Wraz z rozwojem cyberbezpieczeństwa, Twoja tablica powinna też

W związku z Cortex Xpanse firmy Palo Alto Networks

Ale ilu reżyserów gubi się w technicznych szczegółach technologii? Wyzwaniem dla dyrektora ds. bezpieczeństwa informacji (CISO) jest rozmowa z zarządem w taki sposób, aby mogli zrozumieć i wesprzeć firmę.

Przerażające nagłówki, prawnicy, procesy sądowe i menedżerowie ds. ryzyka wwiercają się w szefów zarządów i członków kierownictwa: cyberbezpieczeństwo to wysokie ryzyko. Musi znaleźć się na liście najważniejszych priorytetów firmy.

Niall Browne, starszy wiceprezes i dyrektor ds. bezpieczeństwa informacji w Palo Alto Networks, mówi, że można spojrzeć na dyskusję zarządu CISO jako na klasyczną prezentację sprzedażową: odnoszący sukcesy CISO będą wiedzieć, jak zamknąć transakcję, tak jak robią to najlepsi sprzedawcy. To właśnie sprawia, że ​​jest naprawdę dobrym sprzedawcą: osoba, która ma szanse na zamknięcie, mówi. Mają możliwość sfinalizowania transakcji. Więc proszą o coś.

Browne mówi, że od wieków CISO mieli dwa poważne problemy z płytami. Po pierwsze, nie byli w stanie mówić tym samym językiem, aby zarząd mógł zrozumieć, o co chodzi. Drugi problem: nie było prośby. Możesz podejść do zarządu i wygłosić prezentację, a dyrektorzy mogą wyglądać, jakby się zgadzali, kiwać głową lub kiwać głowami, i możesz sobie pomyśleć: skończona robota. Są aktualizowane. Ale to niekoniecznie oznacza, że ​​stan bezpieczeństwa firmy jest lepszy.

Dlatego ważne jest, aby CISO podnieśli zrozumienie zarządu do poziomu, na którym wiedzą, co jest potrzebne i dlaczego. Zwłaszcza jeśli chodzi o nowe postępy w cyberbezpieczeństwie, takie jak zarządzanie powierzchnią ataku, która jest prawdopodobnie jednym z obszarów, na których CISO najmniej się skupiają, a jednocześnie jest najważniejszy, mówi Browne. Na przykład, wiele razy CISO i zespół bezpieczeństwa mogą nie być w stanie zobaczyć drewna z drzew, ponieważ są w to bardzo zaangażowani. Aby to zrobić, CISO potrzebuje zestawu wskaźników, aby każdy mógł przeczytać talię planszową i w ciągu kilku minut zrozumieć, co CISO próbuje przekazać, mówi Browne. Ponieważ w większości dane są dostępne, ale nie ma za nimi kontekstu.

Ten odcinek Business Lab jest produkowany we współpracy z Palo Alto Networks.

Pełny transkrypcja :

Laur Ruma : Z MIT Technology Review, nazywam się Laurel Ruma, a to jest Business Lab, program, który pomaga liderom biznesu zrozumieć, jak nowe technologie wychodzą z laboratorium i trafiają na rynek.

Naszym dzisiejszym tematem jest cyberbezpieczeństwo i odpowiedzialność korporacyjna. W ostatnich latach cyberbezpieczeństwo stało się problemem na poziomie zarządu z powodu utraty reputacji, utraty przychodów i ogromnych ilości skradzionych danych. Wraz ze wzrostem powierzchni ataku, główni specjaliści ds. bezpieczeństwa informacji będą mieli coraz większą odpowiedzialność za wiedzę, gdzie można się spodziewać kolejnego ataku i jak wyjaśnić, jak do niego doszło.

Dwa słowa dla Ciebie: widoczność na zewnątrz.

Moim gościem jest Niall Browne, starszy wiceprezes i dyrektor ds. bezpieczeństwa informacji w Palo Alto Networks. Niall ma wieloletnie doświadczenie w zarządzaniu globalnymi programami bezpieczeństwa, zgodności i zarządzania ryzykiem dla instytucji finansowych, dostawców chmury i firm świadczących usługi technologiczne. Jest członkiem rady doradczej CISO firmy Google.

Ten odcinek Business Lab jest produkowany we współpracy z Palo Alto Networks.

Witaj Niallu.

Niall Browne : Świetny. Dziękuję, Laurel, za przyjęcie mnie.

Laur : Jako główny specjalista ds. bezpieczeństwa informacji lub CISO jesteś odpowiedzialny za zabezpieczenie zarówno produktów Palo Alto Networks, jak i samej firmy. Ale nie zabezpieczasz byle jakiej starej firmy; zabezpieczasz firmę ochroniarską, która zabezpiecza inne firmy. Czym to się różni?

Niall : Tak, myślę, że piękną rzeczą w Palo Alto Networks jest to, że jesteśmy największą firmą zajmującą się cyberbezpieczeństwem na świecie. Więc naprawdę możemy zobaczyć, czego strasznie wiele firm nigdy nie widzi. A jeśli się nad tym zastanowić, jedną z kluczowych rzeczy jest to, że wiedza to potęga. Im więcej wiesz o swoich przeciwnikach, co robią, jakie metody próbują w sieci, jakie mechanizmy kontrolne działają, a jakie nie działają, tym lepiej tworzysz własne wewnętrzne strategia mająca na celu ochronę przed tymi ciągłymi atakami. I jesteś w znacznie lepszej sytuacji, aby móc przekazać te dane zarządowi, aby mógł zapewnić, że istnieje odpowiedni nadzór.

Więc z pewnością dla nas, przy takim poziomie wiedzy na temat tego, co widzimy w naszych sieciach, naprawdę daje nam to możliwość ciągłego wprowadzania innowacji. Dlatego bierzemy nasze produkty i stale je budujemy, abyśmy mogli spełnić wymagania klientów, a następnie wymagania branży. Myślę więc, że to prawdopodobnie pierwsza część. Druga część jest taka, że ​​naprawdę jesteśmy razem w tej łodzi. Część mojej pracy polega więc na ciągłych rozmowach z osobami z branży oraz innymi CISO, CTO, CIO i dyrektorami generalnymi, którzy rozmawiają o strategii cyberbezpieczeństwa. I niezmiennie odkryjesz, że te same problemy, które oni mają, są dokładnie tymi samymi problemami, co my. Tak więc dla nas jest to naprawdę okazja do podzielenia się tym, w jaki sposób zapewniamy, że jesteśmy w stanie stale wprowadzać innowacje, wprowadzać zmiany w branży i naprawdę stale współpracować z liderami branży. Koncentrując się szczególnie na tym, jak zabezpieczamy naszą działalność i zapewniamy najlepsze praktyki dotyczące tego, w jaki sposób nasze firmy mogą być bezpieczniejsze?

Laur : Więc niektórzy mogą być zaskoczeni, że współpraca i tego rodzaju otwarte dzielenie się wiedzą jest tak powszechne, ale nie powinno być, prawda? Bo jak inaczej zamierzacie wszyscy wspólnie bronić się przed nieznanymi napastnikami?

Niall : Świetne pytanie. A jeśli spojrzysz na to po przeciwnej stronie ogrodzenia, hakerzy nieustannie się dzielą. Chociaż dzielą się dla zysku finansowego. Innymi słowy, ukradną dane i będą je odsprzedawać i odsprzedawać, odsprzedawać i odsprzedawać. Hakerzy nieustannie udostępniają te dane, w tym zestawy narzędzi dla majsterkowiczów. A jeśli chodzi o bezpieczeństwo w domu, zawsze istniało podejrzenie o dziedzictwo. Innymi słowy, jestem jedyną osobą, która ma ten problem wyjątkowo. A jeśli podzielę ten problem, pomyślą, że nie wykonuję dobrej pracy lub firma nie wykonuje dobrej pracy, albo że jestem jedyną osobą, która ma ten konkretny problem. Z biegiem czasu CISO nie udostępniało wielu danych, co oznacza, że ​​hakerzy dzielili się danymi z prawej i lewej strony. Ale po stronie CISO, po stronie ochrony, współpraca była bardzo niewielka, co oznaczało, że teraz masz ograniczone udostępnianie najlepszych praktyk branżowych.

Każdy CISO był w swoim własnym silosie, w swoim własnym filarze, robiąc swoje własne unikalne rzeczy i każdy uczył się na własnych błędach. Więc to był naprawdę model jeden do jednego. Popełniasz błąd, potem popełniasz kolejny błąd, a potem popełniasz kolejny błąd. Jeśli jednak mógłbyś porozmawiać ze swoim rówieśnikiem, wyobrazić sobie w biznesie lub finansach, ciągle rozmawiasz z CTO i CFO, aby powiedzieć: A tak przy okazji, jak poradziłeś sobie z taką a taką sprawą? Więc teraz widzę, że branża zaczyna się zmieniać. CISOs zaczynają się teraz zmieniać i udostępniać. Ciągle mówią o strategii. Ciągle mówią o tym, jak chronią swoje środowisko? Mówią o tym, jakie są dobre modele biznesowe, które działają?

A jeśli spojrzysz na MIT, istnieją modele branżowe, techniczne i biznesowe, które naprawdę sprawdzają się w innych branżach. Ale jeśli spojrzysz na samą społeczność CISO, to jak, jakie są te najlepsze praktyki w branży? A teraz dopiero zaczynają się formułować, stamtąd bulgotać. I to, co obserwuję, z pewnością w ciągu ostatnich, powiedziałbym, trzech lub czterech lat, jest ogromny wzrost wśród CISO w odniesieniu do uczenia się najlepszych praktyk w branży i naprawdę podnoszenia poziomu ich umiejętności. Więc po prostu nie są technicznym maniakiem w rogu. Naprawdę muszą umieć rozmawiać o technologii biznesowej, umieć rozmawiać w terminach biznesowych i naprawdę być postrzegani jako bliscy współpracownicy z dyrektorem ds. technologii, dyrektorem ds. informatyki, dyrektorem generalnym w zakresie rozwiązywania problemów biznesowych.

Bo jeśli myślisz o tym z perspektywy cyberbezpieczeństwa, w końcu to tylko problem biznesowy. A jeśli jest to problem biznesowy, musisz zastosować strategiczne rozwiązania biznesowe, aby rozwiązać te problemy. Zamiast rozmawiać o tym, jakiej wersji programu antywirusowego używasz, naprawdę musisz podnieść poziom rozmowy, aby kiedy rozmawiasz z zarządem, kiedy rozmawiasz z tym samym dyrektorem na poziomie C, nie rzucają się oczy w powietrzu. Rozumieją, że mówisz tym samym językiem biznesowym co oni. Co oznacza, znowu, jeśli jesteś zaufanym partnerem biznesowym, możesz znacznie bardziej zmienić firmę, w przeciwieństwie do bycia postrzeganym jako młodszy lider IT w organizacji, do którego ktoś przychodzi tylko wtedy, gdy ktoś nas zhakuje lub jeśli kopia zapasowa nie powiedzie się lub jeśli komputer Mac jest uszkodzony.

Laur : Bardzo podoba mi się ta analogia... wzrost samej pozycji. Tak jak powiedziałeś, to faktycznie przenosi tę rolę na stół zarządu, ponieważ jest to problem biznesowy z możliwym rozwiązaniem biznesowym. Ale w jaki sposób rady mogą w zamian podejmować lepsze decyzje? Następnie będziesz musiał przynieść trochę danych i informacji oraz coś, co pomoże zarządowi wraz ze wszystkimi innymi decyzjami, które muszą podjąć w całej firmie.

Niall : I to jest kluczowe, większość ludzi, kiedy na to patrzy, to klasyczna sprzedaż. Możesz mieć najlepszego sprzedawcę w branży, ale jeśli nie mają zamknięcia, a zamknięciem jest zapytanie. Oto świetny produkt i chcę sprzedać ten produkt, czyli ten samochód za powiedzmy 50 000 dolarów. A potem, pod koniec prezentacji, czy kupisz samochód? I właśnie to sprawia, że ​​jest naprawdę dobrym sprzedawcą, osobą, która ma okazję do zamknięcia. Mają możliwość sfinalizowania transakcji. Więc proszą o coś. Myślę więc, że od wieków CISO mieli dwa duże problemy z zarządem. Po pierwsze, nie byli w stanie zgłosić zarządowi właściwych danych i mówić tym samym językiem, w którym zarząd byłby w stanie zrozumieć, o co chodzi.

A potem dwa, nie było prośby. A to bardzo ważne, ponieważ jeśli wejdziesz na tablicę i prezentujesz, a wszyscy kiwają głową, kręcą głową i rozumieją to, na pewno je zaktualizowałeś, ale stan bezpieczeństwa nie jest lepszy. A jeśli spojrzysz na klasyczną tablicę, jakąkolwiek tablicę samą w sobie, są one na bardzo, bardzo wysokim poziomie, oczywiście po to, by służyć firmie. Tak więc każdy z członków zarządu lub którykolwiek z zarządów, z którymi pracowałem w przeszłości, był niezwykle chętny do pomocy samej firmie. Więc zawsze patrzą na, Cóż, przedstawiłeś X, ale teraz, jak mogę pomóc? Myślę więc, że CISO muszą zmienić to, aby być bardziej sprzedawcą z zamknięciem. Co najważniejsze, o co pytam?

A klasyczne spotkanie zarządu, myślę, że idzie dobrze, polega na tym, że siadasz, pracujesz z zarządem, pokazujesz podstawowy zestaw wskaźników. Teraz nie chcesz pokazywać metryk na liczbach, które są absolutnie bez znaczenia dla tablicy. Jeśli spojrzysz na tablicę, na tablicy znajdziesz szeroki zakres zestawów umiejętności. Niektórzy członkowie zarządu mogą być ekspertami ds. zgodności, niektórzy mogą być liderami biznesowymi, niektórzy mogą być liderami finansowymi. Więc tak naprawdę chodzi o to, kiedy komunikujesz się z tablicą, o dwa zestawy rzeczy. Jednym z nich jest wymyślenie zestawu komunikatów lub wskaźników i naprawdę nakreślenie uzasadnienia biznesowego, aby każdy mógł przeczytać talię planszową i w ciągu kilku minut zrozumieli, co próbujesz przekazać. To jest krytyczne.

A druga część jest taka, że ​​to nie jest prezentacja. Każde posiedzenie zarządu powinno kończyć się czasem na pytania i odpowiedzi oraz na pytanie. Powiedziałbym, że dobre spotkanie zarządu polega na tym, że nawet nie przechodzisz przez pokład. Udostępniasz talię z wyprzedzeniem, oni ją przeczytali, byli w stanie zrozumieć twoją postawę w zakresie cyberbezpieczeństwa, po prostu patrząc na twoją talię. A potem posiedzenie zarządu nawet nie odnosi się do talii. To prosty zestaw pytań, komentarzy tam i z powrotem, a potem pytania. Pytanie może brzmieć: Słuchaj, czy możemy bardziej skupić się na samym obszarze lub na większej liczbie zasobów? Albo mogą poprosić również ciebie. Więc znowu, myślę, że model naprawdę polega na przekazywaniu podstawowego zestawu danych, a następnie przekształceniu go w rozmowę ze wspólnym pytaniem z obu stron, zamiast wymyślania 30-slajdowej talii, której nikt nie rozumie, że ją przedstawiasz, a potem się kończy posiedzenia zarządu stamtąd. Jak wiemy, ten model po prostu nie działa.

Laur : Tak. Nie dla nikogo, prawda? Więc jakie konkretnie dane są w rzeczywistości raportowane na tablicy i dlaczego są one ważne dla Twojej tablicy lub jakiejkolwiek innej tablicy?

Niall : Problem w każdej branży, w tym w cyberbezpieczeństwie, polega na tym, że czasami jest po prostu za dużo danych. Tak więc, jeśli spojrzysz na standardy branżowe, takie jak ISO 27001, możesz mieć setki kontroli. Jeśli spojrzysz na FedRAMP, masz 300 kontroli czegoś. Jeśli spojrzysz na COSO lub COBIT. Więc nie chcesz iść do tablicy z, przy okazji, oto 2000 kontrolek. A oto, w jaki sposób jesteśmy w zgodzie z tymi 2000 elementami sterującymi. Ponieważ w większości dane są dostępne, ale nie ma za nimi kontekstu. Zastanawiają się więc, czy AV jest na 95% punktów końcowych, czy to dobrze? Skanujemy raz na, powiedzmy, 12 godzin, czy to dobrze? Tak więc nazywam je bezsensownymi metrykami. Nie przynoszą one żadnych korzyści większości pracowników InfoSec, nie mówiąc już o liderach na szczeblu zarządu. Z naszego punktu widzenia dzielimy to na proste podstawowe zestawy filarów, które możemy mierzyć w czasie.

I ogólnie rzecz biorąc, nie chcesz mieć zestawu filarów, który składa się z 25 filarów, ponieważ jest to zbyt wiele, ponieważ nie jesteś w stanie zmierzyć jednego z 25. Tak więc wewnętrznie generalnie skupiamy się na około pięciu głównych obszarach, na których się koncentrujemy i mierzymy je za każdym razem. A więc jednym z nich jest zabezpieczenie naszych produktów. Większość organizacji jest teraz bardzo, bardzo skoncentrowana na produkcie. Tak więc produkty w większości firm stają się krytyczne, krytyczne, krytyczne. Więc jedną rzeczą, którą mierzymy, jest to, jak mierzymy? Jak chronimy nasze produkty? I oceniamy siebie w skali od zera do pięciu, co oznacza maksymalną dojrzałość.

Jeśli masz naprawdę dobre produkty, ale ich infrastruktura jest niepewna, masz problem. Po drugie, zabezpiecz naszą infrastrukturę. A trzeci to detekcja i reakcja. Tak więc, jeśli masz naprawdę bezpieczne produkty w naprawdę bezpiecznej infrastrukturze, ale nikt na to nie patrzy i nikt nie mierzy ani nie monitoruje środowiska pod kątem ataków, masz problem. Tak więc dla nas to trzecia reakcja na wykrycie, która ma kluczowe znaczenie.

Czwarty to ludzie. Komponent dotyczący ludzi jest absolutnie… Nie mogę tego wystarczająco podkreślić, ponieważ jeśli nie masz ludzi, którzy rozumieją cyberbezpieczeństwo, masz podstawowy problem. W zdecydowanej większości są to osoby, które przypadkowo robią coś w firmie, tj. mogą kliknąć łącze phishingowe, które zagraża Twojej sieci. Więc jedną rzeczą, którą nazywamy, jest inteligentna ulica. Więc jednym z czterech filarów jest to, czy możemy sprawić, by ludzie byli mądrzy na ulicy? Innymi słowy, inteligentne bezpieczeństwo cybernetyczne, inteligentne uliczne. Więc jeśli idą drogą i zobaczą, że nieznajomy wygląda podejrzanie, użyj przeczucia. To samo z cyberbezpieczeństwem. Jakie proste rzeczy powinni robić lub o których powinni myśleć na co dzień, aby chronić firmę?

A piąty to tak naprawdę zarządzanie. Jak zarządzamy i jak zarządzamy sobą? A jak mierzymy nasz sukces? Więc jeśli na to spojrzysz, to pięć prostych filarów. To po prostu produkt, infrastruktura, reakcja na wykrywanie, ludzie i zarządzanie. I mierzymy od zera do pięciu dla każdego z nich. W ten sposób zarząd i inni członkowie mogą bardzo łatwo się temu przyjrzeć. Jak zmieniamy się z biegiem czasu w tych obszarach? Pozwala wejść wysoko, innymi słowy widok tysiąca stóp. A jeśli pojawia się kwestia infrastruktury, możesz spojrzeć na pomiar, filar infrastruktury, a później możesz zacząć przeskakiwać do innych wskaźników, jeśli chcą. Ale tak naprawdę to wyrażamy, jak zbudowaliśmy nasz program bezpieczeństwa. I to jest coś, co moim zdaniem bardzo mocno współbrzmi z radą, ponieważ teraz są w stanie mierzyć nas w oparciu o znane jednostki w porównaniu z bezsensownymi metrykami, które w większości nic im nie mówią.

Laur : A co, gdybyśmy to jednak zmienili? Jaki rodzaj odpowiedzialności musi mieć zarząd, aby być inteligentnym na ulicy i mieć jakieś fundamentalne zrozumienie cyberbezpieczeństwa? A może bierzesz to na siebie jako osobistą odpowiedzialność za spędzanie czasu z każdym członkiem, aby upewnić się, że rozumieją podstawy?

Niall : Prawidłowy. Tak więc dla nas jest to w dużej mierze kwestia zdobycia pewnego poziomu wiedzy, a następnie budowania na tej wiedzy, aby przynajmniej wszyscy byli na tym samym poziomie wiedzy. Więc jednym z przykładów jest znowu ktoś, kto przewodniczy komitetowi audytu, który jest bardzo, bardzo techniczny lub bardzo, bardzo ukierunkowany na zgodność. A ona lub on może wiedzieć wszystko o tablicach...audytach i wszystkich frameworkach. I to świetnie. A z drugiej strony możesz mieć kogoś, kto jest bardziej oparty na finansach lub bardziej na audycie. A potem pojawia się pytanie, jak pracujesz nad podnoszeniem poziomu umiejętności wszystkich?

Jest na to wiele różnych sposobów. To dwie rzeczy. Siedzimy z nimi jeden na jednego, a następnie prowadzimy konwersację na wyższym poziomie, to właśnie robimy. To jest cały nasz program bezpieczeństwa. Tak to działa. Tak wyglądał 2020 rok. Tak wygląda rok 2021… więc doprowadzenie wszystkich do tego samego poziomu i budowanie tego związku jest bardzo, bardzo ważne.

I ciągle widzimy, że członkowie naszego zarządu zwrócą się do nas, albo my skontaktujemy się z nimi, dzieląc się danymi, albo wpadną na pomysł, o którym nie pomyśleliśmy, a my powiemy: „No cóż, naprawdę dobry pomysł. Włączmy to do naszego programu”. Więc myślę, że to bardzo przydatne. A druga część jest taka, że ​​chodzi o opowiadanie historii. A więc historia i narracja. Więc jeśli otworzysz książkę i zaczniesz od strony bezpieczeństwa i zaczniesz od ostatniego rozdziału, cóż, to nie jest zbyt przekonujące. To jak, kim jest Jane? Kim jest Judy? Kim jest Tim? Kim jest Tony? Nie ma to żadnego sensu.

I często dzieje się tak w raportach o cyberbezpieczeństwie, że zarząd patrzy na… a oto ona lub on, którzy występują jako CISO i przedstawiają zestaw danych i wskaźników, których nie rozumieją, a zatem, nie mogą nic z tym zrobić. Spędzamy więc dużo czasu, nasza pierwsza tablica, zaczynając od podstawowego zestawu zasad, a następnie każdą kolejną tablicę, mniej więcej co trzy miesiące, stopniowo wchodzimy w szczegóły, w miarę jak się rozwijamy i budujemy tej talii bezpieczeństwa cybernetycznego, mogą lepiej zrozumieć i poprawić swoje zrozumienie. A potem ze swojej strony, z takim poziomem zrozumienia, mogą bardzo łatwo wskoczyć i powiedzieć: „A tak przy okazji, oto obszar, na którym powinieneś się skupić”.

A w naszym zarządzie mamy oczywiście firmy VC, które są wysoce techniczne i będą miały nastawienie, na którym będą chcieli, abyśmy się skupili. Chcę powiedzieć: „Jasne, włączmy to jako część naszego programu”. Myślę więc, że postrzegałbym to jako komunikację na forum jako bardzo dużą komunikację tam iz powrotem. Nie powinno się to zdarzać raz na kwartał. Nie powinno to mieć miejsca na co dzień, ale z pewnością powinno mieć miejsce w ciągu kwartału, kiedy członek zarządu ma pomysł, a następnie można go włączyć do swoich najlepszych praktyk.

Teraz jednocześnie chcesz, aby pracownicy tej firmy mogli operacyjnie zarządzać swoim zespołem ds. bezpieczeństwa. Ale z pewnością spostrzeżenia, jakie może dostarczyć jakiś członek zarządu, w niektórych przypadkach są ogromne, ponieważ pracują w tej branży od wielu różnych lat. W ramach tego modelu zwykle widzieliby to, czego inne osoby nigdy wcześniej nie widziały. Poza tym myślę, że to, co jest najbardziej korzystne, w cyberbezpieczeństwie, cyberbezpieczeństwie, znowu jest to problem biznesowy i jest to proces biznesowy. Tak więc większość z tych członków zarządu jest wyjątkowa w rozwiązywaniu praktyk biznesowych. Może nie cyberbezpieczeństwo, ale mogą wziąć problem z cyberbezpieczeństwem i powiązać go z innymi najlepszymi praktykami biznesowymi, a następnie wykorzystać to w cyberbezpieczeństwie.

I szczerze mówiąc, uważam, że to najlepsza wartość, jaką może zapewnić tablica. Wiele razy CISO i zespół bezpieczeństwa mogą nie być w stanie zobaczyć drewna z drzew, ponieważ są w to bardzo zaangażowani. Dla członków zarządu jest to świetny rodzaj pryzmatu, dzięki któremu mogą spojrzeć na to z zewnątrz i mogą zapewnić wgląd w oparciu o: „Cóż, poczekaj chwilę, w jaki sposób rozwiązujesz ten problem w oparciu o cyberbezpieczeństwo przez robienie modelu konsultingowego, który nie działa lub nie skaluje się. Zamiast tego powinieneś zastosować model jeden do wielu, tj. rozwiązać problem raz, a następnie udostępnić go wszystkim użytkownikom, tak samo jak chmura, oprogramowanie jako usługa”. Tak więc to biznesowe podejście, biznesowa perspektywa, myślę, że naprawdę lubię pracować z zarządem, dzielić się pomysłami, a potem współpracować tam iz powrotem. Bo znowu uważam, że ich przenikliwość biznesowa nie ma sobie równych. A jeśli możesz po prostu umieścić cyberbezpieczeństwo jako kwestię biznesową, to naprawdę możesz szybko zbudować bardzo silny wzrost środowiska współpracy.

Laur : Mówiąc o własnym podnoszeniu poziomu lub podnoszeniu umiejętności, kiedy po raz pierwszy zauważyłeś, że zarządzanie powierzchnią ataku to odrębna nowa dyscyplina, z którą musisz się naprawdę zapoznać, przeszkolić swoją tablicę, a następnie pomóc jej personelowi i zaplanować to?

Niall : Dobre pytanie. Myślę, że jeśli spojrzę na ASM lub zarządzanie powierzchnią ataku, jest to prawdopodobnie jeden z obszarów, na których CISOs skupiają się najmniej, a jednak są najważniejsze. Powodem tego jest to, że jeśli spojrzysz na jakiegokolwiek hakera, jeśli haker chce skompromitować twoje środowisko, pierwszą rzeczą, którą zrobi, to najpierw poznać twoje środowisko. Przykładem jest więc, jeśli masz włamywacza, gdy włamie się na osiedle, często błąka się po osiedlu, spójrz, które domy mają kosze na zewnątrz, które mają parter okna, które są otwarte, które nie mają światła od frontu domu, a w którym szczeka pies?

Więc wędrujesz obok. Po prostu wszystko, co robisz, to zwiad. Szybki spacer po 20 domach na osiedlu. Ty wybierasz dwa. Teraz masz dwa cele. Potem wracasz później w nocy albo wracasz jutro wieczorem, a potem włamujesz się do tych dwóch. Gotowe. I znowu patrzysz na sposób, w jaki robią to różne branże. To fascynujące, ponieważ jeśli spojrzysz na jedną branżę, tj. bezpieczeństwo fizyczne, a następnie zastosujesz cyberbezpieczeństwo lub zastosujesz je do tablicy, często istnieje ogromne podobieństwo. Podobnie jest z cyberbezpieczeństwem, jeśli firma chce narazić Twoje środowisko na szwank, generalnie można to zrobić na dwa sposoby. Jednym z nich jest to, że zazwyczaj przeprowadzają skanowanie sieci i patrzą na Twoją firmę i stwierdzają, że masz słabe zabezpieczenia. A potem odwracają głowę i mówią: „Och, ciekawe, tylne drzwi są otwarte. Skoncentruję się na tej firmie.

Albo dwa, to samo, robią rekonesans, ale już wiedzą, kim jesteś. W tym przypadku chcą dowiedzieć się jak najwięcej, aby mogli narazić Cię na szwank w głębi Twojej sieci. Tak więc, zanim zrobisz jakiekolwiek włamanie do środowiska, komponent rozpoznawczy jest najbardziej krytyczną częścią. W przeciwnym razie jesteś bykiem w sklepie z porcelaną. Wdzierasz się, wybijasz czujniki, prawy, lewy i środkowy. Nie powinieneś iść frontowymi drzwiami, powinieneś iść tylnymi drzwiami. Więc komponent rozpoznania jest krytyczny, krytyczny, krytyczny.

Teraz, jeśli zapytasz większość CISO, kiedy ostatni raz przeprowadzali rekonesans własnej firmy, zdecydowana większość odpowie: „Nie mam pojęcia”. Mogą więc powiedzieć: „No cóż, używamy skanera bezpieczeństwa”. Ale jeśli spojrzysz na skaner bezpieczeństwa, to co zrobisz, to przejdziesz do skanera bezpieczeństwa, umieściłeś zestaw znanych adresów IP, o których wiesz, i skanujesz pod kątem tych adresów IP. Ale jeśli na to spojrzysz, to wierzchołek góry lodowej, bo jak wygląda nowy model branżowy? Jest płynny. Dawno minęły czasy, gdy cyberbezpieczeństwo stawiało ścianę ogniową i nie pozwalało na ruch przez zaporę.

Teraz wszystko jest niezwykle dynamiczne. Wszystko jest skierowane do Internetu. Więc teraz masz Kubernetes, masz ludzi, którzy uruchamiają dziesiątki tysięcy kontenerów z własnymi zewnętrznymi adresami IP. Wszystkie są dostępne w Internecie. Masz dewelopera, który to robi, robi to scena. Nadchodzą wszystkie różne środowiska. A teraz twój atak na powierzchnię zmienia się w każdej minucie każdego dnia. Niektóre z nich są, ponieważ są autentyczne. Zezwalasz na adres IP, który jest tam, ponieważ istnieje uzasadniony powód biznesowy, ale często zdarza się, że ludzie rozkręcą środowisko i nagle zostaną wystawione na działanie Internetu.

Czy zespół bezpieczeństwa o tym wie? Likley nie, a CISO nie ma o tym pojęcia. Tak więc umiejętność, dzięki której poznasz, rozpoznasz swoje środowisko lub ASM, lub zarządzanie powierzchnią ataku, jest absolutnie krytyczna. Bo jeśli o tym nie wiesz, nie możesz tego chronić. A potem problem polega na tym, że możesz uruchomić adres IP w GCP, AWS lub Alibaba. To może być na miejscu, wszyscy teraz pracują w domu. Więc mój laptop mógł zostać ujawniony przez internet. A jeśli na to spojrzysz, to, co zawsze dzieje się w praktycznie każdym pojedynczym ataku, w większości z hostingu, zaczyna się na zewnątrz i wchodzi do środka. Więc naprawdę musisz znać powierzchnię ataku. Musisz go skanować każdego dnia. Musisz być w stanie przypisać, jakie są adresy IP i urządzenia, które są narażone.

Prosty przykład jest taki, że jeśli spojrzysz na ostatnią liczbę naruszeń, które miały miejsce, to jest to prosta sprawa. W większości przypadków jest to klaster, który został ujawniony z Internetu lub ktoś zezwolił, jak powłoka administracyjna transportu, taka jak SSH lub RDP z Internetu, lub ktoś uzyskał klaster Kubernetes i ujawnił go z Internetu. W każdym z tych przypadków przypadkowe błędy popełniają po prostu ludzie. Często jednak te adresy IP mogą być wystawione na działanie Internetu przez minuty, dni, lata, a bezpieczeństwo nigdy się o tym nie dowiaduje ani nie chroni przed nim. Ale jednocześnie haker wie, ponieważ wykonują swoją pracę, stale prowadzą rekonesans. I właśnie tam widzę ten problem, który pojawia się od lat: Skąd mam wiedzieć, co jest widoczne w Internecie? teraz jest definiowany. To zarządzanie powierzchnią ataku. Jaki jest mój widok z zewnątrz?

Więc po raz pierwszy w historii cyberbezpieczeństwo zaczęło… wiedzieli, że istnieje problem od wieków, ale nie byli w stanie wyrazić, na czym polegał problem, nieważne, jakie było rozwiązanie. A teraz widzę taką zmianę, że z pewnością w ciągu ostatniego roku lub dwóch ludzie mówili: „To nie jest problem, dzięki któremu mogę na to spojrzeć i powiedzieć: tak, to jest problem”. Teraz musisz przejść od tego problemu idolizacji do: „Hej, musimy to naprawić”. Ponieważ tak właśnie wkraczają hakerzy. A teraz widzę ludzi mówiących: „Zacznijmy to naprawiać”. Myślę, że w przyszłości zarządzanie powierzchnią ataku będzie jednym z najważniejszych elementów każdego CISO i jego organizacji. Jeśli nie, to staną się własnością. Zostaną skompromitowani i będzie to miało niszczący wpływ na ich działalność.

Laur : Mówiąc o tym i o tym, jak zarząd rozumie zarządzanie powierzchnią ataku, większość pracowników IT pójdzie drogą, tak jak powiedziałeś, łatwości i wygody. Rozkręcają Kubernetes, serwery i instancje w chmurze i cokolwiek to może być, ponieważ po prostu muszą wykonać swoją pracę. Dlaczego, skoro masz globalną firmę, taki problem, a raczej możliwość rozwiązania, gdy przechodzisz przez inne potrzeby biznesowe, takie jak fuzja i przejęcie, gdzie możesz mieć dwie firmy spotykające się i myślisz wiesz, gdzie są wszystkie serwery, ale w rzeczywistości firma rośnie i zmienia się każdego dnia. I to może nie być ostatnia liczba, ostatnia wiarygodna. Dlaczego jest to problem dla CISO i zarządu?

Niall : Więc myślę o tym jako na dwa sposoby. Jednym z nich jest poznanie powierzchni ataku własnej firmy. A potem, dwa, w przypadku każdego z twoich przejęć, zanim je zdobędziesz, musisz również wiedzieć, jaka jest ich powierzchnia ataku. Więc jeśli zapytasz 99% CISOs: „Opowiedz mi o mojej powierzchni ataku”. Nie będą mieli do tego danych. Podaj przykład, w Palo Alto Networks używamy Xpanse. Działa to w czterech głównych fazach, o których myślę w zarządzaniu powierzchnią ataku. Dotyczy to zawsze nabywania firmy lub integracji w ciągu ostatnich 10 lat w ramach swojej organizacji.

A pierwsza część to ciągłe odkrywanie. Musisz więc mieć możliwość — i właśnie dlatego używamy Xpanse — ciągłego skanowania 24 na 7 na 365, każdego adresu IP w Internecie, aby dowiedzieć się, jakie adresy IP i jakie porty są otwarte. Przede wszystkim musisz znać wszystkie adresy IP i porty w Internecie. Ten problem jest w porządku, ale tak naprawdę nie da ci wiele. Jaka jest więc różnica między adresem IP w Palo Alto Networks a adresem IP Acme, zwłaszcza gdy zmienia się co minutę? Ponieważ wszystko jest dynamiczne, w Internecie wszystko zmienia się nieustannie.

Tak więc drugą częścią dla nas jest atrybucja. Więc wszystko jest skanowane. Robimy atrybucję. Więc zaczynamy przyglądać się każdemu adresowi IP, każdej usłudze, każdemu użytkownikowi w Internecie, aby szukać samych tych użytkowników, czy są to użytkownicy Palo Alto Networks, czy urządzenia lub sieci Palo Alto Networks? Bardzo ważne, ponieważ w każdej chwili możemy zobaczyć, że jeśli ktoś podłączy laptopa w Londynie, możemy uzyskać przypisanie, że jest to jedno z naszych urządzeń i sieci. A jeśli ta sieć i urządzenie otwierają RDP, zdalną powłokę z Internetu, to jest problem. Albo jeśli ktoś rozkręci sieć, o której nie mamy pojęcia, i posiada (informacje umożliwiające osobistą identyfikację) PII lub dane dotyczące opieki zdrowotnej, byłoby to dla nas katastrofalne dla naszej firmy. Dlatego spędzamy dużo czasu na używaniu narzędzi, takich jak Xpanse, do komponentu atrybucji.

Trzeci składnik, na który patrzymy, teraz znasz adresy IP i usługi i wiesz, które z nich to Palo Alto Networks. Następnie, po tym, są różne poziomy ryzyka. Jeśli ktoś otworzy coś z internetu, co jest serwerem sieciowym i komunikuje się za pomocą szyfrowania SSL i jest to dobrze załatane, to w większości przypadków ryzyko w tym przypadku wynosi prawdopodobnie jedno z 10. Ale jeśli już otrzymał inny adres IP, który został uruchomiony i umożliwia wewnętrznemu narzędziu inżynierskiemu, które przypadkowo zostało wystawione na działanie Internetu, które ma dostęp do środowisk chmurowych i nie jest załatane. A często tak nie jest. Ponieważ, gdy spojrzysz na narzędzia, które zostały przypadkowo ujawnione, nie są one zarządzane, ponieważ gdyby były zarządzane w pierwszej kolejności, nie byłyby widoczne w Internecie.

Tak więc dla nas modelem jest, jaki jest poziom ryzyka każdego pojedynczego adresu IP i każdej pojedynczej usługi? I możemy wtedy skupić się na tych, których jest osiem lub dziewięć na 10. Codziennie lub co godzinę możemy je naprawić. Ale często znowu jest tak, że jeśli są wystawione na działanie Internetu, są ujawniane, nie są łatane, nie są zarządzane. Są przypadkowo odsłonięte.

A teraz ostatni, na którym się skupiamy, problem polega na tym, że mamy problem ze skalą. Nie mówisz o trzech adresach IP lub czterech adresach IP. Możesz mówić o 40 000 adresów IP, 400 000 adresów IP. A potem nagle jutro jest to 500 000. Następnie spada do 350 0009 adresów IP. Tak więc, ze względu na skalę problemu i ponieważ z biegiem czasu coraz więcej rzeczy będzie dostępnych w Internecie, jedynym sposobem rozwiązania tego problemu jest automatyzacja. Nie ma wątpliwości, że kwestia wygenerowania alertu i wskoczenia kogoś z centrum operacji bezpieczeństwa (SOC), patrzącego na ten adres IP, patrzącego na usługę, po prostu nie działa.

Więc to, co musi się wydarzyć, to wszystko musi zostać zautomatyzowane. Wszystko, od perspektywy skanowania do komponentów atrybucji, jakie jest ryzyko związane z tym adresem IP? Więc teraz zamiast 500 000 adresów IP, skupiając się na trzech adresach IP, które nagle się tam pojawiły, jeden jest jak serwer SSA. Jeden może być jak serwer telnet, inny może być narzędziem inżynierskim. A następnie, z warstwy automatyzacji, chcesz wbudować automatyzację w usługę, dzięki czemu ta usługa jest automatycznie korygowana, niezależnie od tego, czy jest załatana, czy przełączona w tryb offline.

A jeśli spojrzysz na ten cały łańcuch, jest to odwrotność tego, co robi haker. Haker robi rekonesans, a potem włamuje się do tego serwera, aby narazić na szwank twoje środowisko. Zaczynasz z tej samej pozycji, co oni, tam gdzie powinieneś być. Powinieneś zacząć od powierzchni ataku, swojego zwiadu. A potem patrzysz na swoje ryzyko. Patrzysz na łatanie, chcesz go wyłączyć. Patrzysz na automatyzację. Więc mocno wierzę, że jeśli spojrzysz na ludzi pracujących z domu, którzy dążą do chmury, ta koncepcja obwodu zniknęła od 10 lat. Nie ma go od 10 lat. Ale cyberbezpieczeństwo wisiało na nim i mówiło: „Cóż, wciąż jest granica”. Nie ma.

Więc teraz widzą każde urządzenie, które jest w Internecie. To jest jego własny obwód. Urządzenie, sieć, cokolwiek to jest. I naprawdę uważam, że jednym z na pewno czynników napędzających, jeśli wszystko jest w Internecie, jeśli wszystko jest online, jeśli wszystko się komunikuje, jeśli wszystko się dynamicznie zmienia, musisz mieć program do cyberbezpieczeństwa, który ma zdolność rozpoznania , powiedz mi o każdym urządzeniu, które jest w sieci, w Internecie, jaki jest poziom ryzyka? A dla tych, którzy osiągnęli określony poziom ryzyka, wyłącz go i zastosuj kontrolę. A tak przy okazji, musisz to zrobić 24 na 7 na 365, bez udziału ludzi. Musisz to zrobić ze względu na skalę problemu. Jeśli masz osobę, która jest zaangażowana w ten proces, poniesiesz porażkę. Poniesiesz porażkę. Dlatego wykorzystujemy narzędzia takie jak Xpanse, aby znaleźć, a następnie naprawić te problemy.

Laur : Tak. Technologia jest skalowalna, ale ludzie nie. Prawidłowy?

Niall : Dokładnie tak.

Laur : No, Niall, doceniam dzisiejszą rozmowę. To było absolutnie fascynujące i dało nam tyle do myślenia. Dlatego dziękujemy za dołączenie do nas dzisiaj w Business Lab.

Niall : Bardzo dziękuję za zaproszenie. Naprawdę podobała mi się rozmowa.

Laur : To był Niall Browne, dyrektor ds. bezpieczeństwa informacji w Palo Alto Networks, z którym rozmawiałem z Cambridge w stanie Massachusetts, siedziby MIT i MIT Technology Review, z widokiem na rzekę Charles.

To tyle w tym odcinku Business Lab. Jestem twoim gospodarzem, Laurel Ruma. Jestem dyrektorem Insights, działu custom publishing w MIT Technology Review. Powstaliśmy w 1899 roku w Massachusetts Institute of Technology. Możesz nas znaleźć w druku, w Internecie i na dziesiątkach wydarzeń każdego roku na całym świecie.

Więcej informacji o nas i programie znajdziesz na naszej stronie internetowej technologyreview.com.

Program jest dostępny wszędzie tam, gdzie zdobędziesz swoje podcasty.

Jeśli podobał Ci się ten odcinek, mamy nadzieję, że poświęcisz chwilę, aby nas ocenić i zrecenzować.

Business Lab to produkcja MIT Technology Review.

Ten odcinek został wyprodukowany przez Collective Next.

Dziękuję za słuchanie.

Ten odcinek podcastu został wyprodukowany przez Insights, dział zajmujący się treściami niestandardowymi MIT Technology Review. Nie został wyprodukowany przez redakcję MIT Technology Review.

ukryć