Australian hallitus valmistelee suunnitelmia kyberturvallisuuslakien ja -määräysten uudistamiseksi maata järkyttäneiden haitallisten korkean profiilin tietomurtojen sarjan jälkeen.

Hallituksen virkamiehet julkaisivat äskettäin niin kutsutun kuulemisasiakirjan, jossa hahmoteltiin erityisiä ehdotuksia ja pyydettiin yksityiseltä sektorilta palautetta julistetussa strategiassa, jolla kansakunta asetetaan kyberturvallisuuden johtajaksi maailmassa vuoteen 2030 mennessä.

Sen lisäksi, että Australian lainsäätäjät pyrkivät korjaamaan olemassa olevien tietoverkkorikoslakien puutteita, ne toivovat voivansa muuttaa maan elintärkeiden infrastruktuurien turvallisuutta (SOCI) koskevaa lakia 2018 painottaakseen entistä enemmän uhkien ehkäisyä, tiedon jakamista ja kyberonnettomuuksiin reagoimista.

Heikkoudet Australian kyberonnettomuuksien reagointikyvyssä paljastuivat syyskuussa 2022 tapahtuneessa tietoliikennepalveluntarjoaja Optuksen kyberhyökkäyksessä, jota seurasi lokakuussa kiristysohjelmapohjainen. hyökkäys sairausvakuutusyhtiö Medibankiin.

Sen jälkeen paljastettiin miljoonia arkaluontoisia tietueita, mukaan lukien ajokorttien biometriset tiedot ja passikuvat hyökkääjät kaavisivat Optus-tietokannan sisältää kuluttajatietoja; the Medibankin rikkominen paljasti miljoonia potilaiden terveystietoja.

"Molemmat rikkomukset johtuivat perusvirheistä ja huonosta kyberhygieniasta, joten ne olivat vältettävissä", sanoo Qualys Australian ja Uuden-Seelannin tekninen turvallisuusjohtaja Richard Sorosina.

Australian kybersietokyky joutui tuskallisen tarkastelun kohteeksi marraskuussa 2023, kun valtakunnallinen sähkökatkos jätti Optuksen kiinteän verkon ja matkapuhelimen. asiakkaita, joilla ei ole Internet-yhteyttä. Katkos johtui Border Gateway Protocol (BGP) -reititystaulukon päivityksen ongelmasta.

Sitten tapahtui massiivinen kyberhyökkäys päiviä myöhemmin merenkulkualaan, joka johti pitkiä häiriöitä neljässä Australian satamassa.

Kyberstrategian uudistus

Kyberhyökkäykset Optukseen, Medibankiin ja maan satamiin olivat erittäin julkisia tapauksia, jotka vaikuttivat kansalaisiin ja yrityksiin, mikä nosti kyberturvallisuuden korkeammalle maan poliittisella asialistalla. Vastauksena Australian hallitus tarkisti kyberturvallisuusstrategiaansa ja käynnisti kuulemisprosessia lainsäädäntö- ja sääntelyuudistuksista.

Clare O'Neil, Australian kyberturvallisuusministeri sanoi lausunnossaan että hallitus on sitoutunut työskentelemään yksityisen sektorin kanssa "julkisen ja yksityisen sektorin kumppanuuden uudelle aikakaudelle Australian kyberturvallisuuden ja sietokyvyn parantamiseksi".

Australian uusi ehdotettu kyberturvallisuuslainsäädäntö kattaa laajan joukon toimenpiteitä, mukaan lukien turvallisten by-design-standardien pakottaminen esineiden internetin (IoT) laitteille, lunnasohjelmien raportointisäännön luominen, "rajoitetun käytön" velvoitteen luominen tapahtumien tietojen jakamiseen ja kansallinen kyberonnettomuuksien arviointilautakunta.

Myös esityslistalla: kriittisen infrastruktuurin turvallisuutta koskevan lain 2018 uudistukset, joilla pyritään korjaamaan viimeaikaisten tietomurtojen paljastamia kyberturvallisuuden puutteita.

Näihin tarkistuksiin sisältyy määräysvaltaisempien ohjeiden tarjoaminen kriittisille teollisuudenaloille, kuten yleishyödyllisille palveluille ja televiestinnälle, tiedon jakamisen yksinkertaistaminen, riskienhallintaohjelmien ohjeiden antaminen ja tietoliikennesektorin turvallisuusvaatimusten vahvistaminen kriittisen infrastruktuurin SOCI-lain mukaisesti.

Casey Ellis, Bugcrowdin perustaja, puheenjohtaja ja strategiajohtaja, sanoo, että Australian hallitus tekee oikeita toimenpiteitä. "[Kyberturvallisuusstrategian] kuulemisasiakirja käsittelee IoT-turvallisuutta, kiristysohjelmien raportointia, tapausten jakamista ja kriittisen infrastruktuurin hallintaa, raportointia ja vastuullisuutta, jotka ovat kaikki varmasti pehmeitä Australian politiikassa", Ellis sanoo.

Iso maa, suuret kyberturvallisuushaasteet

Australian pelkkä laajuus vaikeuttaa kriittisen infrastruktuurin suojelemista erityisesti strategisilla aloilla, kuten kaivosteollisuudessa, joka on hyvin hajallaan ja jonka toimipaikat sijaitsevat syrjäisillä alueilla.

Samaan aikaan kaivos-, merenkulku- ja muut laitokset luopuvat vanhoista teknologioista ja ottavat käyttöön Internetiin liitetyt ja IoT-tekniikat hallitakseen ja valvoakseen infrastruktuuriaan tehokkaammin. Mutta tämä digitaalisen muutoksen syleily on usein jättänyt vanhat laitteet alttiin kyberuhkille.

"Varmistaakseen, että Australian satamiin kohdistuvan kaltaiset hyökkäykset pysyvät eristyksissä yleisten tapausten sijaan, hallitus tutkii perustellusti kriittistä kansallista infrastruktuuripolitiikkaa koskevaa lainsäädäntöä ja odottaa muilta mailta oppia siitä, kuinka suojata lisääntyneet hyökkäyspinnat. IT/OT-konvergenssista pois”, sanoo Shane Read, Goldilockin CISO, fyysisen kyberturvallisuuden aloitusyritys.

Australialla ei kuitenkaan ole tarpeeksi mittakaavaa eikä väestöä selviytyäkseen yksin – joten riippumattomien asiantuntijoiden mukaan on järkevää viitata tunnettuihin, maailmanlaajuisiin standardeihin aina kun mahdollista.

"Australia on pyytänyt Yhdistyneeltä kuningaskunnalta/USA:lta/EU:lta neuvoja kyberturvallisuuspolitiikan suhteen", toteaa Qualysin Sorosina.

Kuten monet muutkin maat, Australia kamppailee kuroakseen umpeen kyberturvallisuuden osaamisvajetta.

Phillip Ivancic, Synopsys Software Integrity Groupin APAC-ratkaisujen johtaja, sanoo, että koska väestö on pieni suhteessa talouden kokoon, Australiassa on "valtava pula ammattitaitoisista insinööreistä ja kyberturvallisuuden asiantuntijoista".

"Siksi hallituksen pyrkimys olla säätelevämpi ja tarjota todellista standardeihin perustuvaa ohjausta sekä pakottaa muutos mandaattien kautta on tervetullut", Ivancic sanoo. "Meillä ei yksinkertaisesti ole mittakaavaa omin voimin, ja jo laajalti käytettyjen kansainvälisten standardien pakottaminen on oikea lähestymistapa."

Ivancicin mukaan hallituksen politiikkaehdotuksista puuttuu keskeisiä elementtejä, kuten ohjelmistojen toimitusketjujen valvonta, kuten ohjelmistojen materiaalilaskut, joissa luetellaan komponentit, jotka muodostavat sovelluksia. Se on "räikeä aukko", hän sanoo.

Suuret kyberturvallisuussijoitukset

Tie kyberturvalliseksi kansakunnaksi ei ole pelkästään hallituksen vastuulla. Australian yksityinen sektori tunnustaa oman etunsa kyberturvallisuuskäytäntöjen parantamiseksi ja tekee myös valtavia investointeja tietoturvakäytäntöjen parantamiseen.

Australialaiset organisaatiot käyttävät yli 7.3 miljardia Australian dollaria tietoturva- ja riskienhallintatuotteisiin ja -palveluihin vuonna 2024, mikä on 11.5 % enemmän kuin vuonna 2023. Gartnerin mukaan. Pilvitietoturva kasvaa eniten ja nousee 248 miljoonaan Australian dollariin (26.9 % vuoden takaisesta).

Kulutuksen kasvu johtuu korkean profiilin kyberhyökkäyksistä ja lisääntyneistä sääntelyvelvoitteista, Gartner kirjoitti.

BugCrowd's Ellis uskoo, että Australian pyrkimys tulla kyberturvallisuuden johtajaksi on saavutettavissa. "Australia on aina ollut keksijöiden ja sääntöjen rikkojien kansakunta, ja uskon, että tavoite tulla maailman johtavaksi kyberturvallisuuden toimittajaksi on saavutettavissa, vaikka se onkin kunnianhimoinen."

• SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
• PlatoData.Network Vertical Generatiivinen Ai. Vahvista itseäsi. Pääsy tästä.
• PlatoAiStream. Web3 Intelligence. Tietoa laajennettu. Pääsy tästä.
• PlatoESG. hiili, CleanTech, energia, ympäristö, Aurinko, Jätehuolto. Pääsy tästä.
• PlatonHealth. Biotekniikan ja kliinisten kokeiden älykkyys. Pääsy tästä.
• Lähde: https://www.darkreading.com/cyber-risk/australian-government-doubles-down-on-cybersecurity-in-wake-of-major-attacks