför de gör det ... det har varit min erfarenhet att de kommer att komma ombord mycket tidigare än att göra motstånd," sa hon

2021 års nollförtroendemandat från president Joe Bidens administration var "en gudagåva" eftersom det gav motivering för personal inom marinkåren som kanske inte förstod nödvändigheten av några av IT-initiativen, sa hon.

En framgångsrik implementering av noll förtroende kommer att minska hoten mot några av de mest kritiska typerna av förmågor som krigskämpar kommer att förlita sig på i framtiden: moln, artificiell intelligens och kommando, kontroll, kommunikation, dator och intelligens.

Militären behöver hjälp av försvarsentreprenörer för att skydda känslig data, noterade Spinks. Industrin kan hjälpa militärens IT-personal att förstå hur man arbetar med den typ av data som de kommer att tillhandahålla och hur mycket militären kommer att behöva tillgång till.

"Noll förtroende kommer inte att vara noll förtroende framgångsrikt om vi inte får hjälp med att hantera identiteter," sa hon.

Marine Corps anställde nyligen en tjänstedataofficer som kunde använda input från entreprenörer om hur mycket åtkomst militären kommer att behöva för att ta reda på de bästa sätten att klassificera och hantera tjänstens data, noterade hon.

Att ha tillgång till säker data var som helst kommer att hjälpa militära medlemmar och personal i den försvarsindustriella basen som arbetar utanför kontorstid och på avlägsna platser, enligt Pentagons strategi.

Strävan efter noll förtroende skiljer sig från vissa cybersäkerhetsinitiativ eftersom det har muskler bakom sig, tillade Spinks. Ledarskap har tillhandahållit policyer och procedurer och är villiga att hållas ansvariga, sa hon.

"Cybersäkerhet är inte en billig satsning. Men jag tror att det som verkligen driver det är den onda motståndaren och all aktivitet över inte bara den federala regeringen, utan även på statlig och lokal nivå, säger hon.

Bättre cybersäkerhetspraxis kommer också att behövas för att säkra leveranskedjor, noterade Natarajan. Att göra dem mer motståndskraftiga, särskilt i kritiska teknologier som halvledare, har varit ett fokus på Pentagon de senaste åren.

"Vi vet att det här används av illvilliga cyberaktörer för att verkligen utnyttja en hel del risker från tredje part efter att ha gått efter en organisations försörjningskedja", sa han.

Det är ytterligare en anledning till att regeringen inte kan arbeta ensam, tillade han.

"När vi tittar på det här, tittar vi på det här inte bara från ett sektorperspektiv utan också från nationella kritiska funktioner," sa han.

CISA släppte prestationsmål för cybersäkerhet för företag att mäta sig själva i oktober. Även om prestationsmålen inte nämner noll förtroende specifikt, är målen avsedda för företag att använda oavsett deras storlek.

"Vi ser verkligen på att dessa är den minsta baslinjen för cyberskydd som kommer att minska resten av kritiska infrastrukturoperatörer," sade han. "Men i slutändan, genom att göra det påverkar vi också den nationella säkerheten och hälsan och säkerheten för amerikaner i hela nationen."

Den privata sektorn behöver i sin tur regeringens investeringar i utbildning och resurser för att bygga upp sin cyberarbetskraft.

"Cyberrymden involverar inte bara hårdvaran och mjukvaran, tekniken, dina surfplattor, dina iPhones, din teknik, utan det involverar människor. Människor utvecklade cyberrymden. Människor använder cyberrymden. Vi är i cyberrymden”, sa Kemba Walden, biträdande chef för National Cyber ​​Director's Office, under MeriTalk-evenemanget.

Den nationella cyberdirektörens kontor, som ännu inte har full operativ kapacitet, inrättades 2021 för att ta ledningen i cyberfrågor på federal nivå, inklusive den första nationella cybersäkerhetsstrategin.

Lika viktig som den breda strategin kommer att vara det nationella arbetskrafts- och utbildningsdokumentet som kommer att släppas efter cybersäkerhetsstrategin, sa Walden.

"Vi tog en titt och insåg att cirka 700,000 2022 amerikanska jobb med ordet cyber i det lämnas obesatta", sa hon. Den siffran kommer från marknadsundersökningsföretaget Lightcasts 2021-rapport baserad på XNUMX-data.

"Som nationell cyber- och nationell säkerhetsadvokat skrämmer det mig", sa hon. "Det är en nationell säkerhetsrisk ur mitt perspektiv."

Under de senaste åren har organisationer som Joint Cyber ​​Defense Collaborative och National Security Associations Cybersecurity Collaboration Center vuxit fram för att mäta behoven och samla in feedback från stora företag, sa hon.

"Det är de typer av samarbetsinsatser som jag tror är nödvändiga för att utveckla offentlig-privat samarbete och informationsdelning överlag," sa hon.

I slutändan sipprar fördelarna med noll förtroende ner till krigsfightern, enligt dokumentet.

Till exempel, Pentagons gemensamma kommando- och kontrollinsats för alla domäner – som syftar till att länka samman sensorer och skyttar samtidigt som man använder artificiell intelligens för att fatta beslut – förlitar sig på att denna data är säker. Om det hamnar i fel händer kan militära ledare inte uppnå informationsdominans, konstaterar strategin.

"Vi måste se till att när illvilliga aktörer försöker bryta mot vårt nollförtroendeförsvar; de kan inte längre ströva fritt genom våra nätverk och hotar vår förmåga att leverera maximalt stöd till krigsfightern”, sa Chief Information Officer John Sherman i strategin.

Läs hela historien här ...