Отчет Управления по контролю за качеством США (GAO) за март 2024 года, озаглавленный “Улучшение работы по устранению рисков для операционных технологий”, адресован конгрессиональным комитетам и фокусируется на критической инфраструктуре, зависящей от операционных технологий (ОТ) — систем, взаимодействующих с физическим окружением для обеспечения жизненно важных услуг. Агентство по кибербезопасности и инфраструктурной безопасности (CISA) определено федеральным законом как ведущее агентство, помогающее владельцам и операторам критической инфраструктуры решать киберриски для ОТ.

GAO выявило, что, несмотря на то, что ОТ системы и устройства используются для управления процессами распределения (например, трубопроводы нефти и природного газа) и производственными системами (например, выработка электроэнергии), они подвергаются значительной угрозе со стороны злонамеренных киберакторов. Такие системы становятся все более уязвимыми к атакам из-за их увеличивающейся интеграции с информационными технологиями (IT) системами, что увеличивает риск серьезного ущерба для безопасности людей, окружающей среды и экономики.

GAO выявило вызовы, с которыми сталкивается CISA при предоставлении продуктов и услуг по кибербезопасности ОТ, включая негативный опыт использования некоторых услуг CISA и недостаточный персонал с необходимыми навыками ОТ. Например, было выявлено, что процесс уведомления о уязвимостях через CISA часто занимает более года от первоначального сообщения о уязвимости до публичного раскрытия.

Для решения этих вызовов GAO рекомендует CISA внедрить процессы и руководства для улучшения своих продуктов и услуг по ОТ и сотрудничества, в частности измерять удовлетворенность клиентов своими продуктами и услугами ОТ, эффективно планировать рабочую силу для персонала ОТ, издавать руководства для агентств по управлению рисками сектора о том, как обновлять их планы для координации по вопросам критической инфраструктуры, и разрабатывать политику о соглашениях с агентствами по управлению рисками сектора в отношении сотрудничества.

Отчет подчеркивает важность совместной работы и внедрения ведущих практик сотрудничества между CISA и другими федеральными агентствами для эффективного снижения киберрисков, связанных с ОТ, и поддержки критической инфраструктуры.