Успехи в повышении кибербезопасности критической инфраструктуры: анализ отчета CISA

13 января 2025 года Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) опубликовало отчет о прогрессе внедрения целей кибербезопасности (Cybersecurity Performance Goals, CPG). Этот документ отражает достижения в улучшении безопасности критической инфраструктуры США за период с 2022 по 2024 годы. В отчете анализируются результаты применения добровольных практик для повышения устойчивости киберсистем и снижения рисков.

CPG Adoption Report Скачать

Основная часть

1. Повышение кибергигиены

С момента выпуска CPG в октябре 2022 года число организаций, подключившихся к сервису сканирования уязвимостей CISA, выросло на 201%.

Наибольший рост показали секторы связи (300%), аварийных служб (268%), критического производства (243%) и водоснабжения/водоотведения (242%).
Такая динамика объясняется инициативами CISA, включая аналитические и информационные продукты, а также интеграцией CPG.

2. Устранение известных уязвимостей (KEV)

Организации, участвующие в сканировании, добились значительного сокращения числа уязвимостей, активно эксплуатируемых злоумышленниками.

Снижение среднего количества известных уязвимостей (KEVs) в интернет-доступных системах свидетельствует об улучшении процессов устранения сетевых рисков.
Среднее время устранения критических уязвимостей снизилось с 60 до 30 дней, а высоких — на 25%.

3. Укрепление шифрования

Использование устаревших протоколов шифрования, таких как SSL и TLS 1.0/1.1, уменьшилось.

Среднее количество конфигураций SSL, подверженных уязвимостям, сократилось с 3,8 до 2,5 на организацию.

4. Защита электронной почты

Внедрение механизмов аутентификации писем (DMARC, SPF, STARTTLS) показало улучшения.

89% участников реализовали DMARC, однако только 2% внедрили полную конфигурацию всех трех механизмов.

5. Снижение доступных сервисов

Объем эксплуатируемых сервисов в интернете сократился на 83% среди участников программы.

Самыми уязвимыми остаются такие сервисы, как FTP, RDP и SMB.

6. Ограничение протоколов OT в публичных сетях

CISA отметило значительное количество протоколов операционных технологий (OT), таких как Modbus и OPC UA, в публичных сетях.

Сектор государственных услуг занимает первое место по количеству уязвимых OT-протоколов с показателем 63%.

Заключение

Отчет CISA демонстрирует важность внедрения добровольных целей кибербезопасности. Улучшение кибергигиены, сокращение времени устранения уязвимостей и повышение осведомленности организаций подчеркивают эффективность стратегии агентства. Однако ключевые проблемы, такие как защита OT-протоколов и полная реализация мер по шифрованию, требуют дальнейшего внимания.

Для устойчивости критической инфраструктуры необходимо продолжить международное сотрудничество, повышать прозрачность и стимулировать использование передовых технологий киберзащиты.