Riepilogo
Gli attacchi ransomware colpiscono le grandi agenzie federali e i gruppi statali e locali più piccoli e sottofinanziati. Lo scorso autunno, il governo federale ha stanziato 1 miliardo di dollari in sovvenzioni informatiche. Come si preparano gli stati a questo?
In questo, il nostro episodio pilota, registrato in 2022, illustriamo un piano in cinque fasi per una migliore raccolta fondi—ed è efficace oggi come lo era allora.
CONDUTTORE: Doug Thompson, direttore delle soluzioni tecniche ingegneristiche e capo architetto della formazione presso Tanium
OSPITE: David Rand, giornalista di affari e tecnologia
Note dello show
Consulta questi articoli su Focal Point, il nuovo magazine online di notizie informatiche di Tanium.
- I CISO statali ai federali: Mostrateci i soldi
- 5 strategie che i CIO statali possono adottare per trasformare la propria forza lavoro
- Le agenzie statali cercano di recuperare terreno sulla sicurezza informatica
Trascrizione
La seguente intervista è stata modificata per maggiore chiarezza.
David Rand: Gli attacchi ransomware contro le agenzie governative, specialmente città e contee, [sono stati] assolutamente fuori controllo… Ci sono stati 79 attacchi ransomware contro organizzazioni governative statunitensi in 2020 che hanno totalizzato quasi $19 miliardi in costi di inattività e ripristino. Quindi non stiamo parlando di spiccioli.
Doug Thompson: Ciao, sono Doug Thompson, e oggi su Let's Converge, parliamo di attacchi informatici ai governi statali e locali.
Inizieremo con qualcosa di abbastanza evidente e qualcosa di meno evidente. Prima, la cosa ovvia: gli attacchi ransomware sono in aumento sia per le agenzie governative che per le imprese private.
Ciò che non è così evidente negli attacchi ai governi sono i bersagli stessi. Non si tratta solo delle grandi agenzie federali con risorse economiche abbondanti. Solo negli ultimi mesi, abbiamo visto attacchi informatici a Quincy, Illinois; Somerset County, New Jersey; e Bernalillo, New Mexico. Potrebbe essere necessario aprire Google Maps per trovare alcuni di questi luoghi, ma come spiegherà David Rand, il fatto che siano piccoli non li rende meno un bersaglio.
David è un giornalista di affari e tecnologia, ed è un collaboratore frequente della nuova rivista online di Tanium, che offre alle aziende e ai leader tecnologici le ultime informazioni sulle sfide informatiche più difficili di oggi. Dave ha approfondito questo argomento, parlando con i responsabili IT statali e locali. Queste persone sono a corto di personale e di fondi. Quindi il governo federale prevede di distribuire 1 miliardo in sovvenzioni informatiche agli stati quest'anno. Ma come dovrebbero prepararsi i CIO e i CISO statali? Cosa dovrebbero prioritizzare?
Ehi, benvenuto nel podcast, Dave. Abbiamo molto da trattare, ma prima, immagino sia giusto dire che il ransomware non andrà da nessuna parte nel prossimo futuro, vero?
Rand: Grazie per avermi invitato, Doug. E sì, il ransomware è un problema serio. Sai, gli attacchi ransomware contro le agenzie governative, specialmente città e contee, sono assolutamente fuori controllo in questo momento.
Ogni mese di quest'anno [2022], da solo, c'è stato almeno un esempio di una città, contea o governo statale degli Stati Uniti colpito da ransomware. Ho visto statistiche che suggeriscono che il riscatto medio pagato in questo tipo di attacchi è di circa $925.000, che è aumentato del 71% rispetto all'anno scorso. Ho visto un'altra statistica che indicava 79 attacchi ransomware contro organizzazioni governative statunitensi nel 2020 che hanno totalizzato quasi $19 miliardi in tempi di inattività e costi di recupero. Quindi non stiamo parlando di spiccioli.
Thompson: Penso che troppo spesso le persone si affidino alla cyber insurance come una sorta di panacea—non tutti, ma quando parlo con le persone, dicono che hanno la cyber insurance, quindi si concentrano un po' meno su questo. Sai, preferirei fermare o cercare di bloccare quante più di queste cose possibile, piuttosto che affidarmi semplicemente all'assicurazione.
Rand: Sì, è qualcosa su cui probabilmente mi vedrai scrivere presto. La cyber insurance non ha coperto tutto ciò che le agenzie governative, o le aziende per quella materia, devono coprire, e sta scomparendo perché sta diventando semplicemente troppo costosa da coprire.
Ma il problema per le agenzie governative è che la maggior parte opera con budget limitati. Quindi, sai, non stanno investendo in sicurezza di alto livello. Non è qualcosa che fanno tipicamente, anche se ne hanno davvero bisogno.
In effetti, è più comune che i funzionari degli acquisti governativi optino per l'acquisto di hardware e software sufficientemente buoni invece che per i migliori della categoria, che avrebbero più funzionalità di sicurezza. Non è nemmeno insolito che le agenzie governative al giorno d'oggi utilizzino dispositivi endpoint e sistemi operativi obsoleti di quattro, cinque, sei anni fa o più, quando i ruoli della cybersecurity erano completamente diversi.
Ma alcuni stati stanno esaminando attentamente questo aspetto; vogliono cambiarlo e stanno cercando di capire come aiutare i loro governi locali a raggiungere livelli più elevati di competenza in materia di cybersecurity.
Thompson: Mi imbatto spesso in questo nel settore dell'istruzione, dove ci sono questi K-12s più piccoli che non hanno un budget. Come fanno a cavarsela da soli? Perché a volte in questi realtà davvero piccole, l'accalappiacani o il custode è anche il responsabile IT.
Rand: Sì, è assolutamente vero. Varierà in base alle dimensioni del comune o dell'agenzia o anche nelle aree tribali. Voglio dire, a volte non hanno nemmeno un personale IT, come hai giustamente sottolineato. A volte lo fanno, ma anche quando hanno un responsabile IT con una certa esperienza tecnologica, non hanno necessariamente i fondi necessari per apportare un cambiamento sostanziale.
Quindi, sapete, non sarebbe insolito entrare in un ufficio comunale o nell'ufficio di un city manager e trovare un computer con Windows Vista sulla sua scrivania.
Thompson: Sì. [Risata.] Ero in Microsoft quando uscì Vista. Una volta arrivati a SP1, non era poi così male.
Rand: [Risata.] Ero in Microsoft anche per Windows Vista, quindi credo che sappiamo bene di cosa si tratta.
Thompson: Beh, ovviamente non eri a Philly con me quando lo lanciammo. Era mezzanotte di febbraio, faceva sotto zero e… beh comunque, è tutta un'altra vita che [Risata.] abbiamo avuto.
Ma si parla di finanziamenti e sento spesso dire che il governo federale ha in qualche modo recepito il messaggio che dobbiamo fare qualcosa al riguardo. So che ci sono alcuni finanziamenti in arrivo— e hai avuto un'interessante conversazione con un CISO statale l'altro giorno, giusto?
Rand: Certo che sì. Era Ryan Murray, un gran bel tipo.
Quindi, molti stati stanno valutando come possono aiutare i governi locali a raggiungere livelli più elevati di competenza in materia di cybersicurezza. Lo stato dell'Arizona è uno di questi e, come molti stati, ha faticato a trovare i fondi per proteggere le operazioni governative nelle sue comunità prevalentemente rurali e nelle aree di transito.
Così tre anni fa si sono impegnati ad aggiornare i sistemi IT obsoleti utilizzando una combinazione di fondi federali e contributi del bilancio statale. Quindi non è qualcosa che emerge solo quest'anno.
Più di recente hanno deciso, però, di puntare a una parte di questo miliardo di dollari in fondi per la cybersicurezza contenuto nel disegno di legge sulle infrastrutture di Biden approvato lo scorso novembre. Da solo, quel denaro non sarà sufficiente, ma l'Arizona è stata in realtà piuttosto aggressiva nel perseguire questo tipo di sovvenzioni. In realtà, stanno mendicando ovunque possano. Si stanno persino associando con altri stati per condividere i fondi, con l'idea di fare la differenza a livello regionale. Quindi Ryan Murray, il CISO in Arizona, mi ha detto che è ottimista sul fatto che riusciranno ad aggiornare la postura di sicurezza dello stato nel tempo.
Thompson: Sa, i budget IT—e penso che i budget in generale—sono molto, prendi quello che puoi ottenere e poi lo usi e si spera che sia un trampolino di lancio per passare al passo successivo. Specialmente quando si tratta di sicurezza informatica. Perché ha ragione: non è insolito trovare apparecchiature molto vecchie, antiquate e vulnerabili in questi luoghi. E come contribuente, apprezzo che il mio stato non sprechi denaro o denaro dei contribuenti, cercando di essere diligente con esso.
Ma penso che ci sia un po' di educazione che deve arrivare 1) ai legislatori e 2) ai contribuenti, come dire, Ehi, ecco perché ne abbiamo bisogno e questo è ciò che farà.
Rand: Ha assolutamente ragione. Ryan Murray mi ha detto che è stato un processo di educazione costante, giusto? Lavorare con i legislatori, lavorare con il governatore, cercando solo di spiegare la situazione—ecco cos'è il ransomware, ad esempio, ecco il costo potenziale, ecco cosa potrebbe fare alle operazioni, ecco cosa potrebbe fare per l'immagine pubblica.
In Arizona, il governatore Ducey sembra capirlo, e c'è una parte del budget statale dedicata alla sicurezza IT. Murray mi dice che è stato un ottimo partner nel tentativo di ottenere finanziamenti ovunque possano esistere.
Thompson: Cosa lo ha reso consapevole di questo o lo ha spinto a seguire questa strada? Perché, sai, hai parlato con molte persone o ne hai viste molte, e ce ne sono alcune che non hanno ancora del tutto recepito questo messaggio.
Rand: Non ne sono davvero sicuro, a dire il vero. Penso che ogni CISO, a un certo livello, sappia che questo è un problema. Non è qualcosa che sorprende nessuno—come ho detto, il ransomware è fuori controllo. La situazione non migliora quando ci si trova in uno stato come l'Arizona, dove il 80% dello stato si trova in aree rurali. Stanno lottando non solo con la larghezza di banda e la connettività Wi-Fi, ma anche solo per avere una sicurezza informatica di base, e cose come l'autenticazione a più fattori—semplicemente avere le migliori pratiche al riguardo, allontanare le persone dalle password.
Non sorprende, quando si è un professionista della sicurezza, che queste cose debbano accadere. A volte sorprende i legislatori, perché non sono necessariamente pienamente consapevoli di quanto i loro sistemi siano antiquati, di quanto siano indietro. E, sai, il modus operandi nel tempo è stato, come ho detto, puntare a una sicurezza sufficiente anziché alla sicurezza migliore della categoria.
Al giorno d'oggi, con gli hacker e il livello di sofisticazione che hanno, sufficiente non è abbastanza.
Thompson: Hai scritto della necessità dell'igiene informatica come parte di tutto ciò, perché a volte diamo a qualcuno le chiavi della Ferrari senza insegnargli a guidare. Stai vedendo persone che capiscono anche questa necessità, così che quando finanziano la banda larga, forniscono anche più finanziamenti e finanziamenti continuativi per cose come l'igiene informatica e la sicurezza IT?
Rand: Beh, penso che sia un processo di formazione continua per il team di sicurezza IT, i CISO, per comunicare costantemente l'importanza di integrare la sicurezza in tutto ciò che si fa dal punto di vista tecnologico.
Fin dall'inizio—sono nel settore high-tech da moltissimo tempo, sai, più di quanto mi piaccia ammettere—e anche nelle industrie high-tech, la sicurezza può essere un ripensamento. Può essere una casella da spuntare, sai? Stai sviluppando un prodotto, vai avanti con esso, e poi alla fine dici, oh aspetta, come lo renderemo sicuro? Perché ti entusiasmi così tanto per il prodotto e, sai, è semplicemente natura umana. E penso che questo accada anche a livello statale.
E per quanto riguarda il tuo punto, se stai per fare qualsiasi tipo di trasformazione digitale o stai per iniziare a implementare la banda larga o, in questo caso, stai semplicemente cercando di aggiornare la tua infrastruttura IT a livello locale, la sicurezza deve essere integrata nella tua strategia, nel tuo piano, fin dall'inizio.
Thompson: Hai detto che eri anche tu da Microsoft, e c'è stato un momento in cui ero lì, e abbiamo detto, OK, ora dobbiamo iniziare con la sicurezza al primo posto e sviluppare i prodotti. E vedi come ha funzionato—ci sono ancora delle falle! Ma questa è semplicemente la natura del software, quando lo stai sviluppando. Avrai quelle cose, e i cattivi sono più propensi a trovarle quando [i prodotti] escono allo scoperto rispetto a noi.
Hai menzionato i finanziamenti federali, ne abbiamo parlato. Ma sappiamo sempre che ogni volta che il governo federale offre denaro, di solito ci sono ostacoli e condizioni annesse.
Rand: Beh, certo. Nell'articolo che ho appena scritto, ecco come funzionano questi finanziamenti per la cybersicurezza come parte del disegno di legge sulle infrastrutture: c'è un miliardo di dollari accantonato che dovrebbe essere suddiviso tra 50 stati. Ora, non tutti gli stati aderiranno, ma immagina 50 stati che cercano di condividere solo 1 miliardo di dollari per la cybersicurezza. Non è una grande quantità di denaro. Ma è qualcosa, no?
E nel corso dei prossimi quattro anni circa, verrà distribuito a rate. Quindi $200 milioni saranno disponibili quest'anno [2022], $400 milioni nel 2023, $300 milioni nel 2024, e altri $100 milioni nel 2025. Ora, le regole richiedevano che almeno il 80% dei fondi del contributo fluisse verso le località nel corso di quel periodo. Quindi gli stati potrebbero puntare ai finanziamenti, ma dovranno distribuirli alle città, alle contee, alle aree tribali.
In altre parole, ciò significa che gli stati devono abbinare i fondi del contributo con i propri fondi, quindi devono essere coinvolti, giusto? Il governatore deve essere coinvolto; deve far parte del bilancio.
Quindi gli stati devono contribuire con il 10% il primo anno, e questo aumenterà di 10 punti percentuali ogni anno fino al 2025. Quindi devono anche, come parte di questo, presentare un piano di sicurezza informatica. Devono presentare questo piano per ottenere questi fondi, e deve delineare esattamente come il denaro verrà distribuito e come verrà applicato. Devono avere l'apparato necessario per farlo.
Thompson: OK, Dave, spiegamelo come se fossi un bambino delle elementari: sono un CIO o CISO statale. Cosa dovrei fare adesso per ottenere questi fondi? Quali sono i passi da seguire?
Rand: Ci sono davvero cinque cose che gli stati potrebbero o dovrebbero fare— questo è quello che mi stanno dicendo le mie fonti.
Prima di tutto, rispolverare quel piano di sicurezza informatica. Potreste averne uno, ma deve essere specifico rispetto a ciò che farete con i fondi del disegno di legge sulle infrastrutture. Deve descrivere in dettaglio con gli stati o come gli stati aumenteranno il livello di sicurezza nelle località e nelle aree tribali.
Numero due, parlate con i locali. I CISO devono collaborare ora con le agenzie locali non solo per determinare cosa faranno dal punto di vista degli strumenti o dei dispositivi endpoint, ma anche per considerare cose come l'intensificazione del supporto alla formazione, o l'assunzione di fornitori di servizi di sicurezza gestiti [MSSP] per implementare miglioramenti della cybersecurity. Questa è una cosa, tra l'altro, che Ryan Murray in Arizona mi ha detto che stanno valutando, portare gli MSSP ad aiutare.
Perché non ogni località, come hai sottolineato, dispone di personale interno. Forse il custode non è sufficiente per implementare un'infrastruttura di sicurezza zero trust. Quindi considerare gli MSSP sarebbe una buona, buona mossa.
Terzo, educare gli altri stakeholder governativi. Ancora, come hai sottolineato, Doug, sai, i governatori, i legislatori statali e gli amministratori devono comprendere l'importanza della cybersecurity per prevenire attacchi informatici come i ransomware. E devono aggiornare l'infrastruttura IT, l'infrastruttura di sicurezza, il prima possibile. Rendendoli partner in questi sforzi, è possibile aumentare i fondi disponibili nel tempo.
In Arizona, ad esempio, il budget del governatore Ducey mette da parte $10 milioni per aiutare i governi locali e i distretti scolastici K-12 ad aggiornare la loro postura di sicurezza.
La quarta cosa a cui pensare è, semplicemente non limitarsi; pensare in modo ampio. Non guardare solo i soldi di questo disegno di legge sulle infrastrutture e pensare che quella cifra sia troppo piccola per valere la pena di perseguirla.
Sarà nella natura umana pensarci e dire, accidenti, è tanto lavoro per quattro anni per una piccola somma di denaro. Ma ci sono molteplici programmi di finanziamento federali a cui gli stati possono attingere, e continuano ad emergere continuamente. Il Dipartimento per la Sicurezza Interna, ad esempio, ha recentemente annunciato $1,6 miliardi in sovvenzioni per la preparazione alla lotta contro il terrorismo, e c'è una componente di finanziamento per la sicurezza informatica in questo. Anche l'Arizona sta perseguendo questo obiettivo.
L'ultima cosa che vorrei menzionare, e questo mi ha sorpreso, è che potenzialmente si può collaborare con altri stati. Quindi, se la CISA non lo vieta—e non c'è motivo di pensare che lo farebbe, ma finché non lo fa, gli stati possono effettivamente collaborare tra loro per condividere tempo, denaro e risorse per combattere il crimine informatico a livello regionale anziché all'interno dei propri stati. Se ho capito bene, credo che l'Arizona stia parlando con i leader governativi del Texas e del New Mexico, per fare esattamente questo.
Thompson: Quali sono i suoi pensieri finali in merito? Qualcosa che le viene in mente?
Rand: Ci sono molte opportunità là fuori per gli stati di ottenere finanziamenti federali, e dovrebbero farlo. Devono essere attivamente coinvolti, e non guardare in bocca al cavallo donato, e pensarci in modo più ampio. Ancora, collaborate con i colleghi nel parlamento statale, collaborate con il vostro governatore. Pensate a collaborare con altri stati. Guardatelo a livello regionale.
Sapete, Jennifer Pittman-Leeper, una responsabile del coinvolgimento dei clienti presso Tanium, ha detto che questo finanziamento non è una bacchetta magica, ma è un inizio, e le agenzie governative devono cominciare da qualche parte. È bene iniziare con questo finanziamento del disegno di legge sulle infrastrutture se non hai già iniziato a esaminare questo tipo di programmi.
Thompson: Grazie Dave, per aver condiviso tutte queste informazioni critiche e tempestive.
Ho parlato con il pluripremiato giornalista David Rand, che scrive per il nuovo magazine online di cybersecurity di Tanium. Puoi consultare questi articoli su Tanium.com.
Se sei un CIO o CISO statale e vuoi saperne di più su come ottenere questi fondi federali o su come migliorare la tua igiene informatica, consulta i link nelle note dello show del podcast. Per ascoltare altre storie come questa, assicurati di iscriverti a Let's Converge sulla tua app podcast preferita, come Apple Podcast o Spotify.
Grazie per aver ascoltato, e non vediamo l'ora di condividere altri approfondimenti sulla sicurezza informatica nel prossimo episodio di Let's Converge.
