نظر: ایالات متحده در مبارزه با مجرمان سایبری عقب مانده است - این چیزی است که باید تغییر کند

حملات باج افزار در چند سال اخیر به شدت افزایش یافته است. در اوایل سال 2021، گزارش FBI در مورد جرایم سایبری برای سال 2020 شامل 791790 شکایت از جرایم سایبری ادعایی است که در مقایسه با سال 2019 بیش از 300000 شکایت افزایش یافته است و شرکت‌ها خسارت جمعی بیش از 4.2 میلیارد دلار گزارش کرده‌اند - و اینها فقط حملات گزارش شده است. دفتر. شرکت‌های بیشتری تصمیم گرفته‌اند با حملات سایبری به صورت داخلی مقابله کنند و بی‌سروصدا به مجرمان سایبری که تهدید به انتشار داده‌های مشتریان یا بدتر از آن را تهدید می‌کنند، باج می‌دهند. در واقع، دفتر پاسخگویی دولت در ماه مه اعلام کرد که تعداد شرکت هایی که در بیمه نامه های سایبری سرمایه گذاری می کنند از حدود 25 درصد در سال 2016 به نزدیک به 50 درصد در سال 2020 رسیده است.

شرکت‌های بزرگ فناوری ممکن است ادعا کنند که مهاجمان سایبری در حال تبدیل شدن به مدبرتر هستند، اما روش‌هایی که این مجرمان برای نفوذ به سرورهای شرکت‌ها استفاده می‌کنند، به طور مداوم ابتدایی هستند. اکثر حملات باج افزار همچنان به دلیل سرورها یا سیستم های قدیمی، نبود شکاف هوایی در صنایع مهم، کلاهبرداری های فیشینگ ایمیل و محافظت ضعیف از رمز عبور رخ می دهد. و یک راه ساده برای جلوگیری از این امر وجود دارد: مقررات دولتی که شرکت ها را مجبور می کند از خود و مصرف کنندگان محافظت کنند - یا بهای آن را بپردازند.

این کشور از نظر سیاست های محافظت از مشاغل و افراد در برابر حملات سایبری از بسیاری از کشورهای غربی عقب مانده است. اگرچه در ابتدا برای مقابله با حریم خصوصی در نظر گرفته شده بود، تصویب مقررات عمومی حفاظت از داده های اتحادیه اروپا (GDPR) در سال 2016 بسیاری از مشکلاتی را که در حال حاضر برای اتحادیه اروپا با آن روبرو هستیم حل کرد. GDPR اطلاعات و داده‌های مصرف‌کننده را موظف می‌کند که به درستی در سیستم‌های کاملاً وصله‌شده و ایزوله رمزگذاری شوند و این دستورات را از طریق جریمه‌های سنگین با جدیت اجرا می‌کند.

در ایالات متحده، اقدامات فعلی مطابقت دولت، مانند استاندارد امنیت دیجیتال برای صنعت کارت پرداخت (PCI DSS)، که برای محافظت از داده‌های مشتری طراحی شده است، به سادگی کافی نیست. من با بسیاری از شرکت‌هایی که با PCI سازگار نیستند برخورد کرده‌ام و چیزی که از رهبران این شرکت‌ها می‌شنوم این است که آنها ترجیح می‌دهند 50000 دلار جریمه برای عدم انطباق بپردازند تا اینکه 2 میلیون دلار سرمایه‌گذاری کنند که برای رعایت الزامات هزینه دارد. .

در اروپا، GDPR تا 4 درصد از درآمد ناخالص یک شرکت را در صورت عدم رعایت استانداردها دریافت می کند، رقمی که بسیار انگیزه بخش تر از جریمه هایی است که الزامات شرکت های آمریکایی را برآورده نمی کند.

از آنجایی که بسیاری از شرکت‌های آمریکایی با منافع تجاری در اروپا از قبل با مقررات GDPR آشنا هستند، تطبیق تمام یا بخشی از GDPR با استانداردهای ایالات متحده دشوار نخواهد بود و در نتیجه، داده‌های همه از امنیت بیشتری برخوردار خواهند بود.

به نظر من، مقررات ایالات متحده باید GDPR را منعکس کند تا اطمینان حاصل شود که تمام سیستم های عمومی و خصوصی قابل دسترسی از اینترنت باید به طور کامل وصله شده و عاری از هرگونه داده مهم باشند - که در عوض باید رمزگذاری شده و در یک سرور جداگانه ذخیره شوند.

یکی دیگر از اقدامات کلیدی نظارتی ایجاد یک فرآیند صدور گواهینامه دقیق برای هر کسی که در زمینه امنیت سایبری کار می کند، تحت نظارت شورای صدور مجوز دولتی مانند سیستم وکلا یا متخصصان زیبایی ما است.

در حال حاضر، مردی که موهای من را کوتاه می‌کند، نسبت به افرادی که برای تامین امنیت سیستم‌های حیاتی ما استخدام شده‌اند، کنترل بیشتری از دولت دارد. این یک مشکل است زیرا به شرکت هایی که نیاز واقعی به یک منبع امنیت سایبری دارند هیچ راهی برای بررسی مناسب نامزدها برای این نقش ها نمی دهد. ما نمی‌توانیم انتظار داشته باشیم که هر یک از رهبران کسب‌وکار در فرآیندهای امنیت سایبری متخصص شوند، بنابراین ایجاد نظارت بر صنعت تضمین می‌کند که همه حرفه‌ای‌های دارای گواهی آموزش لازم برای یافتن و رفع حفره‌ها در سیستم‌های مشتریان خود را دارند.

در نهایت، هر صنعتی که به عنوان زیرساخت های حیاتی طبقه بندی می شود - مانند نفت، گاز یا هسته ای - باید بین سیستم های کنترل و شبکه های تجاری شکاف ایجاد کند. شکاف هوا تضمین می کند که شبکه کامپیوتری ایمن به طور فیزیکی از اینترنت جدا شده و بنابراین دسترسی از راه دور غیرممکن است.

در واقع، صنعت انرژی هسته‌ای در حال حاضر فعال است، و در نتیجه، هنوز راکتور هسته‌ای در معرض حمله سایبری قرار نگرفته است، زیرا هیچ‌کس خارج از مکان فیزیکی راکتور نمی‌تواند وارد شود.

با این حال، همانطور که در حادثه خط لوله استعماری دیدیم، صنعت نفت و گاز هنوز به پای خود نرسیده است. از آنجایی که قانونگذاران ما همچنان به دنبال راهنمایی از شرکت‌های بزرگ فناوری (که اغلب از تأثیرات حملات سایبری از نظر مالی بهره می‌برند) برای راهنمایی در مورد این موضوعات، می‌ترسم که ممکن است یک حمله تروریستی در فضای سایبری برای بیدار کردن قانون‌گذاران از نیاز به مقررات لازم باشد.

متأسفانه، فقدان مقررات معنادار، ما را در همان قایق این فروشگاه‌ها در نیویورک در دهه 1970 قرار داد. با پذیرش اجتناب‌ناپذیری و بودجه‌بندی حملات سایبری، اساساً به مجرمان سایبری اجازه می‌دهیم بدون کنترل به کار خود ادامه دهند. وقت آن است که مقامات منتخب و رهبران تجاری ما در برابر باج خواهی مقاومت کنند و این جمعیت جدید سایبری را شکست دهند - قبل از اینکه خیلی دیر شود.

اریک کول بنیانگذار Secure Anchor Consulting و یک متخصص شناخته شده امنیت سایبری صنعت با بیش از 20 سال تجربه عملی در این زمینه است.

اطلاعات بیشتر در مورد امنیت سایبری

«اگر شما برای ما بیایید ما به دنبال شما می آییم»: وزارت دادگستری با جرایم سایبری مبارزه می کند

بانک‌های کوچک می‌گویند که از مجرمان باج‌افزار «نیم قدم عقب‌تر» هستند - و از کنگره می‌خواهند در مبارزه با آن کمک کند.

رونق باج افزار از باندهایی است که به عنوان تک شاخ برای نرم افزار ابری کار می کنند - یک "مدل تجاری واقعا شگفت انگیز"

چگونه عوامل فدرال بیت کوین را بازیابی کردند و به کیف پول رمزنگاری مربوط به حمله سایبری استعماری Pipeline دسترسی پیدا کردند؟