Протягом двох років Агентство з кібербезпеки та безпеки інфраструктури відзначило сплеск кількості залучених до послуг Cyber Hygiene (CyHy) організацій критичної інфраструктури, причому найбільший стрибок був у секторі зв’язку.
У звіті, опублікованому в п’ятницю, CISA стверджує, що аналіз 7791 організації критичної інфраструктури, зареєстрованої в службі сканування вразливостей агентства з 1 серпня 2022 року по 31 серпня 2024 року, показав збільшення кількості учасників CyHy на 201%, на чолі з зв’язку (300%), екстрених служб (268%), критичного виробництва (243%) і водопостачання та системи водовідведення (242%) промисловості.
У результаті цього буму реєстрації CISA заявила, що знайшла покращення у своїх шести цілях ефективності кібербезпеки, або CPG: пом’якшення відомих уразливостей, відсутність служб в Інтернеті, які можна використовувати, надійне та гнучке шифрування, обмеження OT-з’єднань у загальнодоступному Інтернеті, розгортання файл security.txt і захист електронної пошти.
Однією з сфер покращення, на яку посилається CISA, є постійне зменшення кількості придатних для експлуатації служб, які регулярно контролюються за допомогою сканування вразливостей агентства, з 12 послуг на кожного користувача CyHy у серпні 2022 року до приблизно восьми служб через два роки.
За ці два роки також зменшилася кількість відомих заявок про використання вразливостей: KEV критичної серйозності впало на 50%, а KEV високої серйозності – на 25%. Час усунення вразливостей протоколу Secure Sockets Layer (SSL) також скоротився: станом на серпень 2022 року запити вирішувалися приблизно через 200 днів, а через кілька місяців скоротилися до менш ніж 50 днів.
Також у звіті CISA було наголошено на даних про найбільшу кількість операційних технологічних протоколів, відкритих для загальнодоступного Інтернету, привертаючи особливу увагу до 63% рівня впливу, виявленого в секторі державних послуг і установ. ІТ (10%), енергетика (10%), охорона здоров’я (5%) і фінансові послуги (4%) також були названі.
«Загалом ініціативи, програми та продукти CISA безпосередньо впливають на реєстрацію послуг у секторі критичної інфраструктури та впровадження CPG», — йдеться у звіті. «Загальний аналіз даних CISA показує помірний вплив впровадження CPG у секторах критичної інфраструктури».