Os ataques cibernéticos contra órgãos federais são uma ameaça persistente e em constante evolução, que exige uma resposta cada vez mais sofisticada. O uso crescente de ambientes móveis e em nuvem, aliado ao aumento sem precedentes do número de trabalhadores remotos, tornou os órgãos mais vulneráveis à ameaça de hackers, fraudadores e agentes estatais mal-intencionados que têm como alvo a ampla presença on-line do governo federal. O lançamento de uma versão atualizada da política de Conexões Confiáveis com a Internet (TIC 3.0) coloca os órgãos em uma posição mais favorável para enfrentar esses novos desafios de risco.
Um dos principais objetivos da TIC 3.0 é facilitar o avanço dos órgãos rumo à modernização, incluindo uma adoção mais ampla da nuvem e o suporte a trabalhadores remotos que utilizam vários dispositivos. Se o seu órgão está avançando de forma significativa nessas áreas, este seria um excelente momento para considerar a atualização da sua abordagem de segurança com base nas diretrizes da TIC 3.0.
Atualizações do TIC 3.0
A iniciativa TIC, lançada em 2007, foi um passo importante para a segurança cibernética federal, estabelecendo uma estrutura de controles de segurança, análises, governança e práticas de SDLC de aplicações. A TIC 3.0 representa as diretrizes mais recentes para a implantação de arquiteturas seguras, flexíveis e escaláveis, levando em consideração aspectos que vão além da tecnologia de infraestrutura.
As três agências responsáveis pela supervisão da iniciativa — o Escritório de Gestão e Orçamento (OMB), a Agência de Segurança Cibernética e de Infraestrutura (CISA) do Departamento de Segurança Interna (DHS) e a Administração de Serviços Gerais (GSA) — declararam que o objetivo da TIC 3.0 é proteger dados, redes e perímetros federais, proporcionando, ao mesmo tempo, visibilidade sobre o tráfego das agências, incluindo as comunicações em nuvem. Entre as principais melhorias estão orientações mais flexíveis e casos de uso reais para atender à necessidade de abordagens alternativas à segurança de rede tradicional.
Atualmente, há quatro casos de uso — TIC tradicional, nuvem, filiais e usuários remotos — que permitem às agências viabilizar novas soluções de tecnologia da informação adequadas ao ambiente de trabalho em constante transformação. As versões anteriores da TIC não abordavam de forma eficaz o trabalho remoto, embora ele tenha se tornado uma prática cada vez mais comum no ambiente de trabalho. A pandemia de COVID-19 acelerou significativamente a adoção do trabalho remoto, tornando ainda mais urgente a necessidade de uma estratégia que ofereça acesso seguro e confiável a ambientes de trabalho não tradicionais. Com a implementação adequada das diretrizes da TIC 3.0, as agências poderão promover o tráfego seguro de rede e de perímetro dentro das zonas de confiança corporativas federais, estendendo-o a todo o tráfego das agências.
Avalie sua arquitetura
O Manual de Casos de Uso do TIC 3.0 recomenda que os órgãos avaliem sua arquitetura para determinar quais casos de uso são aplicáveis e explica como podem proteger suas arquiteturas e cumprir os requisitos do TIC. Acredito que essa seja uma excelente ferramenta para os órgãos, especialmente para aqueles que não dispõem dos componentes arquitetônicos necessários para casos de uso específicos.
Espera-se que as agências protejam os limites de suas redes em conformidade com o Memorando M-19-26 do OMB. No entanto, cada agência é diferente. Por isso, é importante ter sua missão em mente ao definir sua abordagem de segurança e também equilibrar as estratégias propostas pelo TIC 3.0 com os objetivos de sua própria missão.
A estrutura de cibersegurança certa para as agências é importante
A estrutura TIC 3.0 baseia-se principalmente na Estrutura de Segurança Cibernética do Instituto Nacional de Padrões e Tecnologia (NIST), que consiste em cinco funções essenciais de importância crítica:
Identificar: Tenha uma compreensão completa de seus sistemas, pessoas, ativos, dados e recursos para que você possa avaliar e gerenciar riscos.
Proteger: Desenvolva e implemente medidas de proteção adequadas para limitar ou conter o impacto de um possível incidente de segurança cibernética.
Detectar: Use soluções de monitoramento contínuo para detectar rapidamente a ocorrência de um evento de segurança cibernética.
Responder: Desenvolva um plano de resposta que permita agir e conter o impacto de um incidente de segurança cibernética detectado.
Recuperar: Desenvolva e implemente um plano eficaz para restaurar os sistemas e/ou ativos afetados pelo incidente de segurança cibernética. Incorpore as lições aprendidas a uma estratégia revisada.
Talvez o aspecto mais importante dessa estrutura seja o fato de que cada uma dessas funções é mapeada para um controle de Ponto Universal de Aplicação de Segurança ou de Políticas dentro da estrutura TIC 3.0. Embora seja fundamental usar a identidade para acesso como um ponto único de controle, foi surpreendente descobrir — como constatamos em um relatório da F5 Labs — que 33% das violações tiveram inicialmente as identidades como alvo. Portanto, a necessidade de proteger o perímetro de identidade é crucial.
Os proxies de acesso são uma ferramenta eficaz para impor um ponto único de controle, oferecendo um método consistente para implementar os controles de acesso e os requisitos de autenticação necessários à frente das aplicações. Isso elimina a necessidade de confiar que todos os desenvolvedores de aplicações sejam especialistas em autenticação, o que é pouco provável.
Ao implementar seus padrões de segurança atualizados, recomendo que você conte com as soluções adaptativas para aplicações adequadas para atender aos aspectos pertinentes das diretrizes da TIC. Você deve seguir um processo contínuo, do código ao cliente, que abranja os seis elementos essenciais a seguir, os quais integram e atendem a muitos dos princípios orientadores da estrutura TIC 3.0, especialmente no que diz respeito aos casos de uso relevantes para o seu órgão:
- visão centrada em aplicações (em vez de focada na infraestrutura)
- independência de plataforma como proposta multinuvem
- código aberto como base
- segurança integrada
- análises integradas/com tecnologia de IA
- API-first para o desenvolvimento de aplicações modernas
É hora de analisar atentamente a abordagem de segurança da sua agência
O TIC 3.0 é uma excelente oportunidade para reavaliar sua abordagem de segurança. Diante da evolução das ameaças, os especialistas em segurança da agência sabem que é importante permanecer vigilantes. Embora a tecnologia mude, o objetivo final continua o mesmo: proteger sua agência.
A F5 pode ajudar: Praticamente todos os produtos e recursos da F5 atendem a algum aspecto das diretrizes do TIC, o que nos coloca em uma posição privilegiada para cumprir muitas das recomendações e dos controles descritos no TIC 3.0. Todos os órgãos federais em nível ministerial e as Forças Armadas dos Estados Unidos confiam na F5 para disponibilizar aplicativos que cidadãos, funcionários e militares podem acessar com segurança a qualquer momento, em qualquer dispositivo e de qualquer lugar. Na F5, damos aos nossos clientes a liberdade de disponibilizar todos os aplicativos com segurança, em qualquer lugar e com confiança. Saiba mais em nossa página Soluções da F5 para o governo federal dos EUA.
Bill Church
Diretor de Tecnologia – Soluções da F5 para o Governo Federal dos EUA
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...