211service.com
Źle myślimy o cyberbezpieczeństwie
Michael Daniel ma wyjątkową perspektywę na dzisiejszy chaotyczny świat cyberbezpieczeństwa. Świeżo po czteroletnim stażu jako główny doradca prezydenta Obamy ds. cybernetyki, Daniel jest teraz prezesem Sojusz ds. cyberzagrożeń , niedochodowy zespół firm zajmujących się cyberbezpieczeństwem, tworzący platformę do udostępniania informacji o typowych zagrożeniach. Przegląd technologii MIT spotkał się z Danielem na konferencji poświęconej bezpieczeństwu komputerowemu Black Hat w Las Vegas w zeszłym tygodniu. Poniżej znajduje się zredagowany zapis dyskusji.
Widziałeś wyzwanie związane z cyberbezpieczeństwem zarówno z perspektywy rządu, jak i teraz sektora prywatnego. Jak opisałbyś moment, w którym się teraz znajdujemy?
Obecnie jesteśmy w tym, że coraz więcej krajów zaczyna włączać zdolności cybernetyczne do swoich narzędzi tworzenia państwa. Musimy przyznać, że stanie się narzędziem sztuki państwowej, nie tylko dla USA i graczy z wyższej półki, takich jak Rosja, Chiny, Izrael i Wielka Brytania, ale dla prawie wszystkich. W rezultacie musimy zacząć przemyśleć, w jaki sposób ustalamy normy zachowania i zasady ruchu drogowego, aby nie było to destabilizujące.
Przestępcy, a także państwa narodowe, stają się coraz bardziej wyrafinowane w swoich cyberoperacjach. Jaką rolę w rozwiązaniu tego problemu może odegrać Cyber Threat Alliance?
Na najszerszym poziomie CTA jest organizacją zajmującą się udostępnianiem i analizowaniem informacji, która koncentruje się na dostawcach i społeczności dostawców cyberbezpieczeństwa. Tak naprawdę nie ma innej organizacji, która wykonuje taką pracę. Zasadniczo CTA polega na robieniu dwóch rzeczy. Po pierwsze, czy możemy zmienić sposób, w jaki konkurencja występuje w branży cyberbezpieczeństwa, aby była bardziej korzystna dla całości? Zamiast nadal konkurować, ponieważ moja nieodpowiednia pula danych jest większa niż nieodpowiednia pula danych, musimy udostępnić nasze pule danych, a konkurencja powinna trwać. Robię lepsze rzeczy z danymi — jestem szybszy lub Lepiej integruję się z Twoją firmą lub lepiej rozumiem Twój model biznesowy – cokolwiek to jest. To wyższy poziom konkurencji. Wszystkim będzie lepiej.
Po drugie, łącząc te informacje, możemy zacząć opracowywać skuteczniejsze sposoby zakłócania działania złych i robić to w całym procesie biznesowym. Tu nie chodzi o dzieciaka w jego piwnicy; to nie jest prawdziwe zagrożenie. Są to organizacje, które działają jak firmy i musimy zacząć myśleć o tym w kategoriach zakłócania ich modeli biznesowych.
Ale czy to podejście zadziała, jeśli atakujący jest przeciwnikiem państwa narodowego?
Tak i nie. Z jednej strony pomysł stworzenia podręcznika byłby równie dobry dla przeciwnika w państwie narodowym. Teraz ich motywacje są inne. Większość państw narodowych jest gotowa zainwestować czas i pieniądze w sposób, w jaki organizacja przestępcza zarówno nie będzie, jak i nie może, więc wpływ, jaki możesz mieć, może być inny. Ale nadal możesz nakładać na nich koszty i je spowalniać.
Ostatecznie jednak sektor prywatny będzie musiał znaleźć nowe sposoby współpracy z rządem w tych kwestiach, biorąc pod uwagę charakter zagrożenia. Jak możemy wprowadzać innowacje w sferze polityki, aby to umożliwić?
Mogę podać dwa przykłady. Dowiedzieliśmy się, że jeśli zdecydujesz się na swój system emerytalny, ogólnie uzyskasz około 45 do 50 procent współczynnika akceptacji wśród swoich pracowników. Jeśli jednak zrezygnujesz z systemu emerytalnego, uzyskasz 95-procentowy wskaźnik podjęcia. Nie ma technicznej różnicy między tymi dwiema rzeczami, ale z punktu widzenia procesu dają one radykalnie różne wyniki. Czemu? Z powodu psychologii tego. Ludzie są leniwi. Jeśli podejmiesz decyzję, znajdą powód, by tego nie robić. Ale jeśli opcja to Oto to dobra rzecz dla ciebie i wszystko, co musisz zrobić, to po prostu się na to zgodzić, tylko niewielki procent powie nie. Więc jaki jest tego odpowiednik cyber? Jak możemy zrezygnować z cyberbezpieczeństwa zamiast opt-in?
Podobnie mamy pomysł, że cyberbezpieczeństwo jest jak bezpieczeństwo granic. To nie ma sensu. Każdy w cyberprzestrzeni dotyka kogoś innego. Nie ma bariery ani pośrednika. Oznacza to, że musimy myśleć o cyberbezpieczeństwie i relacjach między rządem a sektorem prywatnym w zupełnie innym modelu. Może musimy pożyczyć jakieś modele. Spójrzmy na przykład na to, jak myślimy o klęskach żywiołowych. W przypadku klęski żywiołowej reakcja zaczyna się lokalnie. Jeśli zaczyna przytłaczać lokalnych urzędników, do akcji wkracza rząd stanowy. Jeśli wykracza poza stan, mogą wezwać pomoc innych stanów. Jeśli to wykracza poza to, FEMA wkracza z poziomu krajowego. Jaki jest tego odpowiednik cybernetyczny? W jaki sposób dokonujemy przekazania i decydujemy, czy coś jest tym, czym sektor prywatny może i powinien sobie poradzić sam, czy czymś, co wymaga pomocy federalnych? Nie znamy jeszcze języka polityki, aby mówić o tym, czym jest ten związek.