211service.com
Jak wstyd publiczny może wywołać rewolucję w dziedzinie bezpieczeństwa komputerowego?
Liczby są przygnębiające. Szacunkowa 700 milionów rekordy danych zostały skradzione w 2015 roku. Jednak pomimo miliardów wydanych na bezpieczeństwo komputerów, luki, które umożliwiają takie ataki, są naprawiane powoli. Czerwiec raport Okazało się, że na przykład firmy finansowe potrzebują średnio ponad pięciu miesięcy, aby naprawić znane luki w zabezpieczeniach online.
Branża bezpieczeństwa dostaje 75 miliardów dolarów każdego roku, aby spróbować zabezpieczyć rzeczy, a dostajesz za to, że wszyscy są cały czas hackowani, powiedział Jeremiah Grossman, szef strategii bezpieczeństwa w SentinelOne, przemawiając na konferencji bezpieczeństwa Black Hat w Las Vegas na temat Środa.
Jednak Grossman i niektórzy inni weterani branży bezpieczeństwa stali się ostatnio bardziej optymistyczni. Widzą szansę, że wkrótce firmy będą miały znacznie silniejsze bodźce finansowe do inwestowania w zabezpieczenie i utrzymanie oprogramowania.
Nowa organizacja non-profit o nazwie Cyber Niezależne Laboratorium Badawcze (CITL) opracował sposoby oceniania i porównywania zabezpieczeń oprogramowania, takiego jak przeglądarki internetowe i systemy operacyjne. Celem jest pomoc konsumentom i firmom w wyborze najbezpieczniejszych produktów oraz zawstydzanie tych, którzy narażają nasze dane na ryzyko, by radzili sobie lepiej.
Wysiłek ten pojawia się w czasie, gdy firmy ubezpieczeniowe zaczęły interesować się zrozumieniem ryzyka naruszenia bezpieczeństwa, co może stworzyć nowe zachęty finansowe dla firm do zwracania uwagi na bezpieczeństwo. Ubezpieczyciele mogą wywierać presję na firmy w podobny sposób, jak rola branży w zwiększaniu bezpieczeństwa samochodów i urządzeń elektrycznych. PwC zgłoszone ostatni rok że firmy są zmuszone w większym stopniu polegać na ubezpieczeniach cybernetycznych, ponieważ koszty naruszeń danych korporacyjnych szybko rosną.
Peiter Zatko, znany haker znany jako Mudge, przemawiający w tym tygodniu na konferencji poświęconej bezpieczeństwu Black Hat.
CITL został założony przez znanego hakera Peitera Zatko, znanego również jako Mudge, i jego żonę Sarah, która również jest badaczem bezpieczeństwa. Para zaprezentowała swoje pierwsze wyniki na środowej konferencji Black Hat, pokazując, w jaki sposób opracowane przez nich metody analizy mogą przypisywać szereg ocen bezpieczeństwa do różnych programów.
CITL jest wzorowany Raporty konsumenckie , i opublikuje oceny skierowane do osób niebędących ekspertami, a także bardziej szczegółowe oceny dla znawców branży. Od lat staramy się skłonić ludzi do dbania o bezpieczeństwo, a jeśli ktoś mówi „OK, co mam zrobić?”, nie wiemy, co zrobić, jeśli chodzi o następny krok, powiedziała Sarah Zatko. Możemy doradzić, jakiej przeglądarki użyć, ale nie mamy zbyt wielu dowodów na poparcie tego.
Zatkos przedstawił wstępne dane porównujące podatność na ataki programów na komputery Apple. Przeglądarka Google Chrome znalazła się w 75. percentylu wszystkich analizowanych programów dla tego systemu operacyjnego, z Safari na 59. Microsoft Office i przeglądarka Mozilla Firefox były bardziej podatne na ataki, zajmując odpowiednio 37 i 35 punktów. Analiza CITL systemu Windows 10 firmy Microsoft sugeruje, że firma korzysta z bardziej nowoczesnych metod we własnym systemie operacyjnym. Bardziej szczegółowe analizy przeprowadzone przez CITL wykazały, że Microsoft i Mozilla w swoich programach na komputery Apple nie zastosowały standardowych sposobów zabezpieczania oprogramowania przed atakami.
CITL jest finansowany z ramienia badawczego Pentagonu, Air Force Research Lab i Fundacji Forda. Planuje opublikować swoje pierwsze duże zbiory danych na początku przyszłego roku i już prowadzi rozmowy z firmami ubezpieczeniowymi zainteresowanymi wykorzystaniem jego danych.
Grossman ma nadzieję, że analizy CITL mogą pomóc zmusić firmy do wzięcia odpowiedzialności za ich błędy w zakresie bezpieczeństwa. Badania sugerują, że incydenty związane z bezpieczeństwem mają niewielki wpływ na cenę akcji firmy, a roszczenia z tytułu odpowiedzialności prawnej zwykle kończą się niepowodzeniem. Firmy sprzedające oprogramowanie i produkty zabezpieczające nie oferują również gwarancji lub gwarancji typowych dla bardziej tradycyjnych towarów i usług.
Grossman przewiduje, że dane z CITL i niektórych startupów pracujących nad sposobami oceniania i porównywania odporności firm na zagrożenia bezpieczeństwa pozwolą również ubezpieczycielom wymusić dużą zmianę podejścia do bezpieczeństwa.
Szacuje, że firmy wydają obecnie około 3,5 miliarda dolarów rocznie na ubezpieczenie, które wypłaca się w przypadku naruszenia korporacyjnego, a wydatki rosną o 50 procent lub więcej rocznie. Ubezpieczyciele koncentrują się obecnie na poszerzaniu rynku i nie opierają składek ani wypłat na dokładnej kontroli stanu technologii firmy. Pracują jednak nad zebraniem niezbędnych do tego danych aktuarialnych. Myślę, że to tylko kwestia czasu, zanim zmienią się mistrzowie branży bezpieczeństwa informacji, powiedział Grossman.