Gerenciando a infraestrutura crítica: uma entrevista com Yosi Shneck da Israel Electric

Este é o segundo de uma série de artigos e entrevistas sobre o assunto de melhorar os cibernéticos - a capacidade de empresas, organizações e instituições para se preparar, e recuperar e recuperar os batatas cibernéticos. Para discutir como as empresas podem manter a vigilância, o BCG conversou com Yosi Shneck, vice -presidente sênior de informação e comunicação da Israel Electric, uma empresa que viu sua parcela de ataques cibernéticos. A série é um produto do trabalho da BCG com o Fórum Econômico Mundial. O primeiro artigo examinou como o governo federal pode ajudar nos níveis estadual e local com segurança cibernética. Os artigos futuros explorarão como os conselhos de diretores e gerentes seniores devem abordar a governança cibernética e como as empresas submetidas à transformação digital podem garantir que a segurança cibernética seja considerada deliberadamente, e não em uma base ad hoc. Além disso, ele é o diretor de informações, supervisionando as divisões de comunicação da ITC e de banda larga e o diretor de conformidade, gerenciando a organização da cibernética. segurança cibernética. Dada a importância de garantir a infraestrutura crítica, Shneck está envolvido em muitas iniciativas de segurança cibernética em todo o país. 

Can you share some of what you’ve learned about managing an organization that is constantly addressing advanced, persistent threats?

I think there are two things that we do that are perhaps uncommon. First, we don’t separate our operational technology (OT) and information technology (IT) environments. Many companies do, but this is a mistake! The target of the attackers is the OT system, but the highway is the IT system. Second, we have a distributed yet integrated organizational model for cybersecurity. The distributed part is this: every business unit has its own cyberunit with its own local security operations center, its own local response team, and its own cyberanalyst. 

Todos em uma unidade cibernética têm dois conjuntos de competências: um no processo de negócios e outro na segurança cibernética. Por exemplo, os membros do CyberTeam em nossa unidade de negócios de geração de potência são engenheiros de usina com habilidades avançadas de segurança cibernética. As unidades de negócios e as cibernitudes distribuídas são integradas em um centro de ciberfusão, que coleta dados que vêm não apenas de ciberunidades, mas também de reguladores governamentais e inteligência, sensores de equipamentos e outras fontes de informação exclusivas. Todos os dados são analisados ​​usando modelos e técnicas de análise de alto nível. O Cyberfusion Center é responsável por criar uma imagem contínua e em tempo real da cibersegurança organizacional e apoiar as ciberunidades distribuídas em qualquer situação, seja rotina ou emergência. (Veja a exposição.)

Também acreditamos na segurança cibernética por design. Ou seja, o aspecto de segurança cibernética de tudo deve ser entendida e levada em consideração na fase de design. Para esse fim, mapeamos a maioria dos nossos processos de negócios e os examinamos para o aspecto da segurança cibernética. Por exemplo, se queremos alterar uma política de compras, ela é rastreada pelo lado cibernético, e os pré -requisitos adequados da CyberDefense são considerados no estágio inicial e em todo o processo. Se queremos alterar um processo de recrutamento, é a mesma coisa. E as pessoas são o elo mais fraco. No final do dia, a maioria dos problemas pode ser melhorada se as pessoas agirem melhor. Para isso, decidimos treinar, treinar, treinar. Investimos muito em treinar pessoas - mesmo que elas venham do Exército ou Serviço Secreto e tenham uma experiência prolongada em CyberDefense. E não apenas os cibernéticos são treinados. Gerenciamento, trabalhadores de escritório, técnicos - todos recebem treinamento cibernético. Existem políticas particulares que o país buscou para tornar sua infraestrutura crítica mais resiliente? Viver em um ambiente de tensão criou a crença de que você deve estar preparado para qualquer cenário e depender de si mesmo o máximo possível.

Cyberdefense, like most other issues, depends on three main factors: people, policies and processes, and technology. And people are the weakest link. At the end of the day, most issues can be ameliorated if people act better. For that, we decided to train, train, train. We invest a lot in training people—even if they come from the army or secret service and have extended experience in cyberdefense. And not only cyberprofessionals are trained. Management, office workers, technicians—everyone receives cybertraining.

Why is Israel so effective at securing critical infrastructure? Are there particular policies that the country has pursued to make its critical infrastructure more resilient?

It’s not so much about policy but about the independent, self-reliant mindset that is the result of our geopolitics. Living in an environment of tension has created the belief that you have to be prepared for any scenario and depend on yourself as much as possible.

Com isso dito, é importante ser honesto. Esses cyberevents realmente acontecem e o risco está sempre lá. Obviamente, não durmo bem como resultado disso, mas sei que, se algo acontecer, é minha responsabilidade, e devo estar preparado para isso na maior parte possível. Não há outra opção, além de lidar com isso. Israel parece ter navegado nessa tensão - a segurança foi considerada a responsabilidade de paz da agência de segurança israelense (Shabak), em vez das forças de defesa de Israel. Existem lições desse acordo para outros países que tentam facilitar a cooperação público-privada?

Many countries have grappled with the difficulty of whether to assign responsibility for securing critical infrastructure to civilian or military organizations. Israel seems to have navigated this tension—security has been deemed the peacetime responsibility of the Israeli Security Agency (Shabak) rather than the Israel Defense Forces. Are there any lessons from that arrangement for other countries trying to facilitate public-private cooperation?

There are a few principal players in Israel: the National Cyber Bureau, the secret services, the army, and the nondefense stakeholders (civil enterprises and organizations, for example). The main lesson that all these organizations have applied is that it is highly important to avoid having any borders or barriers between or among them. They all foster a high level of cooperation among their technical, functional, intelligence, and knowledge layers. They use common and frequent communication protocols and channels to cooperate at every level.

Recentemente, mudamos, como resultado de uma decisão do governo, para uma autoridade civil para regular as entidades civis, e estamos encontrando benefícios nesse acordo. As autoridades civis entendem processos civis; Eles apreciam e entendem a cultura e o gerenciamento de empresas comerciais, ambas diferentes das das autoridades militares ou de serviço secreto. As agências militares e de defesa podem aplicar seu profundo conhecimento e experiência em segundo plano, quando necessário.