Правительству необходимо навести мосты с директорами по информационной безопасности: Патерсон

Сенатор-либерал Джеймс Патерсон призвал правительство создать механизмы доверия и психологической безопасности, которые побуждают частный сектор делиться, а не утаивать, критически важной информацией при расследовании кибератак.

Выступление на Австралийской киберконференции 2023 г. Вчера Патерсон сказал, что один из «уроков» реагирования на инциденты Optus и Medibank заключается в том, что правительство, в частности, вмешалось в драку.

Optus, в частности, столкнулась с резкой и неоднократной критикой со стороны министров федерального правительства после раскрытия информации об утечке данных в прошлом году.

«После атаки Optus я встретился с несколькими директорами по информационной безопасности. Вы сказали мне громко и ясно, что вы были встревожены публичными нападками правительства на Optus в разгар кризиса», — сказал Патерсон.

«Многие говорили мне, что у вас возникли сомнения относительно того, безопасно ли и в интересах вашей компании делиться с правительством информацией о развивающемся киберкризисе, потому что вы опасались, что она может быть использована против вас, пока вы были заняты. пытаясь потушить огонь.

«Вместо того, чтобы поднять трубку в ACSC [Australian Cyber Security Centre] в первую очередь вы бы позвонили адвокатам».

Патерсон добавил, что один юрист сообщил ему, что они «не могут сообщать своим клиентам об отсутствии юридических рисков при обмене информацией с правительством о кибератаке».

Хотя Optus является недавним примером, вопрос о сотрудничестве с властями возник еще до инцидента; Ранее Toll Group подвергалась критике, хотя и завуалированной, за уровень сотрудничества с властями после громкой атаки программы-вымогателя в 2020 году.

Патерсон сказал, что необходимо «подлинное партнерство между промышленностью и правительством» в области кибербезопасности, чтобы обеспечить непрерывный поток информации между двумя сторонами.

«Нам нужен беспрепятственный и своевременный обмен информацией между правительством и бизнесом в случае кибератаки», — сказал он.

«Мы не можем позволить, чтобы какой-либо директор по информационной безопасности или их генеральный директор колебались, звоня в ACSC и делясь тем, что им известно».

Патерсон сказал, что ранее он предлагал механизм «безопасной гавани» — «защищенный и конфиденциальный процесс обмена информацией, которая не будет использоваться для каких-либо других целей».

«Удалив страх перед поношениями и судебными разбирательствами, тихая гавань побудит частный сектор сотрудничать с федеральными агентствами, такими как ASD, во время кризиса», — сказал он.

«Это не означает, что компании не могут или не должны нести ответственность за небрежное обращение с информацией о клиентах или плохую кибербезопасность. Они абсолютно должны.

«Но это может произойти после того, как кризис утихнет, и не следует полагаться на информацию, добровольно предоставленную компаниями с РАС при попытке решить кризис».

Он добавил, что информация важна не только для реагирования на инциденты, но и для того, чтобы пострадавшие клиенты и представители общественности могли получать достоверную информацию по мере развития инцидента, и что правительству следует рассмотреть возможность создания «авторитетного голоса» для просвещения общественности о рисках кибербезопасности.