O que as etapas de isolamento do CI Fortify realmente exigem dos seus dados

A nova iniciativa CI Fortify da CISA, desenvolvida em conjunto com a Diretoria de Sinais da Austrália, o NCSC do Reino Unido e o Centro de Segurança Cibernética do Canadá, coloca uma questão para os operadores de infraestrutura crítica que a maioria nunca teve que responder sob pressão real: se você tivesse que cortar o cabo de seus fornecedores de nuvem, provedores de telecomunicações e redes de terceiros amanhã e manter os serviços essenciais funcionando dessa forma por semanas ou meses, você conseguiria?

As diretrizes tratam isso como a linha de base do planejamento, não como um caso extremo. Os operadores são instruídos a presumir que as conexões de terceiros se tornam instáveis em um cenário de conflito e que os adversários podem já estar presentes nas redes de tecnologia operacional (OT). Duas capacidades são cruciais para a resposta: isolamento e recuperação.

O processo de isolamento em si consiste em seis etapas. Identifique os sistemas mínimos necessários para fornecer um serviço crítico. Mapeie todas as conexões desses sistemas com o mundo externo. Classifique os sistemas por criticidade e confiabilidade. Crie pontos de separação e isolamento. Elabore e teste um plano de isolamento gradual. Recupere qualquer informação comprometida por um adversário antes que esse plano seja usado em uma situação real.

Essa é uma estrutura sólida para engenheiros de OT que pensam em topologia de rede. Ela praticamente não aborda os dados presentes nos sistemas que viabilizam a OT, como os aplicativos corporativos, as plataformas em nuvem e as ferramentas de fornecedores que armazenam os dados sensíveis e operacionais de que uma organização realmente precisa durante e após o isolamento. É nessa lacuna que o BigID faz a diferença.

O mapa de dados que o CI Fortify pressupõe já existe.

Cada etapa no processo de isolamento depende de a organização já saber onde seus dados críticos residem, quem e o que pode acessá-los e por quais sistemas eles trafegam. As próprias diretrizes da CISA exigem a documentação de todas as conexões entre sistemas vitais e redes corporativas, ferramentas de acesso remoto, ambientes de nuvem, fornecedores e contratados. Em outras palavras, trata-se de um exercício de mapeamento de dados com a roupagem da engenharia de redes. Muitas organizações conseguem produzir um diagrama de rede. Bem menos conseguem produzir um mapa preciso e atualizado de onde os dados sensíveis e operacionais realmente residem, especialmente após anos de expansão descontrolada de SaaS, armazenamento em nuvem paralelo e integrações com fornecedores que ninguém inventariou completamente.

Onde o BigID se encaixa em cada uma das seis etapas

Identifique os sistemas mínimos necessários para um serviço crítico. O BigID descobre e classifica dados em fontes estruturadas e não estruturadas, na nuvem e em infraestruturas locais, permitindo que uma organização veja quais sistemas realmente detêm os dados por trás de um serviço crítico, em vez de depender de um diagrama de arquitetura que já está desatualizado há três reestruturações.

Mapeie todas as suas conexões com o mundo exterior. O mapeamento de dados mostra para onde os dados realmente se movem, incluindo fluxos para fornecedores terceirizados, ferramentas SaaS e plataformas em nuvem. O requisito de mapeamento de conexões do CI Fortify deixa de ser uma auditoria manual e se torna algo que uma organização pode consultar sob demanda e manter atualizado.

Classifique os sistemas por criticidade e confiabilidade. A classificação de sensibilidade fornece à organização a base real para os níveis de criticidade do CI Fortify. Um sistema que armazena dados regulamentados de clientes recebe uma prioridade de isolamento diferente de um que armazena material de marketing, e essa distinção só faz sentido se os dados subjacentes tiverem sido classificados previamente.

Construir pontos de separação e isolamento. A inteligência de acesso mostra quem e o que tem acesso permanente a dados confidenciais, incluindo fornecedores, ferramentas de acesso remoto e contas de serviço. Essa é a mesma superfície de acesso que a CI Fortify deseja proteger e segmentar antes de um incidente, e não mapeá-la pela primeira vez durante uma ocorrência.

Crie e teste um plano de isolamento gradual. Um inventário de dados dinâmico significa que o plano de isolamento é testado em relação ao ambiente real, e não a uma captura instantânea da auditoria do ano passado. Os ambientes de dados mudam constantemente. Um plano testado com mapeamento desatualizado é um plano que falha na primeira vez que é necessário.

Recuperar sistemas comprometidos. A recuperação começa com uma pergunta: o que deve ser reconstruído primeiro? Um inventário de dados classificados e priorizados responde a essa pergunta diretamente: restaure primeiro os sistemas que contêm os dados mais sensíveis e de maior impacto, em vez de seguir uma fila de espera na ordem em que os sistemas voltam a ficar online.

A exposição à soberania que a CI Fortify não menciona.

O CI Fortify pressupõe um cenário de conflito em que as plataformas de nuvem e os provedores de telecomunicações se tornam instáveis. Existe uma versão mais silenciosa do mesmo problema que não precisa de uma crise geopolítica para se manifestar: se a IA responsável pela classificação e governança dos seus dados precisar acessar um modelo de terceiros hospedado fora do seu controle, seus dados sensíveis, ou metadados sobre eles, sairão do seu ambiente a cada varredura, em uma terça-feira normal, com ou sem crise. O cenário de isolamento do CI Fortify simplesmente transforma essa exposição existente em uma falha operacional grave.

A abordagem da BigID executa inteligência de dados, classificação e análise orientada por IA sem depender de um provedor LLM externo. O processamento ocorre dentro do ambiente do cliente. Isso é importante por dois motivos distintos que o CI Fortify oferece em conjunto: impede que dados sensíveis sejam transferidos para terceiros de forma rotineira e garante que a plataforma que realiza esse trabalho não desapareça no momento em que a conectividade com esse terceiro for interrompida.

Isolado da internet, desde casos extremos federais até requisitos básicos.

A maioria dos fornecedores considera a implantação isolada e totalmente offline como uma solicitação rara, feita por um pequeno grupo de clientes federais ou da área de defesa. O CI Fortify transforma isso em um requisito básico para qualquer pessoa que execute infraestrutura crítica. Um evento de isolamento não pausa seletivamente; ele derruba todas as dependências da nuvem de uma só vez, incluindo qualquer ferramenta que uma organização utilize para visualizar seus próprios dados.

O BigID pode ser executado totalmente localmente e isolado da internet, com descoberta, classificação e governança operando sem nenhuma necessidade de conectividade externa. Sem telemetria de comunicação com servidores externos, sem dependência de uma API hospedada para funcionar, sem modo de falha silencioso onde as ferramentas de segurança ficam inoperantes junto com os sistemas que deveriam ajudar a isolar. Uma organização pode executar seu programa completo de governança de dados dentro de um ambiente isolado durante toda a duração de um evento de isolamento, e então reconectar e reconciliar os dados assim que o incidente terminar.

O que as organizações precisam fazer

• Inventariar onde os dados sensíveis e operacionais realmente residem, não onde estão documentados.
• Mapear os fluxos de dados para todos os terceiros, plataformas em nuvem e ferramentas de acesso remoto que utilizam esses dados.
• Classifique dados e sistemas por criticidade para que as prioridades de isolamento e recuperação sejam baseadas em riscos reais, e não em suposições.
• Verifique se alguma ferramenta baseada em IA nessa estrutura depende de um provedor de modelos externo e considere isso como uma lacuna de soberania, mesmo fora de uma situação de crise.
• Confirme se a plataforma que realiza esse mapeamento pode funcionar totalmente isolada da internet, e não apenas com "nuvem opcional".“
• Crie uma sequência de recuperação baseada na sensibilidade dos dados e no impacto nos negócios, testada antes de ser necessária.

A CI Fortify está pedindo aos operadores de infraestrutura crítica que comprovem sua capacidade de operar de forma totalmente independente do mundo externo por meses a fio. As organizações que conseguirem demonstrar isso serão aquelas que já possuem conhecimento específico e atualizado sobre quais dados estão protegendo, onde eles estão armazenados e se a ferramenta responsável por sua proteção precisa de comunicação externa para continuar funcionando.