211service.com
Vi tænker på cybersikkerhed helt forkert
Michael Daniel har et unikt perspektiv på nutidens kaotiske verden af cybersikkerhed. Frisk fra en fire-årig periode som præsident Obamas bedste cyberrådgiver, er Daniel nu præsident for Cybertrusselalliance , et nonprofithold af cybersikkerhedsvirksomheder, der bygger en platform til at dele information om almindelige trusler. MIT Technology Review fanget Daniel ved Black Hat computersikkerhedskonferencen i Las Vegas i sidste uge. Det følgende er en redigeret udskrift af diskussionen.
Du har set cybersikkerhedsudfordringen fra både regeringens og nu den private sektors perspektiv. Hvordan vil du beskrive det øjeblik, vi er i lige nu?
Der, hvor vi er lige nu, er, at flere og flere lande begynder at inkorporere cyberkapaciteter i deres statslige værktøjer. Vi er nødt til at erkende, at det vil blive et statshåndværksværktøj, ikke kun for USA og de avancerede spillere som Rusland, Kina, Israel og Storbritannien, men for næsten alle. Derfor skal vi begynde at tænke igennem, hvordan vi opstiller adfærdsnormer og færdselsregler, så dette ikke er destabiliserende.
Kriminelle såvel som nationalstater bliver mere sofistikerede i deres cyberoperationer. Hvilken rolle kan Cyber Threat Alliance spille i forhold til dette?
På sit bredeste niveau er CTA en informationsdelings- og analyseorganisation, der er fokuseret på leverandøren og cybersikkerhedsudbydernes fællesskab. Der er ikke rigtig en anden organisation, der udfører denne form for arbejde. Grundlæggende handler CTA om at gøre to ting. For det første, kan vi ændre, hvordan konkurrence opstår i cybersikkerhedsindustrien for at gøre det mere gavnligt for helheden? I stedet for at fortsætte med at konkurrere på, at min utilstrækkelige pulje af data er større end din utilstrækkelige pulje af data, skal vi have delt vores datapuljer, og konkurrencen bør være på, at jeg gør bedre ting med dataene – jeg er hurtigere, eller Jeg integrerer bedre med din virksomhed, eller jeg forstår din forretningsmodel bedre – hvad end det er. Det er et konkurrenceniveau med højere værdi. Alle vil have det bedre.
For det andet kan vi ved at kombinere informationen begynde at kortlægge mere effektive måder at forstyrre de onde, og gøre det på tværs af hele deres forretningsproces. Det her handler ikke om et barn i hans kælder; det er ikke den reelle trussel. Det er organisationer, der kører som virksomheder, og vi skal begynde at tænke på det i forhold til at forstyrre deres forretningsmodeller.
Men vil den tilgang virke, hvis angriberen er en nationalstatsmodstander?
Ja og nej. På et niveau ville ideen om at producere en spillebog fungere lige så godt for en nationalstatsmodstander. Nu er deres motivationer anderledes. De fleste nationalstater er villige til at investere tid og penge på en måde, som en kriminel organisation både ikke vil og ikke kan, så den indvirkning, som du muligvis kan få, kan være anderledes. Men du kan stadig pålægge dem omkostninger og bremse dem.
I sidste ende bliver den private sektor dog nødt til at finde nye måder at samarbejde med regeringen om disse spørgsmål på grund af truslens karakter. Hvordan kan vi innovere på det politiske område for at hjælpe med at muliggøre det?
Jeg kan give dig to eksempler. Vi har erfaret, at hvis du gør dit pensionssystem opt-in, får du generelt omkring 45 til 50 procents takst blandt dine medarbejdere. Hvis du derimod fravælger dit pensionssystem, får du en takstprocent på 95 procent. Der er ingen teknisk forskel mellem de to ting, men fra et processynspunkt giver de dramatisk forskellige resultater. Hvorfor? På grund af dets psykologi. Folk er dovne. Hvis du får dem til at tage en beslutning, vil de finde en grund til ikke at gøre det. Men hvis muligheden er Her er denne gode ting for dig, og alt du skal gøre er bare at gå med på det, vil kun en lille procentdel sige nej. Så hvad svarer cyber til det? Hvordan får vi cybersikkerhed til at fravælge i stedet for opt-in?
På samme måde har vi denne idé om, at cybersikkerhed er ligesom grænsesikkerhed. Det giver ingen mening. Alle i cyberspace rører ved en anden. Der er ingen barriere eller mellemled. Det betyder, at vi skal tænke på cybersikkerhed og forholdet mellem regeringen og den private sektor ved at bruge en helt anden model. Måske skal vi låne nogle modeller. Se for eksempel på, hvordan vi tænker om naturkatastrofer. I en naturkatastrofe starter reaktionen lokalt. Hvis det begynder at overvælde de lokale embedsmænd, træder delstatsregeringen ind. Hvis det går ud over staten, kan de kalde på gensidig hjælp fra andre stater. Hvis det går ud over det, træder FEMA ind fra nationalt plan. Hvad er cyberækvivalenten til det? Hvordan laver vi overdragelsen og beslutter, om noget er den slags ting, som den private sektor kan og bør håndtere på egen hånd, i forhold til noget, der kræver, at føderale myndigheder hjælper? Vi har endnu ikke det politiske sprog til at tale om, hvad det forhold er.