O Australian Energy Sector Cyber Security Framework (AESCSF) foi desenvolvido explicitamente para o setor de energia australiano em resposta à crescente ameaça cibernética que continua a assombrar a indústria. Desde seu primeiro lançamento em 2018, o Framework foi refinado para melhor atender organizações de diferentes níveis de maturidade e criticidade, e mapeia de perto vários padrões internacionais e australianos de cibersegurança, incluindo o NIST CSF, a série ISO 27000, a série IEC 62443 e o Privacy Act 1988 (Cth).

Servindo tanto como um framework de cibersegurança quanto como um programa de avaliação anual, o AESCSF fornece uma abordagem padronizada para que as organizações avaliem seu estado atual de capacidades e maturidade de segurança, e garantam que estão bem equipadas e preparadas caso um ataque cibernético ocorra. Além disso, o framework permite que as organizações se comparem com outras do setor de energia. Embora a avaliação ainda seja voluntária, recomendamos fortemente que todas as organizações do setor de energia a realizem para obter visibilidade de sua postura atual de cibersegurança e garantir que controles apropriados estejam em vigor para prevenir futuros ataques.

A avaliação em si consiste em dois componentes. O primeiro é realizado usando uma Ferramenta de Avaliação de Criticidade (CAT), que determina a criticidade da sua organização dentro do setor de energia. Seja você uma organização de eletricidade, gás ou combustíveis líquidos, há um CAT específico que se alinha às suas necessidades (lembre-se de que, se você operar em mais de um sub-setor de energia, como possuir ativos de eletricidade e gás, por exemplo, a respectiva avaliação de criticidade deve ser feita para cada sub-setor). A criticidade geral da sua organização é subsequentemente determinada pelo sub-setor que obteve a maior pontuação. Finalmente, cada classificação de criticidade é alinhada a uma respectiva classificação de Perfil de Segurança (SP), de 1 (mais baixa) a 3 (mais alta).

O segundo componente do AESCSF é uma avaliação de maturidade que examina as práticas de segurança em vigor em 11 domínios e avalia sua maturidade usando uma abordagem progressiva. Os respectivos domínios são:

• Gestão de Riscos
• Gestão do Programa de Cibersegurança
• Gestão da Força de Trabalho
• Gestão de Identidade e Acesso
• Gestão de Ativos, Mudanças e Configuração
• Resposta a Eventos e Incidentes, Continuidade das Operações
• Consciência Situacional
• Gestão de Ameaças e Vulnerabilidades
• Gestão de Privacidade Australiana (Específico da Austrália)
• Arquitetura de Cibersegurança
• Gestão da Cadeia de Suprimentos e Dependências Externas.

O AESCSF possui três diferentes avaliações de maturidade, no entanto, o modelo selecionado para a organização depende dos resultados da avaliação CAT. Cada modelo de avaliação consiste em um número pré-determinado de práticas que devem estar em vigor, bem como anti-padrões (atividades ‘ruins’ que minam a eficácia das capacidades de cibersegurança) que não devem existir. Realizar essa avaliação dá visibilidade da porcentagem de práticas que sua organização atende em cada domínio, permitindo assim determinar seu nível de maturidade em cibersegurança e estabelecer um plano para abordar as lacunas identificadas.

Realizar uma avaliação AESCSF anualmente fornece às organizações uma melhor compreensão de seu estado atual, identificando onde os controles são deficientes, onde pode ser necessário um maior aprimoramento e onde os controles de cibersegurança estão em vigor e operando efetivamente. A partir dessas descobertas, um processo de remediação pode ser estabelecido, deixando a organização melhor equipada para prevenir e enfrentar possíveis ataques cibernéticos.

Os atores de ameaças estão ficando mais inteligentes a cada minuto, frequentemente visando o elo mais fraco ao iniciar sua onda destrutiva contra ativos críticos. Mais do que nunca, as entidades do setor de energia devem ter uma compreensão abrangente de seu ambiente operacional e uma abordagem proativa à cibersegurança.