211service.com
Kibernetinis saugumas 2020 m.: CISO kilimas
Duomenų pažeidimai 2019 m. išmokė įmones sunkių pamokų. Vienas iš svarbiausių dalykų: joms reikia vyriausiojo informacijos saugumo pareigūno, sako Stephanie Balaouras iš Forrester.
2020 m. vasario 24 d
Pagaminta bendradarbiaujant su Microsoft sauga
Prasidėjus naujiems metams (ir naujam dešimtmečiui), aišku viena: kibernetinis saugumas ir toliau turės vis didesnį poveikį verslui, tiek geru, tiek blogu. Šiame epizode girdime Stephanie Balaouras, kibernetinio saugumo ekspertę, kuri per 15 metų „Forrester Research“ bendravo su tūkstančiais klientų. Ji yra saugumo ir rizikos tyrimų, infrastruktūros ir operacijų tyrimų viceprezidentė ir grupės direktorė.
Balaouras teigia, kad visos įmonės turėtų turėti vyriausiąjį informacijos saugos pareigūną arba CISO, nes kibernetinių grėsmių pasaulis tampa sudėtingesnis ir pavojingesnis. „Net įmonės, turinčios CISO, turėtų atidžiai pažvelgti į organizacijos, apie kurią jos praneša, lygį“, – sako Balaouras. „Ar jie turi tinkamą biudžetą? Ar jie turi pakankamai darbuotojų? Ar suteikėte jiems pakankamai kontrolės?
Balaouras taip pat apžvelgia kai kurias didžiausias kibernetinio saugumo tendencijas 2019 m. ir prognozuoja 2020 m.
„Business Lab“ šeimininkauja Laurel Ruma, „Insights“, „MIT Technology Review“ tinkintos leidybos padalinio, direktorė. Spektaklis yra „MIT Technology Review“ kūrinys, kuriam padeda „Colective Next“. Muzika yra Merleano iš Epidemic Sound.
Kibernetinis saugumas – tai ne tik matomų grėsmių sustabdymas. Tai yra sustabdyti tuos, kurių nematote. Štai kodėl „Microsoft Security“ dirba daugiau nei 3500 kibernetinių nusikaltimų ekspertų ir naudoja dirbtinį intelektą, kad padėtų numatyti, nustatyti ir pašalinti grėsmes. Taigi galite sutelkti dėmesį į savo verslo plėtrą, o „Microsoft Security“ gali sutelkti dėmesį į jo apsaugą. Sužinokite daugiau adresu Microsoft.com/cybersecurity.
Rodyti pastabas ir nuorodas
Forrester tyrimai: kibernetinis saugumas
CISO vadovas pokyčiams Jinan Budge, Forrester Research
Visiško debesų saugumo poreikis, interviu su Stephanie Balaouras „YouTube“.
Pilnas nuorašas
Laurel Ruma: Iš „MIT Technology Review“ aš esu Laurel Ruma ir tai yra „Business Lab“ laida, kuri padeda verslo lyderiams suprasti naujas technologijas, atsirandančias iš laboratorijos ir į rinką.
Saugumo grėsmės yra visur. Štai kodėl „Microsoft Security“ turi daugiau nei 3500 elektroninių nusikaltimų ekspertų, nuolat stebinčių grėsmes, kad padėtų apsaugoti jūsų verslą. Daugiau informacijos rasite adresu microsoft.com/cybersecurity.
Šiandien mūsų tema yra kibernetinis saugumas, o tiksliau – vyriausiojo informacijos saugumo pareigūno, CISO, vaidmuo. Taip pat peržiūrėsime 2019 m. kibernetinio saugumo naujienas ir pažvelgsime į 2020 m. kibernetinio saugumo tendencijas. Vienas žodis jums: Deepfakes. Mano viešnia yra Stephanie Balaouras, kibernetinio saugumo analitikė ir per beveik 15 Forrester tyrimų metų kalbėjusi su tūkstančiais klientų. Stephanie yra saugumo ir rizikos tyrimų bei infrastruktūros ir operacijų tyrimų viceprezidentė ir grupės direktorė. Stephanie, labai ačiū, kad kalbėjotės su manimi verslo laboratorijoje.
Stephanie Balaouras: Dėkoju.
Lauras: Taigi 2017 m. Forester paskelbė jūsų komandos nario Jeffo Pollardo pranešimą apie CISO, vyriausiųjų informacijos saugos pareigūnų, karjeros kelius. Ir man ypač patinka kalbėti apie šį vaidmenį, nes tai nauja C-suite versle. Jei „Citibank“ ką tik 1995 m. paskyrė pirmąjį CISO, tai tikrai nesena istorija. Bet jei kiekviena įmonė yra ir technologijų įmonė, kodėl ne kiekviena įmonė turi CISO?
Stephanie: Jei pažvelgtumėte į kitų vaidmenų istoriją, kaip, manau, pirmasis BRO, vyriausiasis rinkodaros pareigūnas buvo šeštajame dešimtmetyje, po 20, 30 metų vis dar turėjote įmonių be BRO. Taigi, kai šie atsirandantys vaidmenys pirmą kartą prasideda, reikia šiek tiek laiko, kol tai taps norma. Bet aš pasakysiu, kad kiekviena įmonė tikrai turėtų turėti CISO. Viešai parduodamos įmonės privalo turėti CISO. Tačiau dažnai pastebime, kad, priklausomai nuo įmonės dydžio, kartais jie išsisuks CIO taip pat vadindami CISO arba kokiu nors kitu IT vadovu CISO. Taigi tai gana įprasta mažesnėse įmonėse – jos išsisuks neturėdamos atskiro vaidmens.
Tačiau jūs taip pat pastebėsite, kad jie turi pažeidimą ar kokią nors didelę kibernetinio saugumo problemą ar net didelį atitikties pažeidimą, susijusį su duomenų saugumu, pirmas dalykas, kurį jie padarys, tai pavadinti tam skirtą CISO. Ir tada net įmonės, turinčios tam skirtą CISO, kai jos pažeidžia pažeidimus, dažnai nutinka taip, kad jos supranta, kad CISO nepakankamai atsiskaito organizacijoje arba neturėjo tinkamos atsakomybės ar pakankamai biudžeto. arba pakankamai žmonių. Taigi jie tai ištaisys. CISO pavadinimas turėtų būti privalomas, tačiau sakyčiau, kad net įmonės, turinčios CISO, turėtų atidžiai pažvelgti į tai, kokio lygio organizacijoje jos praneša. Ar jie turi tinkamą biudžetą? Ar jie turi pakankamai darbuotojų? Ar suteikėte jiems reikiamą kontrolės sritį?
Lauras: Nes tai brangus sprendimas, ar ne?
Stephanie: Taip tiksliai.
Lauras: Ar tik po atakos į vaidmenis ir pareigas galime pažvelgti naujai, atsakingiau?
Stephanie: Būtent.
Lauras: Taigi, jei tobulas CISO yra tiek verslininkas, kuris gali tiesiogiai pasikalbėti su generaliniu direktoriumi, paaiškinti saugumo ir rizikos mažinimo būtinybę, bet taip pat pasikalbėti su klientais, taip pat su kitais darbuotojais ir kalbėti apie saugumą ir jo vaidmenį. svarbi įmonei. Iš kur tokie žmonės? Kur jie gauna visą šį išsilavinimą?
Stephanie: Kai pažvelgėme į CISO karjeros kelius, pastebėjome, kad dauguma jų atsirado per saugumo gretas. Taigi paprastai jie pradėjo kaip saugumo profesionalai. Jie sukaupė dešimtmečių patirtį atlikdami vaidmenį. Tačiau mes dažnai pastebėjome, kad dauguma jų dažnai grįžta į aukštąsias mokyklas ir iš tikrųjų baigia verslo laipsnį. Jie dažnai gaudavo MBA, ir taip buvo todėl, kad jie turėjo atitikti abu šiuos reikalavimus, tai yra, taip, aš esu technologijų vadovas, bet tuo pat metu esu technologijų vadovas, kuris didelėje įmonėje yra atskaitingas valdyba kas ketvirtį arba atsiskaito tiesiogiai CIO arba tiesiogiai generaliniam direktoriui. Taigi tai tikrai išsilavinimo ir patirties derinys.
Sakyčiau, universitetai atlieka geresnį darbą teikdami bakalauro ir magistro laipsnius informacijos saugumo srityje. Kai kuriose srityse jie yra neįtikėtinai silpni, pavyzdžiui, programų saugumas nėra gerai mokomas bakalauro lygmeniu, jei apskritai nėra. Tikrai neblogai padaryta. Kitas dalykas, apie kurį kalbėsiu apie universitetus, yra tai, kad jie netinkamai samdo moteris į bakalauro ir magistrantūros studijų programas. Egzistuoja didžiulis įgūdžių trūkumas, taip pat darbuotojų problema saugumo srityje, o Forrester mes mėgstame sakyti, kad tai daugiausia dėl savęs, nes įdarbiname ne iš pusės gyventojų ir nesame įdarbinami įvairių sluoksnių žmonių. Mes turime vieną asmenį, iš kurio įdarbiname, ir tada esame šokiruoti, kai negalime rasti pakankamai žmonių, turinčių šį labai siaurą įgūdžių rinkinį.
Lauras: Taip, ataskaitoje teigiama, kad devyni iš 10 CISO yra vyrai.
Stephanie: Tiksliai, tiksliai. Dar nežiūrėjome į 2019 m. pabaigą, bet pastaruosius porą metų tai buvo tiesa. O jei pažiūrėtumėte ir į personalą, tai blogiau nei bendra saugumo pramonė. Maždaug 11% apsaugos darbuotojų yra moterys. Tai blogiau nei bendrosios IT. Bendrosios IT taip pat turi problemų, tačiau jos daugiau yra nuo 20% iki 30%, todėl saugumas yra dar blogesnis.
Lauras: Taigi, kai kalbame apie saugumo įvairovės trūkumą apskritai, kaip įmonės bando į tai reaguoti? Ar matote kokių nors konkrečių įmonių, demonstruojančių geriausią praktiką?
Stephanie: Tikrai yra keletas geriausių praktikų. Tiesą sakant, aš mačiau daug pardavėjų, pavyzdžiui, didelių technologijų pardavėjų, jie iš tikrųjų bendradarbiauja su universitetais ir netgi bendradarbiauja vidurinėje mokykloje. Pavyzdžiui, su Amerikos merginomis skautėmis iš tikrųjų skatinti programas, kurios nuo pat mažens sudomintų ir domisi kibernetiniu saugumu, o vėliau norėtų toliau to siekti bakalauro ir magistrantūros studijų lygmeniu. Daugelyje universitetų yra gana agresyvių stipendijų programų.
Be to, įmonės lygmeniu vyksta daug savistabos, kai mes tarsi žiūrime į apsaugos komandų kultūrą. Mes žiūrime į daugybę tradicinių maršrutų, iš kurių verbuojame, tai yra konferencijos, kuriose dominuoja vyrai, arba vėlgi, turime šiuos pareigybių aprašymus, kuriuose pabrėžiama daug karinės patirties kaip pavyzdys. Taigi tai tarsi išplečiama žmonių, kurie įdarbins saugumo pramonę, sfera, noras tobulinti savo įgūdžius ir atlikti daug geresnį darbą – iš tikrųjų užpildyti piltuvą, užpildyti tikrąjį vamzdyną ilgainiui.
Tačiau, jūsų nuomone, įvairios komandos priima geresnius sprendimus ir ilgainiui yra našesni. Ir antras dalykas, kurį norėčiau pasakyti, yra tiek daug laisvų darbo vietų saugumo srityje ne tik JAV, bet ir visame pasaulyje. Tai taip pat matematikos problema. Mes neužimsime šių atvirų pozicijų, jei neįdarbinsime pusės gyventojų.
Lauras: Be to, atrodė, kad ne daug saugumo talentų būtinai buvo skatinami iš vidaus. Forrester ataskaitose atrodė, kad labiau tikėtina, kad būsite paaukštintas, jei eitumėte į kitą įmonę. Ar įmonės dabar iš naujo tikrina savo talentus?
Stephanie: Tai iš tikrųjų galioja tiek individualiu, tiek CISO lygiu. Taigi tarp „Fortune 500“ mes nustatėme, kad pirmą kartą CISO buvo retai ir jie nebuvo skatinami iš vidaus. Taigi jie norėtų samdyti iš išorės CISO ir norėjo CISO, turinčios ankstesnės CISO patirties. Ir iš tikrųjų, jei esate saugumo srityje dirbantis asmuo, tai reiškia, kad jei norite būti paaukštintas į CISO, geriausia jūsų galimybė yra pažvelgti į išorę, už savo įmonės ribų. Taip pat pastebėjome, kad kai įmonės samdydavo CISO iš išorės, o ne skatindavo juos iš vidaus, buvo didesnė tikimybė, kad jie atsiskaitys aukštesnėje organizacijoje. Taigi, taip, CISO lygmeniu įmonės galėtų geriau pažvelgti į savo vidų ir suteikti tiems asmenims tinkamą galimybę atsiskaityti aukštesnėje organizacijoje.
Tačiau mes taip pat nustatėme panašių dalykų vadovų ir individualių įnašų lygiu, ty jie nesamdė iš įmonės arba kai samdė asmenis, jie nesuteikė jiems gerų karjeros kelių ir nuolatinio įgūdžių tobulinimo. Taigi vėlgi, jei tie asmenys tikrai norėjo tęsti savo karjerą, dauguma jų paliko. Štai kodėl mes sakome, kad daugelis įgūdžių ir personalo iššūkių yra visiškai susiję patys.
Lauras: Taigi tai yra šiek tiek akloji zona, kurią tikriausiai kiekvienas galėtų padaryti šiek tiek geriau, tiesa?
Stephanie: Būtent. Taip.
Lauras: Aš skaičiau šį Ponemon instituto pranešimą ir ši konkreti frazė man įstrigo, o kai kalbėjome apie CISO ir apie tai, koks žmogus atliktų šį vaidmenį, ir apie patirtį, kurią jie turėjo, ne tik gyvenimo aprašymą. taip pat jūsų požiūris ir gebėjimas veikti tikrai greitai ir tikrai protingai, taip pat labai gerai bendrauti. Tačiau citata buvo, ir aš čia šiek tiek perfrazuoju, kad technologijos interneto amžių pavertė žiaurių stebuklų periodu saugumo specialistams. Visi mūsų žiaurūs stebuklai yra tai, kad kiekvienoje kišenėje turime prietaisų. Galime nuvykti bet kur, bet kada pasikalbėti su bet kuo ir tai padaryti žaibo greičiu, bet tuo pačiu, jei esate CISO, kaip visa tai užtikrinti?
Stephanie: Teisingai. Taip. Visi šie įrenginiai, pratęsiantys keturias įmonės sienas, iš esmės praplečia organizacijos atakos paviršių. Taigi, CISO tai buvo tarsi žingsnis nuo tradicinio perimetru pagrįsto požiūrio į saugumą ir labiau į duomenis bei taikomąsias programas orientuoto požiūrio, netgi sakyčiau, į tapatybę orientuoto požiūrio į saugumą.
Ne tai, kad tinklas nėra svarbus, tinklo saugumas yra labai svarbus, bet tai labiau perimetru pagrįstas požiūris į saugumą, kuris labai pasikeitė. Taigi vėlgi, kur nėra tikrų keturių korporacijos sienų. Perimetras iš tikrųjų yra daug mažesnis. Taigi mes linkę galvoti apie saugius anklavus. Kaip sukurti mikro perimetrą aplink svarbiausią mūsų turtą?
Kai kalbame apie išplėstą visų tipų įrenginių, kaip jūs paminėjote, tinklą arba pačią skaičiavimo aplinką, kuri gali būti vietinio, debesies, priglobto privataus debesies ir visų jų variantų derinys bei bet kokia vartotojų grupė, kuri sąveikauja su įmonės sistemos ir duomenys. Tai gali būti jūsų darbuotojai, vartotojai ir klientai, tai gali būti trečiųjų šalių partneriai. Taigi, kai galvojate apie įrenginius, vartotojų populiacijas ir skirtingus skaičiavimo modelius, perimetro nėra. Taigi pagrindinis dėmesys skiriamas pačių duomenų apsaugai, nepaisant to, kur jie keliauja, ir nepaisant prieglobos modelio ar vietos. Tikrai, labai rimtai pažvelgus į tapatybę. Taip riboja ir griežtai užtikrina prieigą, tiek žmonių, tiek nežmonių. Taigi tai tarsi apverčia tradicinę saugumo paradigmą. Jūs pereinate nuo orientuoto į perimetrą prie duomenų ir tapatybės orientavimo.
Būtent tai mes paprastai rekomenduojame CISO. Ir mes tai vadiname nulinio pasitikėjimo saugumo modeliu, ty jūs manote, kad jau padarėte pažeidimą ir niekada nepasitikite savo aplinka. Jūs tiesiog visada manote, kad kažkas kažkur negerai, bet tai veikia. Galbūt tai nėra pats pozityviausias posūkis pasaulyje, pavyzdžiui, nulis pasitikėjimo, bet jis veikia. Tai labai efektyvu.
Kitas dalykas, kurį norėčiau pasakyti, tikrai skatinčiau visų šių įrenginių, daiktų interneto jutiklių, daiktų interneto įrenginių gamintojus, viską, ką tik galite sugalvoti, kad jie nuo pat pradžių atliktų geresnį darbą, kad užtikrintų saugumą pačiame įrenginyje. Tai tikrai labai palengvintų CISO darbą. Tai tiesiog taip apmaudu. Tai taip pat beveik nekontroliuojama.
Lauras: Tiesa? Na, ypač -
Stephanie: Išskyrus CISO, kurios iš tikrųjų dirba produktų įmonėse. Turėtumėte dalyvauti gaminių kūrime. Turėtumėte patarti organizacijai.
Lauras: Ir tai įdomu, nes saugumas ne visada yra pirmoje vietoje, ar ne?
Stephanie: Nr.
Lauras: Ypač kai kuriate gaminį. Taigi ar dažnai taip nutinka? CISO iš tikrųjų aktyviai dalyvauja gaminio kūrime?
Stephanie: Deja, ne iki šiol, bet mes tai rekomenduojame. Ir aš sakyčiau, kad kai kurios CISO nebūtinai laiko tai savo tradiciniu vaidmeniu, pavyzdžiui, tradicinis jų vaidmuo buvo apsaugoti įrašų ir infrastruktūros bei įmonės duomenų užpakalines sistemas ir nebūtinai įsitraukti į plėtrą, bet mes iš tikrųjų aktyviai dalyvaujame. Skatinkite CISO įsitraukti į gaminių kūrimą ir gaminių kūrimą, kad iš tikrųjų padėtų organizacijai užtikrinti tai, ką parduodate. Taigi, ką parduodate, kad ir kokią paslaugą teikiate vartotojui, pacientui, piliečiui, kitai korporacijai, jei esate B2B organizacija, aktyviai dalyvaujanti užtikrinant tai, ką parduodate.
Lauras: Ir tai tikrai yra konkurencinis skirtumas, ar ne?
Stephanie: Taip, absoliučiai. absoliučiai. Pastebėjome, kad saugumas, taip pat privatumas – ir tai nėra sinonimai, bet kartais eina koja kojon – sukuria įmonių konkurencinį skirtumą.
Lauras: Taip. Ir tai yra svarbus skirtumas ir visas jūsų sklindantis triukšmas. Taigi, jei yra kažkas labai konkretaus, kurį galite parduoti, tai būtų gerai. Tačiau mes taip pat tarsi kalbame apie tai, kad CISO tikrai aktyviai dalyvauja visame kame. Taigi jūs turite būti daug talentingas žmogus, galintis kalbėti ir suprasti produktą, taip pat būti bendruomenėje, tiesa? Tuo pačiu metu dalinkitės įmonės paslaptimis ir tuo, kaip ginate duomenis, nes yra tokia idėja, ypač technologijų bendruomenėje, kur dalijatės geriausia praktika ir tuo, ko išmokote. Ir aš tiesiog susimąsčiau apie tai, kaip CISO iš tikrųjų dalijasi, bet ne viskuo?
Stephanie: Taip, yra iššūkis. Daugelis CISO labai nemėgsta kalbėti apie jų diegimo ypatumus, ir aš nebūtinai matau, kad tai greitai pasikeis. Tačiau kartais mažesnėse grupėse yra daug bendruomenių, kurios palaiko CISO. Tiesą sakant, „Forester“ turime lygiaverčių tinklų grupę, kurią sudaro apie 100 CISO. Yra visų rūšių ISAC ir žvalgybos dalijimosi bendruomenės, pavyzdžiui, CISO, kurios yra specifinės pramonės šakos. Taip dažnai glaudžiose bendruomenėse, kuriose suprantama, kad viskas priklauso nuo NDA, kur yra atvirumas, kai kurie asmeniniai santykiai, CISO pasidalins daug daugiau. Tačiau radau CISO, norinčių kalbėti apie bendrą strategiją. Kai minėjau, kad pereinama nuo perimetru pagrįsto požiūrio prie duomenų ir tapatybės orientavimo. Kalbėjimas apie kultūrą. Kultūra iš tikrųjų yra labai svarbi ne tik CISO, bet ir likusiai saugumo organizacijai.
Kadangi jums reikia organizacijos, turinčios reikiamą personalą, kuris iš tikrųjų galėtų kalbėtis su kūrėjais ir būti saugios programų kūrimo dalimi, galinčios dirbti su infrastruktūros ir operacijų komandomis, kad būtų užtikrintas debesų diegimas. Tai iš tikrųjų galėtų dirbti su rinkodaros komandomis, kad padėtų joms suprasti privatumo pasekmes, kaip jie gali pritaikyti paslaugas ir duomenis bei skelbimus vartotojams. Taigi jums reikia ir pačios saugos komandos, o ne tik CISO, o pačios saugos komandos, kad ji būtų balsinga ir atvira, bendradarbiautų ir norėtų įsitraukti į pagrindinius verslo ir IT procesus visoje organizacijoje. Taigi jie kalbės apie kultūrą, kalbės apie personalą, taip pat kalbės apie įgūdžius, kurių reikia. Tikrai matome tam tikrus pokyčius.
Lauras: Be to, verslas turi būti pasirengęs leisti saugumui pasiekti visišką šios idėjos ratą, bet ne tik produktą, bet ir visus kitus. Taigi rinkodara, mąstymas, vėlgi, saugumas pirmiausia arba saugumas tam tikru momentu. Kaip tada vyksta šis pokalbis, kad visi būtų šiek tiek išsilavinę? Jei užsiimate rinkodara, neprivalote būti saugumo ekspertu, bet turite būti pasirengę klausytis.
Stephanie: Daug kartų CISO pasakodavo istorijas ir viskas buvo pražūtinga ir niūru. Manau, vadovaukitės daug labiau rizika pagrįstu požiūriu, kai padedate verslui suprasti būsimą riziką ir tiesiog padedate suprasti tikimybę ir poveikį bei patariate priimti teisingus sprendimus, pvz. vaidmuo, manau, padeda. Kuo labiau tapsite tuo konsultacinio dalyko ekspertu, manau, kad galėsite atsinešti likusią organizacijos dalį. Manau, kad tai yra didelė pagalba ir tai priklauso nuo CISO įgūdžių rinkinio, kaip gerai jie tai daro. Manau, kad bet kada galite viską išdėstyti teigiamai verslo požiūriu, tai padeda.
Mano komandoje buvo analitikas, kuris parašė šią ataskaitą, ji buvo vadinama pelno saugumu, ir joje apibūdino būdus, kaip saugumas gali būti įmonės pajamų šaltinis. Vėlgi, tai gali būti pridėtinės vertės funkcijos, už kurias žmonės buvo pasirengę mokėti daugiau, arba tai gali tapti konkurenciniu jūsų siūlomo produkto ar paslaugos skirtumu. Taigi tai iš tikrųjų galėtų prisidėti prie aukščiausios linijos. Tada jis taip pat apibūdino visus būdus, kurie iš tikrųjų gali sutaupyti įmonės pinigų, išskyrus pažeidimo vengimą ir baudų už atitiktį išvengimą.
Yra įvairių būdų, kaip tinkamai užtikrinti saugumą, tai gali žymiai pagerinti darbuotojų patirtį ir sumažinti veiklos išlaidas įmonėje. Tapatybė yra vienas didžiausių pavyzdžių, kai galvojate apie darbuotojo priėmimą ir galimybę automatizuoti visus būdus, kuriais suteikiate jam prieigą prie reikalingų sistemų. Slaptažodžių nustatymas iš naujo. Turiu galvoje, kad yra tiek daug žemai kabančių vaisių, kuriais galite palengvinti darbuotojų gyvenimą, bet tada iš tikrųjų sumažinate išlaidas.
Lauras: Taip. Ir tikrai apie tai negalvojate, bet tikrai esate nusivylęs, kai turite perdaryti slaptažodį ir tai trunka amžinai ir (arba) turite pereiti prie kitos sistemos ir bla, bla, bla. Tačiau toks racionalizavimas yra ne tik saugumo požiūriu, bet, kaip jau minėjote, iš kiekvieno perspektyvos – tik palengvinti savo gyvenimą, ko galiausiai nori kiekvienas darbuotojas.
Stephanie: Taip.
Lauras: Taigi, kaip CISO neatsilikti nuo naujausių tendencijų? Turiu omenyje konferencijas, tas mažas grupeles, su kuriomis jie kalbasi?
Stephanie: Taip, manau, kad jie atlieka savo tyrimus, nesvarbu, ar tai būtų tokie leidiniai kaip jūsų, tokios įmonės kaip „Forrester“, taip pat kitos didelės strategijos konsultavimo įmonės. Tačiau jie atlieka savo tyrimus. Jie dažnai siunčia savo darbuotojus į daugelį konferencijų. Ir tada aš manau, kad tos tarpusavio tinklų grupės taip pat labai padeda. Tačiau sunku neatsilikti nuo visų galimų tendencijų. Taigi aš manau, kad visada padeda gauti tam tikrų išorinių patarimų, kad sužinotumėte apie kylančias grėsmes, kylančias rizikas, atsirandantį reikalavimų laikymąsi ir taisykles, kurios vyksta visame pasaulyje.
Lauras: Taip, o tada, kaip sakei, turinti tą bendraamžių grupę, kuri sukurtų pasitikėjimą ir tam tikrą skaidrumą, dalijantis gerąja patirtimi ir tiesiog klausantis įvairių istorijų, net jei tai iš draugo, kurį girdėjau, kad perspėtų įvairios organizacijos ir žmonės. Kalbant apie tai, ar daug vyriausybės ir verslo bendradarbiauja, išskyrus šias bendraamžių grupes? Ar to matote daugiau, ar žmonės iš esmės laikosi savo kelio, nes kyla kitų konfliktų su įmonėmis ir vyriausybėmis?
Stephanie: Taip. JAV ir iš tikrųjų kitose šalyse, pvz., JK, jei esate laikomi ypatingos svarbos infrastruktūros pramone, turėsite palaikyti glaudžius ryšius su federalinės vyriausybės pareigūnais. Jei dirbate ypatingos svarbos infrastruktūroje, turiu omenyje, kad bus taikomi konkrečiai pramonės kibernetinio saugumo reglamentai, kurių turite laikytis, jei dirbate energetikos srityje. Turiu omenyje, kad net finansinės paslaugos yra laikomos kritine infrastruktūra. Taigi, kaip pavyzdį, turėsite vadovautis NIST gairėmis. Kiekvienas, kuris užsiima verslu su federaline vyriausybe, turės vadovautis NIST.
Nenorite laukti, kol užmegsite ryšius su federaline vyriausybe ar konkrečiomis agentūromis, tokiomis kaip FTB. Nenorite laukti, kol ką nors įtarsite ar padarysite pažeidimą. Arba daugeliu atvejų yra atvirkščiai, jie kažką aptiko ir jus apie tai įspėja. Kartais jie negali jums pasiūlyti konkrečių dalykų, nes jų rankos yra surištos atliekant didesnį tyrimą. Taigi galite iš anksto užmegzti ryšius su daugeliu JAV federalinės vyriausybės agentūrų, kad galėtumėte pasidalyti grėsmės žvalgybos informacija. Arba vėlgi, jei kažkas iš tikrųjų įvyktų, jūs jau turite tuos jau egzistuojančius santykius.
Lauras: Taip, ir kalbant apie tai, kas jau vyksta, ir pasirengimo planus, ar matote, kad daugiau įmonių rengia tuos pasirengimo planus, vėlgi, ne tada, kai į jas įsilaužiama arba įvyksta kibernetinė ataka ir joms reikia apie tai paskelbti?
Stephanie: Taigi, reaguojant į incidentą, yra tarsi vidinis atsakas į incidentą, kuris yra tarsi visi procesai, kuriuos reikia aptikti, tada ištaisyti ir reaguoti. Ir daugelis atsakymų yra labiau tokie, kaip vadiname teismo ekspertizės lygmeniu: tiksliai nustatyti, kas atsitiko, tai ištaisyti, galimai surinkti teismo ekspertizės įrodymus, jei nuspręstumėte, kad iš tikrųjų ketinate imtis teisinių veiksmų, priklausomai nuo to, kas tai buvo vėliau. . Tada yra išorinis atsakas, ir jums tikrai reikia abiejų. Jums tikrai reikia sudėtingo reagavimo į incidentus, proceso ir iniciatyvos įmonėje su specialiais ekspertais, ypač jei esate didelė įmonė.
Tačiau manau, kad įmonės dažnai žlunga dėl išorinio atsako į pažeidimus. Ir vėlgi, reglamentai reikalauja, kad jei tai susiję su vartotoju, jei tai susiję su asmenimis, turite apie tai pranešti per konkrečias dienas. Daugeliu atvejų tai yra 30 dienų. Pagal GDPR Europoje tai yra 72 valandos ar mažiau. Ir mes matėme, kad įmonės karališkai ėmė reaguoti į išorinį pažeidimą, o tai reiškia, kad jos nedrąsiai teikė informaciją vartotojams.
Nenoriu rinktis įmonių, nes aukų kaltinimas dažnai nėra labai naudingas, bet mačiau, kad įmonės tam tikra prasme kaltina vartotoją, sakydamos: „O, jei turėtumėte geresnę slaptažodžio higieną, jei jei daug atidžiau stebėtumėte savo sąskaitas, tai neturėtų tokio didelio poveikio. Ne. Turite parodyti empatiją savo klientams. Įdėkite juos pirmiausia. Darykite viską, ką galite, kad juos apsaugotumėte. Neapsigaukite dalindamiesi informacija dėl CYA susirūpinimo. Ir kai kuriais atvejais, jei tai darote teisingai, tai yra galimybė neprarasti jų pasitikėjimo, o galbūt netgi jį sustiprinti ir sustiprinti, jei juos iškėlėte į pirmą vietą. Bet jūs tikrai galite jį sugadinti ir padaryti pažeidimą daug blogesnį, nei reikėjo.
Lauras: Ir tai įmonei kainavo dar daugiau pinigų.
Stephanie: Būtent.
Lauras: Žvelgiant atgal į 2019 m. ir yra daug ką kalbėti apie kibernetinį saugumą, jei pažvelgtume į tris konkrečias sritis, pirmiausia būtų tik kibernetinės atakos, bet labai konkrečiai prieš miestus ir savivaldybes. Taigi Naujasis Orleanas buvo naujausias metų pabaigoje, apie kurį mes žinome, tačiau jis taip pat buvo ant kulnų Luizianos valstijai, surengusiam kibernetinio saugumo ataką. Žinome, kad tai vyksta visoje šalyje. Taigi, norint užduoti labai įtemptą klausimą, kodėl miestai ir savivaldybės yra nukreipti į kibernetines atakas, kai jie nebūtinai yra labiausiai finansuojami drabužiai?
Stephanie: Taip. Štai kodėl, nes jie yra lengvi taikiniai. Taigi, jei jie jau daugelį metų nepakankamai finansuoja savo saugumo pastangas, tada juos lengviau įsiskverbti ir paprašyti išpirkos, net jei išpirka yra maža.
Lauras: Tai geriau nei nieko.
Stephanie: Tai geriau nei nieko. Tai iš tikrųjų yra daugelio komandos sutarimas, nes daugelis šių vietos, miestų ir valstijų vyriausybių ir savivaldybių yra tokie lengvi tikslai, nes daugelį metų joms trūksta lėšų ir darbuotojų. Ir dažniausiai yra finansinė motyvacija, bet yra ir kitų motyvacijos rūšių. Tai gali būti politinė, socialinė. Jei pateksite į didesnės rūšies valstijas ar federalines agentūras, galbūt net įsitrauksite į geopolitinę ir net karinę sritį.
Tiesą sakant, Naujojo Orleano miestas buvo įdomus tuo, kad užpuolikai neprašė išpirkos. Taigi jie naudojo „ransomware“, kad juos išjungtų. Viskas buvo užšifruota ir privertė juos. Manau, kad jie pakeitė daugybę kompiuterių infrastruktūros. Gali būti tikrai sunku atkurti atsargines kopijas. Mes tai sakome taip atvirai, kaip: „O, tiesiog atsigaukite iš atsarginių kopijų“. Dauguma atsarginių kopijų su klaidomis ir galimybė atkurti atsarginę kopiją dideliu mastu iš tikrųjų yra labai, labai sudėtinga. Ir kas žino, kada išpirkos reikalaujanti programa iš tikrųjų buvo pristatyta? Taigi jūs tiesiog iš naujo įdiegiate išpirkos reikalaujančią programinę įrangą.
Lauras: Įdomus.
Stephanie: Bet taip. Mano supratimu, jie iš tikrųjų neprašė išpirkos. Taigi jų motyvacija nebuvo finansinė. Taigi galėjo būti...
Lauras: Tiesiog sutrikimas.
Stephanie: ... tiesiog trikdymas vardan to.
Lauras: Norėdami pamatyti, ar jie gali tai padaryti, taip.
Stephanie: Įdomu tai, kad perskaičiau šį straipsnį, kuriame miestas buvo priverstas pakeisti daugybę kompiuterių infrastruktūros, nešiojamų kompiuterių, stalinių kompiuterių, serverių infrastruktūros. Taigi dalis manęs stebisi: „O, tai gali būti miesto darbuotojai. Žinau, kaip priversti miestą atnaujinti.
Lauras: Teisingai, teisingai. Priversk juos.
Stephanie: Priversk juos.
Lauras: Viską sugadindamas.
Stephanie: Taip. Taigi jie yra lengvi taikiniai, o atakos motyvai, manau, yra labai įvairūs, kai kalbama apie kritinę infrastruktūrą, o vėliau apie miestą, valstiją ir vietos valdžią.
Lauras: Ir tai nebūtinai, kai prašoma išpirkos, kad kada nors sužinotumėte, iš kur jie ateina, kas jie yra, ar jie yra užsienio valstybės veikėjai.
Stephanie: Taip, tu nebūtinai žinai.
Lauras: Tu niekada nesužinosi. Tai tik spėjimas.
Stephanie: Taip. Šiais metais iš tikrųjų paskelbėme prieštaringą ataskaitą, kurioje teigiama, kad kai kuriais atvejais organizacijos gali svarstyti galimybę sumokėti išpirką. Būsiu sąžiningas, manau, kad miesto, valstijos ir vietos valdžios institucijoms gali būti uždrausta mokėti išpirką. Nežinau. Turėčiau tai išnagrinėti, bet privataus sektoriaus įmonės, nors esu tikras, kad FTB ir kitos teisėsaugos institucijos norėtų, kad jos to nedarytų, kai kuriais atvejais tai gali būti prasminga. O kibernetiniai draudikai netgi pasakytų, kad kai kuriais atvejais tai gali būti prasminga. Ir iš tikrųjų yra firmų, kurios specializuojasi padėti įmonėms sumokėti išpirką. Kartais iš tikrųjų galite derėtis dėl mažesnės išpirkos. Tai tarsi mainai. Jie veiks kaip tarpininkas tarp įvairių įmonės veikėjų. Akivaizdu, kad mokate jiems kriptovaliuta. Jūs ne tik pervedate grynuosius pinigus.
Lauras: Žinoma.
Stephanie: Taigi jie taip pat gali tai palengvinti. Turiu galvoje, jei pažvelgsite į Baltimorės miestą, tai, ką jie išleido, kad atsigautų nuo išpirkos reikalaujančios programinės įrangos atakos, tikriausiai šimtą kartų daugiau nei tikroji išpirka. Pamiršau skaičius, bet skirtumas buvo juokingas.
Lauras: Taigi patarimas miestams ir savivaldybėms būtų iš tikrųjų pažvelgti į savo sistemas ir pabandyti jas kažkaip atnaujinti ir apsaugoti.
Stephanie: Taip. Žinoma, naudojant išpirkos reikalaujančią programinę įrangą, įsitikinkite, kad visos jūsų sistemos yra atnaujintos ir pataisytos. Jei pažvelgsite į sėkmingiausias atakas, išorines atakas, jos naudojasi pažeidžiamumu ir kitų tipų programinės įrangos išnaudojimais. Tai nieko nuostabaus. Visi visada mėgsta naudoti pažangias arba valstybės remiamas atakas. Realybė tokia, kad dauguma šių išpuolių yra gana mažo biudžeto, tačiau vis tiek veiksmingi.
Kitas dalykas – atidžiai peržiūrėkite savo atsargines kopijas. Negaliu to pakankamai pabrėžti. Žmonės visada nepastebi savo atsarginių kopijų. Tai tampa paprastu IT procesu, į kurį niekas niekada nežiūri du kartus arba žmonės jį sumenkina ir vadina nesvarbu. Šiandien tai gali būti svarbiau, jei nenorite mokėti išpirkos.
****
Lauras: Kibernetinis saugumas – tai ne tik matomų grėsmių sustabdymas. Tai yra sustabdyti tuos, kurių nematote. Štai kodėl „Microsoft Security“ dirba daugiau nei 3500 kibernetinių nusikaltimų ekspertų ir naudoja dirbtinį intelektą, kad padėtų numatyti, identifikuoti ir pašalinti grėsmes, kad galėtumėte sutelkti dėmesį į savo verslo plėtrą, o „Microsoft Security“ galėtų sutelkti dėmesį į jo apsaugą. Sužinokite daugiau adresu microsoft.com/cybersecurity.
****
Lauras: Taigi dar viena įdomi tema 2019 m. buvo tik bendri duomenų pažeidimai. Taigi 2019 m. tikrai atrodė, kad kas antrą dieną kokia nors įmonė ar kažkas praneša apie duomenų pažeidimą. Ir tada, remiantis rizika pagrįsto saugumo duomenimis, 2019 m. buvo atskleista daugiau nei septyni milijardai įrašų. Taigi, kai grįžtame prie CISO, kaip iš tikrųjų į tai reaguoja CISO ir įmonių vadovai, jei 2019-ieji buvo tarsi šiais metais, kai per vienerius metus [matėme tiek daug] pažeidimų?
Stephanie: Taip. Manau, kad 2019-ieji pagaliau buvo pažeidimo nuovargio metai. Turiu omenyje, kad mums net buvo sunku neatsilikti nuo kiekvieno pranešimo apie pažeidimą. Manau, kad tai padeda pažvelgti į tai perspektyvoje. Ne kiekvienas iš šių pažeidimų buvo išpuolis. Daugelis jų iš tikrųjų buvo atsitiktinio poveikio pasekmė. Taigi, jei, pavyzdžiui, netinkamai sukonfigūravote saugyklą debesyje, tai iš tikrųjų laikoma pažeidimu, nors nebūtinai yra įrodymų, kad kokia nors trečioji šalis ar išorinis užpuolikas ar organizacija iš tikrųjų netinkamai naudojo duomenis arba piktnaudžiavo jais. Vien tai, kad kažkas viduje arba, dažnai, saugumo tyrinėtojas, iš tikrųjų atranda, kad visa informacija buvo mažiau atskleista. Tai laikoma pažeidimu.
Bet taip. Jei pažvelgtumėte į pačius pažeidimus, 51% įmonių per pastaruosius metus patyrė bent vieną pažeidimą. Ir šis skaičius tikriausiai didesnis, nes daugelis organizacijų apie tai nežino iš karto. Tačiau didelė jų dalis, iš tikrųjų dauguma, yra vidinių, dėl vidinių incidentų, trečiųjų šalių incidentų arba tiesiog pamestų ar pavogtų įrenginių. Ir jei pažvelgsite į tikrus išorinius pažeidimus, kai išorinė šalis užpuolė jus ir gavo prieigą prie jūsų neskelbtinų duomenų, grįždama prie mažo biudžeto, trys pagrindiniai atakų vektoriai buvo tiesioginė jūsų programos ataka. naudojant programinės įrangos pažeidžiamumą arba pažeistus vartotojo kredencialus.
Ir trys iš jų, jei pažvelgsite į tai... Nekenčiu būti atviram ir sakyti, kad tai lengva išspręsti, tačiau nebūtinai reikia pažangiausios programinės įrangos technologijos, bet tai yra saugus programų kūrimas. Grįžtant prie viso mūsų gaminio kūrimo ir dizaino, reikia tik užtikrinti, kad jūsų kuriamos programos, skirtos klientams, būtų saugios, t. Tai sumažins daugybę tiesioginių atakų prieš programas. Ir tada, kai programos bus įdiegtos gamyboje, vėl apsaugokite jas viskuo – nuo žiniatinklio programų ugniasienės iki kitų tipų saugos priemonių, kurios tarsi apgaubia programą ir apsaugą.
Kitas dalykas yra programinės įrangos išnaudojimai. Tiek daug užpuolikų tiesiog naudojasi pažeidžiamomis vietomis, kurios nebuvo pašalintos. Taigi, turėdami tikrai stiprią pažeidžiamumo valdymo programą – ne pati seksualiausia tema pasaulyje, pažeidžiamumo valdymas, tačiau įmonės iš tikrųjų neturi tinkamo būdo nustatyti pažeidžiamumų prioritetus ir tada juos pašalinti.
Lauras: Ir tai žemai kabantis vaisius.
Stephanie: Tokie žemai kabantys vaisiai. Ir tada vartotojo kredencialų kompromisas, kelių veiksnių autentifikavimas.
Lauras: Taip. Eikite į savo telefoną. Įveskite slaptažodį. Tačiau mes jau gana pripratome.
Stephanie: Teisingai. Ir tiek daug kartų su šiais dideliais pažeidimais... ir mes rašydavome šią metinę išmoktų pamokų ataskaitą, ir tai buvo beveik nuobodu, nes aš nuolat daviau tuos pačius patarimus, pvz., saugų programų kūrimą, pažeidžiamumo valdymą, šifravimą. neskelbtinus duomenis, kuriuos turite, tada dviejų faktorių autentifikavimą ir patikimą aptikimo ir reagavimo į incidentus programą. Taigi ten vis dar yra žemai kabančių vaisių. Turiu galvoje, kad mes tiek daug kalbame apie išankstines atakas ir didėjantį puolimo paviršių, ir tai tiesa, bet vėlgi, mes vis dar neišnagrinėjome tiek daug pagrindinių dalykų.
Lauras: Ir tuos pagrindus, kaip sakei, apie juos rašėte daugelį metų. Ar manote, kad kai kurios iš šių žymesnių atakų prideda spalvų ir galbūt pritraukia žmonių dėmesį tokiu būdu, kad jie nori iš tikrųjų dalį IT biudžeto skirti pažeidžiamumui?
Stephanie: Jie daro. Kalbant apie daugiafaktorinį autentifikavimą, manau, kad dabar tai jau buvo pamiršta išvada ir priimta geriausia praktika – turite ją turėti. Tai užtruko. Tai turėjo būti pažeidimas po pažeidimo. Tai turėjo būti pramonė, sakanti „dviejų veiksnių, dviejų veiksnių, dviejų veiksnių“. Net plataus vartojimo technologijų įmonės savo klientams sako: „Įjunkite dviejų faktorių, įjunkite dviejų faktorių“. Taigi manau, kad kuo dažniau kartosime kai kurias iš šių geriausių praktikų, tuo labiau jos pagaliau įsitvirtins. Tikiuosi, kad tas pats nutiks ir su saugiu programų kūrimu.
Ir tada pažeidžiamumo valdymas, vėlgi, labai svarbus pažeidžiamumų, kuriuos reikia pašalinti, prioritetų nustatymas. Kasmet į Nacionalinę pažeidžiamumo duomenų bazę įtraukiama tūkstančiai pažeidžiamumų ir 30 % jų yra laikomi kritiniais. Taigi tai nepadeda. Jums reikia vidinio pažeidžiamumo prioritetų nustatymo proceso, atsižvelgiant į jūsų verslo kontekstą, IT kontekstą, grėsmės aplinką, kad būtų lengviau pataisyti sistemą.
Lauras: Nes kitu atveju tai tiesiog...
Stephanie: Tai būtų nepaprasta.
Lauras: Taip stulbinančiai.
Stephanie: Taip.
Lauras: Manau, kad bankai ir bankų pramonė yra viena iš pramonės šakų, kurios reikalauja dviejų veiksnių autentifikavimo. Ar matote kokios nors konkrečios pramonės šakos, kurios tai daro saugodamos programas ar kurdamos saugias programas?
Stephanie: Kurdami saugias programas, kas, mano manymu, galėtų vadovauti? Tai geras klausimas. Nežinau, ar kuri nors kita pramonės šaka tikrai išsiskiria. Neseniai parengėme šią taikymo būsenos saugos ataskaitą ir ji buvo gana atverianti akis ir liūdna. Tai nebuvo geras pranešimas. Tada sukūrėme konkrečiai pramonės šakai skirtą versiją, kurioje išfiltravome vyriausybės turimus duomenis. Ir federalinė vyriausybė buvo dar blogesnė nei privatus sektorius, todėl tai kelia nerimą. Manau, kad pramonės šakos, kurios man rūpi labiausiai, būtų sveikatos apsauga ir valdžia.
Lauras: Ir tai yra du, kuriuos dauguma žmonių tikriausiai naudoja dažniau nei beveik bet kas kitas.
Stephanie: Teisingai.
Lauras: Taip. Sveikatos priežiūra visai nėra mažas rūpestis. Ligoninių duomenų, asmens duomenų, bet ir AII [asmenį identifikuojančios informacijos] idėja ir tiesiog patekimas į sistemas ir mašinas. Ar viskas kelia susirūpinimą? Kai viskas rūpi, kaip jūs iš tikrųjų teikiate pirmenybę, jei esate sveikatos priežiūros įstaiga?
Stephanie: Taip. Manau, kad sveikatos priežiūros srityje ilgą laiką tiek daug dėmesio buvo skiriama HIPAA laikymuisi. Kalbame apie JAV konkrečias. JAV buvo tiek daug dėmesio skirta HIPAA laikymuisi, net CISO savotiškai orientavosi į HIPAA, o ne į tikrąjį kibernetinį saugumą. Taigi istoriškai dažnai pastebėjome, kad, deja, sveikatos apsaugai saugumui išleidžiama mažiau nei kitose pramonės šakose. Ir vėl, jei jie turėjo CISO, mes dažnai pastebėjome, kad jis ar ji nepakankamai atsiskaito organizacijoje arba neturėjo tinkamos kontrolės. Tai keičiasi. Manau, kad sveikatos apsauga taip pat susiduria su sunkumais, net jei jie sprendžia kai kurias istorines biudžeto problemas, kurias turėjo, tai pramonė, kuri kovoja su išlaidomis. Jei turite dolerį išleisti klinikinei sistemai, o ne kibernetiniam saugumui, tai tikrai sunkus pasirinkimas, ypač JAV, kur išleidžiame tiek daug sveikatos priežiūrai, bet vis tiek turime prasčiausius sveikatos priežiūros rezultatus iš visų išsivysčiusių šalių. Tikroji kova yra ta, kad norint gerai veikti saugumui reikia nemažo biudžeto.
Taip. Taigi sveikatos apsauga, man rūpi tai, kad jos atsilieka nuo kitų pramonės šakų pagal bendrą brandą, bet manau, kad tai keičiasi. Manau, kad kita sritis, kuri tikriausiai man rūpi sveikatos priežiūros srityje, būtų medicinos prietaisų ir programų saugumas.
Lauras: Taip, tai visai kita, baisi tema, tiesa? Na, taigi, galiausiai, apie ką galvojau nuo 2019 m., ši tema yra plati ir didelė, bet taip pat labai svarbi daugeliui įmonių, kurios iš tikrųjų gamina fizinę prekę arba siunčia daiktus iš vienos vietos į kitą, tai yra tiekimo grandinės saugumo atakos. Jei įmonės tiekimo grandinė tokia labai ilga ir sudėtinga, mes kalbame ne tik apie jūsų fizinių patalpų ar debesies apsaugą. Tai taip pat produktas. Iš kur jis siunčiamas, kur vežamas, o tada ir pardavėjai.
Stephanie: Komponentai.
Lauras: Komponentai ir pardavėjai, su kuriais dirbate.
Stephanie: Taip. Manau, kad daug kas prasidės nuo bendros trečiosios šalies rizikos. Trečiosios šalies rizika ir tiekimo grandinės rizika, turiu omenyje, tiekimo grandinė yra tam tikras bendros trečiosios šalies rizikos pogrupis. Apskritai sakyčiau, kad trečiosios šalies rizika buvo vienas iš penkių didžiausių iššūkių, su kuriais susiduria daugelis mūsų CISO klientų – jie su mumis kalba pastaruosius kelerius metus. Vėlgi, jei pažvelgsite į pažeidimo duomenis, beveik geri 25–30%, tam tikrame diapazone pažeidimų yra trečiųjų šalių pasekmė. Įprasta didelė įmonė gali turėti net 300 ryšių su trečiosiomis šalimis, kai susumuojate ne tik tiekėjus, bet ir galvojate apie IT paslaugų teikėjus, debesų tiekėjus. Kartą atlikau poveikio verslui analizę, kurioje aprašiau visus santykius su trečiosiomis šalimis tikrai vidutinio dydžio organizacijai, tūkstančiui darbuotojų. Ir radau maždaug 30 santykių su trečiosiomis šalimis, apie kuriuos IT organizacija nieko nežinojo.
Lauras: Oho.
Stephanie: Taigi dabar jūs pernešate tai į didelę įmonę. Taigi manau, kad daug kas sugrįš, jei galėsite pradėti nuo pagrindinės trečiosios šalies rizikos programos. Vienas, ar turi? Ar saugumas yra įtrauktas į trečiosios šalies riziką? Ar jie turi veto teisę santykiuose su trečiosiomis šalimis? Ir tai ne tik vienkartinis trečiųjų šalių saugumo įvertinimas. Tai taip pat nuolatiniai santykiai, kuriuose jūs periodiškai juos iš naujo įvertinate. Yra daug reikalavimų, kaip apibrėžti paslaugų lygio susitarimus dėl saugumo su trečiosiomis šalimis. Taigi viskas prasideda nuo pagrindinio trečiosios šalies rizikos valdymo. Ir tada manau, kad tai taip pat apims tiekimo grandinės riziką.
Lauras: Ir tikriausiai tai pamatysite, pavyzdžiui, su žmonėmis ar įmonėmis, kurios tik demonstruoja geriausią praktiką. Jie siunčia tai pasroviui visiems savo pardavėjams. Taigi, jei tikitės dirbti su mumis, turėsite laikytis šių procedūrų.
Stephanie: Būtent.
Lauras: GERAI.
Stephanie: Būtent. Taip. Jau kurį laiką norėjau parašyti šią ataskaitą, kuri, siekiant ilgalaikės verslo sėkmės, elgiasi kaip pažeidusi įmonė. Įmonės, kurios iš tikrųjų patyrė didžiulių pažeidimų ir tarsi išgyveno pradines pasekmes, po maždaug penkerių metų iš tikrųjų pasiekia verslo rezultatus, kurie dažnai viršys S&P 500. O jei grįžtumėte atgal ir pažiūrėtumėte, ką jos padarė Tai verčia juos priimti tikrai sunkius verslo, IT ir saugumo sprendimus. Taigi, žvelgiant iš verslo perspektyvos, tai privers juos perskirstyti daugelio savo strateginių iniciatyvų prioritetus, nes pažeidimas jiems kainavo 300 mln., 500 mln. USD, net 1 mlrd. Taigi tai verčia juos daug sunkiau žiūrėti į bendrą verslo strategiją ir verslo operacijas, nes jie tiesiog neturi pinigų viskam išleisti. Arba kai kuriais atvejais jie turi atsikratyti blogų sprendimų, į kuriuos vis mėgdavo pilti pinigus.
IT požiūriu pamatysime, kaip jie įgyvendins tai, ką turėjo daryti visą laiką. Trečiųjų šalių rizika. Turėjau vieną įmonę, kuri padarė pažeidimą, sakydama, kad po pažeidimo, žinote, negalėtumėte nusipirkti pieštuko be…
Lauras: Patvirtinimas.
Stephanie: Patvirtinimas. Ir jūs nebūtinai norite eiti į tą kraštutinumą, bet buvo aišku, kad jie iš anksto neturėjo jokios trečiosios šalies rizikos. Arba jie pasamdys PVO arba pakeis, kur PVO praneša, pradės finansuoti reagavimo į incidentus ir reagavimo į pažeidimus programas. Taigi pažeidimas iš tikrųjų verčia juos būti daug brandesne ir geresne įmone. Gaila, kad jie turėjo praeiti pro pažeidimą, kad ten patektų.
Lauras: Ten nuvykti. Spėju, kad kiekviena įmonė tam tikru momentu tikriausiai turėtų pažvelgti į tai, ar iš tikrųjų darome viską taip, kaip turėtų būti teisinga? Kokia yra reikalų, įmonės būklė? ir įdėmiai pažvelgęs. Tačiau esu tikras, kad tai taip pat nepadarytų jūsų populiarumo, jei tai būtų tik pratimas.
Stephanie: Taip.
Lauras: Jei išgyvenate siaubingą saugumo pažeidimą, jūs tarsi turite pasiteisinimą. Taigi grįžtame prie viso to, kai nutinka kažkas baisaus, dabar jūs turite pasiteisinimą...
Stephanie: Manau, kad brandos vertinimai čia padeda. Turiu galvoje, kad kibernetinio saugumo srityje yra daug specifinių pramonės brandos įvertinimų. „Forrester“ turime savo brandos įvertinimus. Taigi dažnai pastebėsime, kad klientai naudos tai kaip pagrindą, o tada jie gali eiti į valdybą ir kreiptis į savo verslo bei IT vadovus ir pasakyti: „Žiūrėkite, prieš geriausią pramonės praktiką, štai kur mes subrendome. , o čia mes tikrai silpni. Ir tada tai taip pat padeda jiems pradėti kurti panašius planus ir pagrįsti konkrečių iniciatyvų finansavimą, nes galima sakyti, kad tai pagerins mūsų brandą nuo 1,5 iki 3. Ir tai iš tikrųjų yra mūsų pramonei, kad mes turime būti bent 3 šioje srityje.
Taigi aš manau, kad jums tinka, remdamasis geriausios pramonės praktikos pavyzdžiais ir renkuosi brandos įvertinimą, žinote – Forrester, kai kurios kitos konsultacinės įmonės. Tačiau vadovaukitės savo saugumo pozicijomis, praneškite apie rezultatus, dirbkite su verslu, kad nustatytumėte realius tikslus apie tai, kur turėtumėte būti verslo ir pramonės šaka. Ir tada tai tikrai lemia jūsų veiksmų planą ir didelį jūsų finansavimą. Taigi tai suteikia jums kaip tikrą šiaurę, į kurią galite nukreipti.
Lauras: Ir tai paskatins jus siekti saugumo kaip atskirties.
Stephanie: Būtent.
Lauras: Taip. Taigi 2020 m. tikriausiai pamatysime daugiau. Tačiau dar keli nerimą keliantys papildymai. Tik trumpai palietėme geopolitiką. Metų pabaiga mums parodė šiek tiek nelygų kelią konkrečiai su Iranu. Taigi, kiek, jūsų manymu, vidutinėms įmonėms rūpi geopolitika, ar tiesiog bet kokiam blogam veikėjui reikia sustiprinti saugumą?
Stephanie: Iš tikrųjų šią ataskaitą parašėme dar 2016 m., ir ji buvo skirta CISO. Ir jo pavadinimas buvo Ignoruoti geopolitinę riziką jūsų pavojuje. Ir būtent šią idėją CISO tikrai turėjo pabusti dėl geopolitinės rizikos pasekmių kibernetiniam saugumui. Taigi, taip, šiandien yra Iranas. Ateityje tai gali būti kita šalis. Net jei manote, kad oi, aš ne vyriausybėje, aš nesu kritinės infrastruktūros, privataus sektoriaus organizacijos visą laiką yra nukreiptos. Vėlgi, kai kuriais atvejais, nes jie yra lengvi taikiniai, nes bendraujate su federaline vyriausybe.
Taigi jūs turite susirūpinti dėl geopolitinės rizikos. Ir vėl, daugelyje didelių įmonių, kuriose esate tarptautinės įmonės, turite pagalvoti, kaip tai paveiks jūsų darbuotojus, biurus ir trečiąsias šalis, su kuriomis bendradarbiaujate. Taigi, lyg PVO neužtektų ką veikti, jos turi atsižvelgti į geopolitinę riziką. Kaip tai padidina riziką? Ar tai daro juos labiau taikiniu? Tiesą sakant, įdomu tai, kad jei pažvelgsite į kai kuriuos pažeidimus, žinote, pavyzdžiui, „Marriott“. Himnas, pamirštu, jei tai buvo maždaug prieš trejus metus. Jie nebūtų pagalvoję, kad yra nacionalinės valstybės taikiniai, bet jie norėjo jų duomenų.
Lauras: Žinoma. Ir ar tokie palapinių pavadinimai yra labiau rizikuojami, ar tikrai taip, jūs turite puikių duomenų?
Stephanie: Manau, kad tai buvo mažiau dėl pavadinimo, o tais konkrečiais atvejais apie jų turimus duomenis. Žinote, „Marriott“ atveju jie turėjo neįtikėtinai išsamios informacijos apie vyriausybės darbuotojų ir vyresniųjų pareigūnų kelionių įpročius. Manau, kad kai kuriais atvejais jie netgi turėjo savo paso numerių kopijas kaip neskelbtinų duomenų, kurie buvo pažeisti, dalį.
Anthemo atveju turite neskelbtinos medicininės informacijos apie asmenis. Turite galvoti apie geopolitinę riziką ir tai, kaip nacionalinė valstybė galėtų naudoti jūsų duomenis.
Lauras: Ten tikrai daug. Bet kaip dėl vidaus politikos ir rizikos? 2020-ieji yra rinkimų metai. Bet kokios kitos specialių interesų grupės ir kampanijos, išskyrus balsadėžių apsaugą, gali rinkti duomenis, į kuriuos būtų galima nukreipti?
Stephanie: Taip, aš turiu galvoje, kad tai įdomus dalykas. Na, vėlgi, gebėjimas nukreipti rinkėjus yra labai galingas. Taigi vėlgi, jei esate vartotojų organizacija, turinti labai išsamios informacijos apie asmenis, pvz., pageidavimus, pomėgius, įpročius. Nebūtinai gali būti naudojamas nešvankiems tikslams, pavyzdžiui, tapatybės vagystei. Bet vėlgi, juo galėtų pasinaudoti kas nors, norintis nukreipti į tuos asmenis ir daryti jiems įtaką. Taigi vėlgi tikrai matau, kad jei esate vartotojų įmonė, turinti neįtikėtinai išsamių duomenų apie pageidavimus, pirkimo elgseną, požiūrį, visa tai tikrai būtų tinkama taikymui.
Lauras: Taip pat išpuolių, tokių kaip gilios klastotės, tiesa?
Stephanie: Taip.
Lauras: Taigi, ar sakytumėte, kad klastotės yra tarsi naujas sukčiavimas, ar tai tik sukčiavimo atspalvis?
Stephanie: Skonis. Tai tarsi kita socialinės inžinerijos raida. Tarsi socialinę inžineriją nebuvo pakankamai sunku išspręsti, dabar turime kovoti ir su giliomis klastotėmis. Ir jaučiu, kad naudojant „deepfake“ jie subrendo daug greičiau, nei pramonė tikėjosi. Turiu galvoje, prisimenu, kaip skaičiau ir klausydavausi kaip internetinių transliacijų, o ekspertai sakydavo: „O, žinote, mums dar daug metų toli nuo padirbinių, kurie tikrai gali apgauti ekspertus“. Ir aš jaučiu, kad ta laiko juosta buvo toli.
Lauras: Būdas pagreitintas.
Stephanie: Būdas pagreitintas.
Lauras: Taigi „Forrester“ parengė šią puikią ataskaitą „Prognozės 2020“ ir prognozuojama, kad kitais metais giliosios klastotės įmonėms kainuos daugiau nei ketvirtadalį 1 mlrd. Taigi, technologija spartėja, bet taip pat daromas poveikis ir žala.
Stephanie: Taip, teisingai. Ir manau, kad, kaip ir įprastas pažeidimas, atsiranda tiesioginių išlaidų. Taigi, jei galvojate apie savo tipines, pavyzdžiui, socialinės inžinerijos atakas. Visai neseniai vienai Vokietijos kompanijai pavyko įtikinamai suklastoti generalinio direktoriaus balsą, ir jie įtikino kitą įmonės vadovą pervesti jiems maždaug ketvirtį milijono dolerių. Taigi, yra jūsų kitos verslo kompromiso ir socialinės inžinerijos atakų evoliucijos pavyzdys. Taigi galite įsivaizduoti, kad tai dar sudėtingesnė, didesnės apimties, bet tada taip pat susiduriama su to pasekmėmis. Įrodyti, kad tai buvo gilus klastojimas, atsakymas į pažeidimą, kaip su juo elgiamasi. Bendra jo kaina, mūsų manymu, gali būti didelė.
Lauras: Ar draudimo bendrovės yra pasirengusios tai padaryti ar gali tai padaryti?
Stephanie: Įdomu tai, kad tas pavyzdys, kurį aš ką tik daviau, taigi tai gilus padirbinėjimas, viskas įvyko per arba skaičiavimo infrastruktūra. Tai būtų laikoma sukčiavimu, o ne išorine ataka. Taigi nesu tikras, kad jūsų kibernetinis draudimas iš tikrųjų jį padengtų.
Lauras: Oho.
Stephanie: Ir aš žinau, kad daugelis įmonių tai daro kaip dalį savo atsakymo. Daroma prielaida, kad nemaža jo dalis bus padengta. Didelės įmonės atveju nėra neįprasta turėti 100 mln. USD vertės kibernetinio draudimo polisą. Taigi, jei tikite, kad galėsite panaudoti tuos 100 mln. USD, priklausomai nuo to, kas tiksliai nutiko. Jei tai klasifikuojama kaip sukčiavimas, jie gali to nepadengti.
Lauras: Ką galėtų padaryti vadovai? Grįžkite prie slaptų slaptažodžių ir rankos paspaudimų arba...
Stephanie: Taip, visi juokai. Jei tais pavedimų atvejais ar bet kokiu kitu dalyku, susijusiu su neskelbtinais duomenimis, antrojo veiksnio, autentifikavimo, turėjimas, manau, iš tikrųjų yra labai svarbus.
Lauras: Įdomus. Akivaizdu, kad gilios klastotės, daug greitai besikeičiančių technologijų, viskas juda ir tampa daug sudėtingesnė. Taigi, mes kalbame ne tik apie geruosius vyrus, turinčius prieigą prie visų technologijų. Blogieji taip pat daro. Taigi, ką mes žiūrime į kitą Forrester prognozę apie ginkluotą dirbtinį intelektą ir mašinų mokymąsi? Tai didelė tema, tačiau su tokia sparčiai tobulėjančia technologija ir visi turi prieigą prie tų pačių priemonių, ar vyksta ginklavimosi varžybos, ar tiesiog mes visi turime saugotis vieni kitų ir tiesiog tai padaryti?
Stephanie: Manau, kad abu. Noriu pasakyti, kad saugumas yra amžinos ginklavimosi varžybos. Pasakysiu, manau, kad saugumo komandos turi labai greitai įsisavinti mašininį mokymąsi ir kitus dirbtinio intelekto tipus. Taip greitai, kaip ir blogi vaikinai. Turiu galvoje, kad yra didžiulės galimybės automatizuoti daugelį pagrindinių saugumo procesų. Viskas nuo aptikimo iki ištaisymo iki tikrojo atsako.
Mašininio mokymosi naudojimas geresnėms aptikimo galimybėms. Taigi įsivaizduokite, jei galėtume greičiau ką nors aptikti ir tada daug daugiau mūsų atsako būtų automatizuota. Šiuo metu daug ką darome rankiniu būdu. Aptikimo vadovas, kaip iš tikrųjų dažnai yra saugos komandos, pavyzdžiui, pažvelgus į tipišką SOC, turiu galvoje, kad jie yra užtvindyti tūkstančiais įspėjimų. Sunku suprasti, kurie įspėjimai svarbesni už kitus. Taigi vėlgi, tai savotiškas prioritetų nustatymas. Labai svarbu iš karto suprasti, kurie iš jų yra tikrai niekšiški ir pavojingi. Ir jūs galite samdyti tiek žmonių, kiek norite. Jūs niekada negalėtumėte su juo neatsilikti.
Lauras: Teisingai.
Stephanie: Taigi jums tikrai reikia technologijos, kad tai padarytumėte už jus. Bet tada, kai sužinosite, kad kažkas tikrai yra kenkėjiška, vėlgi, dabar tai yra rankinis procesas, kuris pradedamas, ty jums reikės rankiniu būdu iš naujo nustatyti vartotojo slaptažodžius. Turėsite rankiniu būdu atskirti įrenginius nuo tinklo. Viskas daroma rankiniu būdu, o kai kuriais atvejais vis dar turime atlikti daugybę veiksmų, kai prašome patvirtinimo. Ateityje visa tai vyks automatiškai. Jums reikės, kad verslas dirbtų su jumis, kad pasakytų: „Gerai, nuo šiol, jei jis pasieks tam tikrą slenkstį, jei esame 90% įsitikinę, kad tai kenkėjiška, tada saugos komanda, visi procesai yra automatizuoti“. Viskas, ką ką tik aprašiau, pavyzdžiui, slaptažodžių nustatymas iš naujo, įrenginių izoliavimas, visa tai gali įvykti automatiškai. Jums nereikia laukti niekieno pritarimo.
Lauras: O laikas yra esminis dalykas?
Stephanie: Taip, todėl turime kalbėti apie įmones, kurioms reikia atlikti skaitmeninę transformaciją, kad atitiktų naujus klientų lūkesčius ir kintančius verslo poreikius. Manau, kad saugumo komandos turi atlikti savo skaitmeninę transformaciją, nes viskas, ką šiandien darome, yra taip ranka ir daug laiko reikalaujanti. Ir jei ketiname neatsilikti nuo elektroninių nusikaltėlių, besinaudojančių šiomis technologijomis, turime tai padaryti anksčiau nei vėliau.
Buvo viena įmonė, kuri naudojo mašininio mokymosi algoritmus, kad nukreiptų į asmenis, turinčius sudėtingesnius socialinės inžinerijos pranešimus, ir sugebėjo padidinti ne tik bendrą žmonių skaičių, kuriuos jie sugebėjo socialiai sukurti, bet ir eksponentiškai padidinti paspaudimų sėkmę naudojant mašininį mokymąsi ir automatizavimo technologijos. Taip, mes turime neatsilikti.
Lauras: Ar sakytumėte, kad yra kokių nors kitų konkrečių 2020 m. tendencijų ar dalykų, į kuriuos žmonės turėtų atkreipti dėmesį?
Stephanie: Tiesą sakant, manau, kad trečiosios šalies rizika ir tiekimo grandinė ir toliau bus pagrindinė problema. Ir tai iš tikrųjų yra kita sritis dėl problemos dydžio. Kai kalbu apie įmonę, turinčią 300 santykių su trečiosiomis šalimis, tai tik vidurkis. Yra didelių kompanijų, kurių skaičius yra net didesnis, ir labai daug laiko užtrunka įvertinti laikyseną, derėtis dėl SLA, toliau juos vertinti, sekti jas, gauti iš jų žurnalus, kad suprastumėte, kur yra jūsų duomenys. Taigi vien tik trečiosios šalies rizikos iššūkiui reikia tam tikrų automatizavimo įrankių ir tiekimo grandinės taisyklių. Manau, kad SOC pertvarka ir toliau bus aktuali 2019 m.
Lauras: Apsaugos operacijų centras?
Stephanie: Apsaugos operacijų centras. Tarsi neturėtume įgūdžių ir darbuotojų trūkumo. Net jei galėtumėte pasamdyti visus norimus žmones, negalėsite neatsilikti nuo problemų masto ir iššūkių. Taigi jūs taip pat turite pritaikyti automatiką.
Lauras: Ar matote įmones, kurios pirmiausia imasi automatizavimo, galbūt saugos srityje, kai kitose verslo srityse jos galėjo būti labiau abejojančios?
Stephanie: Taip. Ir ilgą laiką buvo dvejojama priimti automatizavimą, nes buvo baimė, kad galiu užblokuoti teisėtą verslo sandorį. Ir žinote, istoriškai saugos komanda stengėsi būti vertinama kaip verslo partnerė. Jie buvo skyrius Nr. Taigi kilo ši baisi baimė potencialiai užblokuoti bet kokį teisėtą verslo sandorį. Manau, kad ši baimė išnyko, atsižvelgiant į visus pažeidimus, kuriuos turime. Verslas yra toks: „Ne, žinai, kad kažkas yra kenkėjiška, tu jį užblokuoji“.
Lauras: Teisingai.
Stephanie: „Arba tam tikru pasitikėjimu, jei manote, kad tai kenkėjiška, jūs tai užblokuojate. Taigi, atvirumas automatizavimui tikrai yra. Aš pasakysiu, kad yra tokia frazė, kaip neautomatizuoti kvailų. Negalite investuoti tik į automatizavimo technologiją, jei jūsų SOC trūksta pagrindinių procesų. Taigi, jūs turite subręsti savo SOC operacijas ir turėti brandžius procesus, tada galėsite juos automatizuoti. Priešingu atveju jūs tiesiog automatizuojate kvailys. Ir kai kuriais atvejais taip pat, todėl daugelis įmonių kreipiasi į valdomas paslaugas.
Didžioji dalis saugumo biudžeto dabar išleidžiama paslaugoms. Nesvarbu, ar tai konsultacinės, profesionaliai valdomos paslaugos, ar sauga, iš tikrųjų teikiama kaip paslauga iš debesies. Jis perkeltas nuo vietinių produktų prie paslaugų. Ir manau, kad dalis to atspindi poreikį, kad apsaugos komandoms reikia išorės pagalbos. Jie turi problemų mastą, turi ekspertizės problemą, todėl vis labiau kreipiasi į paslaugas. Ir tada, kai verslas tampa vis labiau pagrįstas debesimis, jūsų saugos technologijos taip pat turi tapti debesijos pagrindu.
Lauras: Ir greitai.
Stephanie: Būtent.
Lauras: Taip. Ir tai, be abejo, grįžta į visą ratą, nedarykite to vieni. Jūs negalite to padaryti patys dykumoje.
Stephanie: Tikrai ne.
Lauras: Na, labai ačiū, Stephanie. Buvo puiku, kad šiandien buvote verslo laboratorijoje.
Stephanie: Ačiū, kad turi mane. Buvo puiku čia būti.
Lauras: Tai buvo Stephanie Balaouras, „Forrester Research“ saugumo ir rizikos tyrimų, taip pat infrastruktūros ir operacijų tyrimų grupės direktorė, su kuria kalbėjausi iš Kembridžo, Masačusetso valstijos, MIT ir MIT Technology Review namų, su vaizdu į Charleso upę. Taip pat dėkojame mūsų partneriui „Microsoft Security“.
Štai šiai „Verslo laboratorijos“ serijai. Aš esu jūsų šeimininkė, Laurel Ruma. Esu „Insights“, „MIT Technology Review“ tinkintos leidybos padalinio, direktorius. Mes buvome įkurti 1899 m. Masačusetso technologijos institute. Taip pat mus galite rasti spaudoje, žiniatinklyje ir kasmet daugelyje tiesioginių renginių. Norėdami gauti daugiau informacijos apie mus ir pasirodymą, apsilankykite mūsų svetainėje TechnologyReview.com. Ši laida pasiekiama visur, kur gaunate podcast'us. Jei jums patiko ši serija, tikimės, kad skirsite šiek tiek laiko mus įvertinti ir peržiūrėti. „Business Lab“ yra „MIT Technology Review“ produkcija. Šią seriją prodiusavo Collective Next. Ačiū, kad klausėte.
Saugumo grėsmės yra visur. Štai kodėl „Microsoft Security“ turi daugiau nei 3500 elektroninių nusikaltimų ekspertų, nuolat stebinčių grėsmes, kad padėtų apsaugoti jūsų verslą. Daugiau informacijos rasite adresu Microsoft.com/cybersecurity.