211service.com
Cybersikkerhet i 2020: Fremveksten av CISO
Datainnbrudd ga bedrifter harde leksjoner i 2019. En viktig ting å gjøre: de trenger en informasjonssikkerhetssjef, sier Stephanie Balaouras fra Forrester.
24. februar 2020
Produsert i samarbeid med Microsoft Sikkerhet
Når det nye året (og det nye tiåret) begynner, er én ting sikkert: cybersikkerhet vil fortsette å ha en økende innvirkning på virksomheten, på godt og vondt. I denne episoden hører vi fra Stephanie Balaouras, en cybersikkerhetsekspert som har snakket med tusenvis av kunder i løpet av sine 15 år hos Forrester Research. Hun er visepresident og gruppedirektør for sikkerhet og risikoforskning, samt infrastruktur- og driftsforskning.
Balaouras hevder at alle virksomheter bør ha en sjef for informasjonssikkerhet, eller CISO, ettersom verden av cybertrusler blir mer intrikat og farlig. 'Selv selskaper som har en CISO bør se nøye på hvor høyt i organisasjonen de rapporterer,' sier Balaouras. «Har de riktig budsjett? Har de nok ansatte? Har du gitt dem riktig kontroll?
Balaouras gjennomgår også noen av de største cybersikkerhetstrendene i 2019 og kommer med spådommer for 2020.
Business Lab er vert for Laurel Ruma, direktør for Insights, den tilpassede publiseringsavdelingen til MIT Technology Review. Showet er en produksjon av MIT Technology Review, med produksjonshjelp fra Collective Next. Musikken er av Merlean, fra Epidemic Sound.
Cybersikkerhet handler ikke bare om å stoppe truslene du ser. Det handler om å stoppe de du ikke kan se. Det er derfor Microsoft Security sysselsetter over 3500 eksperter på nettkriminalitet, og bruker kunstig intelligens til å forutse, identifisere og eliminere trusler. Så du kan fokusere på å utvide virksomheten din, og Microsoft Security kan fokusere på å beskytte den. Finn ut mer på Microsoft.com/cybersecurity.
Vis notater og lenker
Forrester Research: Cybersikkerhet
En CISOs guide til å lede endring av Jinan Budge, Forrester Research
Behovet for komplett skysikkerhet, et intervju med Stephanie Balaouras, på YouTube
Full utskrift
Laurel Ruma: Fra MIT Technology Review heter jeg Laurel Ruma, og dette er Business Lab, showet som hjelper bedriftsledere å forstå nye teknologier som kommer ut av laboratoriet og inn på markedet.
Sikkerhetstrusler er overalt. Det er derfor Microsoft Security har over 3500 eksperter på nettkriminalitet som kontinuerlig overvåker for trusler for å beskytte virksomheten din. Mer på microsoft.com/cybersecurity.
Temaet vårt i dag er cybersikkerhet og mer spesifikt rollen til informasjonssikkerhetssjefen, CISO. Vi vil også gjennomgå cybersikkerhetsnyheter fra 2019 og se fremover til cybersikkerhetstrender for 2020. Ett ord for deg: Deepfakes. Min gjest er Stephanie Balaouras som er en cybersikkerhetsanalytiker og har snakket med tusenvis av kunder i løpet av sine nesten 15 år i Forrester Research. Stephanie er visepresident og gruppedirektør for sikkerhet og risikoforskning samt infrastruktur- og driftsforskning. Stephanie, tusen takk for at du snakket med meg på Business Lab.
Stephanie Balaouras: Takk.
Laurel: Så bare for å begynne, i 2017 publiserte Forester en rapport av Jeff Pollard, et medlem av teamet ditt, om karriereveiene til CISOer, sjefer for informasjonssikkerhet. Og jeg liker spesielt godt å snakke om denne rollen fordi den er så ny for C-suitene i bransjen. Hvis Citibank nettopp utnevnte den første CISO noensinne, i 1995, er det virkelig nyere historie. Men hvis hvert selskap også er et teknologiselskap, hvorfor har ikke alle selskap en CISO?
Stephanie: Hvis du ser på historien til andre roller, som jeg tror den første CMO, var markedssjef på 1950-tallet du fortsatt hadde selskaper 20, 30 år senere uten en CMO. Så når disse nye rollene først starter, tar det litt tid før det blir normen. Men jeg vil si at hvert selskap burde ha en CISO. Børsnoterte selskaper er pålagt å ha en CISO. Men det vi ofte finner er, avhengig av størrelsen på selskapet, noen ganger slipper de unna med å kalle CIO også CISO eller en annen IT-sjef for CISO også. Så det er ganske vanlig med mindre selskaper – de slipper unna uten å ha en frittstående rolle.
Men det du også vil finne er at hvis de har et brudd eller en slags større cybersikkerhetsproblem eller til og med et større samsvarsbrudd som er datasikkerhetsrelatert, er det første de vil gjøre å navngi en dedikert CISO. Og så selv selskaper som har en dedikert CISO, når de har et brudd, mange ganger det som skjer er at de innser at CISO ikke rapporterte høyt nok i organisasjonen eller at de ikke hadde riktig ansvarsområde eller nok budsjett eller nok folk. Så da fikser de det. Navn CISO bør være et krav, men jeg vil si at selv selskaper som har en CISO bør se nøye på hvor høyt i organisasjonen de rapporterer. Har de riktig budsjett? Har de nok ansatte? Har du gitt dem riktig kontrollområde?
Laurel: For det er en dyr løsning, er det ikke?
Stephanie: Ja nøyaktig.
Laurel: Først etter et angrep, må vi se på rollene og ansvaret i et nytt lys, i et mer ansvarlig lys?
Stephanie: Nøyaktig.
Laurel: Så hvis den perfekte CISO er litt av både en forretningsmann som kan snakke direkte med administrerende direktør, forklare nødvendigheten av sikkerhet og risikoreduksjon, men så også snakke med kunder kanskje så vel som andre ansatte og snakke om sikkerhet og hvordan den rollen er viktig for selskapet. Hvor kommer disse menneskene fra? Hvor får de all denne utdannelsen?
Stephanie: Da vi så på CISOs karriereveier, fant vi at de fleste av dem kom opp gjennom sikkerhetsrekkene. Så vanligvis startet de som sikkerhetseksperter. De fikk flere tiår med erfaring i rollen. Men det vi ofte fant er at flertallet av dem ofte ville gå tilbake for å ta høyere grader, og de ville faktisk gå etter en bedriftsgrad. De fikk ofte MBAer, og det var fordi de trengte å tilfredsstille begge disse kravene, som er, ja, jeg er en teknologileder, men samtidig er jeg en teknologileder som i et stort selskap rapporterer til styre på kvartalsbasis eller rapporterer direkte til CIO eller direkte til administrerende direktør. Så det er definitivt en kombinasjon av utdanning og erfaring.
Jeg vil si at universiteter gjør en bedre jobb med å tilby lavere og høyere grad i informasjonssikkerhet. Det er noen områder hvor de er utrolig svake, som applikasjonssikkerhet ikke undervises godt på lavere nivå, om i det hele tatt. Det er virkelig dårlig gjort. Den andre tingen jeg skal velge universiteter om, er at de ikke gjør en god jobb med å rekruttere kvinner til bachelor- og graduate-programmer. Det er et stort kompetansegap så vel som et bemanningsproblem innen sikkerhet, og hos Forrester liker vi å si at det i stor grad er selvforskyldt fordi vi ikke rekrutterer fra halvparten av befolkningen, og vi rekrutterer ikke folk med ulik bakgrunn. Vi har denne ene formen av individer som vi rekrutterer fra, og så blir vi sjokkerte når vi ikke finner nok folk med denne veldig smale kompetansen, så.
Laurel: Ja, rapporten sa at ni av 10 CISOer er menn.
Stephanie: Akkurat, akkurat. Vi har ikke sett på slutten av 2019 ennå, men de siste par årene har det vært sant. Og ser man på personalet også, er det verre enn den generelle sikkerhetsbransjen. Det er omtrent 11 % av sikkerhetspersonalet er kvinner. Det er verre enn generell IT. Generell IT har også et problem, men det er mer et sted mellom 20 % til 30 %, så sikkerheten er enda dårligere.
Laurel: Så når vi snakker om mangel på mangfold i sikkerhet generelt, hvordan prøver selskaper å svare på det? Ser du noen spesielle selskaper som viser beste praksis?
Stephanie: Det er definitivt noen beste fremgangsmåter. Faktisk har jeg sett mange leverandører, som store teknologileverandører, de samarbeider faktisk med universiteter og de samarbeider faktisk til og med på videregående nivå. For eksempel, med Girl Scouts of America, for å faktisk fremme programmer som får jenter til å begeistre og interessert i cybersikkerhet fra en veldig ung alder og deretter ønsker å fortsette å forfølge det på et lavere og høyere nivå. Ved en rekke universiteter er det ganske aggressive stipendprogrammer.
Og så er det bare mye introspeksjon som skjer på bedriftsnivå, der vi ser på kulturen til sikkerhetsteam. Vi ser på mye av de tradisjonelle rutene der vi rekrutterer fra, som er konferanser som er mannsdominerte eller igjen, vi har disse stillingsbeskrivelsene som vektlegger mye militær erfaring som eksempel. Så det er på en måte som å utvide åpningen av personer som vil rekruttere inn i sikkerhetsbransjen, en vilje til å utvikle ferdighetene deres, samt å gjøre en mye bedre jobb med å faktisk fylle trakten, fylle selve rørledningen på lang sikt.
Men til poenget ditt tar forskjellige team bedre beslutninger, og i det lange løp gir de bedre resultater. Og så den andre tingen jeg vil si er at det er så mange åpne jobber innen sikkerhet, ikke bare i USA, men også globalt. Det er også et matematisk problem. Vi kommer ikke til å fylle disse ledige stillingene hvis vi ikke rekrutterer fra halvparten av befolkningen.
Laurel: Dessuten virket det som om ikke mye sikkerhetstalent nødvendigvis ble fremmet innenfra. I rapportene fra Forrester hørtes det ut som om du hadde større sannsynlighet for å bli forfremmet hvis du gikk til et annet selskap. Undersøker bedrifter nå sine egne talenter på nytt?
Stephanie: Det er faktisk sant både på individnivå og CISO-nivå. Så vi har funnet blant Fortune 500 at førstegangs CISO-er var sjeldne, og de ble ikke promotert innenfra. Så de ønsker å ansette eksternt for CISOer, og de ønsket CISOer som hadde tidligere erfaring som CISO. Og faktisk hvis du er en person i sikkerhet, så betyr det at hvis du ønsker å bli forfremmet til CISO, er din beste mulighet faktisk å se eksternt, utenfor selskapet ditt. Og vi fant også at når selskaper ansatt CISOer eksternt i motsetning til å promotere dem innenfra, var det mer sannsynlig at de rapporterte høyere opp i organisasjonen. Så ja, på CISO-nivå kan bedrifter gjøre en bedre jobb med å se innenfor og gi disse individene den rette muligheten til å rapportere høyere i organisasjonen.
Men vi fant også ting som ligner igjen på ledernivå og individuelle bidragsyternivåer, det vil si at de ikke ansetter fra selskapet eller når de ansetter enkeltpersoner, de ga dem ikke gode karriereveier og kontinuerlig kompetanseutvikling. Så igjen, hvis disse personene virkelig ønsket å videreføre karrieren, endte de fleste opp med å forlate. Så derfor sier vi at så mye av kompetansen og bemanningsutfordringene er helt selvforskyldt.
Laurel: Så det er litt av en blindsone som sannsynligvis alle kunne gjort det litt bedre på, ikke sant?
Stephanie: Nøyaktig. Ja.
Laurel: Jeg leste denne Ponemon Institute-rapporten, og denne spesifikke setningen slo meg opp, og mens vi snakket om CISO og hva slags person som ville gjøre den rollen i utgangspunktet og erfaringen de hadde, mer enn bare en CV, det er også din holdning og evne til å handle veldig raskt og veldig smart og også kommunisere veldig bra. Men sitatet var, og jeg parafraserer litt her, teknologi har forvandlet internettalderen til en periode med grusomme mirakler for sikkerhetseksperter. Alle våre grusomme mirakler er at vi har enheter i hver lomme. Vi kan gå hvor som helst, vi kan snakke med hvem som helst når som helst, og vi kan gjøre det med lynets hastighet, men på samme tid hvis du er en CISO, hvordan sikrer du det hele?
Stephanie: Ikke sant. Ja. Alle disse enhetene som utvider de fire veggene til selskapet, de utvider i utgangspunktet angrepsflaten til organisasjonen. Så for CISO-er har det vært en slags marsj bort fra en tradisjonell perimeterbasert tilnærming til sikkerhet og faktisk tatt mer av en datasentrisk og applikasjonsentrisk, og jeg vil til og med si identitetsentrisk tilnærming til sikkerhet.
Ikke det at nettverket ikke er viktig, nettverkssikkerhet er enormt viktig, men det er mer den perimeterbaserte tilnærmingen til sikkerhet som har endret seg dramatisk. Så igjen, hvor det ikke er noen ekte fire vegger i selskapet. Omkretsen er faktisk mye mindre. Så vi har en tendens til å tenke på sikre enklaver. Hvordan bygger jeg en mikroperimeter rundt våre viktigste eiendeler?
Når vi snakker om et utvidet nettverk av alle slags enheter som du nevnte eller selve datamiljøet, som kan være en kombinasjon av lokalt, nettsky, vertsbasert privat sky, og alle varianter derav og enhver form for brukerpopulasjon som samhandler med bedriftens systemer og data. Det kan være dine egne ansatte, det kan være forbrukere og kunder, det kan være tredjepartspartnere. Så når du tenker på enheter, brukerpopulasjoner og forskjellige datamodeller, er det ingen perimeter. Så fokuset blir på å beskytte selve dataene uavhengig av hvor de reiser og uavhengig av vertsmodellen eller plasseringen. Virkelig, virkelig ser hardt på identitet. Så begrensende og strengt håndhevende tilgang, både menneskelig og ikke-menneskelig. Så det snur på en måte det tradisjonelle sikkerhetsparadigmet på hodet. Du beveger deg bort fra perimetersentrisk til data- og identitetsentrisk.
Det er det vi vanligvis anbefaler til CISOer. Og vi kaller det null-tillitsmodellen for sikkerhet, som er at du antar at du allerede har et brudd, og at du aldri antar tillit til miljøet ditt. Du antar bare alltid at noe går galt et sted, men det fungerer. Det er kanskje ikke det mest positive spinn i verden, som, oh, null tillit, men det fungerer. Det er veldig effektivt.
Den andre tingen jeg vil si er at jeg virkelig vil oppmuntre produsenter av alle disse enhetene, IoT-sensorer, IoT-enheter, alt du kan tenke på å virkelig gjøre en bedre jobb med å bygge sikkerhet inn i selve enheten fra begynnelsen. Det ville definitivt gjøre CISOs jobb mye enklere. Det er bare så frustrerende. Det er stort sett utenfor deres kontroll også.
Laurel: Ikke sant? Vel, spesielt -
Stephanie: Bortsett fra CISO-ene som faktisk jobber i produktselskaper. Du bør være involvert i produktutvikling. Du bør gi råd til organisasjonen.
Laurel: Og det er interessant fordi sikkerheten ikke alltid kommer først, gjør det vel?
Stephanie: Nei.
Laurel: Spesielt når du driver med produktdesign. Så ser du at det skjer ofte? CISOer som faktisk er aktivt involvert i produktdesign?
Stephanie: Ikke til dags dato, dessverre, men det er noe vi anbefaler. Og jeg vil si at noen CISO-er ikke nødvendigvis ser det som sin tradisjonelle rolle, slik deres tradisjonelle rolle har vært å sikre back-end-systemene for registrering og infrastruktur og selskapets data og ikke nødvendigvis involvere seg i utviklingen, men vi er faktisk aktivt oppmuntre CISOer til å engasjere seg i produktdesign og produktutvikling for å virkelig hjelpe organisasjonen med å sikre det du selger. Så uansett hva det er du selger, hvilken tjeneste det er du leverer til en forbruker, en pasient, en innbygger, et annet selskap, hvis du er en B2B-organisasjon, som aktivt er involvert i å sikre det du selger.
Laurel: Og det er absolutt en konkurransedifferensiator, er det ikke?
Stephanie: Ja, absolutt. Absolutt. Vi fant ut at sikkerhet, så vel som personvern – og de er ikke synonyme, men noen ganger går de hånd i hånd – skaper konkurransedyktig differensiering for selskaper.
Laurel: Ja. Og det er en viktig differensiator, og all støyen du har som kommer ut. Så hvis det er noe veldig spesifikt du kan markedsføre, ville det vært bra. Men vi snakker også på en måte om at CISO virkelig tar en aktiv rolle i alt. Så du må være denne multitalentfulle personen som kan snakke og forstå produktet i tillegg til å være ute og gå i samfunnet, ikke sant? Alt på samme tid deling, men ikke deling, bedriftshemmeligheter og hvordan du forsvarer dataene fordi det er denne ideen, spesielt i teknologisamfunnet, hvor du deler dine beste praksiser og hva du har lært av. Og jeg bare lurte litt på det, hvordan deler CISO-er egentlig, men deler ikke alt?
Stephanie: Ja, det er den utfordringen. Mange CISOer er veldig avsky for å snakke om detaljer om deres utplasseringer, og jeg ser ikke nødvendigvis at det endrer seg med det første. Noen ganger i mindre grupper er det imidlertid mange samfunn som støtter CISOer. Faktisk på Forester har vi en gruppe for likemannsnettverk på rundt 100 CISOer. Det er alle slags ISAC-er og etterretningsdelingssamfunn blant som CISO-er som er bransjespesifikke. Så ofte i tette samfunn der det er en forståelse av at alt er under NDA, hvor det er åpenhet, hvor det er noen personlige relasjoner, vil CISO-er dele mye mer. Men jeg har funnet CISOer villige til å snakke om overordnet strategi. Da jeg nevnte å gå fra perimeterbaserte tilnærminger til data- og identitetsentriske. Snakker om kultur. Kultur er faktisk enormt viktig, ikke bare ved CISO, men også for resten av sikkerhetsorganisasjonen.
Fordi du trenger en organisasjon som har riktig type medarbeidere som faktisk kan snakke med utviklere og være en del av sikker applikasjonsutvikling, som kan jobbe med infrastruktur- og driftsteam for å sikre skyimplementeringer. Det kan faktisk fungere med markedsføringsteam for å hjelpe dem å forstå personvernimplikasjonene av hvordan de kan tilpasse tjenester og data og annonser til forbrukere. Så du trenger også at sikkerhetsteamet selv, ikke bare CISO, selve sikkerhetsteamet er vokale og frittalende, samarbeidende og villige til å sette seg inn i kjernevirksomheten og IT-prosesser i hele organisasjonen. Så de vil snakke om kultur, de vil snakke om bemanning, de vil snakke om hva slags ferdigheter som kreves også. Vi ser definitivt en endring der.
Laurel: Og også virksomheten må være villig til å la sikkerhet på en måte komme hele sirkelen rundt denne ideen, men ikke bare produktet, men også alle andre. Så markedsføring, tenkning, igjen, sikkerhet først eller sikkerhet på et tidspunkt. Hvordan har man da denne samtalen, så alle er litt utdannet? Du trenger ikke være ekspert på sikkerhet hvis du driver med markedsføring, men du må være villig til å lytte.
Stephanie: Mange ganger fortalte CISO-er på en måte historiene, og alt var undergang og dysterhet. Jeg tror at du tar en mye mer risikobasert tilnærming der du hjelper virksomheten med å forstå fremtidige risikoer og hjelper dem med å forstå både sannsynlighet og innvirkning og gir dem råd om å ta de riktige avgjørelsene, som å flytte fra den avdelingen med nei til mer av det konsultative rolle tror jeg hjelper. Jo mer du blir den rådgivende fageksperten mer, tror jeg du kan få med deg resten av organisasjonen. Jeg tror at det er en stor hjelp, og det varierer på en måte etter CISO-kompetanse angående hvor flinke de er til å gjøre det. Jeg tror at når som helst du kan sette ting i positive forretningsbetingelser også, det hjelper.
Det var en analytiker på teamet mitt som skrev denne rapporten, den ble kalt sikkerhet for profitt, og i den skisserte han måter sikkerhet potensielt kan være en inntektsgenerator for selskapet. Igjen kan det være verdiøkende funksjoner som folk var villige til å betale mer, eller det blir en konkurransedyktig differensiator i et produkt eller en tjeneste du tilbyr. Så det kan faktisk bidra til topplinjen. Og så skisserte han også alle måtene som faktisk kan spare selskapet penger utover unngåelse av brudd og unngåelse av overholdelsesbøter.
Det er alle slags måter der hvis du gjør sikkerheten riktig, kan det faktisk forbedre ansattes opplevelse dramatisk og redusere driftskostnadene i selskapet. Identitet er et av de største eksemplene når du tenker på ombordstigning til en ansatt og muligheten til å automatisere alle måtene du gir dem tilgang til systemene de trenger. Tilbakestilling av passord. Jeg mener, det er så mange bare lavthengende frukter der du kan gjøre ansattes liv enklere, men så reduserer du faktisk harde kostnader.
Laurel: Ja. Og det er absolutt noe du ikke tenker på, men du er sikkert frustrert når du må gjøre om passordet ditt og det tar evigheter og/eller du må gå på et annet system og bla, bla, bla. Men den typen strømlinjeforming er ikke bare fra et sikkerhetsperspektiv, men som du sa, det er fra alles perspektiv å bare gjøre livet enklere, noe som til syvende og sist er det hver ansatt ønsker.
Stephanie: Jepp.
Laurel: Så hvordan holder CISO-er seg på toppen av de siste trendene? Jeg mener, konferanser, de små gruppene de snakker med?
Stephanie: Ja, jeg tror de gjør sine egne undersøkelser, enten det er publikasjoner som din, firmaer som Forrester, den andre store typen strategikonsulentfirmaer også. De gjør imidlertid sin egen forskning. De sender ofte ansatte til mange av konferansene. Og så tror jeg at de peer-nettverksgruppene også hjelper dramatisk. Men det er vanskelig å holde seg på toppen av hver eneste mulige trend. Så jeg tror det alltid hjelper å ha en slags ekstern råd også, for å gi deg beskjed om nye trusler, om nye risikoer, nye overholdelse og regelverk som skjer over hele kloden.
Laurel: Ja, og så, akkurat som du sa, å ha den jevnaldrende gruppen for å etablere tillit og en slags åpenhet med å dele beste praksis og bare høre forskjellige historier, selv om det er fra en venn jeg har hørt, for på en måte å få disse advarslene ut til ulike organisasjoner og mennesker. Apropos det, annet enn i disse jevnaldrende gruppene, er det mye samarbeid mellom myndigheter og næringsliv? Ser du mer av det, eller holder folk seg ganske mye i veien fordi det er andre konflikter å bekymre seg for med bedrifter og myndigheter?
Stephanie: Ja. I USA og faktisk andre land som Storbritannia, hvis du anses som en kritisk infrastrukturindustri, må du ha nære relasjoner med føderale myndigheter. Hvis du er i kritisk infrastruktur, mener jeg, det kommer til å være bransjespesifikke cybersikkerhetsforskrifter som du må følge, vet du, hvis du er i energi. Jeg mener, selv finansielle tjenester anses som kritisk infrastruktur. Så da må du følge NIST-retningslinjene, som et eksempel. Alle som gjør forretninger med den føderale regjeringen må følge NIST.
Du vil ikke vente med å danne relasjoner med den føderale regjeringen eller spesifikke byråer, som FBI. Du vil ikke vente til du mistenker noe eller har et brudd. Eller i mange tilfeller er det omvendt som er at de har oppdaget noe, de varsler deg om det. Noen ganger kan de ikke gi deg detaljer fordi hendene deres er bundet som en del av en større etterforskning. Så du kan faktisk utvikle relasjoner med mange av de amerikanske føderale myndighetene på forhånd, slik at du kan dele trusselintelligens. Eller igjen, skulle noe virkelig skje, har du allerede de eksisterende relasjonene på plass.
Laurel: Ja, og når vi snakker om noe som allerede skjer og forberedelsesplaner, ser du flere selskaper utvikle disse forberedelsesplanene for, igjen, ikke hvis, men når de blir hacket eller et nettangrep skjer og de må offentliggjøre det?
Stephanie: Så med hendelsesrespons er det på en måte den interne hendelsesresponsen, som er på en måte alle prosessene du trenger å oppdage, deretter utbedre og deretter svare. Og mye av responsen er mer av det vi kaller en form for rettsmedisinsk respons: å bestemme nøyaktig hva som skjedde, utbedre det, potensielt samle rettsmedisinske bevis hvis du bestemte deg for at du faktisk skulle forfølge rettslige skritt, avhengig av hvem det var etterpå . Så er det ytre respons, og du trenger virkelig begge deler. Du trenger virkelig en sofistikert hendelsesrespons, prosess og initiativ i selskapet med dedikerte eksperter, spesielt hvis du er en stor bedrift.
Men jeg tror hvor bedrifter ofte virkelig faller er på ekstern bruddrespons. Og igjen, forskrifter krever at hvis det er forbrukerelatert, hvis det er berørte enkeltpersoner, er du pålagt å varsle dem innen bestemte dager. I mange tilfeller er det 30 dager. Under GDPR i Europa er det 72 timer eller mindre. Og vi har sett selskaper kongelig svikte den eksterne bruddresponsen, noe som betyr at de var tøffe med å tilby informasjon til forbrukere.
Jeg ønsker ikke å plukke på selskaper fordi skylden på offer ofte ikke er så nyttig, men jeg har sett selskaper på en måte skylde på forbrukeren, og sier: 'Åh, hvis du hadde bedre passordhygiene, hvis du overvåket dine egne kontoer mye nærmere, ville dette ikke ha så stor innvirkning.' Nei. Du må vise empati med kundene dine. Sett dem først. Gjør alt du kan for å beskytte dem. Ikke vær nøysom med å dele informasjon på grunn av CYA slags bekymringer. Og i noen tilfeller, hvis du gjør det riktig, er det en mulighet til å ikke miste tilliten, men potensielt til og med forsterke den og bygge den opp, hvis du har satt dem først. Men du kan virkelig feile det og gjøre bruddet så mye verre enn det trengte å være.
Laurel: Og det har bare kostet selskapet enda mer penger.
Stephanie: Nøyaktig.
Laurel: Når du ser tilbake på 2019 og det er mye å snakke om cybersikkerhet, hvis vi ser på tre spesifikke områder, er det først bare cyberangrep, men veldig spesifikt på byer og kommuner. Så New Orleans var det siste, ved slutten av året, vi vet om, men det var også i hælene på at staten Louisiana hadde et cybersikkerhetsangrep. Vi vet at det skjer over hele landet. Så for å stille et svært belastet spørsmål, hvorfor blir byer og kommuner målrettet for nettangrep når de ikke nødvendigvis er de mest velfinansierte antrekkene?
Stephanie: Ja. Så det er derfor, fordi de er enkle mål. Så hvis de har underfinansiert sikkerhetsarbeidet i årevis, er det mye lettere å trenge gjennom dem og deretter be om løsepenger, selv om løsesummen er liten.
Laurel: Det er bedre enn ingenting.
Stephanie: Det er bedre enn ingenting. Det er faktisk konsensusen til mange av teamet, at så mange av disse lokale, by- og statlige myndighetene og kommunene er så enkle mål fordi de har vært underfinansiert og underbemannet i årevis. Og det meste av tiden er det økonomisk motivasjon, men det finnes andre typer motivasjon. Det kan være politisk, sosialt. Hvis du kommer til en større type stater eller føderalt byrå, kan du til og med komme inn i geopolitiske og til og med militære i noe av naturen.
Faktisk, byen New Orleans, det som var interessant med det var at angriperne ikke ba om løsepenger. Så de brukte løsepengevare for å deaktivere dem. Alt ble kryptert og tvang dem. Jeg tror de erstattet tonnevis med datainfrastruktur. Det kan være veldig vanskelig å gjenopprette fra sikkerhetskopier. Vi sier det så fælt, som: 'Å, bare gjenopprett fra sikkerhetskopiene dine.' De fleste sikkerhetskopier komplett med feil og muligheten til å gjenopprette fra en sikkerhetskopi i stor skala er faktisk veldig, veldig vanskelig. Og hvem vet når løsepengevaren faktisk ble introdusert? Så da installerer du bare løsepengevaren på nytt.
Laurel: Interessant.
Stephanie: Men ja. Etter min forståelse ba de faktisk ikke om løsepenger. Så motivasjonen deres var ikke økonomisk. Så det kunne vært...
Laurel: Bare forstyrrelse.
Stephanie: ... bare forstyrrelse for sakens skyld.
Laurel: For å se om de kunne gjøre det, ja.
Stephanie: Eller interessant nok, jeg leste denne artikkelen der den har tvunget byen til å erstatte massevis av datamaskininfrastruktur, bærbare datamaskiner, stasjonære datamaskiner, serverinfrastruktur. Så det er en del av meg som lurer på: 'Å, det kan være ansatte i byen. Jeg vet hvordan jeg skal få byen til å oppgradere.'
Laurel: Høyre, rett. Tving dem.
Stephanie: Tving dem.
Laurel: Ved å ødelegge alt.
Stephanie: Ja. Så de er enkle mål, og motivasjonene for angrepet er mye varierte, tror jeg, når det gjelder kritisk infrastruktur og deretter by, stat og lokale myndigheter.
Laurel: Og det er ikke nødvendigvis når løsepenger blir bedt om at du noen gang finner ut hvor de kommer fra eller hvem de er eller om de er utenlandske statsaktører.
Stephanie: Ja, du vet ikke nødvendigvis.
Laurel: Man vet aldri. Det er bare en gjetning.
Stephanie: Ja. Vi la faktisk ut en kontroversiell rapport i år som sa at i noen tilfeller kan organisasjoner vurdere å betale løsepenger. Jeg skal være ærlig, jeg tror at for byer, stater og lokale myndigheter kan de bli forbudt å betale løsepenger. Jeg vet ikke. Jeg må se nærmere på det, men private selskaper, selv om jeg er sikker på at FBI og andre rettshåndhevelsesbyråer foretrekker at de ikke gjør det, kan det i noen tilfeller faktisk være fornuftig. Og cyberforsikringsselskaper vil til og med si at det kan være fornuftig i noen tilfeller. Og det er faktisk firmaer som spesialiserer seg på å hjelpe bedrifter med å betale løsepenger. Noen ganger kan du faktisk forhandle om en lavere løsepenge. Det er som byttehandel. De vil fungere som mellomledd mellom de forskjellige karakterene i selskapet. Det er klart at du betaler dem i en kryptovaluta. Du overfører ikke bare kontanter.
Laurel: Selvfølgelig.
Stephanie: Så de kan legge til rette for det også. Jeg mener, hvis du ser på byen Baltimore, det de endte opp med å bruke på å komme seg etter løsepenge-angrepet var sannsynligvis hundre ganger mer enn den faktiske løsepengene. Jeg glemmer tallene, men forskjellen var latterlig.
Laurel: Så noen råd til byer og kommuner vil være å faktisk se på systemene dine og prøve å få dem oppdatert og beskyttet på en eller annen måte.
Stephanie: Ja. Gjerne med løsepengevare, sørg for at alle systemene dine er oppdaterte, lappet. Hvis du ser på de fleste vellykkede angrep, eksterne angrep, utnytter de sårbarheter og andre typer programvareutnyttelser. Det er ikke noe fancy. Alle elsker alltid å bruke avanserte angrep eller statssponsede angrep. Realiteten er at de fleste av disse angrepene er ganske lavbudsjett, men likevel effektive.
Den andre tingen er å ta en nærmere titt på sikkerhetskopiene dine. Jeg kan ikke understreke det nok. Folk overser alltid sikkerhetskopiene deres. Det blir denne rote IT-prosessen som ingen noen gang ser to ganger på, eller folk nedverdiger den og kaller den ikke viktig. Det kan være viktigere i dag hvis du ikke ønsker å betale løsepengene.
****
Laurel: Cybersikkerhet handler ikke bare om å stoppe truslene du ser. Det handler om å stoppe de du ikke kan se. Det er derfor Microsoft Security ansetter over 3500 nettkriminalitetseksperter og bruker AI for å hjelpe med å forutse, identifisere og eliminere trusler slik at du kan fokusere på å utvide virksomheten din og Microsoft Security kan fokusere på å beskytte den. Finn ut mer på microsoft.com/cybersecurity.
****
Laurel: Så et annet interessant emne som kom ut av 2019 var bare generelle datainnbrudd. Så i 2019 virket det virkelig som annenhver dag at et eller annet selskap eller noen annonserte et datainnbrudd. Og så, ifølge Risk Based Security, ble mer enn syv milliarder poster eksponert i 2019. Så når vi kommer tilbake til CISOer, hvordan reagerer CISOer og bedriftsledere egentlig på det hvis 2019 var på en måte dette året hvor vi [har sett så mange] brudd på ett år?
Stephanie: Ja. Jeg tror 2019 endelig var året med bruddtretthet. Jeg mener, det var til og med vanskelig for oss å følge med på hvert brudd som kom i nyhetene. Jeg tror det hjelper å sette det i perspektiv. Ikke alle disse bruddene var et angrep. Mange av dem var faktisk et resultat av utilsiktede eksponeringer. Så hvis du for eksempel feilkonfigurerte skylagring, anses det faktisk som et brudd, selv om det ikke nødvendigvis er noe bevis for at noen form for tredjepart eller ekstern angriper eller organisasjon faktisk har misbrukt eller misbrukt dataene. Bare det faktum at noen enten internt eller ofte er det sikkerhetsforskeren som faktisk oppdager at all informasjonen var mindre eksponert. Det anses som et brudd.
Men ja. Hvis du ser på brudd selv, hadde 51 % av selskapene minst ett brudd det siste året. Og det tallet er sannsynligvis høyere fordi mange organisasjoner ikke vet om det umiddelbart. Men så er det en stor prosentandel av dem, faktisk flertallet, er interne, et resultat av interne hendelser, tredjepartshendelser eller bare tapte eller stjålne enheter. Og hvis du ser på ekte eksterne brudd, der det var en ekstern part som angrep deg og fikk tilgang til dine sensitive data, for å komme tilbake til mye av det lave budsjettet, var de tre beste angrepsvektorene et direkte angrep på applikasjonen din, dra nytte av en programvaresårbarhet eller kompromittert brukerlegitimasjon.
Og de tre av disse, hvis du ser på det ... jeg hater å være flippen og si at det er enkelt å løse, men det krever ikke nødvendigvis den mest avanserte programvareteknologien å håndtere, men det er sikker applikasjonsutvikling. For å komme tilbake til hele produktutviklingen og designen vår, er det bare å sørge for at applikasjonene du utvikler som er kundevendte er sikre ved design – at du bygger sikkerhet inn i dem fra starten. Det vil redusere et stort antall direkte angrep på applikasjoner. Og så når applikasjonene er distribuert i produksjon, igjen, beskytter de dem med alt fra nettapplikasjonsbrannmurer til andre typer sikkerhetstiltak som på en måte omslutter applikasjonen og beskyttelsen.
Den andre tingen er programvareutnyttelse. Så mange angripere utnytter bare sårbarheter som ikke har blitt løst. Så å ha et veldig sterkt program for sårbarhetshåndtering – ikke det mest sexy temaet i verden, sårbarhetshåndtering, men bedrifter har faktisk ikke en god måte å prioritere sårbarheter og deretter adressere dem.
Laurel: Og det er lavthengende frukt.
Stephanie: Slik lavthengende frukt. Og så kompromitterer brukerlegitimasjonen, multifaktorautentisering.
Laurel: Ja. Gå til telefonen din. Skriv inn passordet. Vi har imidlertid blitt ganske vant til det.
Stephanie: Ikke sant. Og så mange ganger med disse store bruddene ... og vi pleide å skrive denne årlige rapporten om erfaringer og det ble nesten kjedelig fordi jeg bare fortsatte å gi de samme rådene om og om igjen, som sikker apputvikling, sårbarhetshåndtering, kryptering av det meste sensitive data du har, og deretter tofaktorautentisering og deretter ha et robust deteksjons- og hendelsesresponsprogram på plass. Så det er fortsatt lavthengende frukt der ute. Jeg mener, vi snakker så mye om forhåndsangrep og den økende angrepsflaten, og det er sant, men igjen, vi har fortsatt ikke tatt opp så mange av det grunnleggende.
Laurel: Og de grunnleggende tingene, som du sa, du har skrevet om dem i årevis. Tror du at noen av disse mer bemerkelsesverdige angrepene gir farge og kanskje fanger folks oppmerksomhet på måter som de er villige til å faktisk dedikere deler av et IT-budsjett til sårbarhet?
Stephanie: De gjør. Til poenget ditt om multifaktorautentisering, tror jeg at det nå har blitt en glemt konklusjon og akseptert beste praksis - du må ha det på plass. Det tok en stund. Det måtte være brudd etter brudd. Det måtte være industrien som sa to-faktor, to-faktor, to-faktor. Selv forbrukerteknologiselskaper sier til kundene sine: 'Slå på tofaktor, slå på tofaktor.' Så jeg tror at jo mer vi gjentar noen av disse beste praksisene, jo mer blir de til slutt inngrodd. Jeg håper at det samme vil skje med sikker applikasjonsutvikling.
Og så er sårbarhetshåndtering, igjen, veldig viktig å ha en måte å prioritere sårbarhetene du må forholde deg til. Og tusenvis av sårbarheter legges til National Vulnerability Database hvert år, og 30 % av dem anses som kritiske. Så det hjelper ikke. Du trenger en intern prosess for ytterligere å prioritere sårbarhetene basert på din egen forretningskontekst, IT-kontekst, ditt eget trusselmiljø for å hjelpe deg med å lappe systemet.
Laurel: For ellers er det bare...
Stephanie: Det ville vært overveldende.
Laurel: Så overveldende.
Stephanie: Ja.
Laurel: Jeg tror at banker og banknæringen er en av bransjene som tvinger frem tofaktorautentisering. Ser du noen spesielle bransjer som gjør det med å sikre applikasjoner eller bygge sikre apper?
Stephanie: Å bygge sikre apper, hvem tror jeg kan være i ledelsen? Det er et godt spørsmål. Jeg vet ikke om noen annen bransje virkelig skiller seg ut. Vi laget denne sikkerhetsrapporten nylig, og den var ganske øyeåpnende, så vel som dyster. Det var ikke en feel-good-rapport. Og så gjorde vi en bransjespesifikk versjon av den der vi filtrerte dataene vi hadde av myndighetene. Og den føderale regjeringen var enda verre enn privat sektor, så det er ganske bekymringsfullt. Jeg tror de bransjene som kanskje bekymrer meg mest vil være helsevesenet og myndigheter.
Laurel: Og det er to som de fleste sannsynligvis bruker mer regelmessig enn nesten noe annet.
Stephanie: Ikke sant.
Laurel: Ja. Helsevesenet er ikke en liten bekymring i det hele tatt. Ideen om sykehusdata, personlige data, men også PII [personlig identifiserbar informasjon] og bare å komme inn i systemer og maskiner. Er alt en bekymring? Når alt er en bekymring, hvordan prioriterer du egentlig det hvis du er en helseinstitusjon?
Stephanie: Ja. Jeg tror at med helsevesenet i lang tid, så mye av vekten var på å overholde HIPAA. Snakker om USA-spesifikke. I USA var det så mye vekt på å overholde HIPAA, til og med CISO-ene var på en måte fokusert på HIPAA i motsetning til ekte cybersikkerhet. Så historisk sett fant vi ofte ut at helsevesenet dessverre brukte mindre enn andre bransjer på sikkerhet. Og igjen, hvis de hadde en CISO, fant vi ofte ut at han eller hun ikke rapporterte høyt nok i organisasjonen eller hadde riktig kontroll. Det er i endring. Jeg tror der helsevesenet også sliter er, selv om de tar opp noen av de historiske budsjettproblemene de hadde, er det en industri som sliter med kostnadene. Hvis du har en dollar å bruke på et klinisk system kontra cybersikkerhet, er det et veldig tøft valg, spesielt i USA hvor vi bruker så mye på helsetjenester, men fortsatt har de verste helseresultatene av alle utviklede land. Det er den virkelige kampen er at sikkerhet krever en anstendig mengde budsjett for å gjøre det bra.
Ja. Så helsevesenet, det er det som bekymrer meg er at de ligger bak andre bransjer når det gjelder generell modenhet, men jeg tror at det er i endring. Jeg tror det neste området som sannsynligvis bekymrer meg innen helsevesenet vil være medisinsk utstyrssikkerhet og applikasjonssikkerhet.
Laurel: Ja, det er et helt annet, skummelt emne, ikke sant? Vel, så til slutt, det jeg tenkte på fra 2019 er at dette emnet er bredt og stort, men også veldig viktig for de fleste selskaper som faktisk produserer en fysisk vare eller sender ting fra ett sted til et annet, som er sikkerhetsangrep i forsyningskjeden. Hvis en bedrifts forsyningskjede er så veldig lang og komplisert, snakker vi ikke bare om å sikre, ja, dine fysiske lokaler eller skyen. Det er også produktet. Hvor det sendes fra, hvor det skal, og så også leverandørene.
Stephanie: Komponentene.
Laurel: Komponentene og leverandørene du jobber med.
Stephanie: Ja. Jeg tror mye av det vil starte med generell tredjepartsrisiko. Tredjepartsrisiko og forsyningskjederisiko, jeg mener, forsyningskjeden er en slags undergruppe av den samlede tredjepartsrisikoen. Generelt vil jeg si at tredjepartsrisiko har vært en av de fem største utfordringene som mange av våre CISO-klienter – de har snakket med oss om de siste årene. Igjen, hvis du ser på brudddataene, er nesten godt 25 % til 30 %, et sted i den rekkevidden av brudd, resultatet av tredjeparter. Og en typisk stor bedrift kan ha så mange som 300 tredjepartsrelasjoner når du legger sammen ikke bare leverandører, men så tenker du på IT-tjenesteleverandører, skyleverandører. Jeg gjorde en gang en forretningskonsekvensanalyse der jeg inventerte alle tredjepartsrelasjoner for en virkelig mellomstor organisasjon, tusen ansatte. Og jeg fant omtrent 30 tredjepartsforhold som IT-organisasjonen ikke visste noe om.
Laurel: Oh wow.
Stephanie: Og nå tar du det til en stor bedrift. Så jeg tror mye av det vil komme tilbake til hvis du kan starte med kjerneprogrammet for tredjepartsrisiko. En, har du en? Er sikkerhet innebygd i tredjepartsrisiko? Har de vetorettigheter over tredjepartsforhold? Og det er ikke bare en engangsevaluering av tredjeparters sikkerhetsstilling. Det er også et pågående forhold der du med jevne mellomrom revurderer dem. Det er mange krav for å definere som servicenivåavtaler rundt sikkerhet med tredjeparter. Så det hele starter med grunnleggende tredjeparts risikostyring. Og så tror jeg det vil strekke seg inn i forsyningskjederisiko også.
Laurel: Og du vil sannsynligvis se det som med folk eller selskaper som egentlig bare viser beste praksis. De skyver det nedstrøms til alle sine leverandører. Så hvis du forventer å jobbe med oss, må du følge disse prosedyrene.
Stephanie: Nøyaktig.
Laurel: OK.
Stephanie: Nøyaktig. Ja. Jeg har ønsket å skrive denne rapporten en stund, som er, for langsiktig forretningssuksess, å fungere som et bruddselskap. Selskaper som faktisk har hatt store brudd og på en måte overlevde det første etterspillet, fortsetter faktisk etter omtrent fem år å ha forretningsresultater som ofte vil overgå S&P 500. Og hvis du går tilbake og ser på mye av det de har gjort, tvinger det dem til å ta både virkelig tøffe forretnings- og IT- og sikkerhetsbeslutninger. Så fra et forretningsperspektiv vil det tvinge dem til å like omprioritere mange av sine strategiske initiativer fordi bruddet endte opp med å koste dem 300 millioner dollar, 500 millioner dollar, til og med 1 milliard dollar. Så det tvinger dem til å ta ut mye vanskeligere å se på deres generelle forretningsstrategi og deres forretningsdrift fordi de bare ikke har penger til å bruke på alt. Eller i noen tilfeller må de skjære seg løs fra dårlige beslutninger som de holdt som å øse penger i.
Fra et IT-perspektiv vil vi se dem implementere ting de burde ha gjort hele tiden. Tredjepartsrisiko. Jeg hadde et selskap som hadde et brudd som sa at etter bruddet, du vet, kunne du ikke kjøpe en blyant uten ...
Laurel: Godkjenning.
Stephanie: Godkjenning. Og du vil ikke nødvendigvis gå til det ytterste, men det var tydelig at de ikke hadde noen tredjepartsrisiko på forhånd. Eller de vil ansette CSO, eller de vil endre hvor CSO rapporterer til, begynne å finansiere hendelsesrespons og bryte responsprogrammer. Så bruddet tvinger dem faktisk til å være et mye mer modent og bedre selskap. Det er bare uheldig at de måtte gjennom bruddet for å komme dit.
Laurel: For å komme dit. Jeg antar at det sannsynligvis er slik ethvert selskap på et tidspunkt sannsynligvis burde se på det er, gjør vi faktisk alt som vi burde være på riktig måte? Hvordan er tingenes tilstand, statusen til selskapet? og ser hardt. Men jeg er sikker på at det heller ikke ville gjort deg veldig populær hvis dette bare var en øvelse.
Stephanie: Ja.
Laurel: Hvis du går gjennom et forferdelig sikkerhetsbrudd, så har du liksom en unnskyldning. Så vi kommer tilbake til hele greia der når noe forferdelig skjer, nå har du en unnskyldning for å …
Stephanie: Jeg tror modenhetsvurderinger hjelper der. Jeg mener det er mange bransjespesifikke modenhetsvurderinger for cybersikkerhet. Hos Forrester har vi våre egne modenhetsvurderinger. Så vi vil ofte oppdage at kunder vil bruke det som en grunnlinje, og så kan de gå til styret og gå til forretnings- og IT-lederne sine og si: 'Se, mot bransjens beste praksis, her er vi modne , og her er vi virkelig svake.' Og så hjelper det dem også å begynne å lage like veikart og deretter rettferdiggjøre finansiering til spesifikke initiativer, fordi du kan si at det kommer til å forbedre vår modenhet fra en 1,5 til en 3. Og dette er virkelig, for vår bransje må vi være minst en 3 i dette området.
Så jeg tenker på poenget ditt, å ta utgangspunktet i forhold til beste praksis i bransjen og velge en modenhetsvurdering, vet du – Forresters, et annet konsulentfirma. Men grunnlegg deg selv i din sikkerhetsstilling, kommuniser resultatene, arbeid med næringslivet for å sette realistiske mål om hvor du bør være som bedrift og bransje. Og så driver det virkelig veikartet og mye av finansieringen din. Så det gir deg som et ekte nord å peke på.
Laurel: Og det får deg på veien til å ha sikkerhet som en differensiator.
Stephanie: Nøyaktig.
Laurel: Ja. Så i 2020 vil vi sannsynligvis se mer av det muligens. Men noen flere bekymringsfulle tillegg. Vi kom bare kort inn på geopolitikk. Slutten av året viste oss en litt humpete vei med Iran spesifikt. Så hvor mye tror du gjennomsnittlige selskaper er bekymret for geopolitikk, eller er det bare en hvilken som helst dårlig aktør som kommer deres vei de trenger for å øke sikkerheten?
Stephanie: Vi hadde faktisk skrevet denne rapporten tilbake, jeg vil si først i 2016, og det var for CISOer. Og tittelen på den var Ignorer geopolitisk risiko på din fare. Og det var denne ideen CISOer virkelig trengte å våkne opp til cybersikkerhetsimplikasjonene av geopolitisk risiko. Så, ja, det er Iran i dag. Det kan bli et annet land i fremtiden. Selv om du tror at, åh, jeg er ikke i regjeringen, jeg er ikke i kritisk infrastruktur, private sektororganisasjoner er målrettet hele tiden. Igjen, i noen tilfeller fordi de er enkle mål, fordi du gjør forretninger med den føderale regjeringen.
Så du må være bekymret for geopolitisk risiko. Og igjen, for mange store bedrifter der du er multinasjonal, må du tenke på hvordan det påvirker dine ansatte, kontorene dine, tredjepartene du gjør forretninger med. Så som om CSOer ikke hadde nok å gjøre, må de ta geopolitisk risiko i betraktning. Hvordan øker det risikoen? Gjør det dem mer til et mål? Faktisk, interessant nok, hvis du ser på noen av bruddene, kjenner du for eksempel Marriott. Anthem, jeg glemmer om det var for tre år siden. De ville ikke ha trodd at de var mål for en nasjonalstat, men det var dataene deres de ønsket.
Laurel: Selvfølgelig. Og er slike markeringsnavn mer utsatt, eller er det egentlig bare, ja, du har noen gode data?
Stephanie: Jeg tror det handlet mindre om navnet og mer om, i de spesielle tilfellene, om dataene de hadde. Du vet, når det gjelder Marriott, hadde de utrolig detaljert informasjon om reisevanene til statsansatte og ledende tjenestemenn. Jeg tror i noen tilfeller at de til og med hadde kopier av passnumrene sine som en del av de sensitive dataene som ble kompromittert.
Når det gjelder Anthem, har du sensitiv medisinsk informasjon om enkeltpersoner. Du må tenke på geopolitisk risiko og hvordan en nasjonalstat kan være i stand til å bruke dataene dine.
Laurel: Det er definitivt mye der. Men for hva med innenrikspolitikk og risiko? 2020 er et valgår. Men bortsett fra valgurnens sikkerhet, hvilke andre typer spesialinteressegrupper og kampanjer kan samle inn data som kan være målrettet?
Stephanie: Ja, jeg mener det er interessant. Vel, igjen, muligheten til å målrette velgere er veldig kraftig. Så igjen, hvis du er en forbrukerorganisasjon som har svært detaljert informasjon om enkeltpersoner som preferanser, likes, vaner. Kan ikke nødvendigvis brukes til ondsinnede formål som identitetstyveri. Men igjen, det kan brukes av noen som ønsker å målrette og påvirke disse individene. Så jeg kan definitivt se, igjen, hvis du er et forbrukerselskap som har utrolig detaljerte data om preferanser, kjøpsatferd, holdninger, alt dette ville definitivt være veldig modent for målretting.
Laurel: Samt angrep som deepfakes, ikke sant?
Stephanie: Ja.
Laurel: Så vil du si deepfakes er som den nye phishing eller er det bare en smak av phishing?
Stephanie: Smak. Det er liksom den neste utviklingen av sosial ingeniørkunst. Som om sosial ingeniørkunst ikke var vanskelig nok å ta tak i, nå må vi også kjempe med deepfakes. Og jeg føler at med deepfakes, modnet de så mye raskere enn bransjen forventet. Jeg mener, jeg husker at jeg leste og hørte på podcaster som liker, og at eksperter sa som: 'Å, du vet, vi er fortsatt år unna dype faker som virkelig kan lure eksperter.' Og jeg føler at den tidslinjen var langt unna.
Laurel: Måte akselerere.
Stephanie: Måte akselerere.
Laurel: Så Forrester har denne flotte rapporten kalt Predictions 2020, og spådommen er at deepfakes vil koste bedrifter mer enn en kvart av $1 milliard neste år. Så teknologien øker hastigheten, men også virkningen og skaden.
Stephanie: Ja, riktig. Og jeg tror akkurat som et typisk brudd, det er de umiddelbare kostnadene. Så hvis du tenker på dine typiske sosiale ingeniørangrep. For nylig var det et tysk selskap at noen faktisk overbevisende var i stand til å forfalske stemmen til administrerende direktør, og de overbeviste en annen leder i selskapet om å overføre noe sånt som en kvart million dollar til dem. Så, det er et eksempel på din neste utvikling av forretningskompromisser og angrep fra sosial ingeniørkunst. Så du kan forestille deg at det er enda mer sofistikert, større skala, men så er det også å håndtere konsekvensene av det. Å bevise at det var en deepfake, håndtere bruddresponsen, hvordan du håndterer det. Totalkostnaden for det tror vi definitivt kan bli betydelig.
Laurel: Er det noe forsikringsselskapene er klare til å håndtere eller kan håndtere?
Stephanie: Interessant nok, det eksemplet som jeg nettopp ga, så det er en deepfake, alt skjedde over eller datainfrastruktur. Det vil bli ansett som svindel i motsetning til et eksternt angrep. Så jeg er ikke sikker på at nettforsikringen din faktisk dekker det.
Laurel: Wow.
Stephanie: Og jeg vet at mange selskaper gjør det som en del av deres respons. Det er en antagelse om at en god del av det vil bli dekket. For en stor bedrift er det ikke uvanlig å ha en nettforsikring på 100 millioner dollar. Så hvis du satser på å kunne bruke de 100 millioner dollar, avhengig av hva som skjedde. Hvis det er klassifisert som svindel, kan det hende de ikke dekker det.
Laurel: Hva kan ledere gjøre? Gå tilbake til hemmelige passord og håndtrykk eller...
Stephanie: Ja, til side for spøk. Hvis i slike bankoverføringer eller andre ting som involverer som sensitive data, å ha den andre faktoren, autentisering, tror jeg faktisk er veldig viktig.
Laurel: Interessant. Tydeligvis dype forfalskninger, mye hurtiggående teknologi, alt beveger seg og blir så mye mer sofistikert. Så vi snakker ikke bare om at de flinke gutta har tilgang til all teknologien. De slemme gutta gjør det også. Så hva ser vi på i en annen Forrester-spådom her om våpenisert kunstig intelligens og maskinlæring? Det er et stort tema, men med en så raskt fremskritt teknologi og alle har tilgang til de samme verktøyene, er det et våpenkappløp på gang, eller er det bare at vi alle må passe på hverandre og bare få det gjort?
Stephanie: Jeg tror det er begge deler. Jeg mener sikkerhet er et evig våpenkappløp. Jeg vil si at jeg tror sikkerhetsteam trenger å omfavne maskinlæring og andre typer kunstig intelligens veldig raskt. Like raske som skurkene er. Jeg mener det er store muligheter for å automatisere mange av våre kjerneprosesser innen sikkerhet. Alt fra deteksjon til utbedring til selve responsen.
Bruker maskinlæring for bedre deteksjonsmuligheter. Så tenk om vi var i stand til å oppdage noe raskere og så mye mer av responsen vår var automatisert. Akkurat nå er mye av det vi gjør veldig manuelt. Deteksjonsmanualen, som sikkerhetsteam faktisk ofte er, som hvis du ser på en typisk SOC, mener jeg at de er oversvømmet med tusenvis av varsler. Det er vanskelig å prøve å forstå hvilke varsler som er viktigere enn andre. Så igjen, det er en slags prioritering. Som å forstå umiddelbart hvilke som er virkelig ondskapsfulle og farlige er avgjørende. Og du kan ansette så mange du vil. Du ville aldri kunne holde tritt med det.
Laurel: Ikke sant.
Stephanie: Så du trenger virkelig teknologi for å gjøre det for deg. Men så snart du vet at noe virkelig er ondsinnet, igjen, akkurat nå er det en manuell prosess som starter, det vil si at du manuelt må tilbakestille brukerens passord. Du må manuelt isolere enheter fra nettverket. Alt gjøres manuelt, og i noen tilfeller har vi fortsatt mange trinn der vi ber om godkjenning. I fremtiden vil alt dette skje automatisk. Du vil trenge virksomheten til å samarbeide med deg for å si: 'OK, fra nå av hvis den oppfyller en viss terskel, hvis vi er 90 % sikre på at dette er ondsinnet, så sikkerhetsteamet, alle prosessene er automatisert.' Alt jeg nettopp beskrev som tilbakestilling av passord, isolering av enheter, alt dette kan skje automatisk. Du trenger ikke vente på noens godkjenning.
Laurel: Og tiden er av essensen?
Stephanie: Ja, så vi må snakke om bedrifter som trenger å gjennomgå digital transformasjon for å møte nye kundeforventninger og endrede forretningskrav. Jeg tror sikkerhetsteam må gjennomgå sin egen digitale transformasjon, fordi alt vi gjør i dag er så manuelt og så tidkrevende. Og hvis vi skal holde tritt med cyberkriminelle som utnytter disse teknologiene, må vi gjøre det før heller enn senere.
Det var dette selskapet som brukte maskinlæringsalgoritmer for å målrette mot individer med mer sofistikerte sosiale ingeniørmeldinger og var i stand til å øke ikke bare det totale antallet mennesker som de var i stand til sosialt å konstruere, men suksessen til klikkgjennomgangene eksponentielt med maskinlæring og automatiseringsteknologier. Så ja, vi må følge med.
Laurel: Vil du si at det er noen andre spesielle trender du ser på for 2020 eller ting folk bør holde øye med?
Stephanie: Jeg tror faktisk tredjepartsrisiko og forsyningskjede kommer til å fortsette å være et stort, stort problem. Og det er faktisk et annet område på grunn av størrelsen på problemet. Når jeg snakker om en bedrift som har 300 tredjepartsrelasjoner – er det bare et gjennomsnitt. Det er store selskaper med enda et større antall enn det, og det er veldig tidkrevende å vurdere holdningen, forhandle SLAer, fortsette å vurdere dem, holde oversikt over dem, få logger fra dem slik at du forstår hvor dataene dine er. Så tredjepartsrisikoutfordringen alene trenger sitt eget sett med slags automatiseringsverktøy og forsyningskjederegler. Jeg tror transformasjonen av SOC vil fortsette å være et problem i 2019.
Laurel: Sikkerhetsoperasjonssenteret?
Stephanie: Sikkerhetsoperasjonssenteret. Som om vi ikke hadde en kompetanse og mangel på bemanning. Selv om du kunne ansette alle de personene du vil, kan du ikke holde tritt med omfanget og utfordringen med problemene. Så du må ta i bruk automatisering der også.
Laurel: Ser du at selskaper tar i bruk automatisering først, kanskje innen sikkerhet der de kanskje har vært mer avventende i andre deler av virksomheten?
Stephanie: Ja. Og i lang tid var det en nøling med å ta i bruk automatisering, fordi det var frykt for at jeg kunne blokkere en legitim forretningstransaksjon. Og du vet, historisk sett slet sikkerhetsteamet med å bli sett på som en forretningspartner. De var avdelingen til nr. Og så var det denne fryktede frykten for potensielt blokkering av enhver form for legitim forretningstransaksjon. Jeg tror at frykten er borte nå gitt alle bruddene vi har. Virksomheten er som 'Nei, du vet at noe er ondsinnet, du blokkerer det.'
Laurel: Ikke sant.
Stephanie: 'Eller innenfor en viss tillit, du tror det er ondsinnet, du blokkerer det.' Så det er definitivt en åpenhet for automatisering. Jeg vil si, det er denne setningen som ikke automatiser dum. Du kan ikke bare investere i en automatiseringsteknologi hvis du mangler grunnleggende prosesser i din SOC. Så du må modne SOC-operasjonene dine og ha modne prosesser, og så kan du automatisere dem. Ellers automatiserer du bare dumt. Og i noen tilfeller også, det er derfor mange selskaper henvender seg til administrerte tjenester.
Det store flertallet av sikkerhetsbudsjettet brukes nå faktisk på tjenester nå. Enten det er rådgivende, profesjonelle administrerte tjenester eller sikkerhet faktisk levert som en tjeneste fra skyen. Det har gått bort fra lokale produkter til tjenester. Og jeg tror en del av det gjenspeiler behovet for at sikkerhetsteam, de trenger ekstern hjelp. De har en problemskala, de har et kompetanseproblem, så de henvender seg mer og mer til tjenester. Og etter hvert som virksomheten blir mer og mer skybasert, må sikkerhetsteknologiene dine også bli skybaserte.
Laurel: Og raskt.
Stephanie: Nøyaktig.
Laurel: Ja. Og det kommer på en måte tilbake til, ikke gå alene. Du kan ikke gjøre dette helt alene ute i villmarken.
Stephanie: Definitivt ikke.
Laurel: Vel, tusen takk, Stephanie. Det var flott å ha deg på Business Lab i dag.
Stephanie: Takk for at du har meg. Det var flott å være her.
Laurel: Det var Stephanie Balaouras, visepresident og gruppedirektør for sikkerhet og risikoforskning samt infrastruktur- og driftsforskning ved Forrester Research, som jeg snakket med fra Cambridge, Massachusetts, hjemmet til MIT og MIT Technology Review, med utsikt over Charles River. Takk også til vår partner, Microsoft Security.
Det var alt for denne episoden av Business Lab. Jeg er verten din, Laurel Ruma. Jeg er direktør for Insights, den tilpassede publiseringsavdelingen til MIT Technology Review. Vi ble grunnlagt i 1899 ved Massachusetts Institute of Technology, og du kan også finne oss på trykk, på nettet, på dusinvis av live-arrangementer hvert år. For mer informasjon om oss og showet, vennligst sjekk ut vår nettside, TechnologyReview.com. Dette programmet er tilgjengelig uansett hvor du får podcastene dine. Hvis du likte denne episoden, håper vi at du tar deg tid til å vurdere og anmelde oss. Business Lab er en produksjon av MIT Technology Review. Denne episoden ble produsert av Collective Next. Takk for at du lyttet.
Sikkerhetstrusler er overalt. Det er derfor Microsoft Security har over 3500 eksperter på nettkriminalitet som kontinuerlig overvåker for trusler for å beskytte virksomheten din. Mer på Microsoft.com/cybersecurity.