英国基础设施面临灾难性勒索软件攻击的高风险，政府准备不足

根据一份新的议会报告，英国面临“灾难性”勒索软件攻击的高风险，政府没有做好应对这一威胁的准备。

国家安全战略联合委员会发现，英国“大片”关键国家基础设施 (CNI) 很容易受到勒索软件的攻击，因为其中许多服务运行的是过时的 IT 系统，包括遗留运营技术 (OT)。

报告指出，英国国家医疗服务体系 (NHS) 拥有大量遗留基础设施，这使其“在保护自己免受网络攻击方面处于特别困难的境地”。

该委员会列举了 2022 年 4 月勒索软件攻击对哥斯达黎加政府的影响，导致该国大部分数字基础设施瘫痪数月。

英国尚未在其 CNI 中经历过如此协调一致的攻击，然而，哥斯达黎加的经验表明，一个国家的数字基础设施遭受如此大规模的攻击会以多么快的速度屈服。

政府反应不足

委员会补充说，继2021 年勒索软件攻击爆发后，该媒介的威胁仍然一如既往地严重。大多数针对英国的勒索软件攻击都是来自讲俄语的攻击者。

报告称，目前英国政府在这方面的努力还不够，规划也会有所欠缺。

该委员会表示，虽然政府发布了雄心勃勃的国家网络战略，但“其进展报告目前很差”。

对于大多数勒索软件受害者来说，国家“几乎没有”支持，而且应对警察部队往往对网络缺乏了解。因此，许多受害者被迫求助于私人网络事件响应公司，包括地方政府当局。

缺乏支持的主要原因是负责网络安全的政府机构，特别是国家网络安全中心（NCSC）和国家犯罪局（NCA）的资金不足。这包括 NCA 在招聘网络专家方面面临重大困难，因为它无法在薪酬和职业发展方面与私营部门竞争。

该报告还表示，勒索软件有可能在政府层面“被无情地降低优先级”，而明确的政治优先事项会被优先考虑到其他问题。

英国政府如何改进？

• 国家安全战略联合委员会为英国政府提出了一系列建议，以改善对勒索软件威胁的响应，包括：
• 与保险部门合作，针对重大网络攻击制定再保险计划，以克服承保范围“严重”不足的问题
• 建立国家网络战略小组委员会，每年至少两次审议五个支柱中每一个支柱的进展情况
• 应对勒索软件的责任应从内政部转移到内阁办公室，与 NCSC 和 NSA 合作
• 提出立法紧急更新已有 30 年历史的《计算机滥用法》
• 重新审视可用于 NCA 薪酬和晋升的资金，使其能够提供能够吸引具有专业网络技能的专家的薪酬
• 定期举行全国演习，为影响多个 CNI 部门的重大全国勒索软件攻击做好准备
• 向 NCSC 提供资金，以建立强化的专门地方当局网络弹性计划
• 为 NCSC 和 NCA 提供资金，使其能够向所有公共部门的勒索软件受害者提供谈判、恢复和补救能力
• 建立勒索软件攻击的中央报告机制，并考虑是否要求所有英国组织在三个月内报告攻击
• NCSC 将制定更详细的指南，供非技术受众使用，说明如何最好地避免在攻击后支付赎金

业界反应

向委员会提供口头和书面证据的皇家联合军种研究所 (RUSI) 研究员杰米·麦科尔 (Jamie MacColl) 在评论该报告时表示，现在是时候与广大公众更积极地讨论勒索软件和有组织的网络犯罪问题了，并将其公开。政治议程。

他表示：“此类对话可能包括更坦诚的细节，说明政府在应对这一威胁方面的地位和作用，无论是预防性的还是反应性的。”

EasyDMARC 首席执行官兼联合创始人 Gerasim Hovhannisyan 表示，政府领导层必须紧急重新评估网络安全政策，以免为时已晚。

“威胁正在升级，但战略规划和安全标准可以帮助在重大攻击袭击重要服务之前解决漏洞。考虑到潜在的后果，我们必须立即将网络弹性作为英国关键基础设施的政治优先事项，”他概述道。

该报告的调查结果与 My1Login 关于 NHS 缺乏网络准备的令人担忧的调查结果相吻合。

My1Login 首席执行官 Mike Newman 评论道：“我们的团队最近发现，只有少数 NHS 信托机构拥有专门的网络安全预算，而且很少有机构拥有超过一两名员工的安全团队。研究还强调，大多数 NHS 工作人员每年只接受不到两小时的安全培训，但鉴于大多数勒索软件攻击是通过网络钓鱼执行的，这是一个必须立即补救的问题。”

他补充道：“我们不希望很快又出现另一个 WannaCry。”