Ettersom cybersikkerhet utvikler seg, bør styret ditt også gjøre det

I samarbeid med Cortex Xpanse av Palo Alto Networks

Men hvor mange regissører går seg vill i det tekniske med teknologi? Utfordringen for en Chief Information Security Officer (CISO) er å snakke med styret på en måte de kan forstå og støtte selskapet.

Det er boret inn i hodene til styremedlemmer og C-suiten av skumle overskrifter for datainnbrudd, advokater, søksmål og risikoansvarlige: cybersikkerhet er høyrisiko. Det må være på listen over et selskaps toppprioriteringer.

Niall Browne, senior visepresident og sjef for informasjonssikkerhet i Palo Alto Networks, sier at du kan se på CISO-styrets diskusjon som et klassisk salgsargument: vellykkede CISOer vil vite hvordan de skal lukke avtalen akkurat som de beste selgerne gjør. Det er det som gjør en virkelig god selger: personen som har pitchen til å lukke, sier han. De har muligheten til å lukke avtalen. Så de ber om noe.

I evigheter, sier Browne, har CISO-er hatt to store problemer med brett. For det første har de ikke vært i stand til å snakke samme språk, slik at styret kunne forstå hva problemene var. Det andre problemet: Det var ingen spørre. Du kan gå foran et styre og holde presentasjonen din, og direktørene kan se ut som om de er enige, nikker eller rister på hodet, og du kan tenke med deg selv, jobbet ferdig. De er oppdatert. Men det betyr ikke nødvendigvis at bedriftens sikkerhetsstilling er bedre.

Derfor er det viktig for CISOer å heve styrets forståelse til et nivå der de vet hva som trengs og hvorfor. Spesielt når det kommer til nye fremskritt innen cybersikkerhet, som angrepsoverflatestyring, som sannsynligvis er et av områdene som CISO-er fokuserer minst på og likevel er det viktigste, sier Browne. For eksempel kan det hende at CISO og sikkerhetsteamet mange ganger ikke kan se veden fra trærne fordi de er så involvert i det. Og for å gjøre det trenger CISO-er et sett med beregninger slik at hvem som helst kan lese en brettstokk og i løpet av få minutter forstå hva CISO prøver å komme over, sier Browne. For det meste er dataene der, men det er ingen kontekst bak dem.

Denne episoden av Business Lab er produsert i samarbeid med Palo Alto Networks.

Full transkripsjon :

Laurel Ruma : Fra MIT Technology Review heter jeg Laurel Ruma, og dette er Business Lab, showet som hjelper bedriftsledere å forstå nye teknologier som kommer ut av laboratoriet og inn på markedet.

Temaet vårt i dag er cybersikkerhet og bedriftsansvar. De siste årene har cybersikkerhet blitt et problem på styrenivå med skadet omdømme, tapte inntekter og enorme mengder data stjålet. Etter hvert som angrepsoverflaten vokser, vil informasjonssikkerhetssjefer ha økende ansvar for å vite hvor de kan forvente neste angrep og hvordan de skal forklare hvordan det skjedde.

To ord for deg: synlighet utenfor og inn.

Min gjest er Niall Browne, som er senior visepresident og sjef for informasjonssikkerhet hos Palo Alto Networks. Niall har flere tiår med erfaring i å administrere globale sikkerhets-, compliance- og risikostyringsprogrammer for finansinstitusjoner, skyleverandører og teknologitjenesteselskaper. Han sitter i Googles CISO-rådgivende styre.

Denne episoden av Business Lab er produsert i samarbeid med Palo Alto Networks.

Velkommen, Niall.

Niall Browne : Utmerket. Takk, Laurel, for at du har meg.

Laurel : Så som sjef for informasjonssikkerhet, eller CISO, er du ansvarlig for å sikre både Palo Alto Networks sine produkter og selskapet selv. Men du sikrer ikke et hvilket som helst gammelt selskap; du sikrer et sikkerhetsselskap som sikrer andre selskaper. Hvordan er det annerledes?

Niall : Ja, så jeg tror, ​​det vakre med Palo Alto Networks er at vi er det største cybersikkerhetsselskapet i verden. Så vi får virkelig se hva forferdelig mange selskaper aldri får se. Og hvis du tenker på det, er en av de viktigste tingene, kunnskap er makt. Så jo mer du vet om motstanderne dine, hva de gjør, hvilke metoder de prøver på nettverket, hva er kontrollene som fungerer og hva er kontrollene som ikke fungerer, jo bedre er du til å lage dine egne interne strategi for å beskytte mot disse kontinuerlige angrepene. Og du er i en mye bedre posisjon til å kunne gi disse dataene til styret slik at de kan forsikre deg om at det riktige tilsynet er på plass.

Så absolutt for oss, med det kunnskapsnivået om hva vi får se i nettverkene våre, gir det oss virkelig muligheten til kontinuerlig innovasjon. Så vi tar produktene våre og bygger videre på dem, slik at vi kan møte kundenes krav og deretter bransjekravene. Så jeg tror nok det er den første delen. Den andre delen er at vi virkelig er i denne båten sammen. Så en del av jobben min er å kontinuerlig snakke med enkeltpersoner i bransjen og andre CISOer, CTOer, CIOer og administrerende direktører som snakker om cybersikkerhetsstrategi. Og alltid vil du finne de samme problemene som de har, er nøyaktig de samme problemene som vi har. Så for oss er det virkelig muligheten til å dele, hvordan sikrer vi at vi er i stand til kontinuerlig å innovere, utgjøre en forskjell i bransjen og virkelig samarbeide på løpende basis med industriledere. Spesielt med fokus på hvordan vi sikrer virksomheten vår og gir beste praksis for hvordan vi selskaper kan være sikrere?

Laurel : Så noen mennesker kan bli overrasket over at samarbeid og denne typen åpen deling av kunnskap er så utbredt, men det burde de ikke være, ikke sant? For hvordan skal dere ellers alle sammen forsvare mot de ukjente angriperne?

Niall : Flott spørsmål. Og hvis du ser på den på motsatt side av gjerdet, deler hackere kontinuerlig. Selv om de deler for økonomisk vinning. Med andre ord, de vil stjele data og de vil videreselge det og videreselge det og videreselge det og videreselge det. Hackere deler kontinuerlig disse dataene, inkludert DIY-verktøysett. Og på sikkerhetssiden av huset har det alltid vært historisk mistanke. Med andre ord, jeg er den eneste personen som har dette problemet unikt. Og hvis jeg deler dette problemet, vil de tro at jeg ikke gjør en god jobb eller at selskapet ikke gjør en god jobb, eller jeg er den eneste personen som har dette spesifikke problemet. Og det som skjedde over tid er at CISO-er ikke delte mye data, noe som betyr at hackerne delte data til høyre og i midten. Men på CISO-siden av huset, på beskyttelsessiden, var det veldig lite samarbeid, noe som gjorde at man nå hadde begrenset delt bransjebeste praksis.

Hver CISO var i sin egen silo, i sin egen søyle, og gjorde sin egen unike ting, og alle lærte av sine egne feil. Så det var egentlig en en-til-en-modell. Du gjør en feil og så gjør du en ny feil, og så gjør du en ny feil. Men hvis du kunne snakke med jevnaldrende, forestille deg i forretninger eller finans, snakker du kontinuerlig med CTO og CFO for å si, Å, forresten, hvordan klarte du slike og slike problemer? Så jeg ser nå at bransjen begynner å endre seg. CISO-er begynner nå å endre seg og dele. De snakker kontinuerlig om strategi. De snakker kontinuerlig om hvordan de beskytter miljøet sitt? De snakker om, hva er noen av de gode forretningsmodellene som fungerer?

Og hvis du ser på MIT, er det industri og tekniske og forretningsmodeller som virkelig fungerer i andre bransjer. Men så, hvis du ser i selve CISO-fellesskapet, er det som, hva er de beste praksisene i bransjen? Og nå begynner de bare å bli på en måte formulert, boble opp derfra. Og det jeg ser, absolutt i løpet av de siste, vil jeg si tre eller fire år, er det en enorm vekst på CISO-ene i forhold til å lære industriens beste praksis, og virkelig heve ferdighetene deres. Så de er bare ikke den tekniske nerden i hjørnet. De trenger virkelig å kunne snakke forretningsteknologi, være i stand til å snakke forretningsvilkår og virkelig kunne bli sett på som den nære kollegaen til den CTO, til CIO, til CEO i forhold til å løse forretningsproblemer.

For hvis du tenker på det fra et cybersikkerhetsperspektiv, er det på slutten av dagen bare et forretningsproblem. Og hvis det er et forretningsproblem, må du bruke strategiske forretningsløsninger for å løse disse problemene. I stedet for å snakke om hvilken versjon av antivirus du bruker, må du virkelig heve samtalen, slik at når du snakker til styret, når du snakker med den samme C-nivå-lederen, de ikke kaster øyne i luften. De forstår at du snakker samme forretningsspråk som dem. Noe som igjen betyr at hvis du er en pålitelig forretningspartner, kan du utgjøre en enorm forskjell i selskapet, i motsetning til å bli sett på som den junior IT-lederen i organisasjonen som noen bare kommer til hvis vi blir hacket eller hvis en sikkerhetskopiering mislykkes, eller hvis en Mac er ødelagt.

Laurel : Jeg liker virkelig den analogien...veksten av selve stillingen. Som du sa, det løfter faktisk denne rollen til styrebordet fordi det er et forretningsproblem med en mulig forretningsløsning. Men hvordan kan styrer da til gjengjeld ta bedre beslutninger? Du må da også ta med litt data og informasjon og noe for å hjelpe styret sammen med alle de andre beslutningene de må ta på tvers av hele selskapet.

Niall : Og det er nøkkelen, er at folk flest, når de ser på det, er klassisk salg. Du kan ha den beste selgeren i bransjen, men med mindre de har det nære, og det nære er spørsmålet. Her er et flott produkt, og jeg vil selge dette produktet, dvs. denne bilen for, la oss si, $50 000. Og så på slutten av salgsargumentet, vil du kjøpe bilen? Og det er det som gjør en virkelig god selger, personen som har pitchen til å lukke. De har muligheten til å lukke avtalen. Så de ber om noe. Så jeg tror i evigheter at CISOer hadde to store problemer med styret. Den ene er at de ikke var i stand til å rapportere de riktige dataene til styret og snakket det samme språket der styret ville være i stand til å forstå hva problemene var.

Og så to, det var ingen spørsmål. Og det er veldig viktig fordi hvis du går inn i en tavle og du presenterer og alle nikker og rister på hodet og forstår det, så har du sikkert oppdatert dem, men sikkerhetsstillingen er ikke desto bedre. Og hvis du ser på et klassisk styre, hvilket som helst styre selv, er de der på et veldig, veldig høyt nivå, åpenbart, for å tjene selskapet. Så alle styremedlemmene eller styrene som jeg har jobbet med tidligere, de har vært ekstremt villige til å hjelpe selve virksomheten. Så de ser alltid på, Vel, du presenterte X, men nå, hvordan kan jeg hjelpe? Så jeg tror CISOer må snu det til mer å være den selgeren med nære. Viktigst av alt, hva spør jeg?

Og et klassisk styremøte, jeg tror det går bra, er at du setter deg ned, du jobber med styret, du viser et kjernesett med beregninger. Nå vil du ikke vise beregninger på tall som er helt meningsløse for styret. Hvis du ser på brettet, har brettet et bredt spekter av ferdighetssett. Noen styremedlemmer kan være compliance-eksperter, noen kan være bedriftsledere, noen kan være økonomiledere. Så det handler egentlig om to sett med ting når du kommuniserer med styret. Den ene kommer opp med et sett med kommunikasjon eller beregninger, og virkelig skisserer business casen slik at hvem som helst kan lese et brettspill, og i løpet av minutter forstår de hva du prøver å få frem. Det er kritisk.

Og så er en andre del, det er ikke en presentasjon. Hvert styremøte bør avsluttes med tid på slutten for spørsmål og svar og for å spørre. Og jeg vil si at et godt styremøte er hvor du ikke en gang går gjennom dekket. Du deler kortstokken på forhånd, de har lest gjennom den, de var i stand til å forstå cybersikkerhetsstillingen din ved bare å se på kortstokken din. Og så refererer ikke styremøtet engang til dekket. Det er et enkelt sett med spørsmål, kommentarer frem og tilbake og deretter spørringen. Og spørsmålet kan være: Hør, kan vi få litt mer fokus på et bestemt område selv eller flere ressurser? Eller de kan spørre deg også. Så igjen, jeg tror modellen virkelig er, kommuniser et kjernesett med data og gjør det til en samtale med en samarbeidsforespørsel fra begge sider versus å komme opp med en 30-slides kortstokk som ingen forstår at du presenterer den og så går du tom av styremøtet derfra. Den modellen fungerer bare ikke, som vi vet.

Laurel : Ja. Ikke for noen, ikke sant? Så hvilke spesifikke beregninger rapporterer du faktisk tilbake til styret, og hvorfor er disse beregningene viktige for styret ditt eller andre brett?

Niall : Problemet med enhver bransje, inkludert cybersikkerhet, er at noen ganger er det for mye data. Så hvis du ser på industristandarder som ISO 27001, har du kanskje hundre og noe kontroller. Hvis du ser på FedRAMP, har du 300 kontroller. Hvis du ser på COSO eller COBIT. Så du vil ikke gå til styret med, forresten, her er 2000 kontroller. Og her er hvordan vi overholder disse 2000 kontrollene. For det meste er dataene der, men det er ingen kontekst bak dem. Så de lurer på at AV er på 95 % av sluttpunktene, er det bra? Vi skanner én gang hver, la oss si 12 timer, er det bra? Så de er det jeg kaller meningsløse beregninger. De har ingen som helst fordeler for de fleste InfoSec-folk, ikke bry deg om ledere på styrenivå. Så fra vårt ståsted deler vi det inn i enkle kjernesett med pilarer som vi kan måle over tid.

Og generelt vil du ikke ha et sett med søyler som er 25 søyler, fordi det er for mange fordi du ikke er i stand til å måle en mot 25. Så internt setter vi oss vanligvis i omtrent fem hovedområder som vi fokuserer på på og vi måler mot dem hver gang. Så en er, sikre produktene våre. De fleste organisasjoner er veldig, veldig produktsentriske nå. Så produkter i de fleste bedrifter blir kritiske, kritiske, kritiske. Så en ting vi måler er hvordan måler vi? Hvordan beskytter vi produktene våre? Og vi vurderer oss selv på en skala fra null opp til fem som er maksimal modenhet.

Nå, hvis du har virkelig gode produkter, men de sitter på infrastruktur som er usikker, har du et problem. Så den andre er å sikre infrastrukturen vår. Og den tredje er gjenkjenning og respons. Så hvis du har virkelig sikre produkter på virkelig sikker infrastruktur, men ingen ser på det og ingen måler eller overvåker miljøet for angrep, så har du et problem. Så for oss er deteksjonsresponsen den tredje, som er kritisk.

Den fjerde er da mennesker. Og personkomponenten, det er absolutt...jeg kan ikke understreke dette nok, for hvis du ikke har folk som forstår cybersikkerhet, så har du et kjerneproblem. De aller fleste ganger er det folk som gjør noe i et selskap ved et uhell, det vil si at de kan klikke på en phishing-kobling som kompromitterer nettverket ditt. Så én ting, det vi kaller det er street smart. Så en av de fire pilarene er, kan vi få folk slik at de er street smarte? Med andre ord, cybersikkerhet smart, street smart. Så hvis de går nedover veien og de ser en fremmed ser mistenksom ut, bruk magefølelsen. Samme med cybersikkerhet. Hva er de enkle tingene de bør gjøre eller tenke på på en daglig basis for at de kan beskytte et selskap?

Og så er den femte virkelig styring. Hvordan driver vi styring og hvordan klarer vi oss selv? Og hvordan måler vi suksessen vår? Så hvis du ser på det der, er det fem enkle søyler. Det er bare produkt, infrastruktur, deteksjonsrespons, mennesker og styring. Og vi måler null til fem for hver av disse. Så da er det veldig enkelt for styret og for andre medlemmer å se på, hvordan trender vi mot disse områdene over tid? Den lar deg gå høyt, med andre ord tusen fots utsikten. Og så hvis det er et spørsmål om infrastruktur, kan du se på målingen, infrastrukturpilaren, og så kan du begynne å hoppe inn i andre beregninger senere hvis de vil. Men egentlig, det er måten vi formulerer det på, hvordan vi bygde sikkerhetsprogrammet vårt. Og det er noe jeg tror som resonerer veldig sterkt hos styret, for nå er de i stand til å måle oss basert på kjente enheter kontra meningsløse beregninger som for det meste ikke forteller dem noe.

Laurel : Nå, hva om vi byttet det? Hva slags ansvar har styret for å være street smart og ha en slags grunnleggende forståelse av cybersikkerhet? Eller tar du det som ditt eget personlige ansvar for å tilbringe tid med hvert medlem for å sikre at de forstår grunnlaget?

Niall : Riktig. Så for oss handler det i stor grad om å ta et visst kunnskapsnivå og deretter bygge på den kunnskapen, slik at i det minste alle er på samme kunnskapsnivå. Så ett eksempel er, igjen, du kan ha noen som leder revisjonsutvalget, som er veldig, veldig teknisk eller veldig, veldig overholdelsesdrevet. Og hun eller han kan kanskje alt om styrer...revisjon og alle rammeverk. Og det er flott. Og så på den andre siden, du kan ha noen som er mer økonomibasert eller mer revisjonsbasert. Og så er spørsmålet, hvordan jobber du med å heve alles ferdigheter?

Og det er mange forskjellige måter å gjøre det på. Det er to ting. Man setter seg ned med dem en-til-en og gir deretter et høyt samtalenivå om, dette er hva vi gjør. Dette er hele sikkerhetsprogrammet vårt. Slik fungerer det. Slik så 2020 ut. Slik ser 2021 ut...så å få alle på samme nivå og bygge det forholdet er veldig, veldig viktig.

Og vi ser kontinuerlig at hvorved styremedlemmene våre vil nå ut til oss eller vi vil nå ut til dem for å dele data, eller de vil ha en idé som vi ikke har tenkt på, og vi vil si: 'Vel, det er en veldig god idé. La oss innlemme det i programmet vårt.' Så jeg tror det er veldig nyttig. Og så er den andre delen, alt handler om å fortelle en historie. Altså en historie og en fortelling. Så hvis du åpner en bok og starter på sikkerhetssiden og starter på sluttkapittelet, vel, det er ikke særlig overbevisende. Det er som, hvem er Jane? Hvem er Judy? Hvem er Tim? Hvem er Tony? Gir ingen mening overhodet.

Og ofte er det det som skjer i cybersikkerhetsrapporter at styret ser på...og her er hun eller han som presenterer som en CISO og de presenterer et sett med data og beregninger som de ikke forstår, og derfor, det kan de ikke gjøre noe med. Så vi bruker mye tid, vårt første styre, starter med et grunnleggende sett med prinsipper og deretter hvert styre etter det, hver tredje måned eller så, går vi inn i flere detaljer gradvis, ettersom vi vokser og som vi bygger at cybersikkerhetsdekket, får de bedre forståelse og oppgradere forståelsen deres også. Og så fra deres side, med det nivået av forståelse, kan de veldig enkelt hoppe inn og si, 'Å, forresten, her er et område jeg synes du bør fokusere på.'

Og i styret vårt har vi selvsagt noen VC-firmaer som er svært tekniske og de vil ha en skråstilling som de vil at vi skal fokusere på. Jeg vil si: 'Jada, la oss innlemme det som en del av programmet vårt.' Så jeg tror jeg vil se dette som styrekommunikasjon som en veldig mye frem og tilbake kommunikasjon. Det skal ikke skje en gang i kvartalet. Det bør ikke skje på daglig basis, men det bør absolutt skje gjennom hele kvartalet der et styremedlem har en idé, og så kan du innlemme det som en del av din beste praksis.

Nå vil du samtidig at de ansatte i det selskapet skal kunne drifte sikkerhetsteamet sitt. Men absolutt, innsikten noen styremedlemmer kan gi, er i noen tilfeller enormt fordi de har vært i den bransjen i mange forskjellige år. Og som en del av den modellen, ville de vanligvis ha sett det andre individer aldri har sett før. I tillegg tror jeg det som er mest fordelaktig derfra, innen cybersikkerhet, cybersikkerhet, igjen, det er et forretningsproblem og det er en forretningsprosess. Så de fleste av disse styremedlemmene er eksepsjonelle når det gjelder å løse forretningspraksis. Kanskje ikke cybersikkerhet, men de kan ta et cybersikkerhetsspørsmål og de kan relatere det til en annen bedrifts beste praksis, og deretter utnytte den i cybersikkerhet.

Og ærlig talt, jeg tror det er den beste verdien et styre kan gi. Mange ganger kan CISO og sikkerhetsteamet kanskje ikke se veden fra trærne fordi de er så involvert i det. For styremedlemmene er det en flott form for prisme der de kan se på det fra utsiden og inn, og de kan gi innsikt basert på 'Vel, vent litt, måten du løser dette problemet basert på cybersikkerhet ved gjør en konsulentmodell, som ikke fungerer eller som ikke skalerer. I stedet bør du gjøre en en-til-mange-modell, dvs. fikse problemet én gang og deretter deles det mellom alle komponentene dine, det samme som skyen gjør, programvare som en tjeneste gjør.' Så det forretningsperspektivet, forretningsperspektivet, tror jeg er noe jeg virkelig liker å jobbe med et styre med, dele noen ideer og deretter samarbeide frem og tilbake. For igjen, jeg tror deres forretningssans er uten sidestykke. Og hvis du ganske enkelt kan posisjonere cybersikkerhet som et forretningsproblem, kan du virkelig raskt bygge en veldig sterk økning av et samarbeidsmiljø.

Laurel : Så når vi snakker om din egen oppgradering eller kompetanse, når innså du først at angrepsoverflatehåndtering var en egen ny disiplin som du trengte å bli virkelig kjent med, utdanne styret ditt om og deretter hjelpe til med å bemanne det og planlegge for det?

Niall : Godt spørsmål. Jeg tror at hvis jeg ser på ASM, eller angrepsoverflatestyring, er det sannsynligvis et av områdene som CISOer fokuserer minst på, og likevel er det viktigste. Og grunnen til det er, hvis du ser på en hacker, hvis en hacker ønsker å kompromittere miljøet ditt, er det første de vil gjøre å først bli kjent med miljøet ditt. Så et eksempel er, hvis du har en innbruddstyv, når de først bryter seg inn i et boligfelt, vil hun eller han ofte vandre rundt i boligfeltet, ta en titt, hvilke hus som har søppelkassene ute, hvilke har første etasje vinduer som er åpne, hvilke har ingen lys på forsiden av huset, hvilken har hunden bjeffing?

Så du vandrer forbi. Alt du gjør er en rekon. En rask spasertur forbi 20 hus i et boligfelt. Du velger ut de to. Nå har du to mål. Så kommer du tilbake senere på natten, eller du kommer tilbake i morgen kveld og så bryter du inn i de to. Ferdig. Og igjen, du ser på måten forskjellige bransjer gjør det på. Det er fascinerende fordi hvis du ser på én bransje, det vil si fysisk sikkerhet og deretter bruker cybersikkerhet eller du bruker det på styret, er det ofte en enorm mengde likhet. Og det samme med cybersikkerhet er at hvis et selskap ønsker å kompromittere miljøet ditt, er det to måter det vanligvis vil skje. Den ene er at de vanligvis gjør en nettverksskanning og de ser på bedriften din og finner at du har svak sikkerhet. Og så snur de hodet bakover og de sier: 'Å, interessant, en bakdør er åpen. Jeg kommer til å fokusere på dette selskapet.

Ellers to, samme ting også, de gjør en recon, men de vet allerede hvem du er. Og i dette tilfellet ønsker de å lære så mye som mulig slik at de kan kompromittere deg dypt i nettverket ditt. Så før du hacker miljøet, er recon-komponenten den mest kritiske delen. Ellers er du en okse i en kinabutikk. Du skynder deg inn, du slår av sensorer, høyre, venstre og senter. Du burde ikke gå inn inngangsdøren, du burde gå inn bakdøren. Så rekonklusjonen på det er kritisk, kritisk, kritisk.

Nå, hvis du spør de fleste CISO-er når var siste gang de gjenopprettet sitt eget selskap, vil de aller fleste si: 'Jeg har ingen anelse overhodet.' Så de kan si: 'Vel, vi bruker en sikkerhetsskanner.' Men hvis du ser på en sikkerhetsskanner, det du gjør er å gå til sikkerhetsskanneren, du har lagt inn et sett med kjente IP-adresser som du vet om, og du skanner mot disse IP-adressene. Men hvis du ser på det, er det toppen av isfjellet, for hvordan ser den nye industrimodellen ut? Det er flytende. Borte er dagene da cybersikkerhet ville stå opp for en brannmur og den ville ikke tillate trafikk gjennom brannmuren.

Nå er alt ekstremt dynamisk. Alt er internettvendt. Så nå har du Kubernetes, du har folk som spinner opp titusenvis av containere med sine egne eksterne IP-adresser. De er alle tilgjengelige fra internett. Du har dev som gjør det, scene gjør det. Du har alle de forskjellige miljøene som kommer. Og nå endres angrepsoverflaten hvert eneste minutt av hver eneste dag. Noe av det er fordi det er ekte. Du tillater en IP-adresse som er der ute fordi det er en legitim forretningsårsak, men ofte vil det skje at folk spinner opp miljøet og plutselig blir det eksponert for internett.

Vet sikkerhetsteamet om det? Likevel nei, og CISO har ingen anelse om det. Så muligheten, som du blir kjent med, du får til å rekonstruere miljøet ditt eller ASM, eller angrepsoverflatestyring, er helt avgjørende. For hvis du ikke vet det, kan du ikke beskytte det. Og så er problemet at du kan spinne opp en IP-adresse i GCP eller AWS eller Alibaba. Det kan være på stedet, alle jobber nå hjemmefra. Så den bærbare datamaskinen min kan bli eksponert fra internett. Og hvis du ser på det, det som alltid skjer i praktisk talt hvert eneste angrep, vel for det meste fra hosting, starter det på utsiden og jobber seg inn. Så du trenger virkelig å kjenne angrepsoverflaten din. Du må skanne den hver eneste dag. Du må kunne tilskrive hva som er IP-adressene og enhetene som er utsatt.

Enkelt eksempel er, hvis du ser på det siste antallet brudd som har skjedd, er det enkle ting. De fleste ganger er det en klynge som ble eksponert fra internett, eller noen tillot som et transportadministrasjonsskall som SSH eller RDP fra internett, eller noen fikk en Kubernetes-klynge og eksponerte den fra internett. I hvert av disse tilfellene er det bare mennesker som gjør tilfeldige feil. Men ofte kan disse IP-adressene bli eksponert for internett i minutter, i dager, i årevis, og sikkerhet får aldri vite om det, eller beskytter mot det. Men samtidig vet hackeren at fordi de gjør jobben sin, gjør de recon kontinuerlig. Og det er der jeg ser at dette problemet som har eksistert i mange år, hvordan vet jeg hva som er utsatt for internett? nå blir det definert. Det er angrepsoverflatehåndtering. Hva er mitt utvendige syn?

Så for første gang noensinne har cybersikkerhet begynt å ... de visste at det var et problem i evigheter, men de var ikke i stand til å artikulere hva problemet var, uansett hva løsningen var. Og nå ser jeg den typen skifting at folk, absolutt det siste eller to siste året, sa: 'Dette er ikke et problem der jeg kan se på det og si, ja, det er et problem.' Nå må du skifte fra denne problemforgudelsen til 'Hei, vi må fikse dette.' For det er slik hackerne kommer inn. Og nå ser jeg folk si: 'La oss begynne å fikse dette.' Og jeg tror fremover, vil du ha angrepsoverflatestyring som en av de mest kritiske komponentene i enhver CISO og deres organisasjon. Hvis ikke, vil de bli eid. De vil bli kompromittert, og det vil ha en ødeleggende innvirkning på virksomheten deres.

Laurel : Så når vi snakker om det og hvordan styret forstår angrepsoverflatestyring, kommer de fleste IT-ansatte til å ta veien til, som du sa, letthet og hensiktsmessighet. De spinner opp Kubernetes og servere og skyforekomster og hva det måtte være, fordi de bare trenger å få jobben gjort. Hvorfor er det, når du har et globalt selskap, et slikt problem med, eller jeg burde si, en mulighet til å løse når du går gjennom andre forretningsbehov, som en fusjon og oppkjøp, hvor du kan ha to selskaper som kommer sammen og du tenker du vet hvor alle serverne er, men faktisk vokser et selskap og endrer seg hver eneste dag. Og det er kanskje ikke den siste tellingen, den siste pålitelige tellingen. Hvorfor er det en bekymring for CISOer og styret?

Niall : Så jeg tenker på dette som to måter. Den ene er, kjenn angrepsflaten til ditt eget selskap. Og så, to, for noen av anskaffelsene dine, før du anskaffer dem, må du også vite hva angrepsoverflaten deres er. Så hvis du spør 99 % av CISO-er, 'Fortell meg om angrepsoverflaten min.' De vil ikke ha data til å gjøre det. Så gi deg et eksempel, i Palo Alto Networks bruker vi Xpanse. Og måten det fungerer på, er at det er fire hovedfaser jeg tenker på i angrepsoverflatehåndtering. Og dette gjelder når du kjøper opp et selskap eller har integrert i organisasjonen de siste 10 årene.

Og den første delen er kontinuerlig oppdagelse. Så du må ha muligheten – og det er derfor vi bruker Xpanse – til kontinuerlig å skanne 24 x 7 x 365, hver eneste IP-adresse på internett for å finne ut hvilke IP-adresser, hvilke porter som er åpne. Så først og fremst må du vite alle IP-adressene og portene på internett. Problemet der, det er greit, men det kommer egentlig ikke til å gi deg mye. Så hva er forskjellen mellom IP-adressen i Palo Alto Networks og IP-adressen til Acme, spesielt når den endres hvert eneste minutt? Fordi alt er dynamisk, endres alt kontinuerlig på internett.

Så den andre delen for oss er attribusjonen. Så alt er skannet. Vi gjør attribusjon. Så vi begynner å se på hver eneste IP-adresse, hver enkelt tjeneste, hver enkelt bruker på internett for å se på disse brukerne selv, er de Palo Alto Networks-brukere eller Palo Alto Networks-enheter eller nettverk? Veldig kritisk fordi det, vi når som helst kan se, hvis noen kobler til en bærbar datamaskin i London, kan vi få attribusjon at det er en av enhetene og nettverkene våre. Og hvis nettverket og enheten åpner RDP, et eksternt skall fra internett, så er det et problem. Eller hvis noen spinner opp et nettverk som vi ikke aner hva det er, og det har (personlig identifiserbar informasjon) PII eller helsetjenester, ville det være ødeleggende for oss for virksomheten vår. Så vi bruker mye tid på å bruke verktøyene, for eksempel Xpanse, for attribusjonskomponenten der.

Tredje komponent vi ser på, nå vet du IP-adressene og tjenestene og du vet hvilke som er Palo Alto Networks. Deretter, etter det, er det varierende risikonivåer. Hvis noen åpner noe fra internett som er en nettserver og den kommuniserer ved hjelp av kryptering ved hjelp av SSL og det er godt lappet, så er risikoen i så fall for det meste en av 10. Men hvis du har fikk en annen IP-adresse som ble spunnet opp og den tillater et internt ingeniørverktøy som ved et uhell ble eksponert for internett som har tilgang til skymiljøene dine og det er ikke lappet. Og ofte er det ikke det. For når du ser på verktøy som blir eksponert ved et uhell, blir de ikke administrert fordi hvis de ble administrert i utgangspunktet, ville de ikke blitt eksponert for internett.

Så for oss, egentlig, er modellen hva er risikonivået for hver enkelt IP-adresse og hver enkelt tjeneste? Og vi kan da fokusere på de som er åtte eller ni av 10. På daglig basis eller på timebasis kan vi fikse dem. Men ofte igjen, er det et tilfelle av at hvis de blir eksponert for internett, blir de eksponert, de er ikke lappet, de blir ikke administrert. De blir avslørt ved et uhell.

Og så den siste vi fokuserer på, problemet nå er, her er et problem med skala. Du snakker ikke om tre IP-adresser eller fire IP-adresser. Du kan snakke om 40 000 IP-adresser, 400 000 IP-adresser. Og så plutselig i morgen er det 500 000. Da går det ned til 350 009 IP-adresser. Så på grunn av omfanget av problemet, og fordi flere og flere ting over tid vil være internettvendt, er den eneste måten å løse dette på gjennom automatisering. Ingen tvil om at problemet med et varsel som genereres, og at noen fra sikkerhetsoperasjonssenteret (SOC) hopper inn, ser på den IP-adressen, ser på tjenesten, bare ikke fungerer.

Så det som må skje er at alt må automatiseres. Alt fra skanneperspektivet til attribusjonskomponentene, hva er risikoen for den IP-adressen? Så nå, i stedet for at du har 500 000 IP-adresser, og nå fokuserer du på tre IP-adresser som plutselig dukket opp der, er en som en SSA-server. En kan være som en telnet-server, en annen kan være et ingeniørverktøy. Og så, fra automatiseringslaget, ønsker du å bygge automatisering inn i tjenesten, slik at tjenesten blir automatisk utbedret, enten den er lappet eller om den er offline.

Og hvis du ser på hele kjeden, er det det motsatte av hva hackeren gjør. Hackeren er at de gjør recon, og deretter bryter de seg inn på den serveren for å kompromittere miljøet ditt. Du starter i samme posisjon som de er, der du burde være. Du bør begynne med angrepsoverflaten din, din recon. Og etter det, så ser du på risikoen din. Du ser på oppdateringen, du ser på å ta den offline. Du ser på automatisering. Så jeg er overbevist om, hvis du ser på folk som jobber hjemmefra, med driften mot skyen, at dette konseptet med omkrets har vært borte i 10 år. Det har vært borte i 10 år. Men cybersikkerhet har hengt på det og sagt: 'Vel, det er fortsatt en omkrets.' Det er det ikke.

Så nå ser de hver eneste enhet som er på internett. Det er dens egen omkrets. Enheten, nettverket, hva det ellers er. Og egentlig tror jeg en av de absolutt drivende faktorene, hvis alt er på internett, hvis alt er online, hvis alt alltid kommuniserer, hvis alt endrer seg dynamisk, må du ha et cybersikkerhetsprogram som har evnen til å vite , fortell meg hver enkelt enhet som er på nettverket, på internett, hva er risikonivået? Og så for de som treffer et visst risikonivå, enten ta det offline og bruke kontroller. Og forresten, du må gjøre det 24 x 7 x 365, ingen mennesker involvert. Du må gjøre det på grunn av omfanget av problemet. Hvis du har en person som er involvert som en del av den prosessen, kommer du til å mislykkes. Du kommer til å mislykkes. Derfor bruker vi verktøy som Xpanse for å finne og deretter fikse disse problemene.

Laurel : Ja. Teknologi er skalerbar, men mennesker er det ikke. Ikke sant?

Niall : Nøyaktig.

Laurel : Vel, Niall, jeg setter pris på denne samtalen i dag. Det har vært helt fascinerende og det har gitt oss så mye å tenke på. Så takk for at du ble med oss ​​i dag på Business Lab.

Niall : Tusen takk for invitasjonen. Jeg likte veldig godt samtalen.

Laurel : Det var Niall Browne, sjefen for informasjonssikkerhet ved Palo Alto Networks, som jeg snakket med fra Cambridge, Massachusetts, hjemmet til MIT og MIT Technology Review, med utsikt over Charles River.

Det var alt for denne episoden av Business Lab. Jeg er verten din, Laurel Ruma. Jeg er direktør for Insights, den tilpassede publiseringsavdelingen til MIT Technology Review. Vi ble grunnlagt i 1899 ved Massachusetts Institute of Technology. Og du kan finne oss på trykk, på nettet og på dusinvis av arrangementer hvert år rundt om i verden.

For mer informasjon om oss og showet, vennligst sjekk ut nettstedet vårt på technologyreview.com.

Showet er tilgjengelig uansett hvor du får podcastene dine.

Hvis du likte denne episoden, håper vi at du tar deg tid til å vurdere og anmelde oss.

Business Lab er en produksjon av MIT Technology Review.

Denne episoden ble produsert av Collective Next.

Takk for at du lyttet.

Denne podcast-episoden ble produsert av Insights, den tilpassede innholdsarmen til MIT Technology Review. Den ble ikke produsert av MIT Technology Reviews redaksjon.

gjemme seg