Complexidade na conformidade: como as organizações críticas podem se manter à frente das ameaças em tempos turbulentos

Check Point Software é um cliente repórter de negócios

A infraestrutura nacional crítica (CNI) alimenta o mundo, literalmente. Contamos com essas indústrias para manter a eletricidade, acessar e armazenar nosso dinheiro em bancos, obter tratamentos médicos e suprimentos de alimentos e muito mais.

No Reino Unido, a CNI consiste em 13 setores únicos: produtos químicos, nucleares civis, comunicações, defesa, serviços de emergência, energia, finanças, alimentos, governo, saúde, espaço, transporte e água. Devido à criticidade dessas organizações, elas são frequentemente alvo dos cibercriminosos – e incansavelmente. De acordo com O relatório do estado de segurança cibernética 2025As instituições de saúde globalmente, por exemplo, experimentaram uma média de 2.210 ataques por organização semanalmente, com organizações governamentais direcionadas em média 2.286 vezes por organização por semana.

Além disso, o aumento da conformidade e regulamentação confundiu os parâmetros do que realmente significa ser “seguro” e para que as organizações CNI sejam resilientes cibernéticos. Criticamente, muitas infraestruturas críticas do país (e, em muitos casos, o mundo inteiro) estão interconectadas, com vínculos fracos representando uma ameaça significativa de conseqüências cascatas catastróficas. Padrões recentes, como NIS2 e Dora, visam manter as organizações sob controle e proteger cadeias de suprimentos inteiras. Mas isso é suficiente?

Harmonização de padrões

Existem muitos padrões em silêncio quando se trata de certos setores, países e órgãos governamentais. No entanto, como mencionado anteriormente, muitas organizações CNI estão interconectadas e dependem de outras indústrias para funcionar corretamente. A indústria da água, por exemplo, conta com o setor de energia, com energia necessária para extrair, bombear, tratar e gerenciar água e águas residuais. Por outro lado, o Contas do setor de energia por aproximadamente 10 % do uso global de água doce. Um depende do outro, então alguma governança abrangente é crucial. O que é necessário é uma harmonização de padrões em todo o mundo e entre os setores para proteger todas as infraestruturas críticas.

Nos últimos anos, governos e órgãos reguladores colocaram medidas para proteger a CNI. Na Suíça, por exemploO Centro Nacional de Segurança Cibernética (NSCs) anunciou em março de 2025 que os relatórios serão obrigatórios para operações críticas de infraestrutura dentro de 24 horas após a descoberta-um marco significativo para a resiliência cibernética da Suíça. Embora esse tipo de compartilhamento de informações seja crucial para a transparência e para proteger outras organizações, existem várias áreas cinzentas a serem consideradas. Algumas organizações, por exemplo, podem não ser maduras o suficiente para ter informações úteis suficientes disponíveis em 24 horas; Outros podem ser exagerados para evitar quaisquer conseqüências de não conformidade, resultando em muitos falsos positivos; E, igualmente, organizações em toda a cadeia de suprimentos que talvez não sejam consideradas organizações CNI podem não relatar questões que podem afetar infraestruturas críticas. Por fim, um empreendimento como esse requer mais recursos e pessoas.

É importante encontrar um equilíbrio entre exigir organizações e deixá -las para seus próprios dispositivos. Isso coloca a pergunta: a conformidade nos torna complacentes? O que realmente é necessário é mais proatividade.

A proatividade é fundamental

Para muitas organizações, a conformidade atua como um cobertor de segurança, proporcionando -lhes uma falsa confiança. É crucial perceber que ser compatível não necessariamente o torna seguro, e ficar bem no papel raramente é suficiente quando se trata de prevenção de ameaças no mundo real. Os incidentes da vida real raramente seguem um manual. A conformidade se move e evolui com as ameaças em mudança, por isso não pode ser um exercício de uma caixa ou tick-box, especialmente quando se trata de proteger as organizações da CNI. Os líderes empresariais podem encontrar sua organização compatível com um instantâneo no tempo, mas não em perpetuidade. A melhor maneira de defender é prevenir, proativamente.

Por fim, os atores de ameaças realmente não se importam com a conformidade. Eles procuram fraquezas e vulnerabilidades facilmente exploráveis ​​para obter acesso a um sistema e/ou rede. É exatamente isso que as equipes de segurança devem procurar quando se trata de proteger suas organizações. Ao adotar essa mentalidade, as equipes de segurança podem reforçar ainda mais as defesas além da conformidade. Mas como as organizações devem abordar isso?

Reduzindo o ruído: focando em assuntos

As organizações devem começar empregando ferramentas que lhes dão uma maior visibilidade de todos os ativos em um sistema, o que é ainda mais importante em ambientes que convergem sistemas de TI e tecnologia operacional (OT), especialmente se a tecnologia herdada ainda estiver em uso. A rápida digitalização de algumas indústrias críticas, como a fabricação, criou lacunas de segurança que precisam abordar com urgência. Depois que os ativos são mapeados, as avaliações de vulnerabilidade devem ser realizadas regularmente, com a detecção automatizada de ameaças empregadas sempre que possível. Outras medidas que as equipes devem empregar proativamente são os exercícios de equipes vermelhas e de mesa.

No entanto, muitas ferramentas podem levar a uma excesso de confiança igualmente perigosa. A proteção de cibersegurança é mais sobre qualidade do que quantidade. A harmonização nos padrões é importante, mas a harmonização nas ferramentas para proteger uma pilha de segurança é igualmente crítica. Os líderes devem se concentrar na criação de uma estratégia de segurança confiável, mas simples, para ajudar a reduzir o ruído e entender melhor o risco.

A conformidade não pode ser completamente desconsiderada, no entanto. Quando se trata de comprar a adesão à placa, a conformidade pode ser uma boa maneira de iniciar a conversa, pois há consequências do mundo real, monetário e/ou reputação quando a conformidade não é atendida. Os relatórios padronizados também podem ser uma boa maneira de comunicar a importância da cibersegurança nas placas, o que é um problema contínuo.

Protegendo o futuro da CNI

Uma coisa é certa: as organizações da CNI estão sendo direcionadas com mais frequência do que nunca. As organizações devem estar preparadas e permanecer à frente das ameaças com exercícios de mesa e inteligência atualizada de ameaças sem negligenciar o cibernéneo básico. A maioria dos incidentes pode ser evitada, mas apenas se as organizações estiverem preparadas. Use a conformidade como linha de base, mas vá além e além para garantir a resiliência cibernética legítima.