Eric Goldstein, un alto funzionario in partenza dalla CISA, riflette sul progresso dell’agenzia nel comprendere i rischi cyber, collaborare con l’industria e incoraggiare le aziende tecnologiche a rendere i loro prodotti più sicuri.
La Cybersecurity and Infrastructure Security Agency (CISA) ha compiuto passi significativi nella comprensione dei rischi cyber, nella collaborazione con l’industria e nell’incoraggiamento delle aziende tecnologiche a rendere i loro prodotti più sicuri. Questo è quanto afferma Eric Goldstein, un alto funzionario in partenza dall’agenzia, che sottolinea anche come ci sia ancora molto lavoro da fare, ad esempio nell’implementazione di una regola per la raccolta dei dati sugli incidenti cyber.
Goldstein, che lascerà il suo incarico come direttore esecutivo assistente per la cyber security alla CISA, ha lavorato nell’agenzia dall’inizio dell’amministrazione Biden. Ha condiviso con CyberScoop le sue riflessioni sul lavoro svolto all’interno dell’agenzia e su quello che sarà il futuro.
“Credo che l’agenzia abbia un grande slancio e vento a favore”, ha detto.
Goldstein ha dichiarato che presto si unirà al settore privato in “un ruolo di leadership nella cyber security”, ma il ruolo non è ancora pubblico.
Ha individuato tre aree in cui è “particolarmente orgoglioso” del progresso della CISA.
La prima è “la nostra capacità di comprendere effettivamente i rischi della cyber security e utilizzare questa comprensione per guidare il cambiamento”, citando iniziative come CyberSentry, un programma di rilevamento delle minacce in cui la CISA collabora con i proprietari e gli operatori di infrastrutture critiche. “Qualche anno fa, non potevamo dire credibilmente di avere una comprensione del rischio e del rischio relativo all’interno del governo e nei vari settori”, ha detto.
La seconda è la collaborazione con l’industria che ha un valore operativo maggiore, come il Joint Cyber Defense Collaborative. Nonostante sia a volte fonte di critiche per la CISA, il programma è uno “che sarei il primo a dire pubblicamente… è emergente e continuerà a maturare”, ha detto Goldstein, aggiungendo che crede che abbia fatto progressi significativi.
La terza è l’iniziativa secure-by-design, che cerca di mettere più responsabilità di cyber security sui produttori di prodotti piuttosto che sulle organizzazioni che li utilizzano. “Credo che abbiamo davvero cambiato la prospettiva della comunità in un modo che sta guidando un cambiamento reale e duraturo”, ha detto Goldstein.
Una volta che la CISA avrà implementato completamente le regole che il Congresso ha incaricato l’agenzia di scrivere sotto il Cyber Incident Reporting for Critical Infrastructure Act del 2022, l’agenzia sarà in una posizione ancora più forte, ha detto.
“Avere per la prima volta un insieme generalizzabile di dati sugli incidenti cyber, non solo per aiutare le vittime ma anche per condividere in modo più efficace e comprendere le tendenze per guidare gli investimenti, sarà un cambiamento di gioco per l’industria e per la cyber security globale”, ha detto di un programma che alcuni nel settore e nel Congresso temono metterà un onere eccessivo sui proprietari e gli operatori di infrastrutture critiche. “L’implementazione del CIRCIA sarà molto importante, perché le aspettative sono altissime”.
Altri importanti lavori che l’agenzia deve completare includono la focalizzazione sullo sviluppo e il dispiegamento sicuro dell’intelligenza artificiale, ha detto.
Una lezione chiave che lascia all’agenzia è la “necessità di mantenere l’umiltà nella nostra capacità di proiettare e prevedere i cambiamenti nell’ambiente tecnologico e delle minacce”, facendo riferimento all’imprevedibilità delle minacce derivanti dal conflitto tra Russia e Ucraina.
Altre lezioni includono la necessità di collaborazione e la “criticità delle persone”, ha detto. Sebbene la cyber sia spesso pensata come centrata sulla tecnologia, Goldstein ha detto, “alla fine si tratta delle persone che prendono le decisioni e progettano i sistemi e implementano i sistemi e fanno le scelte su dove investire”.