211service.com
Mes galvojame apie kibernetinį saugumą visiškai neteisingai
Michaelas Danielis turi unikalų požiūrį į šiuolaikinį chaotišką kibernetinio saugumo pasaulį. Ketverius metus dirbęs vyriausiuoju prezidento Obamos patarėju kibernetiniais klausimais, Danielis dabar yra JAV prezidentas. Kibernetinių grėsmių aljansas , pelno nesiekianti kibernetinio saugumo įmonių komanda, kurianti platformą dalytis informacija apie įprastas grėsmes. MIT technologijų apžvalga Praėjusią savaitę Las Vegase vykusioje „Black Hat“ kompiuterių saugumo konferencijoje susitiko su Danieliumi. Toliau pateikiama redaguota diskusijos stenograma.
Matėte kibernetinio saugumo iššūkį ir iš vyriausybės, ir iš privataus sektoriaus perspektyvos. Kaip apibūdintumėte akimirką, kurioje šiuo metu esame?
Šiuo metu esame tai, kad vis daugiau šalių į savo valstybės valdymo įrankius pradeda įtraukti kibernetines galimybes. Turime pripažinti, kad tai taps valstybės valdymo įrankiu ne tik JAV ir aukščiausios klasės žaidėjams, tokiems kaip Rusija, Kinija, Izraelis ir Didžioji Britanija, bet ir beveik visiems. Dėl to turime pradėti galvoti, kaip nustatyti elgesio normas ir kelių eismo taisykles, kad tai nedestabilizuotų.
Nusikaltėliai ir nacionalinės valstybės savo kibernetinėse operacijose tampa vis sudėtingesnės. Kokį vaidmenį gali atlikti Kibernetinių grėsmių aljansas sprendžiant šią problemą?
Plačiausiu lygmeniu CTA yra informacijos mainų ir analizės organizacija, orientuota į pardavėją ir kibernetinio saugumo teikėjų bendruomenę. Tikrai nėra kitos organizacijos, kuri užsiimtų tokiu darbu. Iš esmės CTA yra dviejų dalykų darymas. Pirma, ar galime pakeisti konkurenciją kibernetinio saugumo pramonėje, kad ji būtų naudingesnė visai? Užuot toliau konkuravęs dėl mano netinkamo duomenų telkinio, kuris yra didesnis nei jūsų netinkamas duomenų telkinys, turime dalytis savo duomenų telkiniais, o konkurencija turėtų vykti dėl to, kad aš darau geriau su duomenimis – aš greitesnis arba Aš geriau integruojuosi su jūsų įmone arba geriau suprantu jūsų verslo modelį, kad ir koks jis būtų. Tai didesnės vertės konkurencijos lygis. Visiems bus geriau.
Antra, sujungę informaciją galime pradėti ieškoti veiksmingesnių būdų, kaip sužlugdyti piktadarius, ir daryti tai visame jų verslo procese. Tai ne apie vaiką jo rūsyje; tai nėra tikroji grėsmė. Tai organizacijos, kurios veikia kaip įmonės, ir mes turime pradėti galvoti apie tai, kaip sugriauti jų verslo modelius.
Bet ar toks požiūris veiks, jei užpuolikas yra nacionalinės valstybės priešas?
Taip ir ne. Vienu lygmeniu idėja sukurti žaidimų knygą taip pat tiktų nacionalinės valstybės priešininkui. Dabar jų motyvai kitokie. Dauguma nacionalinių valstybių yra pasirengusios investuoti laiką ir pinigus taip, kaip to nedarys ir negalės nusikalstama organizacija, todėl jūsų poveikis gali būti skirtingas. Bet jūs vis tiek galite pritraukti jiems išlaidų ir sulėtinti.
Tačiau galiausiai privatus sektorius turės rasti naujų būdų bendradarbiauti su vyriausybe šiais klausimais, atsižvelgiant į grėsmės pobūdį. Kaip galime diegti naujoves politikos srityje, kad tai būtų įmanoma?
Galiu pateikti du pavyzdžius. Sužinojome, kad jei pasirenkate savo išėjimo į pensiją sistemą, paprastai jūsų darbuotojai gauna apie 45–50 procentų. Tačiau jei atsisakysite išėjimo į pensiją sistemos, gausite 95 proc. Tarp šių dviejų dalykų nėra jokio techninio skirtumo, tačiau proceso požiūriu jie duoda labai skirtingus rezultatus. Kodėl? Dėl jo psichologijos. Žmonės yra tingūs. Jei priversite juos priimti sprendimą, jie ras priežastį to nedaryti. Bet jei pasirinkimas yra „Štai geras dalykas“ ir viskas, ką jums reikia padaryti, tai tiesiog su ja susitaikyti, tik nedidelė dalis pasakys „ne“. Taigi, kas yra kibernetinis to atitikmuo? Kaip padaryti, kad kibernetinio saugumo atsisakytume, o ne pasirinktume?
Taip pat turime idėją, kad kibernetinis saugumas yra kaip sienų saugumas. Tai neturi prasmės. Kiekvienas virtualioje erdvėje paliečia ką nors kitą. Nėra kliūčių ar tarpininkų. Tai reiškia, kad turime galvoti apie kibernetinį saugumą ir santykius tarp vyriausybės ir privataus sektoriaus, naudojant visiškai kitokį modelį. Galbūt mums reikia pasiskolinti modelių. Pavyzdžiui, pažiūrėkite, kaip mes galvojame apie stichines nelaimes. Į stichinę nelaimę reaguojama vietoje. Jei tai pradeda užgožti vietos pareigūnus, įsikiša valstijos valdžia. Jei tai peržengia valstybės ribas, jie gali prašyti kitų valstybių savitarpio pagalbos. Jei tai viršija, FEMA įsitraukia iš nacionalinio lygmens. Koks to kibernetinis atitikmuo? Kaip atlikti perdavimą ir nuspręsti, ar privatus sektorius gali ir turėtų susitvarkyti pats, o ne tai, dėl ko reikia federalų pagalbos? Mes dar neturime politikos kalbos, kad galėtume kalbėti apie tai, kokie yra tie santykiai.