CISA está dirigido a pequeñas empresas y gobiernos locales «ciberpobres»

Todos los días, los atacantes se dirigen a pequeñas empresas estadounidenses, colegios electorales, agencias gubernamentales locales, hospitales y sistemas de escuelas primarias y secundarias, pero la mayoría de estas organizaciones no tienen los fondos, o los recursos dedicados, para defenderse, o incluso para defenderse. saber si este es el caso será atacado.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) quiere ayudar a estos lugares «ciberpobres» a fortalecer sus defensas y responder más rápidamente a los ataques, dijo Jen Easterly, directora de CISA, a los asistentes a la sexta reunión anual. Hackear el evento del Capitolio en McLean, Virginia, el 10 de mayo. A medida que la agencia continúa trabajando con el gobierno, las grandes corporaciones y los proveedores de tecnología para mejorar la seguridad, CISA quiere ver cómo puede ayudar a las organizaciones más pequeñas a defenderse de las ciberamenazas.

El objetivo es comprender sus necesidades, lo que necesitan para invertir en seguridad y dónde CISA puede ayudarlos a defender sus habilidades, dijo Easterly.

«¿Cómo podemos ayudar a un distrito escolar? ¿Podemos ayudar a un pequeño hospital o servicio de agua… usando servicios gratuitos, usando evaluaciones, usando cosas como nuestra ciberhigiene, [and] «¿Escaneo de vulnerabilidades?», dijo. “¿Podemos ayudarlos a reducir las amenazas? Así que estamos tratando de pasar un año entero en eso y al final del año veremos si hemos hecho una diferencia».

El enfoque en organizaciones más pequeñas refleja el hecho de que a menudo se trata de PYME, agencias gubernamentales locales, etc. las escuelas fueron pasadas por alto y no incluidos en el impulso para crear organizaciones más resilientes. Los esfuerzos del gobierno para crear asociaciones público-privadas generalmente se han centrado en grandes corporaciones e industrias críticas, pero los atacantes, en particular las bandas de ransomware, han buscado grupos más pequeños que carecen de amplios recursos de ciberseguridad. Estos grupos son numerosos: el 99% de todas las empresas en los EE. UU. tienen 250 empleados o menos, según datos del censo de EE.UU..

“Realmente estábamos tratando de cambiar el paradigma de asociaciones público-privadas de décadas que, francamente, eran episódicas y unidireccionales y no eran necesariamente el tipo de mecanismo correcto que necesitábamos para defender el país”, dijo Easterly. La idea es que «el sector privado debe unirse con socios internacionales, con socios estatales y locales, para crear una alfombra de visibilidad que nos permita comprender mejor las amenazas y mitigar los riesgos para la nación».

Es hora de un marco de ciberseguridad más simple y fácil

Si bien el marco de seguridad cibernética publicado por el Instituto Nacional de Estándares y Tecnología (NIST) se considera el estándar de oro para crear el plan de seguridad cibernética de una organización, el documento es difícil de entender y de implementar, dijo Easterly. Por lo tanto, CISA ha instituido Objetivos de rendimiento de ciberseguridad (CPG), cuyo objetivo es establecer objetivos de menor costo y menor esfuerzo que las organizaciones pueden perseguir para mejorar su postura de ciberseguridad.

«No sabes cómo usar eso Marco de seguridad cibernética del NIST y entonces [if] «Si desea una guía mucho más simple, puede usar las CPG en un formato de lista de verificación y luego caracterizarlas por costo, complejidad y velocidad», dijo. «Los CPG realmente han ayudado porque, nuevamente, tienen una métrica más simple que esta. Las empresas pueden ayudar a reducir el riesgo».

Hay un enfoque particular en el ransomware, ya que muchas pequeñas empresas se han visto afectadas por el ransomware en los últimos cinco años. CISA ya ha desarrollado una alerta de vulnerabilidad piloto que le permite a la agencia escanear sistemas privados y proporcionar al propietario información sobre las vulnerabilidades en esos sistemas.

«Recibimos estos consejos y les hacemos saber, ‘Oye… tienes este ransomware, tienes estas cosas malas en tu red'», dijo. «‘Tienes que hacer algo al respecto lo antes posible'».

Las verdaderas amenazas aún no están claras

¿Cuál es la amenaza general para los ciberpobres? Quizás sorprendentemente, el gobierno no tiene respuesta. La estructura balcanizada de Internet, una mezcla de redes privadas, educativas y gubernamentales, significa que la visibilidad es limitada y nadie tiene una vista completa, dijo Easterly.

«La gran pregunta es cómo se mide realmente la reducción del riesgo, lo cual es difícil porque… no entendemos la totalidad de los eventos que existen», dijo. «Todo es anecdótico, no importa qué números haya, qué estudios haya, sea cual sea el proveedor, todo es solo una conjetura».

Por esta razón, a medida que avanzamos en un mundo donde la inteligencia artificial se utiliza como medio para consumir y filtrar datos, el nivel de información podría deteriorarse. alucinaciones de IA — Declaraciones de sistemas de aprendizaje automático, como modelos de lenguaje grande (LLM) y ChatGPTque suenan autoritarios, pero están equivocados.

Easterly señaló que la forma en que se diseñó Internet nunca fue responsable de la mayoría de las amenazas que enfrentamos hoy y que nuestro enfoque de la IA debe mejorar.

“Así que había un Internet lleno de virus, había redes sociales llenas de desinformación, y ahora tenemos una IA que es como un teniente de infantería, a menudo mal, nunca hay duda”, dijo. “Así que creo que debemos ser muy, muy cuidadosos al cometer algunos de los errores con la inteligencia artificial que hemos cometido con otras tecnologías”.