Cyberbezpieczeństwo w 2020 r.: Powstanie CISO

Naruszenia danych dały firmom lekką lekcję w 2019 roku. Jeden kluczowy wniosek: potrzebują dyrektora ds. bezpieczeństwa informacji, mówi Stephanie Balaouras z firmy Forrester.

Za pomocą

• Informacje o przeglądzie technologii MIT

24 lutego 2020 r.

Wyprodukowane we współpracy z Zabezpieczenia Microsoft

Wraz z początkiem nowego roku (i nowej dekady) jedno jest pewne: cyberbezpieczeństwo będzie nadal mieć coraz większy wpływ na biznes, na dobre lub na złe. W tym odcinku usłyszymy o Stephanie Balaouras, ekspertce ds. cyberbezpieczeństwa, która rozmawiała z tysiącami klientów w ciągu 15 lat pracy w firmie Forrester Research. Jest wiceprezesem i dyrektorem grupy ds. badań bezpieczeństwa i ryzyka, a także infrastruktury i badań operacyjnych.

Balaouras twierdzi, że wszystkie firmy powinny mieć dyrektora ds. bezpieczeństwa informacji (CISO), ponieważ świat cyberzagrożeń staje się coraz bardziej zawiły i niebezpieczny. „Nawet firmy, które mają CISO, powinny dokładnie przyjrzeć się, jak wysoko w organizacji zgłaszają”, mówi Balaouras. „Czy mają odpowiedni budżet? Czy mają wystarczającą liczbę pracowników? Czy dałeś im odpowiedni zakres kontroli?

Balaouras dokonuje również przeglądu niektórych z największych trendów w zakresie cyberbezpieczeństwa w 2019 roku i przewiduje prognozy na 2020 rok.

Business Lab prowadzi Laurel Ruma, dyrektor Insights, działu custom publishing w MIT Technology Review. Spektakl jest produkcją MIT Technology Review, przy wsparciu produkcyjnym Collective Next. Muzyka jest autorstwa Merleana z Epidemic Sound.

Cyberbezpieczeństwo to nie tylko powstrzymywanie zagrożeń, które widzisz. Chodzi o zatrzymanie tych, których nie widać. Dlatego Microsoft Security zatrudnia ponad 3500 ekspertów ds. cyberprzestępczości i wykorzystuje sztuczną inteligencję do przewidywania, identyfikowania i eliminowania zagrożeń. Możesz więc skupić się na rozwoju swojej firmy, a Microsoft Security może skupić się na jej ochronie. Dowiedz się więcej na Microsoft.com/cybersecurity.

Pokaż notatki i linki

Forrester Research: Cyberbezpieczeństwo

Przewodnik CISO dotyczący wprowadzania zmian autorstwa Jinan Budge, Forrester Research

Stephanie Balaouras

Potrzeba pełnego bezpieczeństwa w chmurze, wywiad ze Stephanie Balaouras na YouTube

Pełny zapis

Laur Ruma: Z MIT Technology Review, nazywam się Laurel Ruma, a to jest Business Lab, program, który pomaga liderom biznesu zrozumieć nowe technologie wychodzące z laboratorium i wprowadzane na rynek.

Zagrożenia bezpieczeństwa są wszędzie. Dlatego Microsoft Security zatrudnia ponad 3500 ekspertów ds. cyberprzestępczości stale monitorujących zagrożenia, aby pomóc chronić Twoją firmę. Więcej na microsoft.com/cybersecurity.

Naszym dzisiejszym tematem jest cyberbezpieczeństwo, a dokładniej rola dyrektora ds. bezpieczeństwa informacji, CISO. Przyjrzymy się również aktualnościom na temat cyberbezpieczeństwa z 2019 r. i wybiegamy w przyszłość na trendy w cyberbezpieczeństwie na 2020 r. Jedno słowo dla Ciebie: Deepfakes. Moim gościem jest Stephanie Balaouras, która jest analitykiem cyberbezpieczeństwa i rozmawiała z tysiącami klientów w ciągu prawie 15 lat pracy w firmie Forrester. Stephanie jest wiceprezesem i dyrektorem grupy ds. badań bezpieczeństwa i ryzyka, a także infrastruktury i badań operacyjnych. Stephanie, bardzo dziękuję za rozmowę w Business Lab.

Stephanie Balaouras: Dziękuję.

Laur: Tak więc na początek, w 2017 roku Forester opublikował raport Jeffa Pollarda, członka Twojego zespołu, o ścieżkach kariery CISO, dyrektorów ds. bezpieczeństwa informacji. A szczególnie lubię mówić o tej roli, ponieważ jest to nowość dla kadry kierowniczej w biznesie. Jeśli Citibank właśnie powołał pierwszego w historii CISO, w 1995 roku, to naprawdę niedawna historia. Ale jeśli każda firma jest również firmą technologiczną, dlaczego nie każda firma ma CISO?

Stephanie: Jeśli spojrzysz na historię innych ról, tak jak myślę, że pierwszy dyrektor ds. marketingu, dyrektor ds. marketingu był w latach 50., 20, 30 lat później nadal miałeś firmy bez dyrektora ds. marketingu. Więc kiedy te pojawiające się role zaczynają się po raz pierwszy, potrzeba trochę czasu, aby stało się normą. Ale powiem, że każda firma naprawdę powinna mieć CISO. Spółki notowane na giełdzie muszą posiadać CISO. Ale to, co często znajdujemy, to, w zależności od wielkości firmy, że czasami ujdzie im to na sucho nazywając CIO również CISO lub innym dyrektorem IT również CISO. Jest to więc dość powszechne w mniejszych firmach — ujdzie im to na sucho bez zajmowania samodzielnej roli.

Ale zobaczysz również, że jeśli mają naruszenie lub jakiś poważny problem z cyberbezpieczeństwem lub nawet poważne naruszenie zgodności, które jest związane z bezpieczeństwem danych, pierwszą rzeczą, którą zrobią, jest wyznaczenie dedykowanego CISO. A nawet firmy, które mają dedykowanego CISO, kiedy mają naruszenie, często zdarza się, że zdają sobie sprawę, że CISO nie zaliczył wystarczająco wysokich raportów w organizacji lub nie miał odpowiedniego zakresu obowiązków lub wystarczającego budżetu lub wystarczająco dużo ludzi. Więc wtedy to naprawią. Nazwa CISO powinna być wymogiem, ale powiedziałbym, że nawet firmy, które mają CISO, powinny dokładnie przyjrzeć się, jak wysoko w organizacji zgłaszają. Czy mają odpowiedni budżet? Czy mają wystarczającą liczbę pracowników? Czy zapewniłeś im odpowiednią kontrolę?

Laur: Bo to kosztowna poprawka, prawda?

Stephanie: Tak, dokładnie.

Laur: Czy dopiero po ataku patrzymy na role i obowiązki w nowym świetle, w bardziej odpowiedzialnym świetle?

Stephanie: Dokładnie tak.

Laur: Więc jeśli idealny CISO jest trochę zarówno biznesmenem, który może porozmawiać bezpośrednio z dyrektorem generalnym, wyjaśnić potrzebę bezpieczeństwa i łagodzenia ryzyka, ale także porozmawiać być może z klientami i innymi pracownikami oraz porozmawiać o bezpieczeństwie i o tym, jak ta rola jest ważne dla firmy. Skąd pochodzą ci ludzie? Skąd oni czerpią całą tę edukację?

Stephanie: Kiedy przyjrzeliśmy się ścieżkom kariery CISO, stwierdziliśmy, że większość z nich przeszła przez szczeble bezpieczeństwa. Zazwyczaj więc zaczynali jako specjaliści od bezpieczeństwa. W tej roli zdobyli kilkudziesięcioletnie doświadczenie. Ale często stwierdzaliśmy, że większość z nich często wracała na studia magisterskie, a w rzeczywistości szła po dyplom z biznesu. Często zdobywali dyplomy MBA, a to dlatego, że musieli spełnić oba te wymagania, czyli tak, jestem dyrektorem ds. technologii, ale jednocześnie jestem dyrektorem ds. technologii, który w dużej firmie podlega kwartalnie lub raportuje bezpośrednio do CIO lub bezpośrednio do CEO. Jest to więc zdecydowanie połączenie edukacji i doświadczenia.

Powiedziałbym, że uniwersytety lepiej radzą sobie z zapewnianiem stopni licencjackich i magisterskich w zakresie bezpieczeństwa informacji. Są pewne obszary, w których są one niewiarygodnie słabe, na przykład bezpieczeństwo aplikacji nie jest dobrze nauczane na poziomie studiów licencjackich, jeśli w ogóle. Zrobiono to naprawdę kiepsko. Inną rzeczą, o której będę się wybierał na uniwersytetach, jest to, że nie robią dobrej roboty rekrutując kobiety na studia licencjackie i magisterskie. Istnieje ogromna luka w umiejętnościach, a także problem kadrowy w zakresie bezpieczeństwa, a w firmie Forrester lubimy mówić, że jest to w dużej mierze samookaleczenie, ponieważ nie rekrutujemy z połowy populacji i nie rekrutujemy ludzi z różnych środowisk. Mamy tę jedną formę osoby, od której rekrutujemy, a potem jesteśmy zszokowani, gdy nie możemy znaleźć wystarczającej liczby osób z tym bardzo wąskim zestawem umiejętności, więc.

Laur: Tak, raport mówi, że dziewięciu na 10 CISO to mężczyźni.

Stephanie: Dokładnie dokładnie. Nie spojrzeliśmy jeszcze na koniec 2019 roku, ale ostatnie kilka lat to prawda. A jeśli spojrzysz również na personel, to jest gorzej niż ogólna branża bezpieczeństwa. Około 11% pracowników ochrony to kobiety. Jest gorzej niż ogólne IT. Ogólne IT również ma problem, ale jest on gdzieś pomiędzy 20% a 30%, więc bezpieczeństwo jest jeszcze gorsze.

Laur: Więc kiedy mówimy ogólnie o braku różnorodności w bezpieczeństwie, jak firmy próbują na to zareagować? Czy widzisz jakieś konkretne firmy wykazujące najlepsze praktyki?

Stephanie: Zdecydowanie istnieją dobre praktyki. Właściwie widziałem wielu dostawców, takich jak duzi dostawcy technologii, którzy faktycznie współpracują z uniwersytetami, a nawet współpracują na poziomie szkoły średniej. Na przykład z Girl Scouts of America, aby faktycznie wspierać programy, które od najmłodszych lat wzbudzają zainteresowanie dziewcząt i ich zainteresowanie cyberbezpieczeństwem, a następnie chcą kontynuować to na poziomie studiów licencjackich i magisterskich. Na wielu uniwersytetach istnieją dość agresywne programy stypendialne.

Poza tym jest dużo introspekcji, która ma miejsce na poziomie korporacyjnym, gdzie patrzymy na kulturę zespołów bezpieczeństwa. Przyglądamy się wielu tradycyjnym trasom, z których rekrutujemy, czyli konferencjom zdominowanym przez mężczyzn lub znowu mamy te opisy stanowisk, które podkreślają duże doświadczenie wojskowe jako przykład. Jest to więc trochę jak poszerzenie kręgu ludzi, którzy będą rekrutować się do branży bezpieczeństwa, chęć rozwijania swoich umiejętności, a także wykonywanie znacznie lepszej pracy polegającej na wypełnianiu lejka, wypełnianiu rzeczywistego rurociągu w dłuższej perspektywie.

Ale do twojego punktu, różne zespoły podejmują lepsze decyzje i na dłuższą metę osiągają lepsze wyniki. Po drugie, chciałbym powiedzieć, że w bezpieczeństwie jest tak wiele wolnych miejsc pracy, nie tylko w Stanach Zjednoczonych, ale także na całym świecie. To także problem matematyczny. Nie obsadzimy tych wolnych stanowisk, jeśli nie będziemy rekrutować z połowy populacji.

Laur: Wyglądało na to, że niewiele talentów w zakresie bezpieczeństwa było promowanych od wewnątrz. Z raportów firmy Forrester wynikało, że prawdopodobieństwo awansu jest większe, jeśli przejdziesz do innej firmy. Czy firmy ponownie analizują teraz swoje talenty?

Stephanie: Właściwie jest to prawdą na poziomie indywidualnym, jak również na poziomie CISO. Stwierdziliśmy więc, że wśród Fortune 500 nowicjusze CISO byli rzadcy i nie byli promowani od wewnątrz. Chcieliby więc zatrudniać zewnętrznych CISOs i chcieli CISO, którzy mieli wcześniejsze doświadczenie jako CISO. A jeśli jesteś osobą zajmującą się bezpieczeństwem, co oznacza, że ​​jeśli chcesz awansować na stanowisko CISO, najlepszą okazją jest tak naprawdę spojrzeć na zewnątrz, poza swoją firmę. Odkryliśmy również, że kiedy firmy zatrudniały CISO zewnętrznie, zamiast promować ich od wewnątrz, było bardziej prawdopodobne, że zgłaszają się oni wyżej w organizacji. Tak więc, na poziomie CISO firmy mogą lepiej zajrzeć do wnętrza i dać tym osobom odpowiednią możliwość zgłaszania się wyżej w organizacji.

Ale znowu znaleźliśmy podobne rzeczy na poziomach menedżerów i indywidualnych współpracowników, co oznacza, że ​​nie zatrudniali pracowników z firmy lub kiedy zatrudniali osoby, nie zapewniali im dobrych ścieżek kariery i ciągłego rozwoju umiejętności. Więc znowu, jeśli te osoby naprawdę chciały rozwijać swoją karierę, większość z nich ostatecznie odeszła. Dlatego mówimy, że tak wiele umiejętności i wyzwań związanych z personelem wynika całkowicie z własnej winy.

Laur: Więc jest to trochę martwy punkt, na którym prawdopodobnie każdy mógłby sobie poradzić trochę lepiej, prawda?

Stephanie: Dokładnie tak. Tak.

Laur: Czytałem ten raport Instytutu Ponemon i to konkretne zdanie rzuciło mi się w oczy, a kiedy rozmawialiśmy o CISO i o tym, jaki rodzaj osoby pełniłby tę rolę w pierwszej kolejności, io doświadczeniach, jakie mieli, to więcej niż tylko CV, to jest także twoje nastawienie i umiejętność działania bardzo szybko i naprawdę mądrze, a także bardzo dobrze się komunikuje. Ale cytat był, i trochę tu parafrazuję, że technologia przekształciła epokę internetu w okres okrutnych cudów dla specjalistów od bezpieczeństwa. Wszystkie nasze okrutne cuda polegają na tym, że mamy urządzenia w każdej kieszeni. Możemy iść gdziekolwiek, możemy porozmawiać z każdym o każdej porze i możemy to zrobić z prędkością błyskawicy, ale jednocześnie, jeśli jesteś CISO, jak to wszystko zabezpieczyć?

Stephanie: Prawidłowy. Tak. Wszystkie te urządzenia, które rozszerzają cztery ściany firmy, w zasadzie poszerzają powierzchnię ataku organizacji. Tak więc dla CISO było to coś w rodzaju tego marszu od tradycyjnego podejścia do bezpieczeństwa opartego na granicach i w rzeczywistości przejmowania bardziej zorientowanego na dane i aplikacje, a nawet powiedziałbym, że podejście do bezpieczeństwa jest zorientowane na tożsamość.

Nie chodzi o to, że sieć nie jest ważna, bezpieczeństwo sieci jest niezwykle ważne, ale to bardziej podejście do bezpieczeństwa oparte na obwodzie, które uległo radykalnym zmianom. Więc znowu tam, gdzie nie ma prawdziwych czterech ścian korporacji. W rzeczywistości obwód jest znacznie mniejszy. Dlatego myślimy o bezpiecznych enklawach. Jak zbudować mikro obwód wokół naszych najważniejszych zasobów?

Kiedy mówimy o rozszerzonej sieci wszelkiego rodzaju urządzeń, takich jak wspomniałeś, lub o samym środowisku komputerowym, które może być kombinacją lokalnej, chmury, hostowanej chmury prywatnej i każdej ich odmiany oraz dowolnego rodzaju populacji użytkowników, z którą wchodzą w interakcje systemy i dane firmy. Mogą to być Twoi pracownicy, mogą to być konsumenci i klienci, mogą to być partnerzy zewnętrzni. Więc kiedy myślisz o urządzeniach, populacjach użytkowników i różnych modelach obliczeniowych, nie ma granic. Dlatego nacisk kładzie się na ochronę samych danych niezależnie od tego, dokąd się przemieszczają i niezależnie od modelu hostingu lub lokalizacji. Naprawdę, naprawdę uważnie przyglądam się tożsamości. Czyli ograniczający i ściśle wymuszający dostęp, zarówno ludzki, jak i nieludzki. W pewnym sensie wywraca więc tradycyjny paradygmat bezpieczeństwa do góry nogami. Odchodzisz od skoncentrowania się na obwodzie na skoncentrowanie się na danych i tożsamości.

To jest to, co zwykle zalecamy CISO. Nazywamy to modelem bezpieczeństwa z zerowym zaufaniem, w którym zakładasz, że już masz naruszenie, i nigdy nie zakładasz zaufania do swojego środowiska. Po prostu zawsze zakładasz, że coś jest nie tak, ale to działa. Być może nie jest to najbardziej pozytywny spin na świecie, jak, och, zero zaufania, ale działa. To bardzo skuteczne.

Powiedziałbym też, że naprawdę zachęciłbym producentów wszystkich tych urządzeń, czujników IoT, urządzeń IoT, wszystkiego, o czym można pomyśleć, aby naprawdę lepiej wbudowali zabezpieczenia w samo urządzenie od samego początku. To zdecydowanie ułatwiłoby pracę CISO. To takie frustrujące. To również w dużej mierze jest poza ich kontrolą.

Laur: Prawidłowy? Cóż, zwłaszcza—

Stephanie: Z wyjątkiem CISO, którzy faktycznie pracują w firmach produkcyjnych. Powinieneś być zaangażowany w rozwój produktu. Powinieneś doradzać organizacji.

Laur: I to jest interesujące, ponieważ bezpieczeństwo nie zawsze jest na pierwszym miejscu, prawda?

Stephanie: Nie.

Laur: Zwłaszcza, gdy zajmujesz się projektowaniem produktów. Czy widzisz to jednak często? CISO faktycznie aktywnie zaangażowani w projektowanie produktów?

Stephanie: Niestety nie do tej pory, ale polecamy. Powiedziałbym, że niektórzy CISO niekoniecznie postrzegają to jako swoją tradycyjną rolę, tak jak ich tradycyjna rola polega na zabezpieczaniu wewnętrznych systemów rejestracji i infrastruktury oraz danych firmy i niekoniecznie angażuje się w rozwój, ale w rzeczywistości aktywnie Zachęć CISO do zaangażowania się w projektowanie i rozwój produktów, aby naprawdę pomóc organizacji zabezpieczyć to, co sprzedajesz. Więc cokolwiek sprzedajesz, jakąkolwiek usługę świadczysz konsumentowi, pacjentowi, obywatelowi, innej korporacji, jeśli jesteś organizacją B2B, aktywnie zaangażowaną w zabezpieczanie tego, co sprzedajesz.

Laur: A to z pewnością wyróżnik konkurencyjny, prawda?

Stephanie: Tak oczywiście. Absolutnie. Odkryliśmy, że zarówno bezpieczeństwo, jak i prywatność — i nie są to synonimy, ale czasami idą w parze — tworzą konkurencyjne wyróżnienie dla firm.

Laur: Tak. I to jest ważny wyróżnik, i cały ten hałas, który wydobywasz. Więc jeśli jest coś bardzo specyficznego, co można sprzedać, byłoby to dobre. Ale mówimy też o tym, że CISO naprawdę odgrywa aktywną rolę we wszystkim. Więc musisz być tą wszechstronnie utalentowaną osobą, która potrafi mówić i rozumieć produkt, a także przebywać w społeczności, prawda? Jednocześnie udostępniając, ale nie udostępniając, tajemnice firmy i sposób, w jaki bronisz danych, ponieważ istnieje ten pomysł, zwłaszcza w społeczności technologicznej, gdzie dzielisz się najlepszymi praktykami i tym, czego się nauczyłeś. Zastanawiałem się trochę nad tym, w jaki sposób CISO faktycznie udostępniają, ale nie udostępniają wszystkiego?

Stephanie: Tak, jest to wyzwanie. Wielu CISO nie lubi mówić o szczegółach swoich wdrożeń i niekoniecznie widzę, że to się zmieni w najbliższym czasie. Czasami jednak w mniejszych grupach istnieje wiele społeczności, które wspierają CISO. Obecnie w Forester mamy grupę rówieśniczą składającą się z około 100 CISO. Istnieje wiele rodzajów ISAC i społeczności wymiany danych wywiadowczych, takich jak CISO, które są specyficzne dla branży. Tak często w zwartych społecznościach, w których panuje zrozumienie, że wszystko jest objęte NDA, gdzie jest szczerość, gdzie istnieją pewne osobiste relacje, CISO dzieli się o wiele więcej. Ale znalazłem CISO chętnych do rozmowy o ogólnej strategii. Kiedy wspomniałem o przejściu od podejścia opartego na obwodzie do skoncentrowanego na danych i tożsamości. Mówienie o kulturze. Kultura jest w rzeczywistości niezwykle ważna, nie tylko w CISO, ale także dla reszty organizacji bezpieczeństwa.

Ponieważ potrzebujesz organizacji, która ma odpowiedni personel, który może rzeczywiście rozmawiać z programistami i uczestniczyć w bezpiecznym tworzeniu aplikacji, który może współpracować z zespołami infrastruktury i operacji w celu zabezpieczenia wdrożeń w chmurze. To może faktycznie współpracować z zespołami marketingowymi, aby pomóc im zrozumieć wpływ na prywatność tego, w jaki sposób mogą personalizować usługi, dane i reklamy dla konsumentów. Potrzebny jest więc również sam zespół ds. bezpieczeństwa, a nie tylko CISO, sam zespół ds. bezpieczeństwa, który będzie głośny i otwarty, chętny do współpracy i chętny do włączenia się w podstawowe procesy biznesowe i informatyczne w całej organizacji. Więc będą rozmawiać o kulturze, będą rozmawiać o personelu, będą rozmawiać także o rodzajach wymaganych umiejętności. Na pewno widzimy tam pewne zmiany.

Laur: A także firma musi chcieć pozwolić, aby bezpieczeństwo zatoczyło koło wokół tego pomysłu, ale nie tylko produktu, ale także wszystkich innych. A więc marketing, myślenie, znowu bezpieczeństwo na pierwszym miejscu lub bezpieczeństwo w pewnym momencie. Jak więc prowadzisz tę rozmowę, żeby wszyscy byli trochę wykształceni? Nie musisz być ekspertem w dziedzinie bezpieczeństwa, jeśli zajmujesz się marketingiem, ale musisz być chętny do słuchania.

Stephanie: Wiele razy CISOs opowiadali historie i wszystko było zgubne i ponure. Myślę, że przyjęcie znacznie bardziej opartego na ryzyku podejścia, w którym pomagasz firmie zrozumieć przyszłe zagrożenia i pomagasz im zrozumieć zarówno prawdopodobieństwo, jak i wpływ oraz doradzasz im w podejmowaniu właściwych decyzji, na przykład przejście z tego działu do większej liczby konsultantów rola myślę, że pomaga. Im bardziej stajesz się konsultacyjnym ekspertem w danej dziedzinie, myślę, że możesz zabrać ze sobą resztę organizacji. Myślę, że to duża pomoc i różni się w zależności od zestawu umiejętności CISO, jak dobrzy są w tym. Myślę, że w każdej chwili możesz też umieścić rzeczy w pozytywnych kategoriach biznesowych, to pomaga.

W moim zespole był analityk, który napisał ten raport, nazywał się on bezpieczeństwem dla zysku i nakreślił w nim sposoby, w jakie bezpieczeństwo może potencjalnie być źródłem przychodów dla firmy. Ponownie, mogą to być funkcje o wartości dodanej, za które ludzie byliby skłonni zapłacić więcej, lub mogą one stać się wyróżnikiem konkurencyjnym w oferowanym przez Ciebie produkcie lub usłudze. Więc może faktycznie przyczynić się do najwyższej linii. Następnie przedstawił również wszystkie sposoby, które mogą faktycznie zaoszczędzić firmie pieniędzy, poza unikaniem naruszeń i karami za zgodność.

Istnieje wiele sposobów na to, że jeśli właściwie zastosujesz zabezpieczenia, może to znacznie poprawić komfort pracowników i obniżyć koszty operacyjne w firmie. Tożsamość to jeden z największych przykładów, gdy myślisz o onboardingu pracownika i możliwości zautomatyzowania wszystkich sposobów, w jakie dajesz mu dostęp do systemów, których potrzebuje. Resetowanie haseł. Mam na myśli, że jest tak wiele nisko wiszących owoców, które mogą ułatwić życie pracownikom, ale w rzeczywistości naprawdę zmniejszają koszty.

Laur: Tak. I z pewnością jest to coś, o czym nie myślisz, ale z pewnością jesteś sfrustrowany, gdy musisz przerobić hasło i trwa to wieczność i/lub musisz przejść na inny system i bla, bla, bla. Ale tego rodzaju usprawnianie nie jest tylko z punktu widzenia bezpieczeństwa, ale, jak powiedziałeś, z punktu widzenia wszystkich jest to po prostu ułatwienie im życia, czego ostatecznie chce każdy pracownik.

Stephanie: Tak.

Laur: Jak więc CISO są na bieżąco z najnowszymi trendami? Mam na myśli konferencje, te małe grupy, z którymi rozmawiają?

Stephanie: Tak, myślę, że prowadzą własne badania, niezależnie od tego, czy są to publikacje takie jak twoja, firmy takie jak Forrester, inne duże firmy doradztwa strategicznego. Prowadzą jednak własne badania. Często wysyłają swoich pracowników na wiele konferencji. A potem myślę, że te grupy rówieśnicze również bardzo pomagają. Ale trudno jest utrzymać się na szczycie każdego możliwego trendu. Dlatego uważam, że zawsze warto mieć jakieś porady z zewnątrz, aby poinformować Cię o pojawiających się zagrożeniach, pojawiających się zagrożeniach, pojawiających się zgodności i regulacjach, które mają miejsce na całym świecie.

Laur: Tak, a potem tak jak powiedziałeś, posiadanie tej grupy rówieśniczej, aby zbudować zaufanie i pewnego rodzaju przejrzystość poprzez dzielenie się najlepszymi praktykami i po prostu słuchanie różnych historii, nawet jeśli pochodzą od przyjaciela, którego słyszałem, aby w pewnym sensie przekazać te ostrzeżenia różne organizacje i osoby. Mówiąc o tym, poza tymi grupami rówieśniczymi, czy istnieje szeroka współpraca między rządem a biznesem? Czy widzisz go więcej, czy też ludzie pozostają na swoim pasie, ponieważ istnieją inne konflikty z firmami i rządami, o które trzeba się martwić?

Stephanie: Tak. W Stanach Zjednoczonych, a właściwie w innych krajach, takich jak Wielka Brytania, jeśli jesteś uważany za branżę infrastruktury krytycznej, będziesz musiał utrzymywać bliskie relacje z urzędnikami rządu federalnego. Jeśli pracujesz w infrastrukturze krytycznej, mam na myśli, że będą obowiązywać specyficzne dla branży przepisy dotyczące cyberbezpieczeństwa, których musisz przestrzegać, wiesz, jeśli jesteś w energetyce. Mam na myśli, że nawet usługi finansowe są uważane za infrastrukturę krytyczną. Więc będziesz musiał postępować zgodnie z wytycznymi NIST, jako przykład. Każdy, kto prowadzi interesy z rządem federalnym, będzie musiał przestrzegać NIST.

Nie chcesz czekać z nawiązaniem relacji z rządem federalnym lub konkretnymi agencjami, takimi jak FBI. Nie chcesz czekać, aż coś podejrzewasz lub masz wyłom. Lub w wielu przypadkach jest odwrotnie, wykryli coś i ostrzegają o tym. Czasami nie mogą podać szczegółów, ponieważ mają związane ręce w ramach większego śledztwa. Tak więc możesz z wyprzedzeniem nawiązać relacje z wieloma agencjami rządu federalnego USA, aby móc dzielić się informacjami o zagrożeniach. Albo znowu, jeśli coś naprawdę się wydarzy, masz już te istniejące wcześniej relacje.

Laur: Tak, a mówiąc o czymś, co już się wydarzyło i planach przygotowawczych, czy widzisz, jak więcej firm opracowuje te plany przygotowawcze, znowu, nie jeśli, ale kiedy zostaną zhakowane lub nastąpi cyberatak i muszą upublicznić to?

Stephanie: Tak więc w przypadku reakcji na incydent istnieje rodzaj reakcji na incydent wewnętrzny, który jest rodzajem wszystkich procesów, które musisz wykryć, a następnie zaradzić, a następnie zareagować. A wiele odpowiedzi to raczej to, co nazywamy odpowiedziami na poziomie kryminalistycznym: ustalenie dokładnie, co się stało, naprawienie tego, potencjalnie zbieranie dowodów kryminalistycznych, jeśli zdecydowałeś, że faktycznie zamierzasz podjąć działania prawne, w zależności od tego, kto to był później . Potem jest reakcja zewnętrzna i naprawdę potrzebujesz obu. Naprawdę potrzebujesz wyrafinowanej reakcji na incydenty, procesu i inicjatywy w firmie z oddanymi ekspertami, szczególnie jeśli jesteś dużym przedsiębiorstwem.

Ale myślę, że firmy często zawodzą w odpowiedzi na zewnętrzne naruszenia. I znowu, przepisy wymagają, aby jeśli jest to związane z konsumentami, jeśli dotyczy to osób fizycznych, musisz powiadomić ich w określonych dniach. W wielu przypadkach jest to 30 dni. Zgodnie z RODO w Europie jest to 72 godziny lub mniej. Widzieliśmy też, jak firmy po królewsku spartaczyły zewnętrzną reakcję na włamanie, co oznacza, że ​​nie chciały oferować informacji konsumentom.

Nie chcę czepiać się firm, ponieważ obwinianie ofiar często nie jest zbyt pomocne, ale widziałem firmy, które w pewnym sensie obwiniają konsumentów, mówiąc: „Och, gdybyś miał lepszą higienę haseł, jeśli Gdybyś uważniej monitorował własne konta, nie miałoby to aż tak dużego wpływu. Nie. Musisz okazywać empatię swoim klientom. Umieść je na pierwszym miejscu. Zrób wszystko, co możesz, aby ich chronić. Nie bądź ostrożny w dzieleniu się informacjami z powodu obaw CYA. A w niektórych przypadkach, jeśli zrobisz to dobrze, jest to okazja, aby nie stracić ich zaufania, ale potencjalnie nawet je wzmocnić i zbudować, jeśli postawiłeś ich na pierwszym miejscu. Ale możesz naprawdę spartaczyć i sprawić, że wyłom jest o wiele gorszy, niż było to konieczne.

Laur: A to po prostu kosztowało firmę jeszcze więcej pieniędzy.

Stephanie: Dokładnie tak.

Laur: Kiedy spojrzysz wstecz na rok 2019 i jest dużo do powiedzenia o cyberbezpieczeństwie, jeśli spojrzymy na trzy konkretne obszary, najpierw są tylko cyberataki, ale bardzo konkretnie na miasta i gminy. Tak więc Nowy Orlean był ostatnim, pod koniec roku, jaki znamy, ale był też tuż po tym, jak stan Luizjana miał atak cyberbezpieczeństwa. Wiemy, że to się dzieje w całym kraju. Aby zadać bardzo trudne pytanie, dlaczego miasta i gminy są celem cyberataków, skoro niekoniecznie są najlepiej finansowanymi organizacjami?

Stephanie: Tak. Dlatego właśnie dlatego, ponieważ są łatwym celem. Więc jeśli od lat niedofinansowali swoje wysiłki w zakresie bezpieczeństwa, znacznie łatwiej jest ich przeniknąć, a następnie poprosić o okup, nawet jeśli jest on niewielki.

Laur: To jest lepsze niż nic.

Stephanie: To jest lepsze niż nic. To jest właściwie konsensus wielu członków zespołu, że tak wiele z tych lokalnych, miejskich i stanowych rządów i gmin jest po prostu tak łatwymi celami, ponieważ przez lata były niedofinansowane i niedoborowe. I przez większość czasu istnieje motywacja finansowa, ale są też inne rodzaje motywacji. Może mieć charakter polityczny, społeczny. Jeśli dostaniesz się do większego rodzaju stanów lub agencji federalnej, możesz nawet dostać się do geopolityki, a nawet wojska, w pewnym sensie.

Właściwie miasto Nowy Orlean, co było interesujące w tym, że napastnicy nie żądali okupu. Dlatego użyli oprogramowania ransomware, aby je wyłączyć. Wszystko zostało zaszyfrowane i wymuszone. Myślę, że zastępowali tony infrastruktury komputerowej. Odzyskiwanie z kopii zapasowych może być naprawdę trudne. Mówimy to tak nonszalancko, jak: „Och, po prostu odzyskaj dane z kopii zapasowych”. Większość kopii zapasowych zawiera błędy, a możliwość odzyskania z kopii zapasowej na dużą skalę jest w rzeczywistości bardzo, bardzo trudna. A kto wie, kiedy faktycznie wprowadzono oprogramowanie ransomware? Więc po prostu ponownie instalujesz oprogramowanie ransomware.

Laur: Ciekawy.

Stephanie: Ale tak. Z mojego zrozumienia, oni właściwie nie prosili o okup. Więc ich motywacja nie była finansowa. Więc mogło być...

Laur: Tylko zakłócenie.

Stephanie: ... tylko zakłócenie ze względu na to.

Laur: Aby zobaczyć, czy mogą to zrobić, tak.

Stephanie: Albo, co ciekawe, przeczytałem ten artykuł, w którym zmusiło to miasto do wymiany tony infrastruktury komputerowej, laptopów, komputerów stacjonarnych, infrastruktury serwerowej. Więc część mnie zastanawia się: „Och, to mogą być pracownicy miasta. Wiem, jak zmodernizować miasto.

Laur: Racja, racja. Zmuś ich.

Stephanie: Zmuś ich.

Laur: Niszcząc wszystko.

Stephanie: Tak. Są więc łatwym celem, a motywacje ataku są, jak sądzę, bardzo zróżnicowane, jeśli chodzi o infrastrukturę krytyczną, a następnie władze miejskie, stanowe i lokalne.

Laur: I to niekoniecznie, gdy żąda się okupu, aby dowiedzieć się, skąd pochodzą, kim są lub czy są aktorami z innego państwa.

Stephanie: Tak, niekoniecznie wiesz.

Laur: Nigdy się nie dowiesz. To tylko przypuszczenie.

Stephanie: Tak. W tym roku opublikowaliśmy kontrowersyjny raport, w którym stwierdzono, że w niektórych przypadkach organizacje mogą rozważyć zapłacenie okupu. Będę szczery, myślę, że władze miejskie, stanowe i lokalne mogą mieć zakaz płacenia okupu. Nie wiem Musiałbym się temu przyjrzeć, ale firmy z sektora prywatnego, chociaż jestem pewien, że FBI i inne organy ścigania wolałyby, żeby tego nie robiły, w niektórych przypadkach może to mieć sens. A ubezpieczyciele cybernetyczni powiedzieliby nawet, że w niektórych przypadkach może to mieć sens. Są też firmy, które specjalizują się w pomaganiu firmom w płaceniu okupu. Czasami możesz wynegocjować niższy okup. To jak handel wymienny. Będą pośredniczyć między różnymi postaciami w firmie. Oczywiście płacisz im w kryptowalucie. Nie tylko przesyłasz gotówkę.

Laur: Oczywiście.

Stephanie: Więc mogą to również ułatwić. To znaczy, jeśli spojrzysz na miasto Baltimore, to, co ostatecznie wydali na odzyskanie sił po ataku ransomware, było prawdopodobnie sto razy wyższe niż rzeczywisty okup. Nie pamiętam liczb, ale różnica była śmieszna.

Laur: Więc pewna rada dla miast i gmin to przyjrzenie się swoim systemom i próba ich aktualizacji i ochrony w jakiś sposób.

Stephanie: Tak. Z pewnością w przypadku oprogramowania ransomware upewnij się, że wszystkie systemy są aktualne, załatane. Jeśli spojrzysz na najbardziej udane ataki, ataki zewnętrzne, to one wykorzystują luki w zabezpieczeniach i inne rodzaje luk w oprogramowaniu. To nic nadzwyczajnego. Każdy zawsze uwielbia korzystać z zaawansowanych ataków lub ataków sponsorowanych przez państwo. W rzeczywistości większość z tych ataków jest dość niskobudżetowa, ale wciąż skuteczna.

Drugą rzeczą jest przyjrzenie się swoim kopiom zapasowym. Nie mogę tego wystarczająco podkreślić. Ludzie zawsze pomijają swoje kopie zapasowe. Staje się tym zwykłym procesem informatycznym, na który nikt nigdy nie spojrzy dwa razy, a ludzie go poniżają i nazywają nieważnym. Dziś może być ważniejsze, jeśli nie chcesz płacić okupu.

****

Laur: Cyberbezpieczeństwo to nie tylko powstrzymywanie zagrożeń, które widzisz. Chodzi o zatrzymanie tych, których nie widać. Właśnie dlatego Microsoft Security zatrudnia ponad 3500 ekspertów ds. cyberprzestępczości i wykorzystuje sztuczną inteligencję do przewidywania, identyfikowania i eliminowania zagrożeń, dzięki czemu możesz skupić się na rozwoju swojej firmy, a Microsoft Security może skupić się na jej ochronie. Dowiedz się więcej na microsoft.com/cybersecurity.

****

Laur: Kolejnym interesującym tematem, który pojawił się w 2019 roku, były po prostu ogólne naruszenia bezpieczeństwa danych. Tak więc w 2019 roku naprawdę wydawało się, że co drugi dzień jakaś firma lub ktoś ogłasza naruszenie bezpieczeństwa danych. A potem, według Risk Based Security, w 2019 roku ujawniono ponad siedem miliardów rekordów. Więc kiedy wrócimy do CISO, jak CISO i kierownictwo firmy naprawdę na to zareagują, jeśli rok 2019 był czymś w rodzaju tego roku, w którym [widzieliśmy tak wiele] naruszeń w ciągu jednego roku?

Stephanie: Tak. Myślę, że rok 2019 był wreszcie rokiem zmęczenia naruszeniami. To znaczy, było nam nawet trudno nadążyć za każdym wyłomem, który pojawił się w wiadomościach. Myślę, że to pomaga spojrzeć na to z odpowiedniej perspektywy. Nie każde z tych wyłomów było atakiem. Wiele z nich faktycznie było wynikiem przypadkowych naświetleń. Jeśli na przykład błędnie skonfigurowałeś pamięć masową w chmurze, jest to faktycznie uznawane za naruszenie, nawet jeśli nie ma koniecznie żadnego dowodu na to, że jakakolwiek osoba trzecia lub osoba atakująca z zewnątrz lub organizacja faktycznie niewłaściwie wykorzystała lub nadużyła danych. Tylko fakt, że ktoś wewnętrznie lub często to badacz bezpieczeństwa odkrywa, że ​​wszystkie informacje były mniej ujawnione. To jest uważane za naruszenie.

Ale tak. Jeśli spojrzeć na same naruszenia, 51% firm miało co najmniej jedno naruszenie w ciągu ostatniego roku. A ta liczba jest prawdopodobnie wyższa, ponieważ wiele organizacji nie wie o tym od razu. Ale jest ich duży procent, a właściwie większość, to urządzenia wewnętrzne, będące wynikiem incydentów wewnętrznych, incydentów osób trzecich lub po prostu zgubionych lub skradzionych urządzeń. A jeśli przyjrzysz się prawdziwym naruszeniom zewnętrznym, w których to podmiot zewnętrzny zaatakował Cię i uzyskał dostęp do Twoich poufnych danych, wracając do dużej części swojego niskiego budżetu, trzy główne wektory ataku były bezpośrednim atakiem na Twoją aplikację, wykorzystanie luki w oprogramowaniu lub złamanie poświadczeń użytkownika.

I te trzy, jeśli na nie spojrzysz… Nie znoszę być nonszalanckim i mówić, że jest to łatwe do rozwiązania, ale nie zawsze wymaga to najbardziej zaawansowanej technologii oprogramowania, ale jest to bezpieczne tworzenie aplikacji. Wracając do całego naszego rozwoju i projektowania produktów, wystarczy upewnić się, że tworzone aplikacje przeznaczone dla klientów są z założenia bezpieczne — że wbudowujesz w nie zabezpieczenia od samego początku. Zmniejszy to ogromną liczbę bezpośrednich ataków na aplikacje. A potem, gdy aplikacje zostaną wdrożone w środowisku produkcyjnym, ponownie, chroniąc je wszystkim, od zapór sieciowych aplikacji internetowych po inne rodzaje środków bezpieczeństwa, które w pewnym sensie otaczają aplikację i zabezpieczenia.

Druga sprawa to exploity oprogramowania. Tak wielu atakujących po prostu wykorzystuje luki, które nie zostały usunięte. Tak więc posiadanie naprawdę silnego programu zarządzania podatnościami — nie jest to najseksowniejszy temat na świecie, zarządzanie podatnościami, ale firmy tak naprawdę nie mają dobrego sposobu na ustalanie priorytetów podatności, a następnie ich usuwanie.

Laur: A to nisko wiszący owoc.

Stephanie: Taki nisko wiszący owoc. A potem złamanie poświadczeń użytkownika, uwierzytelnianie wieloskładnikowe.

Laur: Tak. Idź do swojego telefonu. Wpisz hasło. Jednak już się do tego przyzwyczailiśmy.

Stephanie: Prawidłowy. I tak wiele razy z tymi poważnymi naruszeniami… pisaliśmy ten roczny raport wyciągniętych wniosków i prawie stało się to nużące, ponieważ po prostu ciągle udzielałem tych samych porad, takich jak tworzenie bezpiecznych aplikacji, zarządzanie podatnościami, szyfrowanie poufne dane, które posiadasz, a następnie uwierzytelnianie dwuskładnikowe, a następnie posiadanie solidnego programu wykrywania i reagowania na incydenty. Więc wciąż są tam nisko wiszące owoce. Chodzi mi o to, że dużo mówimy o zaawansowanych atakach i rosnącej powierzchni ataku i to prawda, ale znowu nie zajęliśmy się tak wieloma podstawami.

Laur: A te podstawy, jak powiedziałeś, piszesz o nich od lat. Czy uważasz, że niektóre z tych ważniejszych ataków dodają koloru i być może przyciągają uwagę ludzi w sposób, w jaki są gotowi poświęcić część budżetu IT na luki w zabezpieczeniach?

Stephanie: Robią. Uważam, że w kwestii uwierzytelniania wieloskładnikowego jest to już zapomniany wniosek i przyjęta najlepsza praktyka — musisz to mieć na swoim miejscu. Zajęło to chwilę. To musiało być naruszenie za naruszeniem. To musiała być branża mówiąca o dwóch czynnikach, dwóch czynnikach, dwóch czynnikach. Nawet firmy zajmujące się technologiami konsumenckimi mówią swoim klientom: „Włącz dwuskładnikowy, włącz dwuskładnikowy”. Myślę więc, że im częściej powtarzamy niektóre z tych najlepszych praktyk, tym bardziej w końcu są one zakorzenione. Mam nadzieję, że to samo stanie się z bezpiecznym tworzeniem aplikacji.

I znowu, zarządzanie podatnościami, mające sposób na ustalenie priorytetów podatności, którymi trzeba się zająć, jest naprawdę ważne. Każdego roku do National Vulnerability Database są dodawane tysiące luk, z których 30% jest uznawanych za krytyczne. Więc to nie pomaga. Potrzebny jest wewnętrzny proces dalszego ustalania priorytetów podatności na podstawie własnego kontekstu biznesowego, kontekstu IT i własnego środowiska zagrożeń, aby pomóc w załataniu systemu.

Laur: Bo inaczej to po prostu...

Stephanie: To byłoby przytłaczające.

Laur: Tak przytłaczające.

Stephanie: Tak.

Laur: Myślę, że banki i branża bankowa to jedna z branż, które wymuszają uwierzytelnianie dwuskładnikowe. Czy widzisz jakieś konkretne branże, które robią to z zabezpieczaniem aplikacji lub tworzeniem bezpiecznych aplikacji?

Stephanie: Tworzenie bezpiecznych aplikacji, kto moim zdaniem może być w czołówce? To jest dobre pytanie. Nie wiem, czy jakakolwiek inna branża naprawdę się wyróżnia. Niedawno zrobiliśmy ten raport o bezpieczeństwie aplikacji i był on całkiem otwarty, a także ponury. Nie był to raport poprawiający samopoczucie. A potem zrobiliśmy wersję branżową, w której przefiltrowaliśmy dane, które posiadaliśmy od rządu. A rząd federalny był jeszcze gorszy niż sektor prywatny, więc to dość niepokojące. Myślę, że branżami, które mogą mnie najbardziej obchodzić, byłaby opieka zdrowotna i rząd.

Laur: A to są dwa, których większość ludzi prawdopodobnie używa częściej niż prawie cokolwiek innego.

Stephanie: Prawidłowy.

Laur: Tak. Opieka zdrowotna wcale nie jest małym problemem. Pomysł na dane szpitalne, dane osobowe, ale także PII [informacje identyfikujące osobowo] i po prostu dostanie się do systemów i maszyn. Czy wszystko jest problemem? Kiedy wszystko jest problemem, jak właściwie nadać temu priorytet, jeśli jesteś instytucją opieki zdrowotnej?

Stephanie: Tak. Myślę, że w opiece zdrowotnej przez długi czas tak duży nacisk kładziono na przestrzeganie HIPAA. Mówiąc o specyfice USA. W USA kładziono tak duży nacisk na przestrzeganie HIPAA, że nawet CISO koncentrowali się na HIPAA, w przeciwieństwie do prawdziwego cyberbezpieczeństwa. Tak więc historycznie często stwierdzaliśmy, że opieka zdrowotna wydaje na bezpieczeństwo mniej niż inne branże. I znowu, jeśli mieli CISO, często stwierdzaliśmy, że nie zgłaszał wystarczająco wysokich raportów w organizacji lub miał odpowiedni zakres kontroli. To się zmienia. Myślę, że tam, gdzie zmaga się również opieka zdrowotna, nawet jeśli zajmują się niektórymi historycznymi problemami budżetowymi, które mieli, jest to branża, która zmaga się z kosztami. Jeśli masz dolara do wydania na system kliniczny w porównaniu z cyberbezpieczeństwem, jest to naprawdę trudny wybór, szczególnie w Stanach Zjednoczonych, gdzie wydajemy tak dużo na opiekę zdrowotną, ale nadal mamy najgorsze wyniki opieki zdrowotnej ze wszystkich rozwiniętych krajów. To prawdziwa walka, że ​​bezpieczeństwo wymaga przyzwoitej kwoty budżetu, aby dobrze sobie radzić.

Tak. Tak więc opieka zdrowotna, martwi mnie to, że są w tyle za innymi branżami pod względem ogólnej dojrzałości, ale myślę, że to się zmienia. Myślę, że następnym obszarem, który prawdopodobnie dotyczy mnie w opiece zdrowotnej, będzie bezpieczeństwo urządzeń medycznych i bezpieczeństwo aplikacji.

Laur: Tak, to zupełnie inny, przerażający temat, prawda? No cóż, na koniec, od 2019 roku myślałem o tym, że ten temat jest szeroki i obszerny, ale także bardzo ważny dla większości firm, które faktycznie produkują fizyczny przedmiot lub wysyłają rzeczy z jednego miejsca do drugiego, co jest atakami na bezpieczeństwo łańcucha dostaw. Jeśli łańcuch dostaw firmy jest tak długi i skomplikowany, nie mówimy tu tylko o zabezpieczeniu, tak, fizycznego lokalu lub chmury. To także produkt. Skąd jest wysyłany, dokąd zmierza, a także od dostawców.

Stephanie: Części.

Laur: Komponenty i dostawcy, z którymi współpracujesz.

Stephanie: Tak. Myślę, że wiele z tego zacznie się od ogólnego ryzyka stron trzecich. Ryzyko strony trzeciej i ryzyko łańcucha dostaw, mam na myśli, że łańcuch dostaw jest rodzajem podzbioru ogólnego ryzyka strony trzeciej. Ogólnie powiedziałbym, że ryzyko stron trzecich było jednym z pięciu głównych wyzwań, z którymi wielu naszych klientów CISO rozmawiało przez ostatnie kilka lat. Ponownie, jeśli spojrzysz na dane o naruszeniu, prawie dobre 25% do 30%, gdzieś w tym zakresie naruszeń jest wynikiem stron trzecich. A typowe duże przedsiębiorstwo może mieć nawet 300 relacji ze stronami trzecimi, jeśli dodać do tego nie tylko dostawców, ale także dostawców usług IT, dostawców chmury. Kiedyś przeprowadziłem analizę wpływu biznesowego, w której inwentaryzowałem wszystkie relacje z osobami trzecimi dla naprawdę średniej wielkości organizacji, liczącej tysiąc pracowników. I znalazłem około 30 relacji z osobami trzecimi, o których dział IT nic nie wiedział.

Laur: Och, wow.

Stephanie: I teraz zabierasz to do dużego przedsiębiorstwa. Myślę więc, że wiele z tego wróci, jeśli zaczniesz od podstawowego programu ryzyka stron trzecich. Jeden, masz jeden? Czy bezpieczeństwo jest związane z ryzykiem stron trzecich? Czy mają możliwości weta w stosunku do relacji z osobami trzecimi? I nie jest to tylko jednorazowa ocena stanu bezpieczeństwa osób trzecich. Jest to również stały związek, w którym okresowo je oceniasz. Istnieje wiele wymagań do zdefiniowania, takich jak umowy dotyczące poziomu usług, dotyczące bezpieczeństwa ze stronami trzecimi. Tak więc wszystko zaczyna się od podstawowego zarządzania ryzykiem stron trzecich. A potem myślę, że rozszerzy się to również na ryzyko łańcucha dostaw.

Laur: I prawdopodobnie zobaczysz, że ludzie lub firmy po prostu prezentują najlepsze praktyki. Przekazują to wszystkim swoim dostawcom. Jeśli więc oczekujesz współpracy z nami, będziesz musiał przestrzegać tych procedur.

Stephanie: Dokładnie tak.

Laur: OK.

Stephanie: Dokładnie tak. Tak. Chciałem napisać ten raport od jakiegoś czasu, co oznacza, że ​​dla długoterminowego sukcesu biznesowego zachowuję się jak firma zajmująca się naruszeń. Firmy, które faktycznie miały mega włamania i w pewnym sensie przetrwały początkowe następstwa, po około pięciu latach faktycznie osiągają wyniki biznesowe, które często przewyższają S&P 500. A jeśli cofniesz się i przyjrzysz wiele z tego, skończone, zmusza ich do podejmowania zarówno naprawdę trudnych decyzji biznesowych, jak i decyzji dotyczących IT i bezpieczeństwa. Tak więc z perspektywy biznesowej zmusi ich to do zmiany priorytetów wielu strategicznych inicjatyw, ponieważ naruszenie kosztowało ich 300 milionów, 500 milionów, a nawet 1 miliard dolarów. Zmusza ich to więc do dużo trudniejszego spojrzenia na ogólną strategię biznesową i operacje biznesowe, ponieważ po prostu nie mają pieniędzy na wszystko. Lub w niektórych przypadkach muszą odciąć się od złych decyzji, które trzymali, jak wydawanie pieniędzy.

Z perspektywy IT zobaczymy, jak wdrażają rzeczy, które powinni byli robić od początku. Ryzyko osób trzecich. Miałem jedną firmę, która miała naruszenie, powiedziała, że ​​po naruszeniu, wiesz, nie można kupić ołówka bez …

Laur: Aprobata.

Stephanie: Aprobata. I niekoniecznie chcesz posuwać się do takiej skrajności, ale było jasne, że wcześniej nie mieli ryzyka ze strony osób trzecich. Albo zatrudnią CSO lub zmienią miejsce, do którego zgłasza się CSO, zaczną finansować programy reagowania na incydenty i reagowania na naruszenia. Tak więc naruszenie faktycznie zmusza ich do bycia znacznie bardziej dojrzałą i lepszą firmą. Szkoda tylko, że musieli przejść przez wyłom, aby się tam dostać.

Laur: Aby tam dotrzeć. Myślę, że prawdopodobnie tak właśnie powinna wyglądać w pewnym momencie każda firma, czy rzeczywiście robimy wszystko, co powinniśmy robić we właściwy sposób? Jaki jest stan rzeczy, stan firmy? i przyjrzeć się uważnie. Ale jestem pewien, że to również nie uczyniłoby cię bardzo popularnym, gdyby to było tylko ćwiczenie.

Stephanie: Tak.

Laur: Jeśli przechodzisz przez straszne naruszenie bezpieczeństwa, to masz wymówkę. Wracamy więc do całej sprawy, w której gdy dzieje się coś strasznego, teraz masz wymówkę, aby…

Stephanie: Myślę, że oceny dojrzałości są w tym pomocne. Mam na myśli, że istnieje wiele branżowych ocen dojrzałości cyberbezpieczeństwa. W firmie Forrester mamy własne oceny dojrzałości. Tak więc często okazuje się, że klienci będą traktować to jako punkt odniesienia, a następnie mogą udać się do zarządu i udać się do swoich dyrektorów biznesowych i IT i powiedzieć: „Spójrz, wbrew najlepszym praktykom w branży, oto, gdzie jesteśmy dojrzali , a tutaj naprawdę jesteśmy słabi. Pomaga im to również zacząć tworzyć mapy drogowe, a następnie uzasadniać finansowanie konkretnych inicjatyw, ponieważ można powiedzieć, że poprawi to naszą dojrzałość z 1,5 do 3. I to jest naprawdę, w naszej branży musimy być przynajmniej 3 w tym obszarze.

Tak więc myślę do twojego punktu, biorąc tę ​​podstawę do najlepszych praktyk branżowych i wybieram ocenę dojrzałości, wiesz – Forrester’s, jakaś inna firma konsultingowa. Ale wybacz sobie swoją postawę bezpieczeństwa, komunikuj wyniki, współpracuj z biznesem, aby ustalić realistyczne cele dotyczące tego, gdzie powinieneś być jako firma i branża. A to naprawdę napędza twoją mapę drogową i dużo twoich funduszy. Więc to daje ci prawdziwą północ, na którą możesz wskazać.

Laur: I to sprowadza Cię na drogę bezpieczeństwa jako wyróżnika.

Stephanie: Dokładnie tak.

Laur: Tak. Tak więc w 2020 prawdopodobnie zobaczymy więcej tego prawdopodobnie. Ale jeszcze kilka niepokojących dodatków. Tylko pokrótce poruszyliśmy temat geopolityki. Koniec roku pokazał nam trochę wyboistą drogę konkretnie z Iranem. Jak myślisz, jak bardzo przeciętne firmy są zaniepokojone geopolityką, czy może to po prostu jakiś zły aktor, którego potrzebują, aby wzmocnić bezpieczeństwo?

Stephanie: Właściwie napisaliśmy ten raport z powrotem, chcę powiedzieć, że początkowo w 2016 r. i był on przeznaczony dla CISO. A jego tytuł brzmiał Ignoruj ​​ryzyko geopolityczne na własne ryzyko. I to właśnie ten pomysł sprawił, że CISO naprawdę musieli się obudzić, aby uświadomić sobie konsekwencje ryzyka geopolitycznego dla cyberbezpieczeństwa. Tak, to jest dzisiaj Iran. W przyszłości może to być inny kraj. Nawet jeśli myślisz, że nie jestem w rządzie, nie jestem w krytycznej infrastrukturze, organizacje sektora prywatnego są cały czas celem. Znowu, w niektórych przypadkach, ponieważ są to łatwe cele, ponieważ prowadzisz interesy z rządem federalnym.

Musisz więc obawiać się ryzyka geopolitycznego. I znowu, w przypadku wielu dużych przedsiębiorstw, w których prowadzisz działalność międzynarodową, musisz pomyśleć o tym, jak wpłynie to na twoich pracowników, biura, strony trzecie, z którymi prowadzisz interesy. Tak więc, jakby CSO nie miały wystarczająco dużo do roboty, muszą liczyć się z ryzykiem geopolitycznym. Jak to zwiększa ryzyko? Czy to czyni ich bardziej celem? Właściwie, co ciekawe, jeśli spojrzysz na niektóre naruszenia, znasz na przykład Marriotta. Hymn, zapomniałem, że to było jakieś trzy lata temu. Nie sądziliby, że są celem państwa narodowego, ale to ich danych chcieli.

Laur: Oczywiście. I czy tego rodzaju nazwy markiz są bardziej zagrożone, czy naprawdę to tylko tak, masz jakieś świetne dane?

Stephanie: Myślę, że w tych szczególnych przypadkach chodziło mniej o nazwę, a więcej o dane, które posiadali. Wiesz, w przypadku Marriotta mieli niewiarygodnie szczegółowe informacje na temat zwyczajów podróżowania pracowników rządowych i wyższych urzędników. Myślę, że w niektórych przypadkach mieli nawet kopie numerów paszportów jako część wrażliwych danych, które zostały naruszone.

W przypadku gry Anthem masz poufne informacje medyczne o osobach. Musisz pomyśleć o ryzyku geopolitycznym i o tym, jak państwo może wykorzystać twoje dane.

Laur: Jest tam na pewno dużo. Ale co z polityką wewnętrzną i ryzykiem? 2020 to rok wyborczy. Ale poza zabezpieczeniem urny wyborczej, jakie inne grupy zainteresowań i kampanie mogą gromadzić dane, które mogą być celem?

Stephanie: Tak, mam na myśli, że to interesujące. Cóż, znowu, umiejętność namierzania wyborców jest bardzo potężna. Więc znowu, jeśli jesteś organizacją konsumencką, która ma bardzo szczegółowe informacje o osobach, takie jak preferencje, upodobania, nawyki. Niekoniecznie muszą być wykorzystywane do nikczemnych celów, takich jak kradzież tożsamości. Ale znowu, może być używany przez kogoś, kto chce namierzyć i wpłynąć na te osoby. Tak więc ponownie widzę, że jeśli jesteś firmą konsumencką, która ma niewiarygodnie szczegółowe dane na temat preferencji, zachowań zakupowych, postaw, wszystko to z pewnością byłoby naprawdę gotowe do targetowania.

Laur: Oprócz ataków typu deepfake, prawda?

Stephanie: Tak.

Laur: Czy można więc powiedzieć, że deepfake są jak nowy phishing, czy to tylko posmak phishingu?

Stephanie: Smak. To rodzaj kolejnej ewolucji inżynierii społecznej. Jakby inżynieria społeczna nie była wystarczająco trudna do rozwiązania, teraz musimy zmagać się również z deepfake'ami. Mam wrażenie, że deepfake dojrzewały o wiele szybciej, niż oczekiwała branża. Pamiętam, że czytałem i słuchałem podobnych podcastów i ekspertów, którzy mówili: „No wiesz, wciąż dzieli nas wiele lat od deepfake’ów, które naprawdę potrafią oszukać ekspertów”. I czuję, że ta oś czasu była daleko.

Laur: Droga przyspieszona.

Stephanie: Droga przyspieszona.

Laur: Forrester ma więc ten świetny raport o nazwie Prognozy 2020 i przewiduje się, że deepfake będą kosztować firmy ponad ćwierć miliarda dolarów w przyszłym roku. Tak więc technologia przyspiesza, ale także wpływ i szkody.

Stephanie: Tak, zgadza się. I myślę, że tak jak w przypadku typowego naruszenia, istnieją bezpośrednie koszty. Więc jeśli myślisz o typowych atakach, takich jak socjotechnika. Niedawno była to niemiecka firma, której ktoś był w stanie przekonująco sfałszować głos dyrektora generalnego i przekonali innego dyrektora w firmie, aby przekazał im coś w rodzaju ćwierć miliona dolarów. Oto przykład Twojej następnej ewolucji w zakresie kompromisów biznesowych i ataków socjotechnicznych. Więc możesz sobie wyobrazić, że jest jeszcze bardziej wyrafinowany, w większej skali, ale także radzi sobie z jego skutkami. Udowodnienie, że to był deepfake, radzenie sobie z reakcją na włamanie, jak sobie z tym radzisz. Uważamy, że całkowity koszt może być znaczny.

Laur: Czy jest to coś, z czym firmy ubezpieczeniowe są gotowe lub mogą sobie poradzić?

Stephanie: Co ciekawe, ten przykład, który właśnie podałem, więc jest to deepfake, wszystko wydarzyło się przez infrastrukturę komputerową. Byłoby to uważane za oszustwo w przeciwieństwie do ataku z zewnątrz. Więc nie jestem pewien, czy twoje ubezpieczenie cybernetyczne faktycznie to pokryłoby.

Laur: Wow.

Stephanie: I wiem, że wiele firm robi to w ramach swojej odpowiedzi. Zakłada się, że spora część tego zostanie omówiona. W przypadku dużego przedsiębiorstwa posiadanie polisy ubezpieczenia cybernetycznego o wartości 100 milionów dolarów nie jest niczym niezwykłym. Więc jeśli liczysz na to, że będziesz w stanie wykorzystać te 100 milionów dolarów, w zależności od charakteru dokładnie tego, co się stało. Jeśli zostanie to sklasyfikowane jako oszustwo, mogą go nie obejmować.

Laur: Co mogliby zrobić dyrektorzy? Wróć do tajnych haseł i uścisków dłoni lub...

Stephanie: Tak, żarty na bok. Jeśli w tych instancjach przelewów bankowych lub w jakiejkolwiek innej rzeczy związanej z danymi wrażliwymi, posiadanie tego drugiego czynnika, uwierzytelnianie, myślę, że faktycznie jest naprawdę ważne.

Laur: Ciekawy. Oczywiście deepfake, dużo szybko zmieniającej się technologii, wszystko się porusza i staje się o wiele bardziej wyrafinowane. Więc nie mówimy tylko o dobrych ludziach, którzy mają dostęp do całej technologii. Źli też to robią. Na co więc patrzymy w innej prognozie Forrestera dotyczącej uzbrojonej sztucznej inteligencji i uczenia maszynowego? To obszerny temat, ale przy tak szybko postępującej technologii i dostępie wszystkich do tych samych narzędzi, czy trwa wyścig zbrojeń, czy po prostu wszyscy musimy uważać na siebie i po prostu załatwić sprawę?

Stephanie: Myślę, że to jedno i drugie. Mam na myśli, że bezpieczeństwo to odwieczny wyścig zbrojeń. Powiem, myślę, że zespoły ds. bezpieczeństwa muszą bardzo szybko przyjąć uczenie maszynowe i inne rodzaje sztucznej inteligencji. Tak szybko, jak źli są. Mam na myśli ogromne możliwości automatyzacji wielu naszych podstawowych procesów w zakresie bezpieczeństwa. Wszystko, od wykrywania, przez naprawę, po właściwą reakcję.

Korzystanie z uczenia maszynowego w celu uzyskania lepszych możliwości wykrywania. Więc wyobraźmy sobie, że bylibyśmy w stanie szybciej coś wykryć, a wtedy o wiele więcej naszej reakcji było zautomatyzowane. Obecnie wiele z tego, co robimy, jest bardzo ręczne. Instrukcja wykrywania, tak jak często zdarzają się zespoły bezpieczeństwa, na przykład, jeśli spojrzysz na typowy SOC, mam na myśli, że są zalane tysiącami alertów. Próba zrozumienia, które alerty są ważniejsze niż inne, jest trudna. Więc znowu jest to rodzaj ustalania priorytetów. Podobnie jak natychmiastowe zrozumienie, które z nich są naprawdę nikczemne i niebezpieczne, ma kluczowe znaczenie. I możesz zatrudnić tyle osób, ile chcesz. Nigdy nie będziesz w stanie za nim nadążyć.

Laur: Prawidłowy.

Stephanie: Więc naprawdę potrzebujesz technologii, aby zrobić to za Ciebie. Ale kiedy już wiesz, że coś naprawdę jest złośliwe, znowu, teraz jest to ręczny proces, który został uruchomiony, co oznacza, że ​​musisz ręcznie zresetować hasła użytkownika. Musisz ręcznie odizolować urządzenia od sieci. Wszystko odbywa się ręcznie, aw niektórych przypadkach wciąż mamy wiele kroków, w których prosimy o zatwierdzenie. W przyszłości wszystko to stanie się automatycznie. Potrzebujesz firmy, która będzie z tobą współpracować, aby powiedzieć: „OK, od teraz, jeśli osiągnie pewien próg, jeśli jesteśmy w 90% pewni, że jest to złośliwe, to zespół ds. Bezpieczeństwa, wszystkie procesy są zautomatyzowane”. Wszystko, co właśnie opisałem, jak resetowanie haseł, izolowanie urządzeń, wszystko to może się zdarzyć automatycznie. Nie musisz czekać na niczyją aprobatę.

Laur: A czas jest najważniejszy?

Stephanie: Tak, więc musimy porozmawiać o firmach, które muszą przejść transformację cyfrową, aby sprostać nowym oczekiwaniom klientów i zmieniającym się wymaganiom biznesowym. Myślę, że zespoły ds. bezpieczeństwa muszą przejść własną cyfrową transformację, ponieważ wszystko, co robimy dzisiaj, jest tak ręczne i czasochłonne. A jeśli mamy nadążyć za cyberprzestępcami wykorzystującymi te technologie, musimy to zrobić raczej wcześniej niż później.

Była jedna firma, która wykorzystywała algorytmy uczenia maszynowego, aby kierować reklamy do osób o bardziej wyrafinowanych wiadomościach socjotechnicznych i była w stanie zwiększyć nie tylko łączną liczbę osób, które udało im się za pomocą inżynierii społecznej, ale także wykładniczy sukces kliknięć dzięki uczeniu maszynowemu i technologie automatyzacji. Więc tak, musimy nadążyć.

Laur: Czy powiedziałbyś, że są jakieś inne konkretne trendy, na które patrzysz w 2020 roku, lub rzeczy, na które ludzie powinni zwracać uwagę?

Stephanie: Naprawdę uważam, że ryzyko stron trzecich i łańcuch dostaw będą nadal stanowić poważny, poważny problem. A to właściwie inny obszar ze względu na rozmiar problemu. Kiedy mówię o przedsiębiorstwie mającym 300 relacji z osobami trzecimi – to tylko średnia. Są duże firmy, których liczba jest nawet większa, a ocena postawy, negocjowanie umów SLA, kontynuacja ich oceny, obserwowanie ich, uzyskiwanie od nich logów, aby zrozumieć, gdzie są Twoje dane, jest bardzo czasochłonne. Tak więc samo wyzwanie związane z ryzykiem strony trzeciej wymaga własnego zestawu narzędzi automatyzacji i reguł łańcucha dostaw. Myślę, że transformacja SOC nadal będzie problemem w 2019 roku.

Laur: Centrum operacyjne bezpieczeństwa?

Stephanie: Centrum operacyjne bezpieczeństwa. Jakbyśmy nie mieli umiejętności i brakowało kadry. Nawet gdybyś mógł zatrudnić wszystkich ludzi, których chcesz, nie nadążysz za skalą i wyzwaniem problemów. Więc tam również musisz zastosować automatyzację.

Laur: Czy widzisz firmy wdrażające automatyzację najpierw być może w dziedzinie bezpieczeństwa, podczas gdy w innych obszarach działalności mogły być bardziej niezdecydowane?

Stephanie: Tak. I przez długi czas wahano się przed przyjęciem automatyzacji, ponieważ istniała obawa, że ​​mogę zablokować legalną transakcję biznesową. I wiesz, historycznie zespół ds. bezpieczeństwa miał problemy z byciem postrzeganym jako partner biznesowy. Były to wydział nr. I tak pojawił się przerażający strach przed potencjalnym zablokowaniem jakiejkolwiek legalnej transakcji biznesowej. Myślę, że ten strach zniknął, biorąc pod uwagę wszystkie wyrwy, które mamy. Biznes jest taki: „Nie, wiesz, że coś jest złośliwe, blokujesz to”.

Laur: Prawidłowy.

Stephanie: „Lub w ramach pewnej pewności, myślisz, że to złośliwe, blokujesz to”. Tak więc zdecydowanie istnieje otwartość na automatyzację. Powiem, jest takie zdanie, jak nie automatyzuj głupich. Nie możesz po prostu zainwestować w technologię automatyzacji, jeśli brakuje Ci podstawowych procesów w SOC. Tak więc musisz dojrzeć swoje operacje SOC i mieć dojrzałe procesy, a następnie możesz je zautomatyzować. W przeciwnym razie po prostu automatyzujesz głupie. W niektórych przypadkach właśnie dlatego wiele firm zwraca się w stronę usług zarządzanych.

Zdecydowana większość budżetu na bezpieczeństwo jest obecnie przeznaczana na usługi. Niezależnie od tego, czy są to usługi konsultacyjne, profesjonalne usługi zarządzane, czy też zabezpieczenia faktycznie dostarczane jako usługa z chmury. Odchodzi od produktów lokalnych w kierunku usług. I myślę, że częściowo odzwierciedla to potrzebę, że zespoły ds. bezpieczeństwa potrzebują pomocy z zewnątrz. Mają skalę problemów, mają problem z wiedzą ekspercką, więc coraz częściej zwracają się do usług. A następnie, gdy firma staje się coraz bardziej oparta na chmurze, Twoje technologie bezpieczeństwa również muszą stać się oparte na chmurze.

Laur: I szybko.

Stephanie: Dokładnie tak.

Laur: Tak. I to z pewnością zatacza koło, nie idźcie sami. Nie możesz zrobić tego wszystkiego sam na pustyni.

Stephanie: Absolutnie nie.

Laur: Cóż, bardzo ci dziękuję, Stephanie. Wspaniale było mieć Cię dzisiaj w Business Lab.

Stephanie: Dzięki za zaproszenie. Wspaniale było tu być.

Laur: Była to Stephanie Balaouras, wiceprezes i dyrektor grupy ds. badań bezpieczeństwa i ryzyka, a także badań infrastruktury i operacji w firmie Forrester Research, z którą rozmawiałem z Cambridge w stanie Massachusetts, siedziby MIT i MIT Technology Review, z widokiem na rzekę Charles. Dziękujemy również naszemu partnerowi Microsoft Security.

To tyle w tym odcinku Business Lab. Jestem twoim gospodarzem, Laurel Ruma. Jestem dyrektorem Insights, działu custom publishing w MIT Technology Review. Założyliśmy nas w 1899 roku w Massachusetts Institute of Technology, a każdego roku można nas znaleźć w formie drukowanej, w Internecie, na dziesiątkach wydarzeń na żywo. Aby uzyskać więcej informacji o nas i programie, odwiedź naszą stronę internetową TechnologyReview.com. Ten program jest dostępny wszędzie tam, gdzie otrzymujesz podcasty. Jeśli podobał Ci się ten odcinek, mamy nadzieję, że poświęcisz chwilę, aby nas ocenić i zrecenzować. Business Lab to produkcja MIT Technology Review. Ten odcinek został wyprodukowany przez Collective Next. Dziękuję za słuchanie.

Zagrożenia bezpieczeństwa są wszędzie. Dlatego Microsoft Security zatrudnia ponad 3500 ekspertów ds. cyberprzestępczości stale monitorujących zagrożenia, aby pomóc chronić Twoją firmę. Więcej na Microsoft.com/cybersecurity.

ukryć