Proteção de infraestrutura crítica - Critical infrastructure protection
Proteção de infraestrutura crítica ( CIP ) é um conceito que se relaciona à preparação e resposta a incidentes graves que envolvem a infraestrutura crítica de uma região ou nação.
A diretriz presidencial americana PDD-63 de maio de 1998 estabeleceu um programa nacional de "Proteção de infraestrutura crítica". Em 2014, a Estrutura de Segurança Cibernética do NIST foi publicada após outras diretivas presidenciais.
Na Europa , o equivalente Programa Europeu de Proteção de Infraestruturas Críticas (EPCIP) refere-se à doutrina ou programas específicos criados como resultado da diretiva da Comissão Europeia EU COM (2006) 786 que designa a infraestrutura crítica europeia que, em caso de falha, O incidente ou ataque pode afetar tanto o país onde está hospedado como pelo menos um outro Estado-Membro europeu . Os Estados-Membros são obrigados a adotar a diretiva de 2006 nos seus estatutos nacionais.
História do CIP dos EUA
O US CIP é um programa nacional para garantir a segurança de infraestruturas vulneráveis e interconectadas dos Estados Unidos . Em maio de 1998, o presidente Bill Clinton emitiu a diretiva presidencial PDD-63 sobre o tema da proteção da infraestrutura crítica. Isso reconheceu certas partes da infraestrutura nacional como essenciais para a segurança nacional e econômica dos Estados Unidos e o bem-estar de seus cidadãos, e exigiu que fossem tomadas medidas para protegê-la.
Isso foi atualizado em 17 de dezembro de 2003, pelo presidente Bush, por meio da Diretiva Presidencial de Segurança Interna HSPD-7 para Identificação, Priorização e Proteção de Infraestruturas Críticas . A diretiva descreve os Estados Unidos como tendo alguma infraestrutura crítica que é "tão vital para os Estados Unidos que a incapacidade ou destruição de tais sistemas e ativos teria um impacto debilitante na segurança, segurança econômica nacional, saúde pública nacional ou segurança".
Visão geral
Os sistemas e redes que compõem a infraestrutura da sociedade são muitas vezes considerados óbvios, mas uma interrupção em apenas um desses sistemas pode ter consequências terríveis em outros setores.
Considere, por exemplo, um vírus de computador que interrompe a distribuição de gás natural em uma região. Isso poderia levar a uma redução consequente na geração de energia elétrica , o que, por sua vez, leva ao desligamento forçado dos controles e comunicações computadorizados . O tráfego rodoviário, o tráfego aéreo e o transporte ferroviário podem ser afetados. Os serviços de emergência também podem ser prejudicados.
Uma região inteira pode ficar debilitada porque alguns elementos críticos da infraestrutura são desativados por desastres naturais . Embora potencialmente em violação das Convenções de Genebra , as forças militares também reconheceram que isso pode prejudicar a capacidade de resistência de um inimigo, atacando elementos-chave de sua infraestrutura civil e militar.
O governo federal desenvolveu uma descrição padronizada de infraestrutura crítica, a fim de facilitar o monitoramento e preparação para eventos incapacitantes. O governo exige que a indústria privada em cada setor econômico crítico:
- Avalie suas vulnerabilidades a ataques físicos ou cibernéticos
- Plano para eliminar vulnerabilidades significativas
- Desenvolva sistemas para identificar e prevenir tentativas de ataque
- Alerte, contenha e rejeite ataques e, em seguida, com a Federal Emergency Management Agency (FEMA), reconstrua as capacidades essenciais no rescaldo
Setores de infraestrutura
CIP define setores e responsabilidades organizacionais de uma forma padrão:
- Banca e finanças : - O Departamento do Tesouro é responsável por coordenar a proteção não apenas dos sistemas, mas também por manter a confiança do público , por meio de iniciativas da indústria, como o Centro de Análise e Compartilhamento de Informações de Serviços Financeiros (ISAC)
- Transporte : - O Departamento de Transporte é responsável por proteger a infraestrutura de transporte rodoviário, ferroviário, aéreo e aquático, incluindo sistemas de entrega just-in-time controlados por computador , otimização da distribuição por meio de hubs e centros de tráfego e operações consolidados em locais-chave e regulamentação do transporte de materiais perigosos.
- Energia : - O Departamento de Energia supervisiona o fornecimento de energia, incluindo eletricidade, petróleo e gás, e trabalha com a Comissão Reguladora Nuclear para a proteção de materiais nucleares e energia. Observe que o CIP neste setor é diferente da segurança energética , que é a política e a economia do abastecimento. Além disso, operando sob os auspícios da Federal Energy Regulatory Commission, está a North American Electric Reliability Corporation (NERC), uma organização sem fins lucrativos que define e aplica padrões de confiabilidade para o sistema de energia em massa.
- Informação e comunicações : - Supervisionada pelo Departamento de Comércio , a maioria das áreas da vida depende de telecomunicações e tecnologia da informação.
![](https://upload.wikimedia.org/wikipedia/commons/thumb/a/a1/Oklahomacitybombing-fema-1277.jpg/220px-Oklahomacitybombing-fema-1277.jpg)
- Serviços federais e municipais : - Supervisionados conjuntamente por órgãos federais e estaduais. Eles garantem a continuidade do governo nos níveis federal, estadual e local para atender a prestação de serviços essenciais.
- Serviços de emergência : - Supervisionados pelos Serviços Humanos e de Saúde , incluindo serviços de saúde de emergência e saúde pública
- Corpo de bombeiros : - Supervisionado pela Federal Emergency Management Agency FEMA .
- Agências de aplicação da lei : - Supervisionadas conjuntamente pelo Departamento de Justiça e pelo Federal Bureau of Investigation para garantir o funcionamento ordenado das atividades em tempos de ameaça ou crise.
- Obras públicas : - Supervisionadas pela Agência de Proteção Ambiental dos Estados Unidos . Isso inclui sistemas de água potável e drenagem.
Em 2003, o mandato foi expandido para incluir:
- Agricultura e alimentos, com o Departamento de Agricultura supervisionando o abastecimento seguro de carnes, aves e ovoprodutos.
- Monumentos e ícones nacionais, subordinados ao Departamento do Interior
Com grande parte da infraestrutura crítica de propriedade privada, o Departamento de Defesa (DoD) depende da infraestrutura comercial para apoiar suas operações normais. O Departamento de Estado e a Agência Central de Inteligência também estão envolvidos na análise de inteligência com países amigos.
Em maio de 2007, o DHS concluiu seus planos setoriais específicos (SSP) para coordenar e lidar com eventos críticos. a continuidade do governo (COG) em tempos de um evento catastrófico pode ser usada para preservar o governo como considerado adequado pelo presidente, ponto em que o bem-estar do governo pode ser colocado acima do bem-estar dos cidadãos dos Estados Unidos, garantindo que o governo é preservado para reconstruir a economia e o país quando é considerado seguro retornar à superfície dos Estados Unidos da América.
Significado
Em 9 de março de 1999, o vice-secretário de Defesa John Hamre alertou o Congresso dos Estados Unidos sobre um terrorista cibernético " Pearl Harbor eletrônico ", que dizia: "Não vai ser contra navios da Marinha estacionados em um estaleiro da Marinha. Vai ser contra navios comerciais a infraestrutura". Mais tarde, esse medo foi atenuado pelo presidente Clinton após relatos de verdadeiros ataques ciberterroristas em 2000: "Acho que foi um alarme. Não acho que foi Pearl Harbor. Perdemos nossa frota do Pacífico em Pearl Harbor. Não acho a perda análoga foi tão grande. "
Existem muitos exemplos de sistemas de computador que foram hackeados ou vítimas de extorsão. Um exemplo disso ocorreu em setembro de 1995, quando um nacional russo supostamente planejou a invasão da Citicorp de transferência eletrônica de fundos do sistema e foi requisitado para ser julgado nos Estados Unidos. Uma gangue de hackers sob sua liderança violou a segurança do Citicorp 40 vezes durante 1994. Eles conseguiram transferir US $ 12 milhões de contas de clientes e sacar cerca de US $ 400.000.
No passado, os sistemas e redes dos elementos da infraestrutura eram física e logicamente independentes e separados. Eles tinham pouca interação ou conexão entre si ou com outros setores da infraestrutura. Com os avanços da tecnologia, os sistemas de cada setor tornaram-se automatizados e interligados por meio de computadores e meios de comunicação. Como resultado, o fluxo de eletricidade, petróleo, gás e telecomunicações em todo o país estão vinculados - embora às vezes indiretamente - mas os vínculos resultantes confundem as fronteiras de segurança tradicionais.
Embora essa dependência cada vez maior de capacidades interligadas ajude a tornar a economia e a nação mais eficientes e talvez mais fortes, ela também torna o país mais vulnerável a interrupções e ataques. Essa infraestrutura interdependente e inter-relacionada é mais vulnerável a interrupções físicas e cibernéticas porque se tornou um sistema complexo com pontos únicos de falha. No passado, um incidente que teria sido uma falha isolada pode agora causar uma interrupção generalizada devido aos efeitos em cascata. Por exemplo, as capacidades do setor de informação e comunicação permitiram que os Estados Unidos reformulassem seus processos governamentais e de negócios, tornando-se cada vez mais orientados para o software. Uma falha catastrófica neste setor agora tem o potencial de derrubar vários sistemas, incluindo controle de tráfego aéreo, serviços de emergência, bancos, trens, energia elétrica e controle de barragens.
Os próprios elementos da infraestrutura também são considerados possíveis alvos do terrorismo . Tradicionalmente, os elementos de infraestrutura crítica têm sido alvos lucrativos para qualquer pessoa que queira atacar outro país. Agora, como a infraestrutura se tornou uma tábua de salvação nacional, os terroristas podem alcançar alto valor econômico e político atacando elementos dela. Interromper ou mesmo desativar a infraestrutura pode reduzir a capacidade de defender a nação, erodir a confiança do público em serviços essenciais e reduzir a força econômica. Além disso, ataques terroristas bem escolhidos podem se tornar mais fáceis e menos onerosos do que a guerra tradicional por causa da interdependência dos elementos de infraestrutura. Esses elementos de infraestrutura podem se tornar alvos mais fáceis onde houver uma baixa probabilidade de detecção.
Os elementos da infraestrutura também estão cada vez mais vulneráveis a uma mistura perigosa de tipos de ameaças tradicionais e não tradicionais. Ameaças tradicionais e não tradicionais incluem falhas de equipamento, erro humano, clima e causas naturais, ataques físicos e ataques cibernéticos. Para cada uma dessas ameaças, o efeito em cascata causado por pontos únicos de falha tem o potencial de apresentar consequências terríveis e de longo alcance.
Desafios
Há temores de que a frequência e a gravidade dos incidentes de infraestrutura crítica aumentem no futuro.
Embora esforços estejam em andamento, não há capacidade nacional unificada para proteger os aspectos inter-relacionados da infraestrutura do país. Uma razão para isso é que não existe um bom entendimento das inter-relações. Também não há consenso sobre como os elementos da infraestrutura se combinam ou como cada elemento funciona e afeta os outros. Garantir a infraestrutura nacional depende da compreensão das relações entre seus elementos. Assim, quando um setor programou um exercício de três semanas para simular os efeitos de uma pandemia de gripe , embora dois terços dos participantes afirmassem ter planos de continuidade de negócios em vigor, apenas metade relatou que seu plano era moderadamente eficaz.
A proteção da infraestrutura crítica requer o desenvolvimento de uma capacidade nacional para identificar e monitorar os elementos críticos e para determinar quando e se os elementos estão sob ataque ou são vítimas de ocorrências naturais destrutivas. O CIP é importante porque é o elo entre o gerenciamento de riscos e a garantia da infraestrutura. Ele fornece a capacidade necessária para eliminar vulnerabilidades potenciais na infraestrutura crítica.
Os praticantes de CIP determinam vulnerabilidades e analisam alternativas a fim de se preparar para incidentes. Eles se concentram em melhorar a capacidade de detectar e alertar sobre ataques iminentes e falhas de sistema nos elementos críticos da infraestrutura nacional.
Organização e Estrutura
O PDD-63 determinou a formação de uma estrutura nacional para proteção de infraestrutura crítica. Para conseguir isso, uma das principais ações foi produzir um Plano Nacional de Garantia da Infraestrutura, ou NIAP, posteriormente renomeado Plano Nacional de Proteção da Infraestrutura ou NIPP.
As diferentes entidades da estrutura nacional do CIP trabalham em conjunto como uma parceria entre o governo e os setores públicos. Cada departamento e agência do governo federal é responsável por proteger sua parte da infraestrutura crítica do governo. Além disso, há subsídios disponibilizados pelo Departamento de Segurança Interna para entidades municipais e privadas para uso para fins de CIP e segurança. Isso inclui doações para gerenciamento de emergências, treinamento de segurança hídrica, segurança ferroviária, de trânsito e portuária, resposta médica metropolitana, programas de prevenção de terrorismo LEA e a Iniciativa de Segurança em Áreas Urbanas.
O PDD-63 identificou certas funções relacionadas à proteção da infraestrutura crítica que devem ser desempenhadas principalmente pelo governo federal. São eles: defesa nacional, relações exteriores, inteligência e aplicação da lei. Cada agência líder para essas funções especiais nomeia um oficial sênior para servir como coordenador funcional do governo federal. Em 2008, uma ferramenta de pesquisa de segurança de avaliação de vulnerabilidade baseada em PDA móvel (VASST) foi introduzida para acelerar a avaliação de segurança física de infraestrutura crítica pela aplicação da lei para atender aos requisitos de conformidade do PDD-63.
Plano Nacional de Garantia de Infraestrutura / Plano Nacional de Proteção de Infraestrutura
Para cada um dos principais setores identificados da infraestrutura crítica, o governo federal nomeou um Oficial de Ligação do Setor de uma Agência Líder designada. Uma contraparte do setor privado, um Coordenador de Setor, também foi identificada. Juntos, os dois representantes do setor, um governo federal e uma empresa, foram responsáveis pelo desenvolvimento de um NIAP setorial.
Além disso, cada departamento e agência do governo federal era responsável por desenvolver seu próprio plano de CIP para proteger sua parte da infraestrutura crítica do governo federal. O departamento federal e os planos da agência foram assimilados com os NIAPs do setor para criar um Plano Nacional de Garantia de Infraestrutura abrangente. Além disso, a estrutura nacional deve garantir a existência de um programa CIP nacional. Este programa inclui responsabilidades como educação e conscientização, avaliação e investigação de ameaças e pesquisa.
O processo inclui avaliações de:
- Proteção - pode ser definida como o estado de ser defendido, protegido ou protegido de ferimentos, perdas ou destruição por forças naturais ou não naturais.
- Vulnerabilidade - A qualidade de ser suscetível a ataque ou lesão, garantida ou injustificada, por acidente ou por projeto.
- Risco - A possibilidade ou probabilidade de ser atacado ou ferido.
- Mitigação - A capacidade de aliviar, reduzir ou moderar uma vulnerabilidade, reduzindo ou eliminando o risco.
Controvérsia
Tem havido críticas públicas aos mecanismos e implementação de algumas iniciativas e concessões de segurança, com alegações de que estão sendo lideradas pelas mesmas empresas que podem se beneficiar e que estão incentivando uma cultura desnecessária de medo . Os comentaristas observam que essas iniciativas começaram diretamente após o colapso da Guerra Fria , levantando a preocupação de que isso era simplesmente um desvio do complexo militar-industrial de uma área de financiamento que estava encolhendo e para uma arena antes civil mais rica.
As subvenções foram distribuídas entre os diferentes estados, embora o risco percebido não seja uniformemente distribuído, levando a acusações de políticas de barril de carne suína que direcionam dinheiro e empregos para áreas marginais de votação. O programa de doações da Urban Areas Security Initiative tem sido particularmente controverso, com a lista de infraestrutura de 2006 cobrindo 77.000 ativos, incluindo uma fábrica de pipoca e uma barraca de cachorro-quente. Os critérios de 2007 foram reduzidos para 2.100 e agora essas instalações devem apresentar um caso muito mais forte para se tornarem elegíveis para subsídios. Embora bem intencionados, alguns dos resultados também foram questionados em relação a alegações de teatro de segurança mal projetado e intrusivo que desvia a atenção e o dinheiro de questões mais urgentes ou cria efeitos colaterais prejudiciais.
A ausência de uma análise comparativa de risco e rastreamento de benefícios tornou difícil enfrentar tais alegações com autoridade. A fim de compreender melhor isso e, em última análise, direcionar os esforços de forma mais produtiva, um Escritório de Análise e Gerenciamento de Risco foi recentemente criado na diretoria de Programas e Proteção Nacional do Departamento de Segurança Interna .
Departamento de Defesa e CIP
O Departamento de Defesa dos EUA é responsável por proteger sua parte da infraestrutura crítica do governo . Mas, como parte do programa CIP, o DoD tem responsabilidades que abrangem a infraestrutura crítica nacional e de todo o departamento.
O PDD-63 identificou as responsabilidades que o DoD tinha para a proteção da infraestrutura crítica. Primeiro, o DoD teve que identificar seus próprios ativos e infraestruturas críticos e fornecer garantia por meio de análise, avaliação e remediação. O DoD também era responsável por identificar e monitorar os requisitos de infraestrutura nacional e internacional da indústria e de outras agências governamentais, todos os quais precisavam ser incluídos no planejamento de proteção. O DoD também tratou da garantia e proteção de ativos comerciais e serviços de infraestrutura nas aquisições do DoD. Outras responsabilidades do DoD para o CIP incluíam a avaliação do impacto potencial nas operações militares que resultaria da perda ou comprometimento do serviço de infraestrutura. Havia também requisitos para monitorar as operações do DoD, detectar e responder a incidentes de infraestrutura e fornecer indicações e avisos ao departamento como parte do processo nacional. Em última análise, o DoD era responsável por apoiar a proteção da infraestrutura crítica nacional.
Em resposta aos requisitos identificados no PDD-63, o DoD categorizou seus próprios ativos críticos por setor, de maneira semelhante à organização CIP nacional. O DoD identificou uma lista ligeiramente diferente de setores de infraestrutura para as áreas que exigiam proteção específica do DoD. A estrutura organizacional do DoD para proteção de infraestrutura crítica reflete, complementa e efetivamente interage com a estrutura nacional para CIP.
Setores DoD
Existem dez setores de infraestrutura crítica de defesa protegidos pelo DoD. Esses incluem:
- Serviços Financeiros - Os serviços financeiros de defesa apóiam atividades relacionadas a fundos oficialmente apropriados. Essas atividades incluem o desembolso de dinheiro, recebimento de fundos e aceitação de depósitos para crédito em contas gerais do Tesouro oficialmente designadas. Este setor também fornece serviços financeiros a indivíduos e organizações locais, incluindo depósitos, manutenção de contas e custódia. O Serviço de Finanças e Contabilidade de Defesa é o principal componente do setor de Serviços Financeiros.
- Transporte - O Sistema de Transporte de Defesa, ou DTS, inclui recursos que dão suporte às necessidades globais de transporte do DoD. Isso inclui recursos de superfície, mar e elevação; infraestrutura de apoio; pessoal; e sistemas relacionados. O Comando de Transporte , ou USTRANSCOM, é o único gerenciador de transporte do DoD.
- Obras Públicas - As obras públicas incluem quatro setores distintos de infraestrutura física: energia elétrica, petróleo e gás natural, água e esgoto; e serviços de emergência, como incêndio, assistência médica e manuseio de materiais perigosos. Este setor de infraestrutura de defesa é composto por redes e sistemas, principalmente para a distribuição das commodities associadas. O Corpo de Engenheiros é responsável pela coordenação das atividades de garantia do setor de infraestrutura de obras públicas.
- Global Information Grid Command Control, ou GIG / C2 - O Global Information Grid Command Control, ou GIG / C2, são dois setores combinados que suportam a garantia geral de ativos para CIP. O GIG é o conjunto globalmente interconectado de recursos de pessoal, informação e comunicação necessários para alcançar a superioridade da informação. C2 inclui ativos, instalações, redes e sistemas que apóiam o cumprimento da missão. A Defense Information Systems Agency , ou DISA, é o principal componente responsável pelo Global Information Grid Command Control.
- Intelligence Surveillance and Reconnaissance, ou ISR - O setor de infraestrutura de Defense Intelligence, Surveillance and Reconnaissance é composto de instalações, redes e sistemas que dão suporte às atividades de ISR, como centros de produção e fusão de inteligência. A Defense Intelligence Agency , ou DIA, é responsável pela coordenação das atividades de garantia deste setor de infraestrutura.
- Assuntos de saúde - A infraestrutura de saúde consiste em instalações e locais em todo o mundo. Alguns estão localizados em instalações do DoD; no entanto, o DoD também gerencia um sistema maior de instalações de atendimento não pertencentes ao DoD dentro de sua rede de atendimento à saúde. Essas unidades de saúde estão conectadas por sistemas de informação. O Gabinete do Subsecretário de Defesa, Assuntos de Saúde é o principal componente designado para este setor.
- Pessoal - O setor de infraestrutura de pessoal de defesa inclui um grande número de ativos hospedados em sites de componentes, uma rede de instalações e sistemas de informação que ligam esses sites e instalações. Além de ser responsável pelo seu próprio patrimônio, o setor de infraestrutura de pessoal também coordena os serviços comerciais de suporte à função de pessoal. Esses serviços incluem recrutamento, manutenção de registros e treinamento. A Atividade de Recursos Humanos de Defesa é o componente principal designado para o setor de infraestrutura de Pessoal de Defesa.
- Espaço - O setor de infraestrutura espacial de defesa é composto por ativos espaciais e terrestres, incluindo lançamento, logística especializada e sistemas de controle. As instalações estão localizadas em todo o mundo em locais controlados pelo DoD e privados. O setor de Espaço de Defesa é liderado pelo Comando Estratégico dos Estados Unidos , ou USSTRATCOM.
- Logística - O setor de logística de defesa inclui todas as atividades, instalações, redes e sistemas que dão suporte ao fornecimento de suprimentos e serviços às forças dos EUA em todo o mundo. A logística inclui a aquisição, armazenamento, movimentação, distribuição e manutenção de materiais e suprimentos. Este setor também inclui a disposição final do material que não é mais necessário para o DoD. A Defense Logistics Agency , ou DLA, é o principal componente da infraestrutura de logística do DoD.
- Base Industrial de Defesa - A Base Industrial de Defesa consiste de fornecedores de produtos e serviços do DoD do setor privado. Os serviços e produtos fornecidos constituem ativos essenciais para o DoD. O principal componente da Base Industrial de Defesa é a Agência de Gestão de Contratos de Defesa . Para os casos em que os requisitos de proteção de infraestrutura afetam mais de um setor de defesa, o DoD configurou componentes de funções especiais que oferecem suporte à implementação do CIP.
Funções especiais do DoD
Os componentes de função especial do DoD CIP fazem interface com os coordenadores funcionais nacionais equivalentes e coordenam todas as atividades relacionadas às suas funções dentro do DoD.
Os componentes da função especial do DoD atualmente incluem sete áreas de foco. Eles incluem os seguintes componentes:
- Política e Estratégia - O Componente de Função Especial de Política e Estratégia fornece o planejamento estratégico necessário para preparar nossas Forças Armadas para o século XXI. Em parte, satisfaz essa responsabilidade por meio do desenvolvimento da Estratégia Militar Nacional . Na área de desenvolvimento de políticas, é responsável por conduzir a revisão bienal do Presidente do Plano de Comando Unificado e desenvolver posições do Estado-Maior Conjunto em questões-chave como a organização, papéis e missões e funções das Forças Armadas e dos comandos combatentes.
- Suporte de Inteligência - O Componente de Função Especial CIP Intelligence Support fornece suporte de inteligência ao DoD na proteção da parte de Defesa da Infraestrutura Crítica do Governo Federal. As responsabilidades do Suporte de Inteligência também incluem o suporte ao Sistema de Alerta de Defesa, Alerta e Notificação, e a interface com a comunidade de inteligência nacional. As responsabilidades das agências de Apoio à Inteligência incluem atividades como o fornecimento de avaliações de ameaças; indicações e avisos de ataques potenciais; assessoria e apoio aos CIAOs do setor no desenvolvimento de monitoramento e relatórios do setor de infraestrutura de defesa; suporte à gestão de crises; e contra-inteligência. Este componente de função especial também tem a tarefa de apoiar o contingente do DoD do NIPC relacionado à inteligência e contra-inteligência.
- Política Industrial - O Subsecretário de Defesa para Aquisição, Tecnologia e Logística garante que uma base industrial de defesa adequada existe e permanece viável para atender aos requisitos de segurança nacional atuais, futuros e emergentes. "
- Segurança de Defesa - O Serviço de Segurança de Defesa fornece ao Departamento de Defesa e outras agências federais uma série de produtos e serviços de segurança projetados para impedir e detectar espionagem
- Garantia de Informação - O Secretário Adjunto de Defesa para Redes e Integração de Informação , ou ASD NII, é o principal assistente de equipe de OSD para o desenvolvimento, supervisão e integração de políticas e programas do DoD relacionados à estratégia de superioridade de informação para o Departamento de Defesa. A garantia da informação, ou IA, é o componente das operações de informação que garante a prontidão operacional do DoD ao fornecer disponibilidade e confiabilidade contínuas dos sistemas e redes de informação. IA protege o DII contra a exploração, degradação e negação de serviço, ao mesmo tempo que fornece os meios para reconstituir e restabelecer com eficiência recursos vitais após um ataque.
- Pesquisa e Desenvolvimento - O Componente de Função Especial de Pesquisa e Desenvolvimento é responsável pela garantia e proteção das informações. O Escritório do Diretor, Pesquisa de Defesa e Engenharia coordena uma agenda de pesquisa e desenvolvimento CIP DoD. Além de reconciliar a agenda do DoD com a agenda nacional de P&D.
- Educação e Conscientização - Embora a educação e a conscientização possam ser consideradas responsabilidade de todos, uma estratégia abrangente de educação e conscientização foi considerada essencial para um programa CIP do DoD bem-sucedido. A National Defense University , ou NDU, forneceu aconselhamento e assistência na avaliação dos requisitos de educação e conscientização do DoD. O Componente de Educação e Conscientização também desenvolveu o Programa de Educação do CIAO. Este componente foi encarregado de auxiliar no desenvolvimento de qualquer educação especial ou treinamento necessário para o pessoal de gerenciamento de crise do CIP. A Educação e Conscientização também apóia a formulação de políticas e estratégias do DoD e do CIP nacional e o desenvolvimento de liderança executiva por meio de "jogos de infraestrutura" periódicos.
Ciclo de vida DoD CIP
Conforme determinado pelo PDD-63, o DoD deve proteger sua parte da infraestrutura crítica do governo federal. Para o DoD, é a infraestrutura de defesa ou DI. Proteger a infraestrutura de defesa é uma tarefa complexa que envolve dez setores de defesa.
Foi considerado que era quase impossível proteger todos os ativos críticos em cada local, portanto, o foco foi direcionado para proteger a infraestrutura de defesa crítica. A infraestrutura de defesa crítica são os ativos essenciais para fornecer garantia de missão.
Seis fases
As seis fases do ciclo de vida do DoD CIP se complementam para criar uma estrutura para uma solução abrangente para garantia de infraestrutura. As fases do ciclo de vida ocorrem antes, durante e depois de um evento que pode comprometer ou degradar a infraestrutura. Uma sinopse das seis fases são:
- Análise e Avaliação (ocorre antes de um evento) - A fase de Análise e Avaliação é a base e a fase mais importante do ciclo de vida CIP. Esta fase identifica os ativos absolutamente críticos para o sucesso da missão e determina as vulnerabilidades dos ativos, bem como suas interdependências, configurações e características. Em seguida, é feita uma avaliação do impacto operacional da perda ou degradação da infraestrutura. Além disso, a Defesa Cibernética Proativa pode antecipar um ataque contra computadores e redes. Ele se aplica igualmente a todos os setores de infraestrutura crítica, pois envolve interditar e interromper um ataque ou a preparação de uma ameaça para o ataque, seja preventivamente ou em autodefesa.
- Remediação (ocorre antes de um evento) - A fase de Remediação envolve medidas de precaução e ações tomadas antes que um evento ocorra para corrigir as vulnerabilidades cibernéticas e físicas conhecidas que podem causar uma interrupção ou comprometer uma Infraestrutura de Defesa Nacional, ou NDI, ou ativo crítico. Por exemplo, as ações de remediação podem incluir educação e conscientização, processo operacional ou alterações de procedimentos ou configuração do sistema e alterações de componentes.
- Indicações e Alertas (ocorre antes e / ou durante um evento) - A fase de Indicações e Alertas envolve o monitoramento diário do setor para avaliar as capacidades de garantia de missão de ativos de infraestrutura crítica e para determinar se há indicações de evento para relatar. As indicações são ações preparatórias que indicam se um evento de infraestrutura é provável ou planejado. As indicações são baseadas em informações nos níveis tático, operacional, de teatro e estratégico. No nível tático, a entrada vem dos proprietários de ativos. No nível operacional, a contribuição vem dos setores do NDI. No nível do teatro, a contribuição vem de recursos regionais, como inteligência aliada, OTAN, inteligência de comando, governos aliados e forças de coalizão. No nível estratégico, a contribuição vem da inteligência, da aplicação da lei e do setor privado. Aviso é o processo de notificar os proprietários de ativos sobre uma possível ameaça ou perigo.
- Mitigação (ocorre antes e durante um evento) - A fase de Mitigação compreende ações tomadas antes ou durante um evento em resposta a avisos ou incidentes. Proprietários de ativos críticos do DoD, setores do NDI, instalações do DoD e operadores militares tomam essas ações para minimizar o impacto operacional da perda ou debilitação de um ativo crítico.
- Resposta ao Incidente (ocorre após um evento) - A Resposta ao Incidente compreende os planos e atividades realizadas para eliminar a causa ou origem de um evento de infraestrutura.
- Reconstituição (ocorre após um evento) - A última fase do ciclo de vida CIP envolve ações executadas para reconstruir ou restaurar a capacidade de um ativo crítico após ter sido danificado ou destruído. Esta fase é o processo mais desafiador e menos desenvolvido.
A gestão eficaz do ciclo de vida do CIP garante que as atividades de proteção possam ser coordenadas e reconciliadas entre todos os setores do DoD. De muitas maneiras, o DoD CIP é o gerenciamento de risco em seu aspecto mais imperativo. Alcançar o sucesso significa obter a garantia da missão. Errar o alvo pode significar falha da missão, bem como perdas humanas e materiais. Para proteção da infraestrutura crítica, o gerenciamento de riscos requer o aproveitamento de recursos para lidar com os ativos de infraestrutura mais críticos que também são os mais vulneráveis e que apresentam a maior exposição a ameaças.
A parte mais importante do ciclo de vida do CIP é a Fase 1. Como é crucial direcionar os ativos certos para a proteção da infraestrutura, determinar esses ativos é a primeira fase do ciclo de vida do CIP. Esta fase, Análise e Avaliação, é a chave e a base das sete atividades do ciclo de vida. Sem uma base sólida, as fases restantes do ciclo de vida do CIP podem apresentar falhas, resultando em um plano de CIP que não protege a infraestrutura crítica e, portanto, a garantia da missão.
Fase 1: Análise e Avaliação
A fase 1 determina quais ativos são importantes e identifica suas vulnerabilidades e dependências para que os tomadores de decisão tenham as informações de que precisam para fazer escolhas eficazes de gerenciamento de risco.
A Infraestrutura de Defesa, ou DI, está organizada em dez setores. Cada setor é composto de ativos, como sistemas, programas, pessoas, equipamentos ou instalações. Os ativos podem ser simples, como uma instalação dentro de uma localização geográfica, ou complexos, envolvendo nós e links geograficamente dispersos.
A Análise e Avaliação é composta por cinco etapas que incluem atividades que abrangem e abrangem os dez setores de DI e seus ativos.
- I. A primeira etapa na fase de Análise e Avaliação é identificar ativos críticos. A criticidade de um ativo é uma função do tempo e da situação com base no valor operacional ou comercial do ativo. Para o DI, o valor depende de vários fatores: primeiro, quais operações ou serviços militares dependem de um ativo e como essas dependências mudam ao longo do tempo, a seguir, quão sensível é a operação à perda ou comprometimento do ativo, em outras palavras, qual é o tempo máximo de inatividade permitido se o ativo estiver comprometido. Finalmente, qual é o perfil de garantia do ativo, em particular se a restauração do ativo ou uma mudança para um backup pode ocorrer dentro do tempo de inatividade permitido. Por meio de perícia e inspeção de domínio, os ativos críticos são identificados e, em seguida, relatados ao Programa CIP.
- II. A segunda etapa da fase de Análise e Avaliação é a caracterização da Infraestrutura de Defesa. Esta etapa mapeia e associa funções e relacionamentos de ativos críticos dentro de um setor de DI.
- III. A terceira etapa da fase de Análise e Avaliação é a Análise de Impacto Operacional. Essa etapa é realizada por meio do desenvolvimento de matrizes de dependência operacional e da aplicação de métodos de pesquisa operacional. Os impactos operacionais potenciais e os requisitos de nível de serviço são então refletidos nos atributos de criticidade e índice de criticidade do ativo no programa CIP.
- 4. A quarta etapa é a avaliação de vulnerabilidade. Esta etapa é realizada por meio de vários canais. Por meio do programa CIP, todos os ativos críticos têm um índice de vulnerabilidade de linha de base, que é calculado a partir de entradas associadas à classe de ativo e região geográfica, como a probabilidade de desastres naturais, eventos criminais ou de segurança nacional e falhas tecnológicas. Proprietários de ativos, instalações host, o CIAO do setor ou outras entidades do DoD podem fornecer prontidão operacional de ativos e informações de preparação para emergências.
- V. A quinta e última etapa da fase de Análise e Avaliação é a Análise de Interdependência. A análise de interdependência busca mapear funções e relacionamentos entre os setores de DI. Como resultado da Análise de Interdependência, os atributos de criticidade para ativos identificados anteriormente podem ser atualizados e ativos críticos adicionais podem ser identificados para o programa CIP. Vários grupos dentro da estrutura do CIP do DoD realizam atividades de análise e avaliação. Traduzir o processo de análise e avaliação em dados concretos requer atividades, tarefas e ferramentas específicas.
Exemplo de fase 1 no “mundo real”
Em 24 de agosto de 2001, o Diretor do Estado-Maior Conjunto solicitou ao USPACOM que servisse como líder de apoio ao Comando Combatente para a criação de um plano CIP de teatro inédito da CIP - conhecido como “Plano do Apêndice 16 do CIP”. A seguir está como o USPACOM abordou a tarefa. O USPACOM concentrou a fase de Análise e Avaliação, organizando suas atividades para responder a três questões principais:
- O que é crítico?
- É vulnerável?
- O que pode ser feito?
Para responder à pergunta “O que é crítico?”, O USPACOM descreveu um procedimento de três etapas:
- Primeiro, identifique o foco do projeto.
- Em segundo lugar, conclua uma análise operacional.
- Terceiro, conclua uma análise da infraestrutura de defesa.
Para cumprir essas etapas, o USPACOM adotou uma metodologia que concentra seus esforços de CIP em ativos de Nível 1. Ativos de nível 1 são ativos que podem causar falha na missão se estiverem comprometidos ou danificados. A metodologia adotada e modificada pelo UAPACOM é a Análise da Área da Missão, ou MAA. O MAA vincula as missões de comando combatente a ativos de infraestrutura que são essenciais para um determinado Plano de Operações, ou OPLAN, Plano de Contingência ou CONPLAN, ou Plano de Ação de Crise. Normalmente, o processo MAA determina as prioridades do local de avaliação. O USPACOM modificou o processo e selecionou os locais e instalações de avaliação do CIP antes de conduzir o MAA. A seguir está uma ilustração do processo USPACOM MAA:
- Primeiro, identificou os Requisitos Essenciais da Missão, ou MERs, que são comandos combatentes específicos ou capacidades de força-tarefa combinada essenciais para a execução de um plano de combate. Em seguida, eles criaram uma matriz MER para o comando específico. Por exemplo, um MER pode fornecer comando, controle, comunicações e computadores ou C4.
- Em segundo lugar, identificou as forças necessárias para cada MER. Por exemplo, o C4 MER está vinculado a um batalhão de sinal específico. Terceiro, vinculou as forças às funções e tarefas necessárias para apoiar a força. Por exemplo, o batalhão de sinalização está vinculado às funções de Comunicações e Engenheiros Civis e à tarefa de gerenciar os requisitos de sistemas de informação C4 do teatro.
- Terceiro, ele vincula ativos às funções de suporte às tarefas. O resultado é uma análise da área de missão de ativos de missão crítica.
O USPACOM usa os dados MAA que coleta para avaliar e concentrar seus esforços em ativos de missão crítica para responder à próxima pergunta em seu processo: É vulnerável?
A primeira etapa para responder a esta pergunta é concluir uma análise da instalação. A próxima etapa é concluir uma análise de infraestrutura comercial. O USPACOM contou com duas organizações diferentes do DoD para avaliações CIP: Balanced Survivability Assessments, ou BSAs, e Mission Assurance Assessments. O BSA é uma avaliação de duas semanas focada na missão em uma instalação militar ou local designado. Uma Avaliação de Garantia de Missão é única porque usa uma abordagem de avaliação de área para se concentrar nas vulnerabilidades e dependências de ativos comerciais e militares. A etapa final para determinar as vulnerabilidades é integrar as duas análises e avaliações. Com seus ativos críticos e suas vulnerabilidades identificadas, o USPACOM está pronto para realizar atividades de gerenciamento de risco para decidir o que pode ser feito para proteger os ativos de missão crítica .
Booz Allen Hamilton desenvolveu esse processo no PACOM.
Fase 2: Correção
A primeira fase do ciclo de vida do CIP, Análise e Avaliação, identificou os ativos críticos das infraestruturas do setor do DoD e as vulnerabilidades ou fraquezas desses ativos críticos.
A segunda fase é a fase de correção. Na fase de Remediação, as fraquezas e vulnerabilidades conhecidas são abordadas. As ações de remediação são medidas deliberadas e preventivas projetadas para corrigir vulnerabilidades virtuais e físicas conhecidas antes que um evento ocorra. O objetivo da remediação é melhorar a confiabilidade, disponibilidade e capacidade de sobrevivência de ativos e infraestruturas essenciais. As ações de correção se aplicam a qualquer tipo de vulnerabilidade, independentemente de sua causa. Eles se aplicam a atos da natureza, falhas de tecnologia ou ações maliciosas deliberadas.
O custo de cada ação de correção depende da natureza da vulnerabilidade que ela aborda. O Plano de Garantia do Setor de Infraestrutura de Defesa que cada setor de infraestrutura deve desenvolver estabelece as prioridades e os recursos para remediação. Os requisitos de remediação são determinados por vários fatores. São análises e avaliações, contribuições de planejadores militares e outros setores do DoD, o Plano de Garantia de Infraestrutura Nacional e outros planos, relatórios e informações sobre vulnerabilidades de infraestrutura nacional e remediação, bem como estimativas de inteligência e avaliações de ameaças.
Os requisitos de remediação também são coletados por meio de lições aprendidas com o monitoramento e relatórios do setor de Infraestrutura de Defesa e operações e exercícios de proteção de infraestrutura. O programa CIP rastreia o status das atividades de remediação para ativos críticos. As atividades de remediação para proteger a infraestrutura de defesa crítica cruzam vários componentes do departamento.
Fase 3: Indicações e avisos
A necessidade de monitorar as atividades e alertar sobre ameaças potenciais aos Estados Unidos não é nova. De ataques convencionais a ataques nucleares em potencial, os militares têm estado na vanguarda do monitoramento e alerta de perigos potenciais desde a fundação do país. Proteger a segurança e o bem-estar dos Estados Unidos, incluindo a infraestrutura de defesa crítica, agora entrou em uma nova era. Foi considerado essencial ter uma capacidade coordenada para identificar e alertar sobre incidentes potenciais ou reais entre domínios de infraestrutura crítica. A capacidade de detectar e alertar sobre eventos de infraestrutura é a terceira fase do ciclo de vida de proteção da infraestrutura crítica, a fase de indicações e avisos.
As indicações e avisos são ações ou condições de infraestrutura que sinalizam que um evento é:
- Provável,
- Planejado ou
- Em andamento.
Historicamente, as indicações de eventos do DoD se concentraram e se basearam em informações de inteligência sobre desenvolvimentos estrangeiros. Essas indicações de eventos foram expandidas para incluir todas as possíveis interrupções ou degradação da infraestrutura, independentemente de sua causa. As indicações do DoD CIP são baseadas em quatro níveis de entrada:
- Entrada de nível tático de proprietários de ativos ou instalações do DoD
- Entrada de nível operacional dos Diretores de Garantia de Informação do setor (CIAOs)
- Entrada em nível de teatro de atividades de inteligência e contra-inteligência de comando e serviço.
- Inteligência de nível estratégico da comunidade de inteligência, aplicação da lei e setor privado
Esta fusão de informações de inteligência tradicionais com informações específicas do setor foi considerada essencial para indicações significativas de CIP.
Se uma indicação for detectada, um aviso notificando os proprietários de ativos apropriados de um evento ou perigo possível ou ocorrendo pode ser emitido. O plano de garantia do setor determina quais condições e ações são monitoradas e relatadas para cada Setor de Infraestrutura de Defesa. Cada setor deve desenvolver um Plano de Garantia do Setor de Defesa por escrito que inclua um compêndio de incidentes do setor para monitoramento e relatório. O compêndio de incidentes do setor é composto por três tipos de incidentes:
- Incidentes reportáveis definidos nacionalmente
- Incidentes relatáveis definidos pelo DoD, e
- Incidentes reportáveis definidos pelo setor.
Proprietários de ativos críticos do DoD, instalações e CIAOs do setor determinam o DoD e os incidentes definidos pelo setor. Cada um dos incidentes relatáveis ou classes de incidentes deve incluir os seguintes componentes:
- Quem deve monitorar o incidente
- Com que rapidez o incidente deve ser relatado
- Quais elementos de informação o incidente deve conter
- Como o relatório de incidentes deve ser encaminhado
- Quais ações de acompanhamento são necessárias
O National Infrastructure Protection Center (NIPC) é o principal centro de alerta nacional para ataques significativos à infraestrutura. Proprietários de ativos críticos, instalações do DoD e CIAOs do setor monitoram a infraestrutura diariamente. As indicações de um incidente de infraestrutura são comunicadas ao Centro de Comando Militar Nacional , ou NMCC. Se as indicações estiverem em uma rede de computadores, elas também serão informadas à Joint Task Force Computer Network Operations (JTF-CNO). O NMCC e o JTF-CNO avaliam as indicações e as encaminham ao NIPC e às organizações do DoD apropriadas. Quando o NIPC determina que um evento de infraestrutura é provável de ocorrer, está planejado ou está em andamento, ele emite um alerta nacional. Para DoD, o NIPC passa seus avisos e alertas para o NMCC e JTF-CNO. Esses avisos e alertas são então transmitidos aos componentes do DoD. O aviso pode incluir orientações sobre medidas de proteção adicionais que o DoD deve tomar.
Fase 4: Mitigação
A fase 1 do ciclo de vida CIP forneceu uma camada de proteção, identificando e avaliando ativos críticos e suas vulnerabilidades. A fase 2 forneceu outra camada de proteção ao remediar ou melhorar as deficiências e fraquezas identificadas de um ativo. Mesmo com essas proteções e precauções, um incidente de infraestrutura ainda era possível. Quando isso acontecer, a fase de Indicações e Avisos entrará em vigor.
A fase de Mitigação (Fase 4), é composta de ações coordenadas pré-planejadas em resposta a avisos de infraestrutura ou incidentes. As ações de mitigação são tomadas antes ou durante um evento de infraestrutura. Essas ações são projetadas para minimizar o impacto operacional da perda de um ativo crítico, facilitar a resposta a incidentes e restaurar rapidamente o serviço de infraestrutura.
Um objetivo principal da fase de mitigação é minimizar o impacto operacional em outras infraestruturas de defesa e ativos críticos quando um ativo crítico é perdido ou danificado. Por exemplo, se houver uma instalação nos EUA, Site A, localizada em um país anfitrião. O Site A é um ativo de nível 1, o que significa que se ele falhar, a missão do Comando Combatente falhará. O Local A tem controle mútuo de Comando da Rede de Informação Global (GIG / C2), interdependências de informações com os Locais B e C. Além disso, outros setores de Infraestrutura de Defesa dependem do Local A para capacidades de missão. Nesse cenário, qual seria o impacto se a linha de fornecimento para a usina comercial que fornece a energia primária da instalação fosse cortada acidentalmente. Por causa de todas as interdependências, perder esse ativo é mais do que perder apenas um local. Isso significa a perda de outras capacidades do setor.
Uma possível ação de mitigação pode ser o Site A ligar a energia reserva. Uma ação alternativa poderia ser passar o controle completo da funcionalidade do Site A para outro site, onde a redundância foi previamente arranjada. Essas ações limitariam o impacto deste incidente em outros sites e setores relacionados. Além de diminuir o impacto operacional de um evento de infraestrutura crítica, a fase de Mitigação do ciclo de vida CIP apóia e complementa duas outras fases do ciclo de vida. As ações de mitigação auxiliam nas atividades de emergência, investigação e gerenciamento da Fase 5, Resposta a Incidentes. Eles também facilitam as atividades de reconstituição da Fase 6.
Durante a fase de Mitigação, os proprietários de ativos críticos do DoD, instalações do DoD e Oficiais de Garantia de Infraestrutura do Setor, ou CIAOs, trabalham com o Centro de Comando Militar Nacional (NMCC) e a Força Tarefa Conjunta-Operações de Rede de Computadores (JTF-CNO) para desenvolver, treinar e exercitar respostas de mitigação para vários cenários. Quando há um aviso, emergência ou incidente de infraestrutura, os proprietários de ativos críticos, instalações e CIAOs do setor iniciam ações de mitigação para manter o serviço ao DoD. Eles também fornecem informações de status de mitigação para NMCC e JTF-CNO. O NMCC monitora as consequências de um evento dentro de um setor de infraestrutura de defesa que sejam significativas o suficiente para afetar outros setores. Para eventos que atravessam dois ou mais setores, o NMCC assessora na priorização e coordenação das ações de mitigação. Quando as ameaças ou consequências do evento continuam a aumentar, o NMCC direciona as ações de mitigação por setor para garantir uma resposta coordenada em todo o DoD. O NMCC e o JTF-CNO mantêm o National Infrastructure Protection Center, ou NIPC, informado de quaisquer atividades de mitigação significativas.
Fase 5: Resposta ao incidente
Quando um evento afeta a infraestrutura de defesa, a fase de resposta ao incidente começa. A Resposta a Incidentes é a quinta fase do ciclo de vida CIP. O objetivo da fase de Resposta a Incidentes é eliminar a causa ou origem de um evento de infraestrutura. Por exemplo, durante os ataques de 11 de setembro ao World Trade Center e ao Pentágono , todos os aviões não militares pousaram sobre os Estados Unidos para evitar mais incidentes. As atividades de resposta incluíram medidas de emergência, não dos proprietários ou operadores dos ativos, mas de terceiros dedicados, como policiais, resgate médico, resgate de incêndio, manuseio de materiais perigosos ou explosivos e agências investigativas. A resposta a incidentes de infraestrutura de defesa pode seguir um de dois caminhos, dependendo se o evento afeta ou não uma rede de computadores do DoD.
Quando os incidentes comprometem uma rede de computadores do DoD, a Força Tarefa Conjunta-Operações de Rede de Computadores (JTF-CNO) direciona as atividades de resposta. Essas atividades são projetadas para interromper o ataque à rede de computadores, conter e mitigar os danos a uma rede de informações do DoD e, em seguida, restaurar a funcionalidade mínima necessária. O JTF-CNO também solicita e coordena qualquer apoio ou assistência de outras agências federais e organizações civis durante incidentes que afetam uma rede do DoD. Quando os incidentes afetam quaisquer outros ativos pertencentes ao DoD, os comandantes da instalação e os proprietários dos ativos críticos seguem os canais e procedimentos tradicionais para coordenar as respostas. Isso inclui notificar os Chefes de Garantia de Infraestrutura do Setor afetados, ou CIAOs, no aviso inicial e no relatório de status. Embora terceiros desempenhem um papel importante na resposta aos eventos de infraestrutura de defesa, o pessoal do CIP do DoD também tem responsabilidades a cumprir.
Fase 6: Reconstituição
Depois que a origem ou causa de um evento de infraestrutura é eliminada ou contida, a infraestrutura e seus recursos devem ser restaurados. A reconstituição é a última fase da proteção da infraestrutura crítica. A reconstituição é provavelmente o processo mais desafiador e menos desenvolvido do ciclo de vida. Os proprietários de ativos críticos do DoD são os principais responsáveis pela reconstituição.
Veja também
- Richard A. Clarke , ex-conselheiro especial do presidente para contraterrorismo, segurança cibernética e proteção de infraestrutura crítica
- Defesa cibernética proativa para proteger infraestruturas de informações críticas
- Diretiva de Decisão Presidencial 62
- Corporação de confiabilidade elétrica norte-americana (NERC)
- Iniciativa de Dependências Estrangeiras Críticas
- Terrorismo econômico
- Barreiras de fogo para transformadores de alta tensão
Referências
links externos
- Anderson, K. " Intelligence-Based Threat Assessments for Information Networks and Infrastructures: A White Paper ".
- Estratégia para proteger o ciberespaço
- Programa de proteção de infraestrutura crítica, George Mason University
- "Infraestrutura crítica: segurança interna e preparação para emergências"
- Infracrítico
- Avaliação da proteção da infraestrutura crítica
- Centro para a Proteção da Infraestrutura Nacional (Reino Unido)
- "Melhorias de Segurança da Infraestrutura Hídrica", esboço de padrões nacionais
- Terrorismo e proteção de infraestrutura de serviços públicos
- Gráfico de políticas do DoD IA - Construir e operar um GIG confiável
- Padrões de confiabilidade NERC CIP