A CISA, Agência de Cibersegurança e Infraestrutura dos EUA, está desenvolvendo um catálogo de más práticas: uma lista daquelas que são excepcionalmente arriscadas, especialmente para as organizações que apóiam infraestrutura crítica ou NCFs (funções críticas nacionais, na sigla em inglês). A presença dessas más práticas em organizações que apóiam infraestrutura crítica ou NCFs, afirma comunicado da agência, é excepcionalmente perigosa e “aumenta o risco para nossa infraestrutura crítica, na qual contamos para a segurança nacional, estabilidade econômica e vida, saúde e segurança do público. As inscrições no catálogo serão listadas aqui à medida que forem adicionadas”. Três já estão listadas:
- O uso de software sem suporte (ou em fim de vida) em serviço de Infraestrutura Crítica e Funções Críticas Nacionais é perigoso e eleva significativamente o risco à segurança nacional, segurança econômica nacional e saúde e segurança públicas nacionais. Essa prática perigosa é especialmente notória em tecnologias acessíveis pela Internet.
- O uso de senhas e credenciais conhecidas / fixas / padrão em serviço de Infraestrutura Crítica e Funções Críticas Nacionais é perigoso e eleva significativamente o risco à segurança nacional, segurança econômica nacional e saúde e segurança públicas nacionais. Essa prática perigosa é especialmente notória em tecnologias acessíveis pela Internet.
- O uso de autenticação de fator único para acesso remoto ou administrativo a sistemas de suporte à operação de Infraestrutura Crítica e Funções Críticas Nacionais (NCF) é perigoso e eleva significativamente o risco à segurança nacional, segurança econômica nacional e saúde e segurança pública nacional. Essa prática perigosa é especialmente notória em tecnologias acessíveis pela Internet.
Veja isso
Ferramenta da CISA aponta risco de ransomware
FBI e CISA alertam para influência de fake news na eleição americana
Em sua conta no GitHub (CISAgov), a agência abriu uma página de discussão de más práticas para envolver administradores e profissionais de TI da indústria, de todos os níveisi de governo dos EUA: “Nossa intenção é reunir suas perspectivas e contribuições sobre esta iniciativa, bem como discutir como erradicar essas práticas”, explica o comunicado da agência.
Embora essas práticas sejam perigosas para a infraestrutura crítica e NCFs, a CISA incentiva todas as organizações a se envolverem nas ações necessárias e conversas críticas para lidar com as práticas inadequadas. A agência avisa que “a lista é específica e não inclui todas as práticas de segurança cibernética desaconselháveis possíveis. A falta de inclusão de qualquer prática de segurança cibernética em particular não indica que a CISA endossa tal prática ou considera tal prática como apresentando níveis de risco aceitáveis”.
Com informações de agências de notícias internacionais
