دفتر جدید کریس اینگلیس در کاخ سفید حس استارتاپی دارد. میز، چند صندلی، قهوه ساز و پوستری به دیوار آویزان شده است. اما به عنوان رئیس دفتر تازه تأسیس مدیر ملی سایبری، اینگلیس باید با آنچه در اختیار دارد، به اندازه‌ای عمل کند و در عین حال همچنان به رئیس‌جمهور جو بایدن در مورد هوشمندانه‌ترین راه‌ها برای جلوگیری از حملات سایبری و واکنش به آن توصیه می‌کند.
انگلیس قبلاً گفتگوهای متعددی با رئیس جمهور داشته است که به وضوح گفته است که دولت نقشی در دفاع از بخش خصوصی و کمک به بخش خصوصی در دفاع از زیرساخت های حیاتی دارد. و رئیس جمهور می داند، به گفته انگلیسی، این بدان معناست که دولت باید خانه سایبری خود را سامان دهد.
اما مانند هر استارتاپ واقعی، منابع Inglis کمیاب است. با گذشت بیش از سه ماه از تایید شدن توسط مجلس سنا، او هنوز پرسنل کاملی را که برای انجام ماموریت به موقع و حیاتی خود نیاز دارد، ندارد. دلیل آن این است که بودجه دفتر او – حدود 21 میلیون دلار، بخشی از لایحه زیرساختی 1 تریلیون دلاری که از کنگره عبور می کند – هنوز در چرخه چرخش سیاسی گیر کرده است. چرا مهم است؟
انگلیس در ماه گذشته در اجلاس اطلاعات و امنیت ملی AFCEA و INSA در نشنال هاربر، مریلند، به من گفت: “تهدید بزرگتر از آن چیزی است که من هرگز به یاد دارم.” «جسارت، گستاخی، آستانه‌هایی که هر لحظه از آن عبور کرده‌اند. ما در مکان سختی قرار داریم.»
در حالی که منتظر کنگره است، می‌گوید که حدود پنجاه درصد از زمان خود را صرف تعیین نقش خود می‌کند، مراقب است کارهایی را که قبلاً توسط سایر آژانس‌ها و بخش‌ها انجام می‌شد تکرار نکند، در حالی که پنجاه درصد دیگر را صرف ایجاد روابطی می‌کند که بعداً مهم خواهند بود. . در نهایت، انتظار می‌رود که او کارکنانی متشکل از 75 نفر داشته باشد که انتظار می‌رود با CISA، کارکنان سایبری شورای امنیت ملی، OMB و دیگران همکاری کنند. اینگلیس به شوخی می‌گوید، پنجاه درصد زمان باقی‌مانده‌اش را صرف کشف چگونگی جذب بهترین استعدادهای کشور می‌کند.
“مردم شروع به سرازیر شدن به سازمان کرده اند. من مطمئن هستم که به یک لحظه شکست نزدیک می‌شویم، نه برای مدیر ملی سایبری، بلکه سهمی که می‌توانیم و باید انجام دهیم. من از ماهیت چالش هشیار هستم، من خوشبین هستم که بتوانیم تفاوت ایجاد کنیم.
او خوشبین است. و او حتی از اینکه یک وظیفه مهم برای امنیت ملی ایالات متحده به او محول می شود و سپس باید منتظر باشد تا سیاست قبل از اینکه بتواند بر اساس آن عمل کند، شکایت نمی کند.
“این یک خط نیمه نقره ای بود که ما نمی توانستیم به این فکر کنیم که چگونه می خواهیم از منابعی که در راه است استفاده کنیم.”
در حالی که انگلیس منتظر بوده است، او و تیم کوچکش وقت داشته اند تا به چهار موردی که می خواهند فوراً روی آنها تمرکز کنند فکر کنند.
اول، ساده‌سازی نقش‌ها و مسئولیت‌ها در دولت برای محافظت از بخش‌های عمومی و خصوصی در برابر حملات سایبری است. او همچنین در جلسه تأیید خود در مورد اهمیت تخصیص منابع صحبت کرد و در حالی که دفتر مدیر ملی سایبری صلاحیت جابجایی پول را ندارد، اما آنچه که انگلیس آن را مسئولیت حسابرسی برای پول سایبری می‌خواند، دارد.
یکی از مهمترین شکاف‌های سایبری این است که زیرساخت دیجیتال فیزیکی بر اساس یک استاندارد مشترک ساخته نشده است. دستور اجرایی مربوط به این امر مستلزم آن است که در مدت زمان معینی باید رویه های اساسی مانند احراز هویت چند عاملی و رمزگذاری مواد ذخیره شده را نصب کنیم. این یک چالش و یک آسیب پذیری بالقوه برای ما است. ما باید مطمئن شویم که این سرمایه‌گذاری‌ها را برای جبران کمبود سرمایه‌گذاری برای سال‌ها ضروری می‌کنیم.
شکاف دوم در استعداد مربوط به تعداد افراد مورد نیاز برای اشغال این مشاغل است. این صرفاً مربوط به افرادی نیست که IT یا سایبر را به نام خود دارند، بلکه آگاهی عمومی سایبری است. مقداری از منابع زمان، توجه و پول برای به دست آوردن آگاهی از سوی طرف های واقعاً پاسخگو مانند رؤسای آژانس ها و بخش ها صرف می شود. ما باید مطمئن شویم که آنها سایبر را به عنوان یک مرکز هزینه نمی بینند، بلکه آنها را قادر می سازد از سوی همه کاربران، زیرا آنها متوجه می شوند که چه نقشی دارند و چه مسئولیتی دارند.
او اعتراف می کند که هنوز سطحی از آموزش در داخل دولت برای رسیدن به آن مورد نیاز است.
“این معمولاً هم در بخش دولتی و هم در بخش خصوصی وجود دارد.» ما باید اینگونه در مورد سایبر فکر کنیم و در سایبر سرمایه گذاری کنیم تا بتوانیم این ماموریت را فعال کنیم، نه اینکه آن را متوقف کنیم. من فکر می کنم که آموزش مهمترین و مؤثرترین راه برای رسیدگی به این موضوع است. سپس، باید اطمینان حاصل شود که مسئولیت پذیری همسو و هماهنگ است. ما تمایل داریم در یک مکان ریسک کنیم و از کسی در جایی دیگر انتظار داریم که کاهش دهنده خطری باشد که او در وهله اول آن را درک نمی کند. ما باید به شکلی مشارکتی عمل کنیم و از تقسیم‌بندی‌های تلاش دور شویم که توافقی است برای عدم همکاری و اجازه دادن به دشمنان ما را یکی یکی کنار بزنند.»
انگلیس می گوید که وحدت تلاش باید از خانه شروع شود. او گفت: «دستور اجرایی صادر شده در ماه مه شروع به ارائه انتظارات مشترک در مورد سخت‌افزار، نرم‌افزار و اقداماتی کرده است که ما باید در آن فضاها شروع کنیم.» از نظر بیرونی، اگر آژانس‌های مدیریت ریسک بخش داریم که بخش خصوصی را به منظور پشتیبانی و مشارکت دادن اجزای حیاتی آن زیرساخت درگیر می‌کنند، باید مطمئن شویم که شما نیازی به دکترا ندارید. در دولت بدانید که باید با چه کسی معامله کنید و از آنها چه چیزی خواهید گرفت.»
او از دولت بحث می کند که «مواد ارزشمند» را نیز روی میز بگذارد. انگلیس گفت: «این می‌تواند قدرت برگزاری ما باشد. شاید بتوانیم مسئولیت را بررسی کنیم و آن را کاهش دهیم یا به شرکت‌ها سرنخی بدهیم که چه چیزی ممکن است در اطراف باشد زیرا دولت به اطلاعات دقیق دسترسی دارد. اگر این تنظیم امکان پذیر باشد، ما همچنین به مکانی نیاز داریم که در آن همکاری صورت گیرد. اطلاعات با هم همکاری نمی کنند، مردم همکاری می کنند.»
Inglis دوست دارد به مثال CISA و Joint Cyber Collaborative اشاره کند. آنها افرادی از بخش خصوصی و بخش دولتی را در کنار یکدیگر قرار می دهند تا تهدیداتی را که ما را در معرض خطر مشترک قرار می دهد، کشف کنند. آن پروژه امکان همکاری ضمنی را در کاری که ما با آن تصویر عملیاتی مشترک انجام می دهیم، ایجاد می کند. دولت می‌تواند ایده‌هایی را اتخاذ کند که شرکت‌های بخش خصوصی به سیستم‌های اختصاصی تبدیل شوند و آنها را غنی‌سازی و طبقه‌بندی کند تا با آن در سیستم خود مقابله کنند.»
اینگلیس با استفاده از آنچه او «همه ابزارهای موجود در جعبه ابزار» می‌خواند، به اهمیت روابط بین‌المللی نیز اشاره می‌کند که به خوبی با نشست بین‌المللی کاخ سفید در مورد باج‌افزار در هفته گذشته در واشنگتن، که استانداردهای سخت‌تر ارزهای دیجیتال، از جمله موارد دیگر را به صفر رساند، مطابقت دارد. فراتر از پنج چشم، سایر کشورهای همفکر در مورد رفتار مورد انتظار در این مورد چه فکر می کنند؟ او پرسید که چه اقدامات دولتی مناسب است؟
انگلیس در اقدامات اخیر رئیس جمهور در فضای مجازی شرکت فعال داشته است. او در نشستی در کاخ سفید با رهبران فناوری در ماه اوت که به میزبانی پرزیدنت بایدن برگزار شد، شرکت کرد، که به گفته انگلیس، اولین ساعت را به اشتراک گذاشتن دیدگاه خود در مورد چگونگی تمرکز کشور بر ادغام مشارکتی اختصاص داد. انگلیس گفت: «شرکت‌هایی که نمایندگی می‌شوند نه تنها شرکت‌هایی مانند مایکروسافت و اپل، بلکه افرادی بودند که در فضای زیرساخت‌های حیاتی فعالیت می‌کنند. بخش مردم، مربیان، نشان دهنده دیدگاه رئیس جمهور بود که فضای مجازی فقط فناوری نیست، بلکه جزء مردم نیز هست. آنها یک حلقه اصلی در زنجیره هستند و ما باید نقش ها و مسئولیت ها را به درستی انجام دهیم.”
انگلیس گفت که در حالی که منتظر بودجه مورد نیاز برای پرسنل کامل دفترش است، در حال فکر کردن به تطبیق منابع با آرزوها است. مدیریت انتظارات مهم خواهد بود. سال‌هاست که ناامیدی نسبت به آنچه که برخی آن را عدم پاسخگویی دولت به برخی از بزرگترین هک‌های تاریخ می‌دانند، افزایش یافته است. عبارت «زمان و مکان انتخابی ما» به‌عنوان تعریف واکنش قدیمی شده است و برخی از آمریکایی‌ها از دولتی خسته شده‌اند که به شیوه‌ای علنی‌تر به ضربه‌ای که آمریکا در فضای سایبری می‌بیند، پاسخ نمی‌دهد.
بنابراین، من از انگلیسی پرسیدم که آیا باید در فضای مجازی خطوط قرمز وجود داشته باشد؟
او پاسخ داد: خطوط قرمز هم خوب هستند و هم بد. آنها واضح و واضح هستند و همه می دانند که چه هستند. نکته منفی این است که به همین دلیل، یک حریف دقیقاً می داند که تا کجا می تواند پیش رود. به این معنی است که شما یک محیط تا حدودی مجاز راه اندازی کرده اید. خطوط قرمز نیز زمینه ندارند. گاهی اوقات دلیلی وجود دارد که یک مدافع پرداخت باج افزار را انجام دهد. به عنوان یک سیاست، دولت ایالات متحده باج افزار پرداخت نمی کند، اما من تصور می کنم در مقطعی وضعیتی پیش خواهد آمد که بیمارستانی بر خلاف دولت روسیه باشد و زندگی و ایمنی واقعی در خطر باشد. اگر راه دیگری برای بازگرداندن مواد وجود نداشته باشد، برای بازگشت به کسب و کار نجات زندگی، آنها می خواهند دوباره فکر کنند که آیا خط قرمز یک خط قرمز در آن موقعیت خاص است. من فکر می‌کنم کار درست در اینجا این نیست که آستانه‌های سختی از چیزها را با پاسخ‌های متنی تعیین کنیم، بلکه مشخص کنیم از چه چیزی برای دفاع آماده هستیم و از چه اصولی برای دفاع از آن چیزها استفاده خواهیم کرد. ما متعهد می شویم که از بخش خصوصی زمانی که در معرض خطر یک دولت ملی در فضای سایبری و فضای جنبشی قرار می گیرد، دفاع کنیم و این را برای دشمنان روشن کنیم. من فکر می‌کنم که این امر در تغییر محاسبات تصمیم‌گیری و ایجاد یک ابهام مفید در مورد زمان و مکان ورود ما مفیدتر خواهد بود.»
انگلیس گفت که او همچنین در مورد تاب آوری حال و آینده بسیار فکر می کند. با توجه به این که کاخ سفید تخمین می زند که نزدیک به نیم میلیون شغل امنیت سایبری بخش دولتی و خصوصی در حال حاضر تکمیل نشده است، تمرکز ارزشمندی است.
انگلیس گفت: «این یک مشکل بزرگ است. با این حال، مشکل موذیانه تر این است که 320 میلیون نفر در ایالات متحده که از اینترنت استفاده می کنند، نمی دانند که چگونه به درستی جای خود را در خط مقدم این موضوع بگیرند. یک مسئله آگاهی وجود دارد که ما را ملزم می کند برنامه نویسان پایتون را از آنها نسازیم، بلکه مطمئن شویم که ماهیت این فضا را درک می کنند.”
همه این ضرب المثل قدیمی را شنیده اند که زمان پول است، اما در مورد انگلیس، زمان امنیت است، بنابراین من به طور کامل از او پرسیدم که آیا فکر می کند دولت به سرعت در حال حرکت در مورد مشکل سایبری است یا خیر.
«دولت با سرعت در حال حرکت است. سوال این است که آیا با سرعت لازم است؟ فکر نمی کنم کسی با سرعت لازم حرکت کند. برخی با سرعت نور حرکت می کنند، اما در پایان روز، ما به یک رویکرد یکپارچه و مشارکتی نیاز داریم. در حالی که ما وحدت فرماندهی نخواهیم داشت، من فکر می کنم نیاز است که احساس فوریت جهانی وجود داشته باشد تا همه ما سرمان را وارد بازی کنیم.”
کنگره، گوش می کنی؟ اوه، و به هر حال، آن پوستر در دفتر انگلیسیس؟ نوشته شده است: «ساعت‌هایی از آخرین سورپرایز».
“به‌عنوان یک استارت‌آپ با شاید منابع بسیار کمی در ابتدا و که اغلب نمی‌دانستند همه ویکت‌ها چگونه اداره می‌شوند، ما هر از گاهی شگفت‌زده می‌شویم.» «وقتی با آن شگفتی‌ها روبرو می‌شویم و به سراغ کسی می‌رویم که تخصص عمیق و دقیقی دارد تا به ما کمک کند تا آنها را طی کنیم، آنچه را که نیاز داریم به دست می‌آوریم. با این حال، ما هنوز یک سازمان کاملاً کارآمد، با امکانات کامل و کاملاً توانمند نیستیم. ما در حال تلاش برای ساختن هواپیمای شخص دیگری هستیم در حالی که از هواپیمای خودمان در حال سقوط آزاد هستیم. ما چتر نجات داریم و می‌توانیم با خیال راحت فرود بیاییم، اما گاهی اوقات کمی چالش برانگیز است.»
درباره چرایی پیوستن کارشناسانی مانند کیت الکساندر، مدیر کل سابق NSA (Ret.)، مدیر عامل Mandiant، کوین ماندیا و دیگران بیشتر بدانید. گروه ابتکارات سایبری، طراحی شده توسط The Cipher Brief
بینش، دیدگاه و تحلیل کارشناسان امنیت ملی را در ادامه بخوانید خلاصه رمز