211service.com
Vi tenker på Cybersecurity All Wrong
Michael Daniel har et unikt perspektiv på dagens kaotiske verden av cybersikkerhet. Ny på fire år som president Obamas fremste cyberrådgiver, er Daniel nå president for Nettrusselsalliansen , et nonprofit-team av cybersikkerhetsselskaper som bygger en plattform for å dele informasjon om vanlige trusler. MIT Technology Review fanget Daniel på Black Hat datasikkerhetskonferansen i Las Vegas forrige uke. Det som følger er en redigert utskrift av diskusjonen.
Du har sett cybersikkerhetsutfordringen fra perspektivet til både regjeringen og nå den private sektoren. Hvordan vil du beskrive øyeblikket vi er i akkurat nå?
Der vi er akkurat nå, er at flere og flere land begynner å innlemme cyber-evner i sine verktøy for statskunst. Vi må erkjenne at det kommer til å bli et verktøy for statskunst, ikke bare for USA og avanserte aktører som Russland, Kina, Israel og Storbritannia, men for nesten alle. Som et resultat må vi begynne å tenke gjennom hvordan vi setter opp adferdsnormer og kjøreregler, slik at dette ikke er destabiliserende.
Kriminelle så vel som nasjonalstater blir mer sofistikerte i sine cyberoperasjoner. Hvilken rolle kan Cyber Threat Alliance spille for å håndtere dette?
På sitt bredeste nivå er CTA en informasjonsdelings- og analyseorganisasjon, en som er fokusert på leverandøren og nettsikkerhetsleverandørsamfunnet. Det er egentlig ikke en annen organisasjon som gjør denne typen arbeid. I utgangspunktet handler CTA om å gjøre to ting. For det første, kan vi endre hvordan konkurransen oppstår i cybersikkerhetsindustrien for å gjøre den mer fordelaktig for helheten? I stedet for å fortsette å konkurrere på at det utilstrekkelige datautvalget mitt er større enn det utilstrekkelige datautvalget ditt, må vi ha delt datasamlingene våre, og konkurransen bør være på at jeg gjør bedre ting med dataene – jeg er raskere, eller Jeg integrerer bedre med bedriften din, eller jeg forstår forretningsmodellen din bedre – uansett hva den er. Det er et konkurransenivå med høyere verdi. Alle vil ha det bedre.
For det andre, ved å kombinere informasjonen kan vi begynne å faktisk kartlegge mer effektive måter å forstyrre skurkene, og gjøre det på tvers av hele forretningsprosessen deres. Dette handler ikke om et barn i kjelleren hans; det er ikke den virkelige trusselen. Dette er organisasjoner som driver som bedrifter, og vi må begynne å tenke på det når det gjelder å forstyrre forretningsmodellene deres.
Men vil den tilnærmingen fungere hvis angriperen er en nasjonalstatsmotstander?
Ja og nei. På ett nivå ville ideen om å lage en lekebok fungere like bra for en nasjonalstatsmotstander. Nå er motivasjonen deres annerledes. De fleste nasjonalstater er villige til å investere tid og penger på en måte som en kriminell organisasjon både ikke vil og ikke kan, så virkningen du kan ha kan være annerledes. Men du kan fortsatt pålegge dem kostnader og bremse dem.
Til syvende og sist vil imidlertid privat sektor måtte finne nye måter å samarbeide med myndighetene om disse spørsmålene på, gitt trusselens natur. Hvordan kan vi innovere på det politiske området for å bidra til det?
Jeg kan gi deg to eksempler. Vi har erfart at hvis du velger pensjonssystemet ditt, vil du generelt få omtrent 45 til 50 prosent andel blant de ansatte. Hvis du derimot velger bort pensjonssystemet ditt, får du en uttaksprosent på 95 prosent. Det er ingen teknisk forskjell mellom disse to tingene, men fra et prosesssynspunkt gir de dramatisk forskjellige resultater. Hvorfor? På grunn av psykologien i det. Folk er late. Hvis du får dem til å ta en avgjørelse, vil de finne en grunn til å ikke gjøre det. Men hvis alternativet er Her er denne gode tingen for deg og alt du trenger å gjøre er å bare følge med, vil bare en liten prosentandel si nei. Så hva er cyber-ekvivalenten til det? Hvordan får vi cybersikkerhet til å velge bort i stedet for å melde seg inn?
På samme måte har vi denne ideen om at cybersikkerhet er som grensesikkerhet. Det gir ingen mening. Alle i cyberspace berører noen andre. Det er ingen barriere eller mellomledd. Det betyr at vi må tenke på cybersikkerhet og forholdet mellom regjeringen og privat sektor ved å bruke en helt annen modell. Kanskje vi må låne noen modeller. Se for eksempel på hvordan vi tenker om naturkatastrofer. I en naturkatastrofe starter responsen lokalt. Hvis det begynner å overvelde de lokale tjenestemennene, griper delstatsregjeringen inn. Hvis det går utover staten, kan de kalle på gjensidig hjelp fra andre stater. Hvis det går utover det, trer FEMA inn fra nasjonalt nivå. Hva er cyberekvivalenten til det? Hvordan gjør vi overleveringen, og bestemmer om noe er den typen ting privat sektor kan og bør håndtere på egen hånd, kontra noe som krever at føderale myndigheter hjelper? Vi har ennå ikke det politiske språket til å snakke om hva det forholdet er.