Cybersikkerhed i 2020: Fremkomsten af ​​CISO

Databrud lærte virksomheder hårde lektioner i 2019. En vigtig ting: de har brug for en informationssikkerhedschef, siger Forresters Stephanie Balaouras.

Ved

• MIT Technology Review Insights

24. februar 2020

Fremstillet i samarbejde med Microsoft Sikkerhed

Når det nye år (og det nye årti) begynder, er én ting sikkert: cybersikkerhed vil fortsat have en stigende indvirkning på forretningen, på godt og ondt. I denne episode hører vi fra Stephanie Balaouras, en cybersikkerhedsekspert, som har talt med tusindvis af kunder gennem sine 15 år hos Forrester Research. Hun er vicepræsident og gruppedirektør for sikkerheds- og risikoforskning samt infrastruktur- og driftsforskning.

Balaouras argumenterer for, at alle virksomheder bør have en Chief Information Security Officer, eller CISO, da verden af ​​cybertrusler bliver mere indviklet og farlig. 'Selv virksomheder, der har en CISO, bør tage et grundigt kig på, hvor højt i organisationen de rapporterer,' siger Balaouras. 'Har de det rigtige budget? Har de nok personale? Har du givet dem den rigtige kontrol?'

Balaouras gennemgår også nogle af de største cybersikkerhedstrends i 2019 og laver forudsigelser for 2020.

Business Lab er vært for Laurel Ruma, direktør for Insights, den tilpassede udgivelsesafdeling af MIT Technology Review. Showet er en produktion af MIT Technology Review, med produktionshjælp fra Collective Next. Musik er af Merlean, fra Epidemic Sound.

Cybersikkerhed handler ikke kun om at stoppe de trusler, du ser. Det handler om at stoppe dem, du ikke kan se. Det er derfor, Microsoft Security beskæftiger over 3.500 cyberkriminalitetseksperter og bruger kunstig intelligens til at hjælpe med at forudse, identificere og eliminere trusler. Så du kan fokusere på at vækste din virksomhed, og Microsoft Security kan fokusere på at beskytte den. Få mere at vide på Microsoft.com/cybersecurity.

Vis noter og links

Forrester Research: Cybersikkerhed

En CISOs guide til at lede forandring af Jinan Budge, Forrester Research

Stephanie Balaouras

Behovet for komplet skysikkerhed, et interview med Stephanie Balaouras, på YouTube

Fuld udskrift

Laurel Ruma: Fra MIT Technology Review hedder jeg Laurel Ruma, og dette er Business Lab, showet, der hjælper virksomhedsledere med at forstå nye teknologier, der kommer ud af laboratoriet og ind på markedet.

Sikkerhedstrusler er overalt. Det er derfor, Microsoft Security har over 3.500 cyberkriminalitetseksperter, der konstant overvåger for trusler for at hjælpe med at beskytte din virksomhed. Mere på microsoft.com/cybersecurity.

Vores emne i dag er cybersikkerhed og mere specifikt rollen som informationssikkerhedschefen, CISO. Vi vil også gennemgå cybersikkerhedsnyheder fra 2019 og se fremad til cybersikkerhedstendenser for 2020. Et ord til dig: Deepfakes. Min gæst er Stephanie Balaouras, som er cybersikkerhedsanalytiker og har talt med tusindvis af kunder i sine næsten 15 år hos Forrester Research. Stephanie er vicepræsident og gruppedirektør for sikkerheds- og risikoforskning samt infrastruktur- og driftsforskning. Stephanie, mange tak for at snakke med mig på Business Lab.

Stephanie Balaouras: Tak.

Laurel: Så bare for at starte, udgav Forester i 2017 en rapport af Jeff Pollard, et medlem af dit team, om karrierevejene for CISO'er, informationssikkerhedschefer. Og jeg kan især godt lide at tale om denne rolle, fordi den er så ny for C-suiterne i branchen. Hvis Citibank bare udnævnte den første CISO nogensinde, i 1995, er det virkelig nyere historie. Men hvis enhver virksomhed også er en teknologivirksomhed, hvorfor har enhver virksomhed så ikke en CISO?

Stephanie: Hvis du ser på historien om andre roller, som jeg tror, ​​den første CMO, var marketingchef i 1950'erne, du stadig havde virksomheder 20, 30 år senere uden en CMO. Så når disse nye roller først starter, tager det lidt tid, før det bliver normen. Men jeg vil sige, at enhver virksomhed virkelig burde have en CISO. Børsnoterede virksomheder skal have en CISO. Men det, vi ofte vil finde, er, afhængigt af virksomhedens størrelse, nogle gange slipper de af sted med at kalde CIO'en også for CISO eller en anden IT-chef for CISO. Så det er ret almindeligt med mindre virksomheder - de slipper uden at have en selvstændig rolle.

Men det, du også vil finde, er, at hvis de har et brud eller en slags større cybersikkerhedsproblem eller endda en større overtrædelse af overholdelse, der er datasikkerhedsrelateret, er den første ting, de vil gøre, at navngive en dedikeret CISO. Og så selv virksomheder, der har en dedikeret CISO, når de har et brud, mange gange, hvad der sker er, at de indser, at CISO ikke rapporterede højt nok i organisationen eller ikke havde det rigtige ansvarsområde eller nok budget eller nok mennesker. Så fikser de det. Navn CISO burde være et krav, men jeg vil sige, at selv virksomheder, der har en CISO, bør kigge grundigt på, hvor højt i organisationen de rapporterer. Har de det rigtige budget? Har de nok personale? Har du givet dem den rette kontrol?

Laurel: For det er en dyr løsning, ikke?

Stephanie: Ja præcis.

Laurel: Først efter et angreb, skal vi se på roller og ansvar i et nyt lys, i et mere ansvarligt lys?

Stephanie: Nemlig.

Laurel: Så hvis den perfekte CISO er lidt af både en forretningsmand, der kan tale direkte med den administrerende direktør, forklare nødvendigheden af ​​sikkerhed og risikobegrænsning, men så også tale med kunderne måske såvel som andre medarbejdere og tale om sikkerhed, og hvordan den rolle er. vigtigt for virksomheden. Hvor kommer disse mennesker fra? Hvor får de al denne uddannelse?

Stephanie: Da vi så på CISOs karriereveje, fandt vi ud af, at de fleste af dem kom op gennem sikkerhedsrækkerne. Så typisk startede de som sikkerhedsprofessionelle. De fik årtiers erfaring i rollen. Men det, vi ofte fandt, er, at størstedelen af ​​dem ofte ville gå tilbage til kandidatgrader, og de ville faktisk gå efter en erhvervsuddannelse. De fik ofte MBA'er, og det var fordi de skulle opfylde begge disse krav, hvilket vil sige, ja, jeg er en teknologichef, men samtidig er jeg en teknologichef, der i en stor virksomhed rapporterer til bestyrelse på kvartalsbasis eller rapporterer direkte til CIO'en eller direkte til den administrerende direktør. Så det er bestemt en kombination af uddannelse og erfaring.

Jeg vil sige, at universiteter gør et bedre stykke arbejde med at tilbyde bachelor- og kandidatgrader i informationssikkerhed. Der er nogle områder, hvor de er utroligt svage, som applikationssikkerhed ikke undervises godt på bachelorniveau, hvis overhovedet. Det er gjort rigtig dårligt. Den anden ting, jeg vil vælge på universiteter om, er, at de ikke gør et godt stykke arbejde med at rekruttere kvinder til bachelor- og kandidatuddannelser. Der er en enorm kvalifikationskløft såvel som et personaleproblem inden for sikkerhed, og hos Forrester vil vi gerne sige, at det stort set er selvforskyldt, fordi vi ikke rekrutterer fra halvdelen af ​​befolkningen, og vi rekrutterer ikke folk med forskellig baggrund. Vi har denne ene form af individ, som vi rekrutterer fra, og så er vi chokerede, når vi ikke kan finde nok folk med dette meget snævre færdighedssæt, så.

Laurel: Ja, rapporten sagde, at ni ud af 10 CISO'er er mænd.

Stephanie: Præcis, præcis. Vi har ikke set på slutningen af ​​2019 endnu, men de sidste par år har det været sandt. Og ser man også på personalet, er det værre end den generelle sikkerhedsbranche. Det er omkring 11 % af sikkerhedspersonalet er kvinder. Det er værre end almindelig IT. Generel IT har også et problem, men det er mere et sted mellem 20% til 30%, så sikkerheden er endnu værre.

Laurel: Så når vi taler om mangel på mangfoldighed i sikkerhed generelt, hvordan forsøger virksomheder at reagere på det? Ser du nogle bestemte virksomheder, der viser bedste praksis?

Stephanie: Der er helt sikkert nogle bedste praksisser. Faktisk har jeg set mange leverandører, som store teknologileverandører, de samarbejder faktisk med universiteter, og de samarbejder faktisk endda på gymnasieniveau. For eksempel med Girl Scouts of America for rent faktisk at fremme programmer, der får piger til at begejstre og interesserede i cybersikkerhed fra en meget ung alder og derefter ønsker at fortsætte med at forfølge det på bachelor- og kandidatniveau. På en række universiteter er der ret aggressive stipendieprogrammer.

Og så er der også bare en masse introspektion, der sker på virksomhedsniveau, hvor vi lidt ser på kulturen i sikkerhedsteams. Vi kigger på mange af de traditionelle ruter, hvorfra vi rekrutterer, som er konferencer, der er mandsdominerede eller igen, vi har disse jobbeskrivelser, der fremhæver en masse militær erfaring som eksempel. Så det er lidt som at udvide åbningen af ​​mennesker, der vil rekruttere til sikkerhedsindustrien, en vilje til at udvikle deres færdigheder samt at gøre et meget bedre stykke arbejde med rent faktisk at fylde tragten, udfylde den faktiske pipeline på lang sigt.

Men til din pointe træffer forskellige teams bedre beslutninger, og i det lange løb er de mere effektive. Og så er den anden ting, jeg vil sige, at der er så mange åbne jobs inden for sikkerhed, ikke kun i USA, men også globalt. Det er også et matematisk problem. Vi kommer ikke til at besætte disse ledige stillinger, hvis vi ikke rekrutterer fra halvdelen af ​​befolkningen.

Laurel: Det så også ud til, at der ikke nødvendigvis blev fremmet en masse sikkerhedstalenter indefra. I rapporterne fra Forrester lød det, som om du havde større sandsynlighed for at blive forfremmet, hvis du gik til et andet firma. Genvurderer virksomheder nu deres egne talenter?

Stephanie: Det er faktisk sandt både på individniveau og CISO-niveau. Så vi har fundet blandt Fortune 500, at førstegangs CISO'er var sjældne, og de blev ikke forfremmet indefra. Så de ville gerne ansætte eksternt til CISO'er, og de ønskede CISO'er, der havde tidligere erfaring som CISO. Og faktisk, hvis du er en person i sikkerhed, så betyder det, at hvis du ønsker at blive forfremmet til CISO, er din bedste mulighed faktisk at se udadtil, uden for din virksomhed. Og vi fandt også ud af, at når virksomheder hyrede CISO'er eksternt i modsætning til at promovere dem indefra, var der større sandsynlighed for, at de rapporterede højere oppe i organisationen. Så ja, på CISO-niveau kunne virksomheder gøre et bedre stykke arbejde med at se indenfor og give disse individer den rigtige mulighed for at rapportere højere i organisationen.

Men vi fandt også ting, der ligner hinanden igen på lederniveauer og individuelle bidragyderniveauer, hvilket vil sige, at de ikke ansatte inde fra virksomheden, eller når de ansatte personer, gav de dem ikke gode karriereveje og løbende kompetenceudvikling. Så igen, hvis disse personer virkelig ønskede at fremme deres karriere, endte de fleste af dem med at forlade. Så derfor siger vi, at så meget af kompetencerne og personaleudfordringerne er fuldstændig selvforskyldte.

Laurel: Så det er lidt af en blind vinkel, som nok alle kunne gøre det lidt bedre med, ikke?

Stephanie: Nemlig. Ja.

Laurel: Jeg læste denne Ponemon Institute-rapport, og denne særlige sætning sprang ud af mig, og da vi talte om CISO og hvilken slags person, der ville udføre den rolle i første omgang, og den erfaring, de havde, mere end blot et CV, det er også din indstilling og evne til at handle rigtig hurtigt og rigtig smart og også kommunikere rigtig godt. Men citatet var, og jeg parafraserer lidt her, teknologi har forvandlet internetalderen til en periode med grusomme mirakler for sikkerhedsprofessionelle. Alle vores grusomme mirakler er, at vi har enheder i hver lomme. Vi kan gå hvor som helst, vi kan tale med hvem som helst når som helst, og vi kan gøre det med lynets hastighed, men på samme tid, hvis du er en CISO, hvordan sikrer du det hele?

Stephanie: Ret. Ja. Alle disse enheder, der udvider virksomhedens fire vægge, de udvider grundlæggende organisationens angrebsflade. Så for CISO'er har det været sådan en march væk fra en traditionel perimeter-baseret tilgang til sikkerhed og faktisk tage mere af en datacentreret og applikationscentreret, og jeg vil endda sige identitetscentreret tilgang til sikkerhed.

Ikke at netværket ikke er vigtigt, netværkssikkerhed er enormt vigtigt, men det er mere den perimeterbaserede tilgang til sikkerhed, der har ændret sig dramatisk. Så igen, hvor der ikke er nogen ægte fire vægge i virksomheden. Omkredsen er faktisk meget mindre. Så vi har en tendens til at tænke på sikre enklaver. Hvordan bygger jeg en mikroperimeter omkring vores vigtigste aktiver?

Når vi taler om et udvidet netværk af alle slags enheder som du nævnte eller selve computermiljøet, som kunne være en kombination af on-premise, cloud, hosted private cloud og enhver variation deraf og enhver form for brugerpopulation, der interagerer med virksomhedens systemer og data. Det kan være dine egne medarbejdere, det kan være forbrugere og kunder, det kan være tredjepartspartnere. Så når du tænker på enheder, brugerpopulationer og forskellige computermodeller, er der ingen perimeter. Så fokus bliver på at beskytte selve dataene, uanset hvor de rejser hen og uanset hostingmodellen eller placeringen. Virkelig, virkelig ser hårdt på identitet. Så begrænsende og strengt håndhævende adgang, både menneskelig og ikke-menneskelig. Så det vender på en måde det traditionelle sikkerhedsparadigme på hovedet. Du bevæger dig væk fra perimetercentreret til data- og identitetscentreret.

Det er det, vi typisk anbefaler til CISO'er. Og vi kalder det nul-tillids-modellen for sikkerhed, som er, at du antager, at du allerede har et brud, og du aldrig antager tillid til dit miljø. Man går bare altid ud fra, at noget går galt et sted, men det virker. Det er måske ikke det mest positive spin i verden, som, åh, nul tillid, men det virker. Det er meget effektivt.

Den anden ting, jeg vil sige, er, at jeg virkelig vil opfordre producenter af alle disse enheder, IoT-sensorer, IoT-enheder, alt, hvad du kan komme i tanke om, til virkelig at gøre et bedre stykke arbejde med at bygge sikkerhed ind i selve enheden fra begyndelsen. Det ville helt sikkert gøre CISO's arbejde meget lettere. Det er bare så frustrerende. Det er også stort set uden for deres kontrol.

Laurel: Ret? Nå, især -

Stephanie: Bortset fra de CISO'er, der faktisk arbejder på produktvirksomheder. Du skal være involveret i produktudvikling. Du bør rådgive organisationen.

Laurel: Og det er interessant, fordi sikkerheden ikke altid kommer først, gør det?

Stephanie: Ingen.

Laurel: Især når du laver produktdesign. Så ser du det dog ske ofte? CISO'er faktisk aktivt involveret i produktdesign?

Stephanie: Ikke til dato, desværre, men det er noget, vi anbefaler. Og jeg vil sige, at nogle CISO'er ikke nødvendigvis ser det som deres traditionelle rolle, ligesom deres traditionelle rolle har været at sikre back-end-systemerne med registrering og infrastruktur og virksomhedens data og ikke nødvendigvis involvere sig i udviklingen, men vi faktisk aktivt opmuntre CISO'er til at blive involveret i produktdesign og produktudvikling for virkelig at hjælpe organisationen med at sikre det, du sælger. Så uanset hvad det er, du sælger, hvilken service det er, du leverer til en forbruger, en patient, en borger, en anden virksomhed, hvis du er en B2B-organisation, der aktivt er involveret i at sikre det, du sælger.

Laurel: Og det er bestemt en konkurrencemæssig differentiator, er det ikke?

Stephanie: Ja, absolut. Absolut. Vi fandt ud af, at sikkerhed såvel som privatliv – og de er ikke synonyme, men nogle gange går de hånd i hånd – skaber konkurrencemæssig differentiering for virksomheder.

Laurel: Ja. Og det er en vigtig differentiator, og al den støj, du har, når du kommer ud. Så hvis der er noget meget specifikt, du kan markedsføre, ville det være godt. Men vi taler også lidt om, at CISO virkelig tager en aktiv rolle i alt. Så du skal være denne multi-talentfulde person, der både kan tale og forstå produktet og være ude i samfundet, ikke? Alt på samme tid at dele, men ikke dele, virksomhedshemmeligheder og hvordan du forsvarer dataene, fordi der er denne idé, især i det teknologiske samfund, hvor du deler din bedste praksis og hvad du har lært af. Og jeg spekulerede bare lidt på det, hvordan deler CISO'er egentlig, men deler ikke alt?

Stephanie: Ja, der er den udfordring. Mange CISO'er afskyer meget at tale om detaljer om deres udrulninger, og jeg kan ikke nødvendigvis se, at det ændrer sig foreløbigt. Nogle gange i mindre grupper er der dog mange fællesskaber, der støtter CISO'er. Faktisk har vi hos Forester en peer-netværksgruppe på omkring 100 CISO'er. Der er alle slags ISAC'er og efterretningsdelingsfællesskaber blandt f.eks. CISO'er, der er branchespecifikke. Så ofte i tætte fællesskaber, hvor der er en forståelse af, at alt er under NDA, hvor der er åbenhed, hvor der er nogle personlige relationer, vil CISO'er dele meget mere. Men jeg har fundet CISO'er villige til at tale om overordnet strategi. Da jeg nævnte at flytte fra perimeterbaserede tilgange til data- og identitetscentrerede. Taler om kultur. Kultur er faktisk enormt vigtig, ikke kun hos CISO, men også for resten af ​​sikkerhedsorganisationen.

Fordi du har brug for en organisation, der har den rigtige slags personale, der rent faktisk kan tale med udviklere og være en del af sikker applikationsudvikling, som kan arbejde med infrastruktur- og driftsteams for at sikre cloud-implementeringer. Det kunne faktisk arbejde med marketingteams for at hjælpe dem med at forstå konsekvenserne af privatlivets fred af, hvordan de kan tilpasse tjenester og data og annoncer til forbrugere. Så du har også brug for, at sikkerhedsteamet selv, ikke kun CISO, selve sikkerhedsteamet er vokal og åbenhjertig, samarbejdende og villige til at indsætte sig selv i kerneforretning og IT-processer i hele organisationen. Så de vil tale om kultur, de vil tale om personale, de vil også tale om den slags færdigheder, der kræves. Vi ser helt sikkert en forandring der.

Laurel: Og også virksomheden skal være villig til at tillade, at sikkerhed på en måde kommer fuld cirkel om denne idé, men ikke kun produktet, men så også alle andre. Så markedsføring, tænkning, igen, sikkerhed først eller sikkerhed på et tidspunkt. Hvordan har man så den her samtale, så alle er lidt uddannede? Du behøver ikke at være ekspert i sikkerhed, hvis du er i markedsføring, men du skal være villig til at lytte.

Stephanie: Mange gange ville CISO'er ligesom fortælle historierne, og alt var undergang og dysterhed. Jeg tror, ​​at du tager en meget mere risikobaseret tilgang, hvor du hjælper virksomheden med at forstå fremtidige risici og hjælper dem med at forstå både sandsynlighed og effekt og rådgive dem om at træffe de rigtige beslutninger, som at flytte fra den afdeling med nej til mere af den rådgivning. rolle tror jeg hjælper. Jo mere du bliver den der rådgivende fagekspert mere, tror jeg, du kan tage resten af ​​organisationen med dig. Jeg tror, ​​at det er en stor hjælp, og det varierer lidt afhængigt af CISO-færdigheder, hvor gode de er til at gøre det. Jeg tror, ​​at det hjælper, når som helst du kan sætte tingene i positive forretningsbetingelser.

Der var en analytiker på mit team, der skrev denne rapport, det blev kaldt sikkerhed for profit, og i den skitserede han måder, hvorpå sikkerhed potentielt kunne være en indtægtsgenerator for virksomheden. Igen kan det være værdiskabende funktioner, som folk var villige til at betale mere, eller det bliver en konkurrencedygtig differentiator i et produkt eller en tjeneste, som du tilbyder. Så det kunne faktisk bidrage til toplinjen. Og så skitserede han også alle de måder, der rent faktisk kan spare virksomheden penge ud over at undgå brud og undgå overholdelsesbøder.

Der er alle mulige måder, hvor hvis du gør sikkerheden rigtigt, kan det faktisk dramatisk forbedre medarbejdernes oplevelse og reducere driftsomkostningerne i virksomheden. Identitet er et af de største eksempler, når du tænker på onboarding af en medarbejder og evnen til at automatisere alle de måder, du giver dem adgang til de systemer, de har brug for. Nulstilling af adgangskoder. Jeg mener, der er så mange bare lavthængende frugter, hvor du kan gøre medarbejdernes liv lettere, men så reducerer du faktisk virkelig hårde omkostninger.

Laurel: Ja. Og det er bestemt noget, du ikke tænker over, men du er bestemt frustreret, når du skal lave dit kodeord om, og det tager evigheder og/eller du skal på et andet system og bla, bla, bla. Men den form for strømlining er ikke kun ud fra et sikkerhedsperspektiv, men som du sagde, er det fra alles perspektiv blot at gøre deres liv lettere, hvilket i sidste ende er det, enhver medarbejder ønsker.

Stephanie: Jep.

Laurel: Så hvordan holder CISO'er sig på toppen af ​​de seneste trends? Jeg mener, konferencer, de små grupper, som de taler med?

Stephanie: Ja, jeg tror, ​​de laver deres egen research, uanset om det er publikationer som din, firmaer som Forrester, den anden store form for strategikonsulentfirmaer. De laver dog deres egen forskning. De sender ofte deres medarbejdere til mange af konferencerne. Og så tror jeg, at de peer-netværksgrupper også hjælper dramatisk. Men det er svært at holde sig på toppen af ​​hver eneste mulige trend. Så jeg tror, ​​at det altid hjælper også at have en form for ekstern rådgivning, for at give dig et overblik over nye trusler, om nye risici, nye compliance og regler, der sker over hele kloden.

Laurel: Ja, og så, som du sagde, at have den peer-gruppe til at skabe tillid og en form for gennemsigtighed med at dele bedste praksis og bare høre forskellige historier, selvom det er fra en ven, jeg har hørt, for på en måde at få disse advarsler ud til forskellige organisationer og mennesker. Apropos det, bortset fra i disse peer-grupper, er der meget samarbejde mellem regering og erhvervsliv? Ser du mere af det, eller holder folk sig stort set i deres spor, fordi der er andre konflikter at bekymre sig om med virksomheder og regeringer?

Stephanie: Ja. I USA og faktisk andre lande som Storbritannien, hvis du betragtes som en kritisk infrastrukturindustri, skal du have tætte relationer med føderale regeringsembedsmænd. Hvis du er i kritisk infrastruktur, mener jeg, der vil være branchespecifikke cybersikkerhedsregler, som du skal følge, du ved, hvis du er i energi. Jeg mener, selv finansielle tjenester betragtes som kritisk infrastruktur. Så du bliver nødt til at følge NIST-retningslinjer som et eksempel. Enhver, der gør forretninger med den føderale regering, bliver nødt til at følge NIST.

Du ønsker ikke at vente med at danne relationer med den føderale regering eller specifikke agenturer, såsom FBI. Du ønsker ikke at vente, indtil du har mistanke om noget eller har et brud. Eller i mange tilfælde er det omvendt, hvilket er, at de har opdaget noget, de gør dig opmærksom på det. Nogle gange kan de ikke tilbyde dig detaljer, fordi deres hænder er bundet som en del af en større undersøgelse. Så du kan faktisk udvikle relationer med mange af de amerikanske føderale regeringsorganer på forhånd, så du kan dele trusselsefterretninger. Eller igen, hvis der virkelig skulle ske noget, har du allerede de allerede eksisterende forhold på plads.

Laurel: Ja, og når vi taler om noget, der allerede forekommer og forberedelsesplaner, ser du, at flere virksomheder udvikler disse forberedelsesplaner, igen, ikke hvis, men når de bliver hacket, eller der sker et cyberangreb, og de skal offentliggøre det?

Stephanie: Så med hændelsesrespons er der en slags intern hændelsesrespons, som er sådan set alle de processer, du skal opdage, derefter afhjælpe og derefter reagere. Og meget af svaret er mere af det, vi kalder en form for retsmedicinsk respons: at bestemme præcist, hvad der skete, afhjælpe det, potentielt indsamle retsmedicinske beviser, hvis du besluttede, at du faktisk ville anlægge sag, afhængigt af hvem det var bagefter. . Så er der den eksterne respons, og du har virkelig brug for begge dele. Du har virkelig brug for en sofistikeret hændelsesrespons, proces og initiativ i virksomheden med dedikerede eksperter, især hvis du er en stor virksomhed.

Men jeg tror, ​​hvor virksomhederne ofte virkelig falder, er på ekstern breach response. Og igen kræver regler, at hvis det er forbrugerrelateret, hvis det er berørte personer, er du forpligtet til at underrette dem inden for bestemte dage. I mange tilfælde er det 30 dage. Under GDPR i Europa er det 72 timer eller mindre. Og vi har set, at virksomheder royalt svigter det eksterne brudsvar, hvilket betyder, at de var kede af at tilbyde information til forbrugerne.

Jeg vil ikke vælge virksomheder, fordi skylden for ofre ofte ikke er så nyttigt, men jeg har set virksomheder på en måde bebrejde forbrugeren på en måde, der siger: 'Åh, hvis du havde bedre adgangskodehygiejne, hvis du overvågede dine egne konti meget nøjere, ville det ikke have så stor indflydelse.' Nej. Du skal vise empati med dine kunder. Sæt dem først. Gør alt hvad du kan for at beskytte dem. Lad være med at udveksle oplysninger på grund af CYA slags bekymringer. Og i nogle tilfælde, hvis du gør det rigtigt, er det en mulighed for ikke at miste deres tillid, men potentielt endda at forstærke den og opbygge den, hvis du har sat dem først. Men du kan virkelig fejle det og gøre bruddet så meget værre, end det behøvede at være.

Laurel: Og det kostede bare virksomheden endnu flere penge.

Stephanie: Nemlig.

Laurel: Når man ser tilbage på 2019, og der er meget at tale om cybersikkerhedsmæssigt, hvis vi ser på tre specifikke områder, er det først kun cyberangreb, men meget specifikt på byer og kommuner. Så New Orleans var det seneste, som ved årets udgang, vi kender til, men det var også i hælene på, at staten Louisiana havde et cybersikkerhedsangreb. Vi ved, at det sker over hele landet. Så for at stille et meget belastet spørgsmål, hvorfor bliver byer og kommuner målrettet mod cyberangreb, når de ikke nødvendigvis er de mest velfinansierede outfits?

Stephanie: Ja. Så det er derfor, fordi de er lette mål. Så hvis de har underfinansieret deres sikkerhedsindsats i årevis, så er de meget nemmere at trænge ind og derefter bede om en løsesum, selvom løsesummen er lille.

Laurel: Det er bedre end ingenting.

Stephanie: Det er bedre end ingenting. Det er faktisk konsensus fra mange af holdet, fordi så mange af disse lokale, by- og statslige regeringer og kommuner er lige så lette mål, fordi de har været underfinansieret og underbemandet i årevis. Og det meste af tiden er der økonomisk motivation, men der er andre former for motivation. Det kunne være politisk, socialt. Hvis du kommer til en større form for stater eller føderale agenturer, kan du endda komme ind i geopolitiske og endda militære i nogle af naturen.

Faktisk, byen New Orleans, det interessante ved det var, at angriberne ikke bad om en løsesum. Så de brugte ransomware til at deaktivere dem. Alt var krypteret og tvang dem. Jeg tror, ​​de erstattede tonsvis af computerinfrastruktur. Det kan være rigtig svært at gendanne fra sikkerhedskopier. Vi siger det så flippet, som: 'Åh, bare gendan dig fra dine sikkerhedskopier.' De fleste sikkerhedskopier komplet med fejl og muligheden for at gendanne fra en sikkerhedskopi i stor skala er faktisk meget, meget vanskelig. Og hvem ved, hvornår ransomwaren rent faktisk blev introduceret? Så geninstallerer du bare ransomwaren.

Laurel: Interessant.

Stephanie: Men ja. Efter min forståelse bad de faktisk ikke om en løsesum. Så deres motivation var ikke økonomisk. Så det kunne have været...

Laurel: Bare forstyrrelse.

Stephanie: ... bare disruption for den skyld.

Laurel: For at se om de kunne gøre det, ja.

Stephanie: Eller interessant nok læste jeg denne artikel, hvor den har tvunget byen til at erstatte et væld af computerinfrastruktur, bærbare computere, desktops, serverinfrastruktur. Så der er en del af mig, der undrer sig: 'Åh, det kunne være byens ansatte. Jeg ved, hvordan man får byen til at opgradere.'

Laurel: Højre, rigtigt. Tving dem.

Stephanie: Tving dem.

Laurel: Ved at ødelægge alt.

Stephanie: Ja. Så de er lette mål, og motiverne for angrebet er meget forskellige, tror jeg, når det kommer til kritisk infrastruktur og derefter by, stat og lokal regering.

Laurel: Og det er ikke nødvendigvis, når der bliver bedt om løsesum, at man nogensinde finder ud af, hvor de kommer fra, eller hvem de er, eller om de er udenlandske statsaktører.

Stephanie: Ja, du ved det ikke nødvendigvis.

Laurel: Man ved aldrig. Det er bare et gæt.

Stephanie: Ja. Vi udgav faktisk en kontroversiel rapport i år, der sagde, at organisationer i nogle tilfælde måske ville overveje at betale løsesummen. Jeg skal være ærlig, jeg tror, ​​at for byer, stater og lokale myndigheder kan det være forbudt at betale løsesummen. Jeg ved ikke. Jeg ville være nødt til at undersøge det, men private virksomheder, selvom jeg er sikker på, at FBI og andre retshåndhævende myndigheder foretrækker, at de ikke gør det, i nogle tilfælde, kan det faktisk give mening. Og cyberforsikringsselskaber vil endda sige, at det kan give mening i nogle tilfælde. Og der er faktisk firmaer, der specialiserer sig i at hjælpe virksomheder med at betale løsesummen. Nogle gange kan du faktisk forhandle om en lavere løsesum. Det er ligesom byttehandel. De vil fungere som mellemled mellem de forskellige karakterer i virksomheden. Det er klart, du betaler dem i en kryptovaluta. Du overfører ikke bare kontanter.

Laurel: Selvfølgelig.

Stephanie: Så det kan de også facilitere. Jeg mener, hvis du ser på byen Baltimore, var det, de endte med at bruge på at komme sig efter ransomware-angrebet, sandsynligvis hundrede gange mere end den faktiske løsesum. Jeg glemmer tallene, men forskellen var latterlig.

Laurel: Så nogle råd til byer og kommuner ville være at se på dine systemer og prøve at få dem opdateret og beskyttet på en eller anden måde.

Stephanie: Ja. Bestemt med ransomware, sørg for, at alle dine systemer er opdaterede, patchede. Hvis du ser på de fleste vellykkede angreb, eksterne angreb, udnytter de sårbarheder og andre typer softwareudnyttelser. Det er ikke noget fancy. Alle elsker altid at bruge avancerede angreb eller statssponsorerede angreb. Virkeligheden er, at de fleste af disse angreb er temmelig lavt budget, men stadig effektive.

Den anden ting er at se nærmere på dine sikkerhedskopier. Jeg kan ikke understrege det nok. Folk overser altid deres sikkerhedskopier. Det bliver denne udenadslige it-proces, som ingen nogensinde ser to gange på, eller folk nedgør den og kalder den ikke vigtig. Det kunne være vigtigere i dag, hvis du ikke ønsker at betale løsesummen.

****

Laurel: Cybersikkerhed handler ikke kun om at stoppe de trusler, du ser. Det handler om at stoppe dem, du ikke kan se. Det er derfor, Microsoft Security beskæftiger over 3.500 cyberkriminalitetseksperter og bruger kunstig intelligens til at hjælpe med at forudse, identificere og eliminere trusler, så du kan fokusere på at vækste din virksomhed, og Microsoft Security kan fokusere på at beskytte den. Få mere at vide på microsoft.com/cybersecurity.

****

Laurel: Så et andet interessant emne, der kom ud af 2019, var blot generelle databrud. Så i 2019 virkede det virkelig som om, at en eller anden virksomhed hver anden dag annoncerede et databrud. Og så, ifølge Risk Based Security, blev mere end syv milliarder poster afsløret i 2019. Så når vi vender tilbage til CISO'er, hvordan reagerer CISO'er og virksomhedsledere egentlig på det, hvis 2019 var en slags i år, hvor vi [har set så mange] brud på et år?

Stephanie: Ja. Jeg tror, ​​at 2019 endelig var året med brudtræthed. Jeg mener, det var endda svært for os at følge med i hvert eneste brud, der ramte nyhederne. Jeg tror, ​​det hjælper at sætte det i perspektiv. Ikke alle disse brud var et angreb. Mange af dem var faktisk resultatet af utilsigtede eksponeringer. Så hvis du for eksempel har fejlkonfigureret cloud storage, betragtes det faktisk som et brud, selvom der ikke nødvendigvis er noget bevis for, at nogen form for tredjepart eller ekstern angriber eller organisation rent faktisk har misbrugt eller misbrugt dataene. Bare det faktum, at nogen enten internt eller ofte er sikkerhedsforskeren, der faktisk opdager, at al information var mindre eksponeret. Det betragtes som et brud.

Men ja. Hvis man ser på brud, selv, havde 51 % af virksomhederne mindst ét ​​brud inden for det seneste år. Og det tal er sandsynligvis højere, fordi mange organisationer ikke kender til det med det samme. Men så er der en stor procentdel af dem, faktisk størstedelen, er interne, et resultat af interne hændelser, tredjepartshændelser eller bare mistede eller stjålne enheder. Og hvis du ser på sande eksterne brud, hvor det var en ekstern part, der angreb dig og fik adgang til dine følsomme data, og vendte tilbage til meget af dets lave budget, var de tre øverste angrebsvektorer et direkte angreb på din applikation, drager fordel af en softwaresårbarhed eller kompromitterede brugeroplysninger.

Og de tre af dem, hvis du ser på det ... jeg hader at være flippet og sige, at det er nemt at løse, men det kræver ikke nødvendigvis den mest avancerede softwareteknologi, men det er sikker applikationsudvikling. Når vi vender tilbage til hele vores produktudvikling og design, er det bare at sikre, at de applikationer, du udvikler, som er kundevendte, er sikre ved design – at du bygger sikkerhed ind i dem fra start. Det vil reducere et stort antal af de direkte angreb på applikationer. Og når først applikationerne er implementeret i produktionen, beskyttes de igen med alt fra webapplikations-firewalls til andre typer sikkerhedsforanstaltninger, der på en måde omslutter applikationen og beskyttelsen.

Den anden ting er softwareudnyttelse. Så mange angribere udnytter blot sårbarheder, der ikke er blevet rettet. Så at have et virkelig stærkt sårbarhedsstyringsprogram – ikke det mest sexede emne i verden, sårbarhedshåndtering, men virksomheder har faktisk ikke en god måde at prioritere sårbarheder på og derefter adressere dem.

Laurel: Og det er lavthængende frugt.

Stephanie: Sådan lavthængende frugt. Og så kompromitterer brugerens legitimationsoplysninger, multifaktorgodkendelse.

Laurel: Ja. Gå til din telefon. Indtast adgangskoden. Vi har dog vænnet os ret godt til det.

Stephanie: Ret. Og så mange gange med disse store brud ... og vi plejede at skrive denne årlige rapport om erfaringer, og det blev næsten trættende, fordi jeg bare blev ved med at give de samme råd igen og igen, som sikker app-udvikling, sårbarhedshåndtering, kryptering af det meste følsomme data, du har, og derefter to-faktor autentificering og derefter have et robust detektions- og hændelsesresponsprogram på plads. Så der er stadig lavthængende frugter derude. Jeg mener, vi taler så meget om forhåndsangreb og den stigende angrebsflade, og det er sandt, men igen, vi har stadig ikke behandlet så mange af de grundlæggende ting.

Laurel: Og de grundlæggende ting, som du sagde, du har skrevet om dem i årevis. Tror du, at nogle af disse mere bemærkelsesværdige angreb tilføjer farve og måske får folks opmærksomhed på måder, som de er villige til rent faktisk at dedikere en del af et it-budget til sårbarhed?

Stephanie: De gør. Til din pointe om multifaktorautentificering, tror jeg, at det nu er blevet en forgivet konklusion og accepteret bedste praksis - du skal have det på plads. Det tog et stykke tid. Det skulle være brud efter brud. Det måtte være industrien, der sagde to-faktor, to-faktor, to-faktor. Selv forbrugerteknologivirksomheder fortæller deres kunder: 'Tænd to-faktor, tænd for to-faktor.' Så jeg tror, ​​at jo mere vi gentager nogle af disse bedste praksisser, jo mere bliver de endelig indgroet. Jeg håber, at det samme vil ske med sikker applikationsudvikling.

Og så er sårbarhedshåndtering, igen, virkelig vigtigt at have en måde at prioritere de sårbarheder på, som du skal løse. Og tusindvis af sårbarheder føjes til den nationale sårbarhedsdatabase hvert år, og 30 % af dem anses for at være kritiske. Så det hjælper ikke. Du har brug for en intern proces med yderligere prioritering af sårbarhederne baseret på din egen forretningskontekst, IT-kontekst, dit eget trusselmiljø for at hjælpe dig med at patche systemet.

Laurel: For ellers er det bare...

Stephanie: Det ville være overvældende.

Laurel: Så overvældende.

Stephanie: Ja.

Laurel: Jeg tror, ​​at banker og bankindustrien er en af ​​de industrier, der fremtvinger to-faktor autentificering, ned ad linjen. Ser du nogle bestemte industrier, der gør det med at sikre applikationer eller bygge sikre apps?

Stephanie: Opbygning af sikre apps, hvem tror jeg kan være i spidsen? Det er et godt spørgsmål. Jeg ved ikke, om nogen anden branche virkelig skiller sig ud. Vi lavede denne sikkerhedsrapport om applikationstilstand for nylig, og den var temmelig øjenåbnende, såvel som dyster. Det var ikke en feel-good rapport. Og så lavede vi en branchespecifik version af det, hvor vi filtrerede de data, vi havde af regeringen. Og den føderale regering var endnu værre end den private sektor, så det er ret bekymrende. Jeg tror, ​​at de brancher, der måske bekymrer mig mest, ville være sundhedsvæsenet og regeringen.

Laurel: Og det er to, som de fleste nok bruger mere regelmæssigt end næsten noget andet.

Stephanie: Ret.

Laurel: Ja. Sundhedsplejen er overhovedet ikke en lille bekymring. Ideen om hospitalsdata, personlige data, men også PII [personlig identificerbar information] og bare at komme ind i systemer og maskiner. Er alt en bekymring? Når alt er en bekymring, hvordan prioriterer man så egentlig det, hvis man er en sundhedsinstitution?

Stephanie: Ja. Jeg tror, ​​at med sundhedspleje, i lang tid, så meget af vægten var på at overholde HIPAA. Taler om USA specifikt. I USA blev der lagt så meget vægt på at overholde HIPAA, selv CISO'erne var lidt fokuserede på HIPAA i modsætning til ægte cybersikkerhed. Så historisk set fandt vi ofte ud af, at sundhedsvæsenet desværre brugte mindre end andre industrier på sikkerhed. Og igen, hvis de havde en CISO, fandt vi ofte ud af, at han eller hun ikke rapporterede højt nok i organisationen eller havde den rette kontrol. Det er ved at ændre sig. Jeg tror, ​​hvor sundhedsvæsenet også kæmper, selvom de tager fat på nogle af de historiske budgetproblemer, de havde, så er det en industri, der kæmper med omkostningerne. Hvis du har en dollar at bruge på et klinisk system versus cybersikkerhed, er det et virkelig svært valg, især i USA, hvor vi bruger så meget på sundhedspleje, men stadig har de værste sundhedsresultater af alle udviklede nationer. Det er den virkelige kamp, ​​fordi sikkerhed kræver en anstændig mængde budget for at klare sig godt.

Ja. Så sundhedspleje, det er det, der bekymrer mig, er, at de er bagud i forhold til andre brancher med hensyn til overordnet modenhed, men jeg tror, ​​at det er ved at ændre sig. Jeg tror, ​​at det næste område, der sandsynligvis bekymrer mig inden for sundhedsvæsenet, ville være sikkerhed for medicinsk udstyr og applikationssikkerhed.

Laurel: Ja, det er et helt andet, skræmmende emne, ikke? Nå, så til sidst, hvad jeg tænkte på fra 2019 er, at dette emne er bredt og stort, men også virkelig vigtigt for de fleste virksomheder, der faktisk producerer en fysisk vare eller sender ting fra et sted til et andet, hvilket er forsyningskædens sikkerhedsangreb. Hvis en virksomheds forsyningskæde er så lang og kompliceret, taler vi ikke kun om at sikre, ja, dine fysiske lokaler eller cloud. Det er også produktet. Hvor det bliver sendt fra, hvor det skal hen, og så også sælgerne.

Stephanie: Komponenterne.

Laurel: Komponenterne og de leverandører, du arbejder med.

Stephanie: Ja. Jeg tror, ​​at meget af det starter med den samlede tredjepartsrisiko. Tredjepartsrisiko og forsyningskæderisiko, jeg mener, forsyningskæden er en slags undergruppe af den samlede tredjepartsrisiko. Generelt vil jeg sige, at tredjepartsrisiko har været en af ​​de fem største udfordringer, som mange af vores CISO-klienter – de taler med os om i de sidste mange år. Igen, hvis du ser på bruddataene, er næsten godt 25 % til 30 %, et eller andet sted i den række af brud, resultatet af tredjeparter. Og en typisk stor virksomhed kan have så mange som 300 tredjepartsrelationer, når man ikke bare lægger leverandører sammen, men så tænker man på it-tjenesteudbydere, cloud-udbydere. Jeg lavede engang en forretningskonsekvensanalyse, hvor jeg inventerede alle tredjepartsrelationer for en virkelig mellemstor organisation, tusind ansatte. Og jeg fandt omkring 30 tredjepartsforhold, som it-organisationen ikke vidste noget om.

Laurel: Åh, wow.

Stephanie: Og så nu tager du det til en stor virksomhed. Så jeg tror, ​​at meget af det vil komme tilbage til, hvis du kan starte med det centrale tredjepartsrisikoprogram. En, har du en? Er sikkerhed indlejret i tredjepartsrisiko? Har de vetoret over tredjepartsforhold? Og det er ikke kun en engangsevaluering af tredjeparters sikkerhedsstilling. Det er også et løbende forhold, hvor du med jævne mellemrum revurderer dem. Der er mange krav til at definere som serviceniveauaftaler omkring sikkerhed med tredjeparter. Så det hele starter med grundlæggende tredjeparts risikostyring. Og så tror jeg, at det også vil strække sig ind i forsyningskæderisikoen.

Laurel: Og du vil sikkert se det ligesom med de mennesker eller virksomheder, der egentlig bare udviser bedste praksis. De skubber det nedstrøms til alle deres leverandører. Så hvis du forventer at arbejde med os, skal du følge disse procedurer.

Stephanie: Nemlig.

Laurel: OKAY.

Stephanie: Nemlig. Ja. Jeg har ønsket at skrive denne rapport i et stykke tid, som er, for langsigtet forretningssucces, at opføre mig som et brudfirma. Virksomheder, der faktisk har haft store brud og på en måde overlevede det indledende efterspil, fortsætter efter cirka fem år faktisk med at have forretningsresultater, der ofte vil overgå S&P 500. Og hvis du går tilbage og ser på meget af det, de har gjort, tvinger det dem til at træffe både virkelig hårde forretningsmæssige såvel som it- og sikkerhedsbeslutninger. Så fra et forretningsperspektiv vil det tvinge dem til at omprioritere mange af deres strategiske initiativer, fordi bruddet endte med at koste dem 300 millioner dollars, 500 millioner dollars, ja endda 1 milliard dollars. Så det tvinger dem til at tage meget hårdere ud for at se på deres overordnede forretningsstrategi og deres forretningsdrift, fordi de bare ikke har penge til at bruge på alt. Eller i nogle tilfælde må de skære sig løs fra dårlige beslutninger, som de blev ved med at hælde penge ind i.

Fra et it-perspektiv vil vi se dem implementere ting, som de burde have gjort hele tiden. Tredjepartsrisiko. Jeg havde et firma, der havde et brud, der sagde, at efter bruddet, du ved, kunne du ikke købe en blyant uden ...

Laurel: Godkendelse.

Stephanie: Godkendelse. Og man vil ikke nødvendigvis gå til det yderste, men det var klart, at de ikke havde nogen tredjepartsrisiko på forhånd. Eller de vil ansætte CSO'en, eller de vil ændre, hvor CSO'en rapporterer til, begynde at finansiere hændelsesvar og bryde reaktionsprogrammer. Så bruddet tvinger dem faktisk til at være en meget mere moden og bedre virksomhed. Det er bare ærgerligt, at de skulle igennem bruddet for at nå dertil.

Laurel: At komme dertil. Jeg gætter på, at det nok er, hvad enhver virksomhed på et tidspunkt nok burde se på, er, gør vi faktisk alt, hvad vi burde være på den rigtige måde? Hvordan er tingenes tilstand, virksomhedens tilstand? og kigger godt efter. Men jeg er sikker på, at det heller ikke ville gøre dig særlig populær, hvis dette bare var en øvelse.

Stephanie: Ja.

Laurel: Hvis du går igennem et frygteligt sikkerhedsbrud, så har du en undskyldning. Så vi kommer lidt tilbage til det hele, hvor når noget forfærdeligt sker, nu har du en undskyldning for at …

Stephanie: Jeg tror, ​​at modenhedsvurderinger hjælper der. Jeg mener, der er en masse branchespecifikke modenhedsvurderinger for cybersikkerhed. Hos Forrester har vi vores egne modenhedsvurderinger. Så vi vil ofte opdage, at kunder vil bruge det som en baseline, og så kan de gå til bestyrelsen, og de går til deres forretnings- og it-chefer og siger: 'Se, mod industriens bedste praksis, her er vi modne , og her er vi virkelig svage.' Og så hjælper det også dem med at begynde at lave køreplaner og så retfærdiggøre finansiering til specifikke initiativer, fordi man kan sige, at det vil forbedre vores modenhed fra en 1,5 til en 3. Og det er virkelig, for vores branche skal vi være mindst en 3'er i dette område.

Så jeg tænker på din pointe, at tage udgangspunktet i forhold til industriens bedste praksis og vælge en modenhedsvurdering, du ved – Forresters, et andet konsulentfirmas. Men grundlæg dig selv i din sikkerhedsposition, kommuniker resultaterne, arbejd med erhvervslivet for at sætte realistiske mål om, hvor du bør være som virksomhed og industri. Og så driver det virkelig din køreplan og meget af din finansiering. Så det giver dig som et sandt nord at pege på.

Laurel: Og det får dig på vej til at have sikkerhed som en differentiator.

Stephanie: Nemlig.

Laurel: Ja. Så i 2020 kommer vi nok til at se mere af det evt. Men et par mere bekymrende tilføjelser. Vi kom kun kort ind på geopolitik. Slutningen af ​​året viste os en lidt ujævn vej med Iran specifikt. Så hvor meget tror du, at gennemsnitlige virksomheder er bekymrede over geopolitik, eller er det bare en hvilken som helst dårlig skuespiller, der kommer deres vej, de har brug for for at øge sikkerheden?

Stephanie: Vi havde faktisk skrevet denne rapport tilbage, jeg vil først sige i 2016, og det var for CISO'er. Og titlen på det var Ignorer geopolitisk risiko på din fare. Og det var denne idé, som CISO'er virkelig havde brug for at vågne op til cybersikkerhedsimplikationerne af geopolitisk risiko. Så ja, det er Iran i dag. Det kan blive et andet land i fremtiden. Selv hvis du tror, ​​åh, jeg er ikke i regeringen, jeg er ikke i kritisk infrastruktur, private sektors organisationer er målrettet hele tiden. Igen, i nogle tilfælde fordi de er lette mål, fordi du handler med den føderale regering.

Så du skal være bekymret over geopolitisk risiko. Og igen, for mange store virksomheder, hvor du er multinational, skal du tænke over, hvordan det påvirker dine medarbejdere, dine kontorer, de tredjeparter, du handler med. Så som om civilsamfundsorganisationer ikke havde nok at lave, er de nødt til at tage geopolitisk risiko i betragtning. Hvordan øger det risikoen? Gør det dem mere til et mål? Faktisk, interessant nok, hvis du ser på nogle af bruddene, kender du f.eks. Marriott. Anthem, jeg glemmer, hvis det var omkring tre år siden. De ville ikke have troet, at de var mål for en nationalstat, men det var deres data, de ønskede.

Laurel: Selvfølgelig. Og er den slags markeringsnavne mere i fare, eller er det virkelig bare, ja, du har nogle fantastiske data?

Stephanie: Jeg tror, ​​det handlede mindre om navnet og mere om, i de særlige tilfælde, om de data, de havde. Du ved, i Marriotts tilfælde havde de utrolig detaljerede oplysninger om rejsevanerne for statsansatte og højtstående embedsmænd. Jeg tror i nogle tilfælde, at de endda havde kopier af deres pasnumre som en del af de følsomme data, der blev kompromitteret.

I tilfælde af Anthem har du følsomme medicinske oplysninger om enkeltpersoner. Du er nødt til at tænke over geopolitisk risiko, og hvordan en nationalstat muligvis kan bruge dine data.

Laurel: Der er helt sikkert meget der. Men for hvad med indenrigspolitik og risiko? 2020 er et valgår. Men bortset fra valgurnens sikkerhed, hvilken anden slags særlige interessegrupper og kampagner kan indsamle data, der kunne være målrettet?

Stephanie: Ja, jeg mener, det er interessant. Nå, igen, evnen til at målrette vælgere er meget stærk. Så igen, hvis du er en forbrugerorganisation, der har meget detaljerede oplysninger om enkeltpersoner som præferencer, likes, vaner. Bruges muligvis ikke nødvendigvis til ondsindede formål som identitetstyveri. Men igen, det kunne bruges af nogen, der ønsker at målrette og påvirke disse individer. Så jeg kan helt sikkert igen se, at hvis du er en forbrugervirksomhed, der har utroligt detaljerede data om præferencer, købsadfærd, holdninger, ville alt dette helt sikkert være modent til målretning.

Laurel: Samt angreb som deepfakes, ikke?

Stephanie: Ja.

Laurel: Så vil du sige, at deepfakes er som det nye phishing, eller er det bare en smag af phishing?

Stephanie: Smag. Det er en slags næste udvikling af social engineering. Som om social engineering ikke var svært nok at tage fat på, nu skal vi også kæmpe med deepfakes. Og jeg føler, at med deepfakes modnes de så meget hurtigere, end industrien havde forventet. Jeg mener, jeg kan huske, at jeg læste og lyttede til like-podcasts, og eksperter sagde som: 'Åh, du ved, vi er stadig år væk fra deepfakes, der virkelig kan narre eksperter.' Og jeg føler, at den tidslinje var langt væk.

Laurel: Måde accelereret.

Stephanie: Måde accelereret.

Laurel: Så Forrester har denne fantastiske rapport kaldet Predictions 2020, og forudsigelsen er, at deepfakes vil koste virksomheder mere end en kvart af $1 milliard næste år. Så teknologien accelererer, men også virkningen og skaden er.

Stephanie: Ja, korrekt. Og jeg tror ligesom et typisk brud, at der er de umiddelbare omkostninger. Så hvis du tænker på dine typiske social engineering-angreb. For nylig var det et tysk firma, at nogen faktisk på overbevisende måde var i stand til at forfalske direktørens stemme, og de overbeviste en anden direktør i virksomheden om at overføre noget i retning af en kvart million dollars til dem. Så der er et eksempel på din næste udvikling af virksomhedskompromiss og social engineering-angreb. Så du kan forestille dig, at det er endnu mere sofistikeret, mere storstilet, men så er det også at håndtere nedfaldet af det. At bevise, at det var en deepfake, at håndtere brudreaktionen, hvordan du håndterer det. De samlede omkostninger ved det tror vi bestemt kan være betydelige.

Laurel: Er det noget, forsikringsselskaber er klar til at håndtere eller kan håndtere?

Stephanie: Interessant nok, det eksempel, som jeg lige gav, så det er en deepfake, alt skete over eller computerinfrastruktur. Det vil blive betragtet som bedrageri i modsætning til et eksternt angreb. Så jeg er ikke sikker på, at din cyberforsikring faktisk dækker det.

Laurel: Wow.

Stephanie: Og det ved jeg, at mange virksomheder gør som en del af deres svar. Der er en antagelse om, at en god del af det vil være dækket. For en stor virksomhed er det ikke usædvanligt at have en cyberforsikring på 100 millioner dollars. Så hvis du satser på at kunne bruge de 100 millioner dollars, afhængigt af arten af ​​præcis, hvad der skete. Hvis det er klassificeret som bedrageri, dækker de det muligvis ikke.

Laurel: Hvad kunne ledere gøre? Gå tilbage til hemmelige adgangskoder og håndtryk eller...

Stephanie: Ja, til side for sjov. Hvis i disse bankoverførselstilfælde eller andre ting, der involverer f.eks. følsomme data, at have den anden faktor, autentificering, tror jeg faktisk er virkelig vigtigt.

Laurel: Interessant. Tydeligvis deepfakes, masser af hurtig bevægende teknologi, alt bevæger sig og bliver så meget mere sofistikeret. Så vi taler ikke kun om, at de gode fyre har adgang til al teknologien. De onde gør det også. Så hvad ser vi på i en anden Forrester-forudsigelse her om våbeniseret kunstig intelligens og maskinlæring? Det er et stort emne, men med så hurtigt fremadskridende teknologi og alle har adgang til de samme værktøjer, er der et våbenkapløb i gang, eller er det bare vi alle sammen skal passe på hinanden og bare få det gjort?

Stephanie: Jeg tror, ​​det er begge dele. Jeg mener, sikkerhed er et evigt våbenkapløb. Jeg vil sige, at jeg tror, ​​at sikkerhedsteams er nødt til at omfavne maskinlæring og andre typer kunstig intelligens meget hurtigt. Så hurtige som de onde er. Jeg mener, der er enorme muligheder for at automatisere mange af vores kerneprocesser inden for sikkerhed. Alt fra detektion til afhjælpning til selve responsen.

Brug af maskinlæring for at få bedre detektionsmuligheder. Så tænk, hvis vi hurtigere var i stand til at opdage noget, og så var så meget mere af vores svar automatiseret. Lige nu er meget af det, vi gør, meget manuelt. Detektionsmanualen, som sikkerhedsteam faktisk ofte er, som hvis du ser på en typisk SOC, mener jeg, at de er oversvømmet med tusindvis af advarsler. Det er svært at prøve at finde ud af, hvilke advarsler der er vigtigere end andre. Så igen, det er en slags prioritering. Ligesom det er vigtigt at forstå med det samme, hvilke der virkelig er slemme og farlige. Og du kan ansætte lige så mange mennesker, du vil. Du ville aldrig kunne holde trit med det.

Laurel: Ret.

Stephanie: Så du har virkelig brug for teknologi til at gøre det for dig. Men så snart du ved, at noget virkelig er ondsindet, igen, lige nu er det en manuel proces, der er startet, hvilket vil sige, at du manuelt skulle nulstille brugerens adgangskoder. Du skal manuelt isolere enheder fra netværket. Alt foregår manuelt, og i nogle tilfælde har vi stadig en masse trin, hvor vi beder om godkendelse. I fremtiden vil alt dette ske automatisk. Du ville have brug for, at virksomheden samarbejder med dig for at sige: 'OK, fra nu af, hvis det når en vis tærskel, hvis vi er 90 % sikre på, at dette er ondsindet, så er sikkerhedsteamet, alle processer automatiserede.' Alt, hvad jeg lige har beskrevet som nulstilling af adgangskoder, isolering af enheder, alt det kan ske automatisk. Du behøver ikke vente på nogens godkendelse.

Laurel: Og tiden er af essensen?

Stephanie: Ja, så vi er nødt til at tale om virksomheder, der skal gennemgå digital transformation for at imødekomme nye kunders forventninger og skiftende forretningskrav. Jeg tror, ​​sikkerhedsteams skal gennemgå deres egen digitale transformation, fordi alt, hvad vi gør i dag, er så manuelt og så tidskrævende. Og hvis vi skal følge med cyberkriminelle, der udnytter disse teknologier, er vi nødt til at gøre det før end senere.

Der var denne ene virksomhed, der brugte maskinlæringsalgoritmer til at målrette mod enkeltpersoner med mere sofistikerede social engineering-budskaber og var i stand til at øge ikke blot det samlede antal mennesker, som de var i stand til socialt at udvikle, men succesen med klikgennemgangene eksponentielt med maskinlæring og automatiseringsteknologier. Så ja, vi skal følge med.

Laurel: Vil du sige, at der er andre særlige tendenser, du kigger på for 2020, eller ting folk bør holde øje med?

Stephanie: Jeg tror faktisk, at tredjepartsrisiko og forsyningskæde fortsat vil være et stort, stort problem. Og det er faktisk et andet område på grund af problemets størrelse. Når jeg taler om en virksomhed, der har 300 tredjepartsrelationer, er det kun et gennemsnit. Der er store virksomheder med endnu et større antal end det, og det er meget tidskrævende at vurdere holdningen, forhandle SLA'er, fortsætte med at vurdere dem, holde styr på dem, få logs fra dem, så du forstår, hvor dine data er. Så alene risikoudfordringen fra tredjepart har brug for sit eget sæt af slags automatiseringsværktøjer og forsyningskæderegler. Jeg tror, ​​at transformationen af ​​SOC fortsat vil være et problem i 2019.

Laurel: Sikkerhedsoperationscenteret?

Stephanie: Sikkerhedsdriftscentret. Som om vi ikke havde kompetencer og mangel på personale. Selvom du kunne ansætte alle de mennesker, du ønsker, kan du ikke følge med omfanget og udfordringerne ved problemerne. Så du er nødt til at indføre automatisering der også.

Laurel: Ser du, at virksomheder først tager automatisering i brug, måske inden for sikkerhed, hvor de måske har været mere tøvende i andre dele af virksomheden?

Stephanie: Ja. Og i lang tid var der en tøven med at indføre automatisering, fordi der var frygt for, at jeg kunne blokere en legitim forretningstransaktion. Og du ved, historisk set kæmpede sikkerhedsteamet for at blive set som en forretningspartner. De var afdelingen for nr. Og så var der denne frygtede frygt for potentielt at blokere enhver form for lovlig forretningstransaktion. Jeg tror, ​​at frygten er væk nu på grund af alle de brud, vi har. Forretningen er sådan: 'Nej, du ved, at noget er ondsindet, du blokerer det.'

Laurel: Ret.

Stephanie: 'Eller inden for en vis tillid, du tror, ​​det er ondsindet, du blokerer det.' Så der er bestemt en åbenhed over for automatisering. Jeg vil sige, der er denne sætning som ikke automatisere dum. Du kan ikke bare investere i en automatiseringsteknologi, hvis du mangler grundlæggende processer i din SOC. Så du skal modne dine SOC-operationer og have modne processer, og så kan du automatisere dem. Ellers automatiserer du bare dumt. Og i nogle tilfælde er det også derfor, mange virksomheder henvender sig til administrerede tjenester.

Langt størstedelen af ​​sikkerhedsbudgettet bliver faktisk nu brugt på tjenester nu. Uanset om det er rådgivende, professionelt administrerede tjenester eller sikkerhed, der rent faktisk leveres som en tjeneste fra skyen. Det er flyttet væk fra on-premise produkter til tjenester. Og jeg tror, ​​at en del af det afspejler behovet for, at sikkerhedsteams, de har brug for ekstern hjælp. De har en problemskala, de har et ekspertiseproblem, så de henvender sig mere og mere til tjenester. Og efterhånden som virksomheden bliver mere og mere cloud-baseret, skal dine sikkerhedsteknologier også blive cloud-baserede.

Laurel: Og hurtigt.

Stephanie: Nemlig.

Laurel: Ja. Og det kommer helt sikkert tilbage i cirklen, gå ikke alene. Du kan ikke gøre det helt alene ude i ørkenen.

Stephanie: Absolut ikke.

Laurel: Nå, mange tak, Stephanie. Det var dejligt at have dig i Business Lab i dag.

Stephanie: Tak for at have mig. Det var dejligt at være her.

Laurel: Det var Stephanie Balaouras, vicepræsident og gruppedirektør for sikkerheds- og risikoforskning samt infrastruktur- og driftsforskning hos Forrester Research, som jeg talte med fra Cambridge, Massachusetts, hjemsted for MIT og MIT Technology Review, med udsigt over Charles River. Også tak til vores partner, Microsoft Security.

Det var det for denne episode af Business Lab. Jeg er din vært, Laurel Ruma. Jeg er direktør for Insights, den tilpassede udgivelsesafdeling af MIT Technology Review. Vi blev grundlagt i 1899 på Massachusetts Institute of Technology, og du kan også finde os på tryk, på nettet, ved snesevis af live-begivenheder hvert år. For mere information om os og showet, tjek venligst vores hjemmeside, TechnologyReview.com. Dette show er tilgængeligt overalt, hvor du får dine podcasts. Hvis du kunne lide denne episode, håber vi, at du vil bruge et øjeblik på at bedømme og anmelde os. Business Lab er en produktion af MIT Technology Review. Denne episode blev produceret af Collective Next. Tak for at lytte.

Sikkerhedstrusler er overalt. Det er derfor, Microsoft Security har over 3.500 cyberkriminalitetseksperter, der konstant overvåger for trusler for at hjælpe med at beskytte din virksomhed. Mere på Microsoft.com/cybersecurity.

skjule