Bezpieczeństwo to zadanie dla każdego w miejscu pracy

główny obraz sztuki scimone

W związku z Technologie firmy Dell

Hakerzy na całym świecie są sprytni: wiedzą, że nie tylko dobry kod pomaga im włamywać się do systemów; chodzi również o zrozumienie — i polowanie na — ludzkie zachowanie. Zagrożenie dla firm w postaci cyberataków rośnie — zwłaszcza, że ​​firmy przechodzą na pracę hybrydową.

Ale John Scimone, starszy wiceprezes i dyrektor ds. bezpieczeństwa w Dell Technologies, mówi, że bezpieczeństwo to zadanie dla każdego. A budowanie kultury, która to odzwierciedla, jest priorytetem, ponieważ cyberataki nie zmniejszą się. Wyjaśnia: Biorąc pod uwagę bezbronność, z jaką borykają się przemysł i organizacje, technologia i dane gwałtownie eksplodują, a ich objętość, różnorodność i szybkość rosną. Wzrost liczby ataków oznacza wzrost szkód dla firm, kontynuuje: Muszę powiedzieć, że oprogramowanie ransomware jest prawdopodobnie największym zagrożeniem, przed jakim stoi obecnie większość organizacji.

I chociaż oprogramowanie ransomware nie jest nowym wyzwaniem, potęguje je przejście na pracę hybrydową, a eksperci od niedoboru talentów ostrzegali od lat. Scimone wyjaśnia: Jednym z kluczowych wyzwań, jakie widzieliśmy w przestrzeni IT, a zwłaszcza w przestrzeni bezpieczeństwa, jest wyzwanie związane z brakiem siły roboczej. Kontynuuje: Jeśli chodzi o bezpieczeństwo, postrzegamy brak specjalistów ds. cyberbezpieczeństwa jako jedną z podstawowych luk w tym sektorze. To naprawdę kryzys, przed którym od lat ostrzegają zarówno sektor publiczny, jak i prywatny.

Jednak inwestowanie w pracowników i budowanie silnej kultury może przynieść korzyści w działaniach na rzecz cyberbezpieczeństwa. Scimone szczegółowo opisuje sukces firmy Dell. W ciągu ostatniego roku widzieliśmy tysiące prawdziwych ataków phishingowych, które zostały wykryte i zatrzymane w wyniku tego, że nasi pracownicy zobaczyli je jako pierwsi i zgłosili je nam.

I choć organizacje starają się podejść do cyberbezpieczeństwa z perspektywy systemowej i technicznej, Scimone zaleca skupienie się również na pracowniku: więc szkolenie jest niezbędne, ale znowu jest to na tle kultury organizacyjnej, w której każdy członek zespołu wie, że ma rolę do odegrania.

Pokaż notatki

• Paradoks danych — badania i spostrzeżenia
• Globalny Indeks Ochrony Danych

Pełny zapis

Laur Ruma : Z MIT Technology Review, nazywam się Laurel Ruma, a to jest Business Lab, program, który pomaga liderom biznesowym zrozumieć nowe technologie wychodzące z laboratorium i wprowadzane na rynek.

Naszym dzisiejszym tematem jest cyberbezpieczeństwo i obciążenie przedsiębiorstwem trendu pracy z dowolnego miejsca. Wraz ze wzrostem liczby ataków na cyberbezpieczeństwo konieczne jest zabezpieczenie szerszej sieci pracowników i urządzeń. Jednak dbanie o bezpieczeństwo pracowników wymaga również inwestycji w kulturę. Dwa słowa dla ciebie. Zabezpieczona siła robocza.

Moim gościem jest John Scimone, starszy wiceprezes i dyrektor ds. bezpieczeństwa w firmie Dell Technologies. Przed pracą w firmie Dell pełnił funkcję globalnego dyrektora ds. bezpieczeństwa informacji w grupie Sony.

Ten odcinek Business Lab jest produkowany we współpracy z Dell Technologies.

Witaj, John.

Jan Szimone : Dzięki, że mnie masz, Laurel. Dobrze tu być.

Laur : Na początek, jak opisałbyś obecny krajobraz bezpieczeństwa danych i co uważasz za najważniejsze zagrożenie dla bezpieczeństwa danych?

Jan : Dla każdego, kto może dziś dostroić się do serwisu informacyjnego, widzimy, że ataki te uderzają bliżej domu, wpływając na wydarzenia publiczne w tym roku, grożąc zakłóceniem naszego łańcucha dostaw żywności i usług użyteczności publicznej, a także widzimy cyberataki uderzające w organizacje każdej wielkości i na całym świecie wszystkie branże. Kiedy myślę o krajobrazie cyberryzyka, rozkładam go na trzy obszary. Po pierwsze, jak bardzo jestem wrażliwy? Następnie, jakie jest prawdopodobieństwo, że zostanę trafiony jednym z tych ataków? I wreszcie, co z tego, jeśli to zrobię? Jakie są konsekwencje?

Biorąc pod uwagę podatność branży i organizacji, technologia i dane gwałtownie eksplodują, a ich ilość, różnorodność i szybkość rosną. Naprawdę nic nie wskazuje na to, by to się skończyło, aw dzisiejszej gospodarce na żądanie nic się nie dzieje bez danych. Nasze ostatnie badanie Data Paradox (które przeprowadziliśmy z firmą Forrester) potwierdziło, że firmy są przytłoczone danymi. I że pandemia dodatkowo obciążyła zespoły i zasoby — nie tylko w zakresie danych, które generują, gdzie 44% respondentów stwierdziło, że pandemia znacznie zwiększyła ilość danych, które muszą gromadzić, przechowywać i analizować — ale także w skutkach bezpieczeństwa związanych z zatrudnianiem większej liczby osób do pracy w domu. Ponad połowa respondentów musiała podjąć kroki awaryjne, aby zapewnić bezpieczeństwo danych poza siecią firmową, podczas gdy ludzie pracowali zdalnie.

Kontynuowaliśmy kolejne badanie dotyczące ochrony danych w tych warunkach. W tegorocznym globalnym indeksie ochrony danych stwierdziliśmy, że organizacje zarządzają ponad 10 razy większą ilością danych niż pięć lat temu. Co niepokojące, 82% respondentów obawia się, że istniejące rozwiązania ochrony danych w ich organizacji nie będą w stanie sprostać wszystkim przyszłym wyzwaniom biznesowym. A 74% uważa, że ​​ich organizacja jest bardziej narażona na utratę danych w wyniku cyberzagrożeń, wraz ze wzrostem liczby pracowników pracujących w domu.

Ogólnie widzimy, że podatność na zagrożenia znacząco rośnie. Ale co z prawdopodobieństwem? Jakie jest prawdopodobieństwo, że zostaniemy uderzeni przez te rzeczy? Kiedy myślimy o prawdopodobieństwie, tak naprawdę chodzi o to, jak zmotywowane i jak skuteczne są zagrożenia. Z perspektywy motywacji ryzyko dla tych przestępców jest niskie, a nagroda pozostaje niezwykle wysoka. Szacuje się, że w tym roku cyberataki kosztują świat biliony dolarów, a rzeczywistość jest taka, że ​​bardzo niewielu przestępców spotka aresztowanie lub reperkusje. I stają się coraz bardziej zdolne, a narzędzia i know-how do przeprowadzania tych ataków stają się coraz bardziej utowarowione i powszechnie dostępne. Zagrożenia stają się coraz bardziej wyrafinowane i rozpowszechnione.

Wreszcie, z perspektywy konsekwencji, koszty nadal rosną, gdy organizacje są dotknięte, niezależnie od tego, czy chodzi o wpływ na reputację marki, przestoje operacyjne, czy skutki związane z kosztami postępowania sądowego i grzywnami. Nasz najnowszy globalny wskaźnik ochrony danych pokazuje, że średni koszt utraty danych w ciągu ostatnich 12 miesięcy wyniósł milion dolarów. A nieco ponad pół miliona dolarów to średni koszt nieplanowanych przestojów systemów w ciągu ostatniego roku. W tym roku było wiele przypadków, które zostały publicznie zgłoszone, w których firmy stanęły w obliczu żądań okupu przekraczających 50 milionów dolarów.

Obawiam się, że te konsekwencje będą tylko narastać. W świetle tego musiałbym powiedzieć, że oprogramowanie ransomware jest prawdopodobnie największym ryzykiem, przed którym stoi obecnie większość organizacji. W rzeczywistości większość firm pozostaje na to podatna. Dzieje się tak z rosnącą prewalencją — niektóre badania pokazują, że atak ransomware ma miejsce nawet co 11 sekund — a konsekwencje rosną, uderzając w niektóre organizacje w wysokości dziesiątek milionów dolarów żądań okupu.

Laur : Biorąc pod uwagę globalne przejście do pracy w dowolnym miejscu i wzrost liczby ataków na cyberbezpieczeństwo, o jakich rodzajach zagrożeń bezpieczeństwa firmy muszą myśleć? A czym różnią się lub są nietypowe ataki sprzed dwóch lub trzech lat?

Jan : Ponieważ zaobserwowaliśmy ruch masowej mobilności wielu firm, pracowników przechodzących do pracy zdalnej, zauważyliśmy wzrost poziomu ryzyka, ponieważ organizacje zatrudniały pracowników korzystających ze swoich laptopów korporacyjnych i systemów korporacyjnych poza ich tradycyjnymi granicami bezpieczeństwa. Niestety jest tak, że widzimy pracowników używających swojego systemu osobistego do celów zawodowych, a swojego systemu pracy do celów osobistych. W rzeczywistości wiele organizacji nigdy nie projektowało od samego początku myśląc o masowej mobilności zdalnej siły roboczej. W rezultacie podatność tych środowisk znacznie wzrosła.

Ponadto, gdy myślimy o tym, jak działają przestępcy, przestępcy żywią się niepewnością i strachem, niezależnie od tego, czy jest to cyberprzestępczość, czy przestępczość w świecie fizycznym, niepewność i strach tworzą wszelkiego rodzaju dojrzałe przestępstwa środowiskowe. Niestety, zarówno niepewność, jak i strach były obfite w ciągu ostatnich 18 miesięcy. Widzieliśmy, że cyberprzestępcy wykorzystali to, wykorzystując brak przygotowania firm, biorąc pod uwagę szybkość zakłóceń i proliferacji danych, które miały miejsce. Było to dogodne środowisko do rozprzestrzeniania się cyberprzestępczości. W naszych własnych badaniach zauważyliśmy, że 44% ankietowanych firm doświadczyło w ciągu ostatniego roku większej liczby cyberataków i utraty danych.

Laur : Cóż, to z pewnością znaczące. Jak to jest teraz wewnętrznie z perspektywy wsparcia IT — muszą obsługiwać wszystkie te dodatkowe węzły od osób pracujących zdalnie, jednocześnie eliminując dodatkowe zagrożenia związane z socjotechniką i oprogramowaniem ransomware. W jaki sposób ta kombinacja zwiększyła zagrożenia bezpieczeństwa danych?

Jan : Interesującym produktem ubocznym pandemii i tego masowego przejścia na pracę zdalną jest to, że służyła ona jako znaczący akcelerator dla tradycyjnych inicjatyw informatycznych. Zauważyliśmy przyspieszenie transformacji cyfrowej w inicjatywach IT, które mogły być wcześniej planowane lub w toku. Ale jak wspomniałeś, zasoby są napięte. Jednym z kluczowych wyzwań, jakie widzieliśmy w obszarze IT, a zwłaszcza w obszarze bezpieczeństwa, jest wyzwanie związane z brakiem siły roboczej. Jeśli chodzi o bezpieczeństwo, postrzegamy brak specjalistów ds. cyberbezpieczeństwa jako jedną z podstawowych luk w tym sektorze. To naprawdę kryzys, przed którym od lat ostrzegają zarówno sektor publiczny, jak i prywatny. W zeszłym roku ISC2 przeprowadziło badanie siły roboczej ds. cyberbezpieczeństwa, które szacuje, że brakuje nam 3,1 miliona przeszkolonych specjalistów ds. cyberbezpieczeństwa tego, czego branża potrzebuje, aby chronić się przed cyberprzestępczością.

Patrząc w przyszłość, szacujemy, że będziemy musieli zwiększyć liczbę talentów o około 41% w Stanach Zjednoczonych io 89% na całym świecie tylko po to, aby zaspokoić potrzeby społeczeństwa przekształcającego się cyfrowo, ponieważ te wymagania rosną. Praca jest z pewnością kluczowym elementem równania i problemem z perspektywy podatności na zagrożenia. Pod tym względem staramy się wystartować organizacje na lepszej pozycji. Uważamy, że budowanie bezpieczeństwa, prywatności i odporności w ofercie powinno mieć kluczowe znaczenie, począwszy od projektu, poprzez produkcję, przez bezpieczny proces rozwoju, poprzez łańcuch dostaw i śledzenie danych i aplikacji, gdziekolwiek się znajdują. Nazywamy tę strategię wewnętrznym bezpieczeństwem, a jej istotą jest budowanie bezpieczeństwa w infrastrukturze i platformach, z których będą korzystać klienci, co wymaga mniejszej wiedzy, aby uzyskać właściwe zabezpieczenia.

Jak zaznaczysz, ataki nie zwalniają. W szczególności inżynieria społeczna jest nadal głównym problemem. Dla osób niezaznajomionych z socjotechniką jest to zasadniczo sytuacja, w której przestępcy próbują nakłonić pracowników do przekazania informacji lub otwarcia drzwi w celu wpuszczenia przestępców do ich systemu, na przykład poprzez wiadomości phishingowe, które nadal uważamy za jedną z najpopularniejszych stosowanych metod. przez hakerów, aby postawić pierwszy krok w drzwiach do sieci korporacyjnych.

Laur : Czy wewnętrzne bezpieczeństwo jest bardzo podobne do bezpieczeństwa z założenia, w którym produkty są celowo budowane z naciskiem na bezpieczeństwo na pierwszym miejscu, a nie na bezpieczeństwo na końcu?

Jan : Zgadza się. Bezpieczeństwo na etapie projektowania, prywatność na etapie projektowania — i to nie tylko na etapie projektowania, ale także domyślnie, aby zrobić to dobrze, co ułatwia zrobienie tego, co właściwe z punktu widzenia bezpieczeństwa, gdy rozważasz korzystanie z tych technologii. Oznacza to oczywiście wzrost liczby specjalistów ds. bezpieczeństwa w całej firmie, ale także zapewnienie, że specjaliści ds. Bezpieczeństwa dotykają wszystkich ofert na każdym etapie projektowania i upewniają się, że najlepsze praktyki są wdrażane od etapu projektowania, rozwoju i produkcji przez całą drogę, nawet po sprzedaży usług i wsparcia, które za nimi podążają. Uważamy, że jest to zwycięska strategia w świetle wyzwań, które widzimy na dużą skalę, wyzwań, przed którymi stoją nasi klienci, szukając odpowiedniego talentu w zakresie cyberbezpieczeństwa, który pomoże im chronić ich organizacje.

Laur : Zakładam, że firma Dell zaczęła o tym myśleć już jakiś czas temu, ponieważ wyzwania związane z zatrudnianiem i przeskalowywaniem zabezpieczeń istnieją już od jakiegoś czasu. A ponieważ oczywiście źli aktorzy stali się bardziej biegli, potrzeba coraz więcej dobrych ludzi, aby ich powstrzymać. Mając to na uwadze, jak czujesz, że pandemia przyspieszyła to skupienie? A może jest to coś, co firma Dell przewidziała?

Jan : W firmie Dell inwestujemy w tym obszarze od wielu lat. Wyraźnie było to wyzwanie, ale jak widzieliśmy, z pewnością przyspieszyło i wzmocniło wyzwanie i wpływ, z jakim borykają się nasi klienci. Dlatego to tylko ważniejsze. Przez wiele lat zwiększaliśmy nasze inwestycje zarówno w inżynierię talentów w zakresie bezpieczeństwa, jak i w sprawność. I będziemy nadal inwestować, uznając, że ponieważ jest to priorytet dla naszych klientów, jest to priorytet dla nas.

Laur : To ma sens. Po drugiej stronie medalu, w jaki sposób firma Dell zapewnia pracownikom?

sami poważnie traktują ochronę danych i nie dają się nabrać na przykład na próby phishingu? Jaką kulturę i sposób myślenia należy wdrożyć, aby bezpieczeństwo stało się priorytetem w całej firmie?

Jan : To naprawdę jest kultura w firmie Dell, w której bezpieczeństwo jest zadaniem wszystkich. Nie chodzi tylko o mój własny korporacyjny zespół ds. bezpieczeństwa lub zespoły ds. bezpieczeństwa w ramach naszych produktów i grup oferujących. Dotyka każdego pracownika i każdego pracownika wypełniającego swój obowiązek, aby pomóc chronić naszą firmę i chronić naszych klientów. Przez wiele lat budowaliśmy kulturę bezpieczeństwa, w której wyposażamy naszych pracowników w odpowiednią wiedzę i szkolenia, aby mogli podejmować właściwe decyzje, pomagając nam udaremniać niektóre z tych przestępczych działań, które widzimy, jak wszystkie firmy. Jednym z programów szkoleniowych, który odniósł duży sukces, był nasz program szkoleniowy dotyczący phishingu. W tym celu nieustannie testujemy i szkolimy naszych pracowników, wysyłając im symulowane wiadomości phishingowe, zapoznając ich z tym, czego szukać i jak wykrywać wiadomości phishingowe. Nawet w ostatnim kwartale więcej pracowników zauważyło i zgłosiło test symulacji phishingu niż kiedykolwiek wcześniej.

Te działania szkoleniowe działają i robią różnicę. W ciągu ostatniego roku widzieliśmy tysiące prawdziwych ataków phishingowych, które zostały wykryte i zatrzymane w wyniku tego, że nasi pracownicy zobaczyli je jako pierwsi i zgłosili je nam. Tak więc szkolenie jest niezbędne, ale znowu odbywa się w kontekście kultury organizacyjnej, w której każdy członek zespołu wie, że ma swoją rolę do odegrania. Nawet w tym miesiącu, patrząc na październikowy Miesiąc Świadomości Cyberbezpieczeństwa, wzmacniamy nasze wysiłki i promujemy świadomość bezpieczeństwa oraz obowiązki członków zespołu, niezależnie od tego, jak bezpiecznie korzystać z VPN, zabezpieczać swoją sieć domową, a nawet jak podróżuj bezpiecznie. Wszystko to jest ważne, ale zaczyna się od tego, że pracownicy wiedzą, co robić, a następnie rozumieją, że to ich odpowiedzialność.

Laur : I to nie powinno być zbyt zaskakujące. Oczywiście Dell to duża globalna firma, ale jednocześnie czy jest to inicjatywa, z której pracownicy zaczynają być dumni? Czy może mniej narzeka się na „Och, muszę jeszcze raz zmienić hasło” lub „Och, teraz muszę się zalogować do VPN”.

Jan : Jednym z interesujących produktów ubocznych zwiększonej liczby ataków obserwowanych codziennie w wiadomościach jest to, że obecnie często dotykają one codzienną osobę w domu. Ma to wpływ na to, czy ludzie mogą kłaść jedzenie na stole, jaki rodzaj jedzenia mogą zamówić i co jest dostępne. Świadomość wzrosła niesamowicie w ciągu ostatnich kilku lat. Dzięki temu zrozumieniu, dlaczego jest to ważne, zauważyliśmy wzrost zarówno uwagi, jak i dumy, z której pracownicy bardzo poważnie traktują tę odpowiedzialność. Mamy nawet wewnętrzne tablice wyników. Sprawiamy, że jest to przyjazna rywalizacja, w której organizacyjnie każdy zespół może zobaczyć, kto znajduje najwięcej testów phishingu bezpieczeństwa. Uwielbiają pomagać firmie, a co ważniejsze, pomagać naszym klientom w dodatkowy sposób, który wykracza poza ważną pracę, którą wykonują na co dzień w ich podstawowej roli.

Laur : To wspaniale. To jest pytanie, które lubię zadać ekspertom ds. Bezpieczeństwa, ponieważ tak wiele widzicie. O jakich naruszeniach bezpieczeństwa słyszysz od klientów lub firm z całej branży i co Cię zaskoczyło w tych konkretnych doświadczeniach z pierwszej ręki?

Jan : To niefortunna rzeczywistość, że prawie codziennie otrzymujemy telefony od naszych klientów, którzy niestety mają do czynienia z najgorszymi dniami w ich pracy korporacyjnej, niezależnie od tego, czy są atakowani przez oprogramowanie ransomware, czy mają do czynienia z innym rodzajem cyber włamań, radzenia sobie z kradzieżą danych lub wymuszeniami cyfrowymi, i to jest dość okropne. Kiedy rozmawiam z naszymi klientami, a nawet kolegami z branży, jednym z typowych komunikatów, które są prawdziwe podczas wszystkich tych spotkań, jest to, że żałują, że nie przygotowali się trochę więcej. Żałują, że nie poświęcili czasu i nie byli na tyle przewidujący, aby mieć pewne zabezpieczenia, czy to w postaci możliwości monitorowania i wykrywania cyberzagrożeń, czy w coraz większym stopniu z oprogramowaniem ransomware, bardziej skoncentrowanym na posiadaniu odpowiedniego miejsca do przechowywania i kopii zapasowych danych oraz ochrony. w swoim podstawowym środowisku lokalnym, a także w chmurze.

Ale zaskoczyło mnie, jak wiele organizacji nie ma naprawdę odpornych strategii ochrony danych, biorąc pod uwagę, jak niszczycielskie jest oprogramowanie ransomware. Wiele osób wciąż myśli o tworzeniu kopii zapasowych danych w epoce tornad i powodzi, gdzie jeśli masz kopię zapasową 300 mil od miejsca, w którym je przechowujesz, to wszystko jest w porządku, Twoje kopie zapasowe są bezpieczne. Ale ludzie nie myślą dziś o kopiach zapasowych, które są celem ludzi, którzy dosłownie znajdują kopie zapasowe, gdziekolwiek się znajdują, i starają się je zniszczyć, aby ich schematy wymuszeń miały większy wpływ. Tak więc, myśląc o nowoczesnych kopiach zapasowych danych i cyberodporności w świetle oprogramowania ransomware, jest dla mnie zaskakujące, jak niewielu jest wykształconych w tym zakresie.

Ale powiem, że wraz ze wzrostem rozpowszechnienia prowadzimy takie rozmowy z klientami, a klienci bardziej proaktywnie inwestują, zanim ten dzień nadejdzie i stawiają się na lepszych podstawach, gdy nadejdzie.

Laur : Czy uważasz, że firmy myślą o strategiach ochrony danych inaczej teraz z chmurą? A jakie narzędzia i strategie chmurowe pomogą firmom chronić ich dane?

Jan : To interesujące, ponieważ panuje ogólne przekonanie, że obciążenia i dane klientów są wszędzie, niezależnie od tego, czy są lokalnie, na brzegu sieci, czy w chmurach publicznych. Wierzymy, że wielohybrydowe podejście do chmury, które obejmuje centrum danych, zapewnia spójność we wszystkich różnych środowiskach jako najlepszą praktykę i sposób, w jaki myślisz o traktowaniu swoich strategii ochrony danych. Coraz częściej zauważamy, że ludzie stosują podejście wielochmurowe ze względu na związane z tym korzyści w zakresie bezpieczeństwa, ale także korzyści finansowe, wydajność, zgodność, prywatność i tak dalej. Co ciekawe, gdy przyjrzeliśmy się naszym globalnym wynikom indeksu ochrony danych, dowiedzieliśmy się, że aplikacje są aktualizowane i wdrażane w wielu różnych środowiskach chmurowych, a mimo to często brakuje pewności co do tego, jak dobrze dane mogą być chronione. Tak więc wiele organizacji korzysta z infrastruktury wielochmurowej, wdraża obciążenia aplikacji, ale tylko 36% faktycznie stwierdziło, że ma pewność co do swoich możliwości ochrony danych w chmurze.

Z kolei jedna piąta respondentów wskazała, że ​​ma pewne wątpliwości lub nie ma pewności co do swojej zdolności do ochrony danych w chmurze publicznej. Uważam to za dość niepokojące, zwłaszcza gdy wiele organizacji korzysta z chmury publicznej do tworzenia kopii zapasowych danych w ramach planów odzyskiwania po awarii. Zasadniczo kopiują wszystkie swoje dane biznesowe do środowiska komputerowego, w którym mają niewielkie zaufanie do bezpieczeństwa. Organizacje muszą mieć pewność, że mają rozwiązania do ochrony danych w wielu chmurach i w ich wirtualnych obciążeniach. Z naszej perspektywy koncentrujemy się na bezpieczeństwie wewnętrznym, wbudowując odporność i prywatność zabezpieczeń w rozwiązania, zanim zostaną one przekazane naszym klientom. Im mniej klienci muszą myśleć o bezpieczeństwie i znajdować sposoby na zatrudnienie własnych, trudnych do zatrudnienia ekspertów ds. bezpieczeństwa, tym lepiej.

Kilka innych strategii do rozważenia to po pierwsze wybór odpowiedniego partnera. Stwierdziliśmy, że koszt utraty danych w ciągu ostatniego roku jest prawie czterokrotnie wyższy w przypadku organizacji korzystających z wielu dostawców ochrony w porównaniu z tymi, które korzystają z podejścia jednego dostawcy. Wreszcie, co najważniejsze, każdy potrzebuje przechowalni danych. Skarbiec danych odizolowany od sieci, zbudowany z myślą o oprogramowaniu ransomware, aby radzić sobie z zagrożeniami, które widzimy. W tym miejscu klienci mogą umieścić swoje najważniejsze dane i mieć pewność, że będą w stanie odzyskać znane, dobre dane, gdy nadejdzie ten dzień, w którym dane będą tak naprawdę kołem ratunkowym, które zapewni ciągłość ich działalności.

Laur : Czy magazyn danych jest rozwiązaniem sprzętowym, rozwiązaniem w chmurze, czy po trochu jednym i drugim? Może to zależy od Twojej firmy.

Jan : Z pewnością istnieje wiele różnych sposobów na zaprojektowanie tego. Ogólnie rzecz biorąc, przy tworzeniu cyberodpornego magazynu danych należy wziąć pod uwagę trzy kluczowe kwestie. Po pierwsze, trzeba go odizolować. Wszystko, co znajduje się w sieci, jest potencjalnie narażone na ryzyko.

Po drugie, musi być niezmienna, co zasadniczo oznacza, że ​​po utworzeniu kopii zapasowej danych ta kopia zapasowa nigdy nie może zostać zmieniona. Po zapisaniu na dysku nie można już tego zmienić. I po trzecie wreszcie, musi być inteligentny. Systemy te muszą być zaprojektowane tak, aby były równie inteligentne, jeśli nie bardziej inteligentne, niż zagrożenia, które bez wątpienia nadejdą po nich. Niezbędne jest zaprojektowanie tych systemów tworzenia kopii zapasowych danych z myślą o środowisku zagrożeń przez ekspertów, którzy dogłębnie rozumieją bezpieczeństwo, dogłębnie rozumieją oprogramowanie ransomware.

Laur : Widzę. To brzmi jak niektóre trzyliterowe agencje rządowe, w trybie offline z niewielkim dostępem.

Jan : Niestety do tego doszedł świat. Znowu tak naprawdę nie ma śladu tej zmiany. Jeśli spojrzymy na zachęty, z jakimi borykają się cyberprzestępcy, nagrody są niesamowite. Reperkusje są niewielkie. To naprawdę największe, najbardziej korzystne przedsięwzięcie przestępcze w historii ludzkości, jeśli chodzi o to, co prawdopodobnie uzyskają z ataku, w porównaniu z prawdopodobieństwem, że zostaną złapani i trafią do więzienia. Nie widzę, żeby to miało się zmienić w najbliższym czasie. W rezultacie firmy muszą być przygotowane.

Laur : To z pewnością prawda. Nie słyszymy też o wszystkich atakach, ale kiedy to robimy, wiąże się to również z utratą reputacji. Myślę o ataku na początku roku na stację uzdatniania wody na Florydzie. Czy oczekujesz bardziej skoncentrowanych ataków na infrastrukturę, ponieważ jest to postrzegane jako łatwy sposób?

Jan : Niestety nie jest to problem tylko jednej branży. Niezależnie od rodzaju prowadzonej działalności i branży, w której się znajdujesz, patrząc na swoją organizację przez pryzmat przestępcy, często można coś znaleźć, niezależnie od tego, czy są to zachęty geopolityczne, monetyzacja oszustw kryminalnych, czy też kradnie dane, które przechowujesz, i odsprzedaje je na czarnym rynku. Niewiele jest firm, które naprawdę potrafią spojrzeć na siebie i powiedzieć: „Nie mam czegoś, czego chciałby cyberprzestępca”. I to jest coś, z czym musi się zmierzyć każda organizacja każdej wielkości.

Laur : Zwłaszcza, że ​​firmy wykorzystują uczenie maszynowe, sztuczną inteligencję oraz, jak wspomniałeś wcześniej, urządzenia brzegowe i IoT — dane są wszędzie. Mając to na uwadze, a także wiele punktów styku, które próbujesz zabezpieczyć, w tym pracowników pracujących z dowolnego miejsca, w jaki sposób firmy mogą najlepiej zabezpieczyć dane?

Jan : To miecz obosieczny. Cyfrowa transformacja, której Dell był świadkiem na własne oczy, była niesamowita. To, co zaobserwowaliśmy, jeśli chodzi o poprawę jakości życia i sposób, w jaki społeczeństwo przekształca się dzięki powstającym technologiom, takim jak sztuczna inteligencja i uczenie maszynowe, oraz eksplozja urządzeń na krawędzi i IoT, cyfrowa transformacja i korzyści są ogromne. Jednocześnie wszystko to stanowi potencjalnie nowe ryzyko, jeśli jest zainwestowane i wdrożone w sposób, który nie jest bezpieczny i nie jest dobrze przygotowany. W rzeczywistości przy naszym pełnym indeksie ochrony danych stwierdziliśmy, że 63% uważa, że ​​te technologie stanowią zagrożenie dla ochrony danych, że te zagrożenia prawdopodobnie przyczyniają się do obaw, że organizacje nie są gotowe na przyszłość i mogą być zagrożone zakłócenia w ciągu następnego roku.

Brak rozwiązań w zakresie ochrony danych dla nowszych technologii był w rzeczywistości jednym z trzech największych wyzwań związanych z ochroną danych, które znaleźliśmy w organizacjach cytowanych podczas ankiety. Inwestowanie w te nowe technologie jest niezbędne dla organizacji przekształcających się cyfrowo, a organizacje, które nie przechodzą transformacji cyfrowej, prawdopodobnie nie przetrwają dobrze w erze, na którą patrzymy konkurencyjnie. Ale jednocześnie bardzo ważne jest, aby organizacje zapewniły, że ich infrastruktura ochrony danych będzie w stanie nadążyć za ich szerszą transformacją cyfrową i inwestycjami w te nowsze technologie.

Laur : Kiedy myślimy o tym wszystkim w sposób zbiorczy, czy masz wskazówki dla firm, aby móc w przyszłości sprawdzać swoją strategię dotyczącą danych?

Jan : Z pewnością jest kilka rzeczy, które przychodzą mi do głowy. Po pierwsze, ważne jest, aby stale zastanawiać się nad priorytetami z perspektywy ryzyka. Rzeczywistość jest taka, że ​​nie jesteśmy w stanie zabezpieczyć wszystkiego idealnie, dlatego ustalanie priorytetów ma kluczowe znaczenie. Musisz upewnić się, że chronisz to, co jest najważniejsze dla Twojej firmy. Przeprowadzanie regularnych strategicznych ocen ryzyka i informowanie ich o inwestycjach i priorytetach realizowanych przez organizacje jest podstawowym tłem, na którym faktycznie uruchamiasz niektóre z tych inicjatyw i działań związanych z bezpieczeństwem.

Drugą rzeczą, która przychodzi mi do głowy, jest to, że praktyka czyni mistrza. Ćwicz, ćwicz, ćwicz. Czy możesz zadać sobie pytanie, czy naprawdę mógłbyś odzyskać zdrowie, gdyby został trafiony przez oprogramowanie ransomware? Jak pewny jesteś tej odpowiedzi? Uważamy, że organizacje, które poświęcają czas na praktykę, przeprowadzają wewnętrzne ćwiczenia, przeprowadzają symulacje symulacyjne, przechodzą przez proces zadawania sobie tych pytań, czy płacę okup? Czy nie? Czy mogę przywrócić moje kopie zapasowe? Jak pewny jestem, że mogę? Ci, którzy ćwiczą, mają znacznie większe szanse na osiągnięcie dobrych wyników, gdy nadejdzie dzień, w którym zostanie uderzony jednym z tych niszczycielskich ataków. Niestety coraz bardziej prawdopodobne jest, że tego dnia zmierzy się większość organizacji.

Wreszcie, niezwykle ważne jest, aby strategie bezpieczeństwa były powiązane ze strategiami biznesowymi. Większość dzisiejszych strategii z perspektywy biznesowej oczywiście zawiedzie, jeśli dane, na których się opierają, nie będą dostępne i zaufane. Jednak wysiłki na rzecz zapewnienia odporności cybernetycznej i bezpieczeństwa nie mogą być realizowane na własnej wyspie. Muszą być informowani i wspierać strategię biznesową i priorytety. Nie spotkałem jeszcze klienta, którego strategia biznesowa pozostaje realna, jeśli zostanie trafiony przez oprogramowanie ransomware lub inne strategiczne zagrożenie ochrony danych, i nie jest on w stanie szybko i pewnie przywrócić swoich danych. Podstawowe pytanie, które należy sobie zadać, brzmi: na ile jesteś pewny swojego dzisiejszego przygotowania w świetle wszystkiego, o czym rozmawialiśmy? A jak rozwijasz swoją strategię cyberodporności, aby lepiej się przygotować?

Laur : To z pewnością kluczowa wynos, prawda? To nie tylko problem techniczny czy problem technologiczny. To także problem biznesowy. Każdy musi uczestniczyć w myśleniu o tej strategii danych.

Jan : Absolutnie.

Laur : Cóż, bardzo dziękuję, John. Fantastycznie było mieć Cię dzisiaj w Business Lab.

Jan : Cała przyjemność po mojej stronie. Dziękuje za gościnę.

Laur : To był John Scimone, dyrektor ds. bezpieczeństwa w Dell Technologies, z którym rozmawiałem z Cambridge w stanie Massachusetts, siedziby MIT i MIT Technology Review, z widokiem na rzekę Charles. To tyle w tym odcinku Business Lab. Jestem twoim gospodarzem, Laurel Ruma. Jestem dyrektorem Insights, działu custom publishing w MIT Technology Review. Powstaliśmy w 1899 roku w Massachusetts Institute of Technology. Możesz nas znaleźć w druku, w Internecie i na imprezach każdego roku na całym świecie. Więcej informacji o nas i programie można znaleźć na naszej stronie internetowej technologyreview.com .

Ten program jest dostępny wszędzie tam, gdzie otrzymujesz podcasty. Jeśli podobał Ci się ten odcinek, mamy nadzieję, że poświęcisz chwilę, aby nas ocenić i zrecenzować. Ten odcinek został wyprodukowany przez Collective Next. Business Lab to produkcja MIT Technology Review. Dziękuję za słuchanie.

Ten odcinek podcastu został wyprodukowany przez Insights, dział zajmujący się treściami niestandardowymi MIT Technology Review. Nie została napisana przez redakcję MIT Technology Review.

ukryć