Efterhånden som cybersikkerhed udvikler sig, bør din bestyrelse også gøre det

I forbindelse med Cortex Xpanse fra Palo Alto Networks

Men hvor mange instruktører farer vild i teknologiens tekniske detaljer? Udfordringen for en Chief Information Security Officer (CISO) er at tale med bestyrelsen på en måde, de kan forstå og støtte virksomheden.

Det er boret ind i hovedet af bestyrelsesmedlemmer og C-suiten af ​​skræmmende overskrifter med databrud, advokater, retssager og risikomanagere: cybersikkerhed er højrisiko. Det skal være på listen over en virksomheds topprioriteter.

Niall Browne, senior vicepræsident og chief information security officer hos Palo Alto Networks, siger, at man kan se på CISO-bestyrelsens diskussion som værende et klassisk salgsargument: succesrige CISO'er vil vide, hvordan man lukker handlen ligesom de bedste sælgere gør. Det er det, der gør en rigtig god sælger: den person, der har pitchen til at lukke, siger han. De har evnen til at lukke handlen. Så de beder om noget.

I evigheder, siger Browne, har CISO'er haft to store problemer med bestyrelser. For det første har de ikke været i stand til at tale det samme sprog, så bestyrelsen kunne forstå, hvad problemerne var. Det andet problem: Der var ingen spørge. Du kan gå foran en tavle og holde din præsentation, og direktørerne kan se ud, som om de er enige, nikker eller ryster på hovedet, og du kan tænke ved dig selv, Job done. De er opdateret. Men det betyder ikke nødvendigvis, at virksomhedens sikkerhedsposition er bedre.

Derfor er det vigtigt for CISO'er at hæve bestyrelsens forståelse til det niveau, hvor de ved, hvad der er nødvendigt og hvorfor. Især når det kommer til nye fremskridt inden for cybersikkerhed, som styring af angrebsoverflader, som nok er et af de områder, som CISO'er fokuserer mindst på og alligevel er det vigtigste, siger Browne. For eksempel kan CISO og sikkerhedsteamet mange gange ikke se træet fra træerne, fordi de er så involveret i det. Og for at gøre det har CISO'er brug for et sæt metrikker, så enhver kan læse et brætspil og inden for få minutter forstå, hvad CISO'et forsøger at komme igennem, siger Browne. For for det meste er dataene der, men der er ingen sammenhæng bag dem.

Denne episode af Business Lab er produceret i samarbejde med Palo Alto Networks.

Fuld afskrift :

Laurel Ruma : Fra MIT Technology Review hedder jeg Laurel Ruma, og dette er Business Lab, showet, der hjælper virksomhedsledere med at forstå nye teknologier, der kommer ud af laboratoriet og ind på markedet.

Vores emne i dag er cybersikkerhed og virksomhedernes ansvarlighed. I de senere år er cybersikkerhed blevet en bekymring på bestyrelsesniveau med beskadiget omdømme, tabt omsætning og enorme mængder stjålet data. Efterhånden som angrebsoverfladen vokser, vil informationssikkerhedscheferne have et stigende ansvar for at vide, hvor de kan forvente det næste angreb, og hvordan de skal forklare, hvordan det skete.

To ord til dig: synlighed udefra og ind.

Min gæst er Niall Browne, som er senior vicepræsident og informationssikkerhedschef hos Palo Alto Networks. Niall har årtiers erfaring med at administrere globale sikkerheds-, compliance- og risikostyringsprogrammer for finansielle institutioner, cloud-udbydere og teknologiservicevirksomheder. Han er i Googles CISO-advisory board.

Denne episode af Business Lab er produceret i samarbejde med Palo Alto Networks.

Velkommen, Niall.

Niall Browne : Fremragende. Tak, Laurel, for at have mig.

Laurel : Så som informationssikkerhedschef eller CISO er du ansvarlig for at sikre både Palo Alto Networks' produkter og virksomheden selv. Men du sikrer ikke bare en hvilken som helst gammel virksomhed; du sikrer et sikkerhedsfirma, der sikrer andre virksomheder. Hvordan er det anderledes?

Niall : Ja, så jeg synes, det smukke ved Palo Alto Networks er, at vi er den største cybersikkerhedsvirksomhed i verden. Så vi får virkelig at se, hvad en frygtelig masse virksomheder aldrig får at se. Og hvis du tænker over det, er en af ​​de vigtigste ting, viden er magt. Så jo mere du ved om dine modstandere, hvad de laver, hvilke metoder de forsøger på netværket, hvad er de kontroller, der virker, og hvad er de kontroller, der ikke virker, jo bedre er du til at skabe din egen interne strategi for at hjælpe med at beskytte mod disse vedvarende angreb. Og du er i en meget bedre position til at kunne give disse data til bestyrelsen, så de kan sikre, at det passende tilsyn er på plads.

Så bestemt for os, med det niveau af viden om, hvad vi får at se i vores netværk, giver det os virkelig mulighed for løbende at innovere. Så vi tager vores produkter og bygger videre på dem, så vi kan opfylde kundernes krav og derefter industriens krav. Så det tror jeg nok er den første del. Den anden del er, vi er virkelig i denne båd sammen. Så en del af mit job er løbende at tale med enkeltpersoner i branchen og andre CISO'er, CTO'er, CIO'er og CEO'er, der taler om cybersikkerhedsstrategi. Og uvægerligt vil du opdage, at de samme problemer, som de har, er præcis de samme problemer, som vi har. Så for os er det virkelig muligheden for at dele, hvordan sikrer vi, at vi er i stand til løbende at innovere, gøre en forskel i branchen og virkelig samarbejde løbende med brancheledere. Især med fokus på, hvordan vi sikrer vores forretning og leverer bedste praksis for, hvordan vi virksomheder kan være mere sikre?

Laurel : Så nogle mennesker kan blive overrasket over, at samarbejde og denne form for åben deling af viden er så udbredt, men det burde de ikke være, vel? For hvordan skal I ellers alle sammen forsvare sig mod de ukendte angribere?

Niall : Godt spørgsmål. Og hvis man ser på det på den modsatte side af hegnet, deler hackere løbende. Selvom de deler for økonomisk vinding. Med andre ord, de vil stjæle data, og de vil videresælge det og videresælge det og videresælge det og videresælge det. Hackere deler løbende disse data, inklusive gør-det-selv-værktøjssæt. Og på sikkerhedssiden af ​​huset har der altid været historisk mistanke. Med andre ord, jeg er den eneste person, der har dette problem unikt. Og hvis jeg deler dette problem, vil de tro, at jeg ikke gør et godt stykke arbejde, eller at virksomheden ikke gør et godt stykke arbejde, eller jeg er den eneste person, der har dette specifikke problem. Og det, der skete over tid, er, at CISO'er ikke delte en masse data, hvilket betyder, at hackerne delte data til højre til venstre og i midten. Men på CISO-siden af ​​huset, på beskyttelsessiden, var der meget lidt samarbejde, hvilket betød, at man nu havde begrænset delt branchebest practice.

Hver CISO var i deres egen silo, i deres egen søjle, og gjorde deres egen unikke ting, og alle lærte af deres egne fejl. Så det var virkelig en en-til-en model. Du laver en fejl, og så laver du endnu en fejl, og så laver du endnu en fejl. Men hvis du kunne tale med din jævnaldrende, forestille dig i forretning eller finans, taler du løbende med CTO'en og CFO'en for at sige, Åh, forresten, hvordan klarede du sådan og sådan problemstilling? Så jeg ser nu, at branchen begynder at ændre sig. CISO'er begynder nu at ændre sig og dele. De taler løbende om strategi. De taler konstant om, hvordan de beskytter deres miljø? De taler om, hvad er nogle af de gode forretningsmodeller, der virker?

Og hvis du ser på MIT, er der industri og tekniske og forretningsmodeller, der virkelig fungerer i andre brancher. Men så, hvis du ser i selve CISO-fællesskabet, er det ligesom, hvad er de bedste praksisser i branchen? Og nu begynder de først at blive lidt formuleret, boble op derfra. Og hvad jeg ser, i hvert fald i løbet af de sidste, vil jeg sige tre eller fire år, er der en enorm vækst på CISO'erne i forhold til at lære industriens bedste praksis og virkelig opgradere deres færdigheder. Så de er bare ikke den tekniske nørd i hjørnet. De har virkelig brug for at kunne tale forretningsteknologi, være i stand til at tale forretningsvilkår og virkelig kunne ses som den nære peer til den CTO, til CIO'en, til CEO'en i forhold til at løse forretningsproblemer.

For hvis du tænker på det fra et cybersikkerhedsperspektiv, er det i sidste ende bare et forretningsproblem. Og hvis det er et forretningsproblem, skal du anvende strategiske forretningsløsninger til at løse disse problemer. I stedet for at tale om, hvilken version af antivirus du er på, er du virkelig nødt til at hæve samtalen, så når du taler til bestyrelsen, når du taler med den samme C-level executive, smider de ikke deres øjne i luften. De forstår, at du taler det samme forretningssprog som dem. Hvilket igen betyder, at hvis du er en betroet forretningspartner, så kan du gøre en enorm forskel i virksomheden, i modsætning til at blive set som den junior it-leder i organisationen, som nogen kun kommer til, hvis vi bliver hacket. eller hvis en sikkerhedskopiering mislykkes, eller hvis en Mac er gået i stykker.

Laurel : Jeg kan virkelig godt lide den analogi...vækst af selve stillingen. Som du sagde, løfter det faktisk denne rolle til bestyrelsesbordet, fordi det er et forretningsproblem med en mulig forretningsløsning. Men hvordan kan bestyrelser så til gengæld træffe bedre beslutninger? Du bliver så også nødt til at medbringe nogle data og information og noget til at hjælpe bestyrelsen sammen med alle de andre beslutninger, de skal træffe på tværs af hele virksomheden.

Niall : Og det er det vigtigste, er, at de fleste mennesker, når de ser på det, er klassiske salg. Du kan have den bedste sælger i branchen, men medmindre de har det tætte, og det tætte er spørgsmålet. Her er et fantastisk produkt, og jeg vil gerne sælge dette produkt, dvs. denne bil for, lad os sige, $50.000. Og så i slutningen af ​​salgsargumentet, vil du købe bilen? Og det er det, der gør en rigtig god sælger, den person, der har pitchen til at lukke. De har evnen til at lukke handlen. Så de beder om noget. Så jeg tror i evigheder, at CISO'er havde to store problemer med bestyrelsen. Den ene er, at de ikke var i stand til at rapportere de rigtige data til bestyrelsen og talte det samme sprog, hvor bestyrelsen ville være i stand til at forstå, hvad problemerne var.

Og så to, der var ingen spørgsmål. Og det er meget vigtigt, for hvis du går ind i en tavle, og du er til stede, og alle nikker og ryster på hovedet og forstår det, så har du sikkert opdateret dem, men sikkerhedsstillingen er ikke desto bedre. Og hvis man ser på en klassisk bestyrelse, en hvilken som helst bestyrelse selv, så er de der på et meget, meget højt niveau, naturligvis for at tjene virksomheden. Så ethvert af bestyrelsesmedlemmerne eller nogen af ​​de bestyrelser, som jeg har arbejdet med tidligere, har været ekstremt villige til at hjælpe selve virksomheden. Så de kigger altid på, Nå, du præsenterede X, men nu, hvordan kan jeg hjælpe? Så jeg tror, ​​at CISO'er skal vende det om til mere at være den sælger med de nære. Vigtigst af alt, hvad er mit spørgsmål?

Og et klassisk bestyrelsesmøde, jeg synes, det går godt, er, at man sætter sig ned, man arbejder med bestyrelsen, man viser et kernesæt af metrikker. Nu ønsker du ikke at vise metrics på tal, der er absolut meningsløse for bestyrelsen. Hvis du ser på brættet, har brættet en bred vifte af færdighedssæt. Nogle bestyrelsesmedlemmer kan være compliance-eksperter, nogle kan være virksomhedsledere, nogle kan være økonomiledere. Så det handler i virkeligheden om, når du kommunikerer med bestyrelsen, to sæt ting. Den ene kommer med et sæt kommunikationer eller målinger og skitserer virkelig business casen, så enhver kan læse et board deck, og inden for få minutter forstår de, hvad du prøver at komme igennem. Det er kritisk.

Og så er en anden del, det er ikke en præsentation. Hvert bestyrelsesmøde bør slutte med tid til sidst til spørgsmål og svar og til forespørgsel. Og jeg vil sige, et godt bestyrelsesmøde er, hvor man ikke engang går igennem dækket. Du deler dækket på forhånd, de har læst det igennem, de var i stand til at forstå din cybersikkerhedsposition ved blot at se på dit dæk. Og så refererer bestyrelsesmødet ikke engang til dækket. Det er et simpelt sæt spørgsmål, kommentarer frem og tilbage og så spørg. Og spørgsmålet kunne være: Hør, kan vi få noget mere fokus på et bestemt område i sig selv eller flere ressourcer? Eller de kan også spørge dig. Så igen, jeg tror, ​​at modellen virkelig er, kommunikere et kernesæt af data og derefter gøre det til en samtale med et samarbejdende spørgsmål fra begge sider i stedet for at komme op med et 30-slids-dæk, som ingen forstår, at du præsenterer det, og så løber du tør af bestyrelsesmødet derfra. Den model virker bare ikke, som vi ved.

Laurel : Ja. Ikke for nogen, vel? Så hvilke specifikke målinger rapporterer du faktisk tilbage til bestyrelsen, og hvorfor er disse målinger vigtige for din bestyrelse eller enhver anden bestyrelse?

Niall : Problemet med enhver industri, inklusive cybersikkerhed, er, nogle gange er der bare for meget data. Så hvis du ser på industristandarder som ISO 27001, har du måske hundrede og noget kontroller. Hvis du ser på FedRAMP, har du 300 kontrolelementer. Hvis man ser på COSO eller COBIT. Så du ønsker ikke at gå til bestyrelsen med, Forresten, her er 2.000 kontroller. Og her er, hvordan vi overholder disse 2.000 kontroller. For for det meste er dataene der, men der er ingen sammenhæng bag dem. Så de spekulerer på, at AV er på 95 % af slutpunkterne, er det godt? Vi scanner én gang hver, lad os sige 12 timer, er det godt? Så de er, hvad jeg kalder meningsløse målinger. De har ingen som helst fordele for de fleste InfoSec-folk, ligegyldigt ledere på bestyrelsesniveau. Så fra vores synspunkt opdeler vi det i simple kernesæt af søjler, som vi kan måle over tid.

Og generelt vil du ikke have et sæt søjler, der er 25 søjler, fordi det er for mange, fordi du ikke er i stand til at måle én mod 25. Så internt bosætter vi os generelt i omkring fem store kerneområder, som vi fokuserer på på, og dem måler vi hver gang. Så et er, sikre vores produkter. De fleste organisationer er meget, meget produktcentrerede nu. Så produkter i de fleste virksomheder bliver kritiske, kritiske, kritiske. Så en ting vi måler er, hvordan måler vi? Hvordan beskytter vi vores produkter? Og vi vurderer os selv på en skala fra nul op til fem som maksimal modenhed.

Nu, hvis du har rigtig gode produkter, men de sidder på en infrastruktur, der er usikker, har du et problem. Så den anden er, at sikre vores infrastruktur. Og den tredje er detektion og respons. Så hvis du har virkelig sikre produkter på virkelig sikker infrastruktur, men ingen kigger på det, og ingen måler eller overvåger miljøet for angreb, så har du et problem. Så for os er dets detektionsrespons det tredje, hvilket er kritisk.

Den fjerde er så mennesker. Og folk-komponenten, det er absolut...Jeg kan ikke understrege dette nok, for hvis du ikke har folk, der forstår cybersikkerhed, så har du et kerneproblem. Langt de fleste gange er det folk, der gør noget i en virksomhed ved et uheld, dvs. de kan klikke på et phishing-link, der kompromitterer dit netværk. Så én ting, hvad vi kalder det, er street smart. Så en af ​​de fire søjler er, kan vi få folk, så de er gadekloge? Med andre ord, cybersikkerhed smart, street smart. Så hvis de går ned ad vejen, og de ser en fremmed ser mistænksom ud, så brug din mavefornemmelse. Det samme med cybersikkerhed. Hvad er de simple ting, de bør gøre eller tænke på i det daglige, for at de kan beskytte en virksomhed?

Og så er den femte virkelig regeringsførelse. Hvordan laver vi styring, og hvordan klarer vi os selv? Og hvordan måler vi vores succes? Så hvis du ser på det der, er det fem enkle søjler. Det er simpelthen produkt, infrastruktur, detektionsrespons, mennesker og ledelse. Og vi måler nul til fem for hver af dem. Så så er det meget nemt for bestyrelsen og for andre medlemmer at se på, hvordan trender vi mod disse områder over tid? Det giver dig mulighed for at gå højt, med andre ord, den tusinde fods udsigt. Og hvis der så er et spørgsmål om infrastruktur, kan du se på målingen, infrastruktursøjlen, og så kan du begynde at springe ud i andre målinger senere, hvis de vil. Men i virkeligheden er det den måde, vi formulerer det på, hvordan vi byggede vores sikkerhedsprogram. Og det er noget, som jeg synes, der falder meget stærkt i bestyrelsen, for nu er de i stand til at måle os baseret på kendte enheder kontra meningsløse målinger, der for det meste ikke siger dem noget.

Laurel : Hvad nu hvis vi skiftede det? Hvilket ansvar har bestyrelsen for at være street smart og have en form for grundlæggende forståelse af cybersikkerhed? Eller tager du det som dit eget personlige ansvar for at bruge tid sammen med hvert medlem for at sikre, at de forstår grundlaget?

Niall : Korrekt. Så for os handler det i høj grad om at tage et vist niveau af viden og derefter bygge videre på den viden, så i det mindste alle er på samme vidensniveau. Så et eksempel er, igen, du kunne have nogen, der er formand for det revisionsudvalg, som er meget, meget teknisk eller meget, meget overholdelsesdrevet. Og hun eller han ved måske alt om bestyrelser...revision og alle rammerne. Og det er fantastisk. Og så på den anden side, har du måske nogen, der er mere finansbaseret eller mere revisionsbaseret. Og så er spørgsmålet, hvordan du arbejder på at højne alles kompetencer?

Og der er mange forskellige måder at gøre det på. Det er to ting. Man sætter sig ned med dem en-til-en og giver derefter et højt niveau af samtale om, det er det, vi gør. Dette er hele vores sikkerhedsprogram. Sådan fungerer det. Sådan så 2020 ud. Sådan ser 2021 ud...så at få alle på samme niveau og opbygge det forhold er meget, meget vigtigt.

Og vi ser hele tiden, at hvorved vores bestyrelsesmedlemmer vil række ud mod os, eller vi vil nå ud til dem i deling af data, eller de får en idé, som vi ikke har tænkt over, og vi vil sige: 'Nå, det er en rigtig god idé. Lad os indarbejde det i vores program.' Så det synes jeg er meget nyttigt. Og så er den anden del, det handler om at fortælle en historie. Altså en historie og en fortælling. Så hvis du åbner en bog, og du starter på sikkerhedssiden, og du starter ved det sidste kapitel, ja, det er ikke særlig overbevisende. Det er ligesom, hvem er Jane? Hvem er Judy? Hvem er Tim? Hvem er Tony? Giver ingen som helst mening.

Og ofte er det, hvad der sker i cybersikkerhedsrapporter, at bestyrelsen kigger på... og her er hun eller ham, der præsenterer som en CISO, og de præsenterer et sæt data og målinger, som de ikke forstår, og derfor, det kan de ikke gøre noget ved. Så vi bruger meget tid, vores første bestyrelse, på at starte med et grundlæggende sæt principper, og derefter hver bestyrelse derefter, hver tredje måned eller deromkring, går vi i flere detaljer gradvist, efterhånden som vi vokser, og som vi bygger at cybersikkerhedsdækket, får de også bedre at forstå og forbedre deres forståelse. Og så fra deres side, med det niveau af forståelse, kan de meget nemt hoppe ind og sige: 'Åh, forresten, her er et område, jeg synes, du skal fokusere på.'

Og i vores bestyrelse har vi selvfølgelig nogle VC-firmaer, som er meget tekniske, og de vil have en vinkling, som de vil have os til at fokusere på. Jeg vil gerne sige: 'Ja, lad os indarbejde det som en del af vores program.' Så jeg tror, ​​jeg ville se det her som bestyrelseskommunikation som en meget frem og tilbage kommunikation. Det skal ikke ske en gang i kvartalet. Det skal ikke ske på daglig basis, men det skal helt sikkert ske i hele kvartalet, hvor et bestyrelsesmedlem har en idé, og så kan du indarbejde det som en del af din bedste praksis.

Nu ønsker man samtidig, at personalet i den virksomhed skal være i stand til operationelt at drive deres sikkerhedsteam. Men bestemt, den indsigt, nogle bestyrelsesmedlemmer kan give, er i nogle tilfælde enormt, fordi de har været i den branche i adskillige forskellige år. Og som en del af den model ville de typisk have set, hvad andre individer aldrig har set før. Plus, jeg tror, ​​hvad der er mest gavnligt derfra, inden for cybersikkerhed, cybersikkerhed, igen, det er et forretningsproblem, og det er en forretningsproces. Så de fleste af disse bestyrelsesmedlemmer er exceptionelle til at løse forretningspraksis. Måske ikke cybersikkerhed, men de kan tage et cybersikkerhedsspørgsmål, og de kan relatere det til en anden virksomheds bedste praksis og så udnytte den i cybersikkerhed.

Og helt ærligt, så tror jeg, at det er den bedste værdi en bestyrelse kan give. Mange gange kan CISO og sikkerhedsteamet muligvis ikke se skoven fra træerne, fordi de er så involveret i det. For bestyrelsesmedlemmerne er det en fantastisk form for prisme, hvorved de kan se på det udefra og ind, og de kan give indsigt baseret på: 'Nå, vent lidt, den måde, du løser dette problem på baseret på cybersikkerhed ved at laver en konsulentmodel, som ikke virker eller som ikke skalerer. I stedet bør du lave en en-til-mange-model, dvs. løse problemet én gang, og så deles det mellem alle dine bestanddele, det samme som cloud gør, software as a service gør.' Så det forretningsmæssige, forretningsmæssige perspektiv, tror jeg er noget, jeg virkelig nyder at arbejde med en bestyrelse med, dele nogle ideer og så samarbejde frem og tilbage. For igen synes jeg, at deres forretningssans er uovertruffen. Og hvis du blot kan placere cybersikkerhed som værende et forretningsproblem, så kan du virkelig hurtigt bygge en meget stærk stigning i et samarbejdsmiljø.

Laurel : Så apropos din egen opkvalificering eller opkvalificering, hvornår erkendte du først, at angrebsoverfladestyring var en separat ny disciplin, som du havde brug for at blive virkelig fortrolig med, uddanne din bestyrelse om og derefter hjælpe med at bemande den og planlægge den?

Niall : Godt spørgsmål. Jeg tror, ​​at hvis jeg ser på ASM, eller attack surface management, er det nok et af de områder, som CISO'er fokuserer mindst på og alligevel er det vigtigste. Og grunden til det er, at hvis du ser på en hvilken som helst hacker, hvis en hacker ønsker at kompromittere dit miljø, er den første ting, de vil gøre, først at lære dit miljø at kende. Så et eksempel er, hvis du har en indbrudstyv, når først de bryder ind i et boligområde, vil hun eller han ofte vandre rundt i boligområdet, tage et kig på, hvilke huse der har skraldespandene ude, hvilke der har stueetagen vinduer der er åbne, hvilke har ingen lys på forsiden af ​​huset, hvilken har hunden gøende?

Så du vandrer forbi. Det eneste, du gør, er en recon. En hurtig gåtur forbi 20 huse i et boligområde. Du vælger de to ud. Nu har du to mål. Så kommer du tilbage senere på natten, eller du kommer tilbage i morgen aften, og så bryder du ind i de to. Færdig. Og igen, du ser på den måde, forskellige industrier gør det på. Det er fascinerende, for hvis du ser på én branche, dvs. fysisk sikkerhed, og så anvender cybersikkerhed, eller du anvender det på bestyrelsen, er der ofte en enorm mængde ligheder. Og det samme med cybersikkerhed er, at hvis en virksomhed ønsker at kompromittere dit miljø, er der to måder, det generelt vil ske. Den ene er, at de generelt laver en netværksscanning, og de ser på din virksomhed, og de finder, at du har en svag sikkerhed. Og så vender de hovedet tilbage, og de siger: 'Åh, interessant, en bagdør er åben. Jeg har tænkt mig at fokusere på denne virksomhed.'

Eller også to, det samme, de laver en recon, men de ved allerede, hvem du er. Og i dette tilfælde vil de gerne lære så meget som muligt, så de kan kompromittere dig dybt i dit netværk. Så før du hacker miljøet, er recon-komponenten den mest kritiske del. Ellers er du en tyr i en porcelænsbutik. Du skynder dig ind, du slår sensorer af, højre, venstre og center. Du burde ikke gå ind af hoveddøren, du burde gå ind bagdøren. Så recon-komponenten af ​​det er kritisk, kritisk, kritisk.

Nu, hvis du spørger de fleste CISO'er, hvornår var sidste gang, de genoptog deres eget firma, vil langt de fleste sige: 'Jeg aner overhovedet ikke.' Så de kan sige, 'Nå, vi bruger en sikkerhedsscanner.' Men hvis du ser på en sikkerhedsscanner, hvad du gør er, at du går til sikkerhedsscanneren, du har indsat et sæt kendte IP-adresser, som du kender til, og du scanner mod disse IP-adresser. Men hvis man ser på det, er det toppen af ​​isbjerget, for hvordan ser den nye industrimodel ud? Det er flydende. De dage, hvor cybersikkerhed ville stå op ad en brandmur, og den ville ikke tillade trafik gennem firewallen, er forbi.

Nu er alt ekstremt dynamisk. Alt er internetvendt. Så nu har du Kubernetes, du har fået folk til at spinde titusindvis af containere op med deres egne eksterne IP-adresser. De er alle tilgængelige fra internettet. Du har udvikleren til at gøre det, scenen gør det. Du har alle de forskellige miljøer på vej. Og nu ændres din angrebsflade hvert eneste minut af hver eneste dag. Noget af det er, fordi det er ægte. Du tillader en IP-adresse, der er derude, fordi der er en legitim forretningsgrund, men ofte vil det ske, at folk vil skrue op for miljøet, og pludselig bliver det udsat for internettet.

Kender sikkerhedsteamet til det? Ligesom nej, og CISO har ingen idé om det. Så evnen, hvorved du lærer at kende, du kommer til at rekonstruere dit miljø eller ASM, eller angrebsoverfladestyring, er helt afgørende. For hvis du ikke ved det, kan du ikke beskytte det. Og så er problemet, du kan spinne en IP-adresse op i GCP eller AWS eller Alibaba. Det kunne være på stedet, alle arbejder nu hjemmefra. Så min bærbare computer kunne blive afsløret fra internettet. Og hvis du ser på det, hvad der altid sker i stort set hvert eneste angreb, godt for det meste fra hostingen, starter det udefra og arbejder sig ind. Så du skal virkelig kende din angrebsflade. Du skal scanne det hver eneste dag. Du skal være i stand til at tilskrive, hvad der er de IP-adresser og enheder, der er eksponeret.

Et simpelt eksempel er, at hvis du ser på det sidste antal brud, der er sket, er det simple ting. De fleste gange er det en klynge, der blev eksponeret fra internettet, eller nogen tillod som en transportadministrationsskal som SSH eller RDP fra internettet, eller nogen fik en Kubernetes-klynge og eksponerede den fra internettet. I hvert af disse tilfælde er det kun mennesker, der laver tilfældige fejl. Men ofte kan disse IP-adresser blive eksponeret for internettet i minutter, i dagevis, i årevis, og sikkerheden får aldrig at vide om det eller beskytter mod det. Men samtidig ved hackeren, at fordi de udfører deres arbejde, laver de recon kontinuerligt. Og det er der, jeg ser, at dette problem, der har eksisteret i årevis, hvordan ved jeg, hvad der er udsat for internettet? nu bliver det defineret. Det er angrebsoverfladestyring. Hvad er mit udefrakommende syn?

Så for første gang nogensinde er cybersikkerhed begyndt at...de vidste, at der var et problem i evigheder, men de var ikke i stand til at formulere, hvad problemet var, ligegyldigt hvad løsningen var. Og nu ser jeg den slags skift, at folk i hvert fald i det sidste år eller to sagde: 'Dette er ikke et problem, hvorved jeg kan se på det og sige, ja, det er et problem.' Nu er du nødt til at skifte fra denne problemidolisering til, 'Hej, vi er nødt til at løse det her.' For det er sådan, hackerne kommer ind. Og nu ser jeg folk sige: 'Lad os begynde at ordne det her.' Og jeg tror fremadrettet, at du vil have angrebsoverfladestyring til at være en af ​​de mest kritiske komponenter i enhver CISO og deres organisation. Hvis ikke, så bliver de ejet. De vil blive kompromitteret, og det vil have en ødelæggende indvirkning på deres forretning.

Laurel : Så når vi taler om det, og hvordan bestyrelsen forstår angrebsoverfladestyring, så vil de fleste it-medarbejdere tage vejen til, som du sagde, lethed og hensigtsmæssighed. De opretter Kubernetes og servere og cloud-instanser, og hvad det nu måtte være, fordi de bare skal have arbejdet gjort. Hvorfor er det, når du har en global virksomhed, sådan et problem med, eller jeg skulle sige, en mulighed for at løse, når du går igennem andre forretningsmæssige behov, som en fusion og opkøb, hvor du måske har to virksomheder, der går sammen, og du tænker du ved, hvor alle serverne er, men faktisk vokser en virksomhed og ændrer sig hver eneste dag. Og det er måske ikke den sidste optælling, den sidste pålidelige optælling. Hvorfor er det en bekymring for CISO'er og bestyrelsen?

Niall : Så jeg tænker på dette som to måder. Den ene er, kend angrebsfladen på din egen virksomhed. Og så, to, for enhver af dine erhvervelser, før du erhverver dem, skal du også vide, hvad deres angrebsflade er. Så hvis du spørger 99% af CISO'er, 'fortæl mig om min angrebsoverflade.' De vil ikke have data til at gøre det. Så giv dig et eksempel, i Palo Alto Networks bruger vi Xpanse. Og den måde, det fungerer på, er, at der er fire hovedfaser, jeg tænker på i angrebsoverfladestyring. Og det gælder, når du køber en virksomhed, eller du har integreret dig i din organisation inden for de sidste 10 år.

Og den første del er, er kontinuerlig opdagelse. Så du skal have evnen – og det er derfor vi bruger Xpanse – til kontinuerligt at scanne 24 gange 7 gange 365, hver eneste IP-adresse på internettet for at finde ud af hvilke IP-adresser, hvilke porte der er åbne. Så først og fremmest skal du kende alle IP-adresser og porte på internettet. Problemet dér, det er fint, men det vil ikke rigtig give dig meget. Så hvad er forskellen mellem IP-adressen i Palo Alto Networks og IP-adressen på Acme, især når den ændres hvert eneste minut? Fordi alt er dynamisk, ændrer alt sig løbende på internettet.

Så den anden del for os er egentlig tilskrivningen. Så alt er scannet. Vi laver tilskrivning. Så vi begynder at se på hver eneste IP-adresse, hver eneste tjeneste, hver enkelt bruger på internettet for at se på disse brugere selv, er de Palo Alto Networks-brugere eller Palo Alto Networks-enheder eller netværk? Meget kritisk, fordi det, vi til enhver tid kan se, hvis nogen tilslutter en bærbar computer i London, er vi i stand til at få tilskrevet, at det er en af ​​vores enheder og netværk. Og hvis netværket og enheden åbner RDP, en ekstern shell fra internettet, så er det et problem. Eller hvis nogen opretter et netværk, som vi ikke aner, hvad det er, og det har (personligt identificerbare oplysninger) PII eller sundhedsdata, ville det være ødelæggende for os for vores virksomhed. Så vi bruger meget tid på at bruge værktøjerne, såsom Xpanse, til tilskrivningskomponenten der.

Tredje komponent ser vi på, nu kender du IP-adresserne og tjenesterne, og du ved, hvilke der er Palo Alto Networks. Dernæst, efter det, er der forskellige risikoniveauer. Hvis nogen åbner noget fra internettet, der er en webserver, og den kommunikerer ved hjælp af kryptering ved hjælp af SSL, og det er godt lappet, så er risikoen for det meste i det tilfælde sandsynligvis en ud af 10. Men hvis du har fik en anden IP-adresse, der blev spundet op, og den tillader et internt ingeniørværktøj, der ved et uheld blev udsat for internettet, som har adgang til dine cloud-miljøer, og det er ikke lappet. Og det er det ofte ikke. For når man ser på værktøjer, der ved et uheld bliver eksponeret, bliver de ikke administreret, for hvis de blev administreret i første omgang, ville de ikke blive udsat for internettet.

Så for os er modellen virkelig, hvad er risikoniveauet for hver enkelt IP-adresse og hver enkelt tjeneste? Og så kan vi fokusere på dem, som de er otte eller ni ud af 10. På daglig basis eller på timebasis kan vi ordne dem. Men ofte igen, er det et tilfælde af, at hvis de bliver udsat for internettet, bliver de afsløret, de er ikke lappet, de bliver ikke styret. De er ved et uheld afsløret.

Og så den sidste, vi fokuserer på, problemet er nu, her er et problem med skalaen. Du taler ikke om tre IP-adresser eller fire IP-adresser. Du taler måske om 40.000 IP-adresser, 400.000 IP-adresser. Og så pludselig i morgen er det 500.000. Så går det ned på 350.009 IP-adresser. Så på grund af problemets omfang, og fordi flere og flere ting over tid vil være internetvendt, er den eneste måde at løse dette på gennem automatisering. Der er ingen tvivl om, at spørgsmålet om, at der genereres en advarsel, og at nogen fra sikkerhedsoperationscentret (SOC) hopper ind, ser på den IP-adresse, ser på tjenesten, bare ikke virker.

Så det, der skal ske, er, at alt skal automatiseres. Alt fra scanningsperspektivet til tilskrivningskomponenterne, hvad er risikoen for den IP-adresse? Så nu, i stedet for at du har 500.000 IP-adresser, og nu fokuserer du på tre IP-adresser, der pludselig dukkede op der, er den ene som en SSA-server. En kunne være som en telnet-server, en anden kunne være et ingeniørværktøj. Og så, fra automatiseringslaget, vil du indbygge automatisering i tjenesten, hvorved den pågældende tjeneste automatisk afhjælpes, uanset om den er patchet, eller om den er taget offline.

Og hvis man ser på hele den kæde, er det det omvendte af, hvad hackeren gør. Hackeren er, de laver recon, og så bryder de ind på den server for at kompromittere dit miljø. Du starter den samme position som de er, hvor du burde være. Du bør starte med din angrebsflade, din recon. Og efter det, så ser du på din risiko. Du ser på patchen, du kigger på at tage den offline. Du ser på automatisering. Så jeg er overbevist om, at hvis man ser på, med driften mod skyen, folk, der arbejder hjemmefra, har dette begreb om perimeter været væk i 10 år. Det har været væk i 10 år. Men cybersikkerhed har hængt på det og sagt: 'Nå, der er stadig en perimeter.' Det er der ikke.

Så nu ser de hver eneste enhed, der er på internettet. Det er dens egen omkreds. Enheden, netværket, hvad det ellers er. Og virkelig, jeg tror, ​​at en af ​​de helt sikkert drivende faktorer, hvis alt er på internettet, hvis alt er online, hvis alt altid kommunikerer, hvis alt ændrer sig dynamisk, skal du have et cybersikkerhedsprogram, der har evnen til at vide , fortæl mig hver enkelt enhed, der er på netværket, på internettet, hvad er dens risikoniveau? Og for dem, der rammer et bestemt risikoniveau, skal du enten tage det offline og anvende kontroller. Og forresten, du skal gøre det 24 gange 7 gange 365, ingen mennesker involveret. Du er nødt til at gøre det på grund af problemets omfang. Hvis du har en person, der er involveret som en del af den proces, så vil du fejle. Du kommer til at fejle. Derfor bruger vi værktøjer som Xpanse til at finde og derefter løse disse problemer.

Laurel : Ja. Teknologi er skalerbar, men mennesker er ikke. Ret?

Niall : Nemlig.

Laurel : Nå, Niall, jeg sætter pris på denne samtale i dag. Det har været helt fascinerende, og det har givet os så meget at tænke på. Så tak for at være med i dag på Business Lab.

Niall : Mange tak for invitationen. Jeg nød virkelig samtalen.

Laurel : Det var Niall Browne, informationssikkerhedschefen hos Palo Alto Networks, som jeg talte med fra Cambridge, Massachusetts, hjemsted for MIT og MIT Technology Review, med udsigt over Charles River.

Det var det for denne episode af Business Lab. Jeg er din vært, Laurel Ruma. Jeg er direktør for Insights, den tilpassede udgivelsesafdeling af MIT Technology Review. Vi blev grundlagt i 1899 på Massachusetts Institute of Technology. Og du kan finde os på tryk, på nettet og ved snesevis af begivenheder hvert år rundt om i verden.

For mere information om os og showet, tjek venligst vores hjemmeside på technologyreview.com.

Showet er tilgængeligt overalt, hvor du får dine podcasts.

Hvis du kunne lide denne episode, håber vi, at du vil bruge et øjeblik på at bedømme og anmelde os.

Business Lab er en produktion af MIT Technology Review.

Denne episode blev produceret af Collective Next.

Tak for at lytte.

Denne podcast-episode blev produceret af Insights, den tilpassede indholdsarm af MIT Technology Review. Den blev ikke produceret af MIT Technology Reviews redaktion.

skjule