استراتژی جدید آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) با عنوان «CISA 2030: دفاع، مقاوم‌سازی، پیروزی»، با یک واقعیت تلخ روبروست: یک مهاجم با داشتن یک اعتبارنامه (Credential) معتبر، ممکن است سیستم را از پیش باز ببیند.
این استراتژی جدید بر امنیت فناوری‌های عملیاتی (Operational Technology – OT)، یکپارچگی زنجیره تأمین نرم‌افزار (Software Supply Chain) و تداوم خدمات حیاتی تمرکز دارد. CISA اذعان می‌کند که حتی با وجود دفاع‌های قدرتمند، نمی‌توان تضمین کرد که نفوذها به‌طور کامل متوقف خواهند شد.
معضل اعتماد در زیرساخت‌های قدیمی
بسیاری از زیرساخت‌ها همچنان به یک دستگاه، به‌روزرسانی نرم‌افزاری یا هویت ماشین (Machine Identity) صرفاً به این دلیل که زمانی تأیید شده است، اعتماد می‌کنند. در کنترل‌کننده‌های صنعتی (Controllers) که ممکن است دهه‌ها در سرویس باشند، در حالی که فریم‌ور (Firmware)، اعتبارنامه‌ها، تأمین‌کنندگان و اتصالات اطراف آن‌ها تغییر می‌کنند، این «اعتماد کورکورانه» می‌تواند یک مشکل زیرساختی را به اختلال در مأموریت‌های حیاتی تبدیل کند.
داشتن یک موجودی (Inventory) از تجهیزات تنها نقطه شروع است؛ دانستن اینکه یک کنترل‌کننده وجود دارد، اطلاعات چندانی درباره اصالت نرم‌افزار آن، اینکه چه کسی می‌تواند پیکربندی آن را تغییر دهد یا کدام سیستم‌ها به اعتبارنامه‌های آن وابسته هستند، ارائه نمی‌دهد.
امنیت هوش مصنوعی و مدیریت هویت
با ورود عامل‌های هوش مصنوعی (AI Agents) به فرآیندهای عیب‌یابی و نگهداری تجهیزات، ریسک‌ها پیچیده‌تر شده است. یک عامل احراز هویت شده با دسترسی‌های بیش از حد (Excessive Permissions)، همچنان می‌تواند تهدیدی برای عملیات باشد. تعیین دقیق محدودیت‌ها برای مدل‌ها، ابزارها و داده‌هایی که این عامل‌ها به آن‌ها دسترسی دارند، امری حیاتی است.
تاب‌آوری و قابلیت لغو دسترسی
یکی از مهم‌ترین معیارهای موفقیت استراتژی CISA، توانایی اپراتورها در شناسایی اعتمادِ به هم خورده، لغو دسترسی (Revoke Access) و بازیابی سیستم‌های تأیید شده، بدون مختل کردن خدمات ضروری است. اگر لغو یک اعتبارنامه سرقت شده منجر به از کار افتادن یک سرویس حیاتی شود، یعنی معماری سیستم در تست تاب‌آوری (Resilience) شکست خورده است. مدیریت هویت و اعتماد باید در تمام طول چرخه حیات هر دستگاه، قطعه نرم‌افزاری و هویت (از جمله عامل‌های هوش مصنوعی) مستمر و قابل کنترل باشد.
