Säkerhetspolicy är kritisk infrastruktur

Reglerade organisationer behöver i allt högre grad behandla säkerhetspolicy som kritisk infrastruktur, enligt en analys som publicerats av TechRadar.

Ett samhällsviktigt system är ett system vars fel skulle orsaka oacceptabel skada för kunder, marknader eller den offentliga säkerheten. Betalningsplattformar i clearingbanker och SCADA-nätverk i eldistribution har därför de högsta kraven på styrning, däribland kontinuerlig övervakning, validerad ändringshantering och dokumenterad motståndskraft.

Policylandskapet för brandväggar, molnkontroller och mikrosegmentering avgör vilka system som kan kommunicera, vilka anslutningar som blockeras och vilka undantag som fortfarande gäller. En felkonfigurerad segmenteringsregel kan koppla bort en betaltjänst från dess avvecklingsplattform. En tillfällig regel som ger bred åtkomst från ett utvecklingsnät till produktionen kan finnas kvar i månader efter driftsättningen om ingen ansvarar för att ta bort den.

Artikeln hävdar att många organisationer fortfarande hanterar dessa miljöer som löpande administration. Regler samlas på hög genom ändringsärenden, ägarskapet blir otydligt och det ursprungliga syftet kan bara gå att hitta i ett ärende.

Brittiska regelverk kräver i allt högre grad löpande bevis på att åtkomsten är avsiktlig. FCA:s ramverk, Ofgem:s bedömning mot NCSC:s Cyber Assessment Framework och det planerade Cyber Security and Resilience Bill pekar i samma riktning.