CISO Insider: 1. číslo

COVID-19 vyžadoval, aby se organizace více spoléhaly na flexibilitu pracoviště a urychlily digitální transformaci. Tyto změny přirozeně vyžadovaly i určité změny v taktikách zabezpečení. Perimetr se rozšířil, je stále více hybridní a zahrnuje více cloudů a platforem. Přestože nové technologie jsou pro mnoho organizací přínosem a podporují produktivitu a růst i v náročných dobách, představují tyto změny také příležitost pro kyberzločince, kteří se snaží zneužívat možná ohrožení zabezpečení, která se vyskytují ve stále složitějších digitálních prostředích.

Odborníci na zabezpečení, se kterými mluvím, se nejvíce zabývají nárůstem útoků phishing souvisejících s prací na dálku – a vidíme, že se to odráží i v našem výzkumu. V průzkumu společnosti Microsoft mezi lídry v oblasti zabezpečení provedeném v roce 2020 nám 55 % z nich sdělilo, že jejich organizace zaznamenaly od začátku pandemie nárůst útoků phishing, a 88 % uvedlo, že útoky phishing ovlivnily jejich organizace. Pravidelně také slyším o nárůstu počtu ransomwarových útoků, o tom, že malware zůstává trvalou hrozbou, a o tom, že ohrožení identit je stále velkou výzvou, která trápí týmy zabezpečení.

Navíc víme, že útoky státních aktérů jsou stále agresivnější a vytrvalejší. Útok skupiny NOBELIUM na dodavatelský řetězec využívající platformu SolarWinds, byl jedním z mnoha nových útoků, které se v uplynulém roce dostaly do hlavních zpráv. Přestože se ve zprávách často objevují okázalé nové techniky, ředitelé CISO mi neustále říkají, že i tito pokročilí aktéři hrozeb se stejně jako většina kyberzločinců zaměřují na příležitosti útoků s nízkými náklady a vysokou hodnotou.

Abychom tento bod dále přiblížili, zaznamenali jsme nárůst útočníků ze strany státních aktérů, kteří využívají útoky typu „password spray“. Být lídrem v oblasti zabezpečení znamená spravovat rizika a stanovovat priority. A mnoho lídrů mi říká, že posílení kybernetické hygieny s cílem zabránit nejčastějším útokům, zejména v rámci jejich rostoucího digitálního působení, je jejich hlavní prioritou. Naše data a výzkumy tento názor potvrzují. Odhadujeme, že základní bezpečnostní hygiena stále chrání před 98 % útoků (viz strana 124 ve studii Microsoft Digital Defense Report, October 2021).

Možná si myslíte, že mluvit o základních krocích zabezpečení je snadné, ale realizovat je v praxi je mnohem těžší, zejména když je tým přetížený a nemá dostatek zaměstnanců. Dovolím si však tvrdit, že být lídrem v oblasti zabezpečení znamená spravovat rizika i priority – a proto je zaměření se na základy solidně pragmatický přístup. Příliš často platí, že otázka není, JESTLI k bezpečnostním incidentům dojde, ale KDY se tak stane. Existují stovky alarmujících statistik kybernetické bezpečnosti. Například jen v USA je každý den spácháno přibližně 4 000 kybernetických útoků a denně je napadeno více než 30 000 webů po celém světě.

Domnívám se, že nejlepší obranou je vyvážený přístup a investice do detekce incidentů a reakce na ně spolu s prevencí.

Ačkoli se může zdát obtížné investovat do nových úrovní prevence a zároveň se snažit držet krok s rostoucími požadavky na detekci a reakci, nalezení správné rovnováhy mezi oběma těmito snahami je nezbytné i prospěšné zároveň. Studie od Ponemon Institute a IBM Security z roku 2021 zjistila, že v organizacích, které nemají tým pro reakci na incidenty nebo vytvořený plán, vzrostly průměrné náklady na úniky dat o 55 %. Týmy zabezpečení, které dokážou vyvážit solidní prevenci se strategií zahrnující reakci na incidenty a investice do nástrojů pro detekci a nápravu, budou v dobré pozici pro to, aby dokázaly zvládat nevyhnutelné události.

Všichni jsme slyšeli o velké vlně odchodů. Více než 40 % celosvětové pracovní síly zvažuje v letošním roce odchod od svého zaměstnavatele – a lídři v oblasti zabezpečení a jejich týmy už nyní pociťují nedostatek zaměstnanců. Často mluvím s řediteli CISO o tom, jak se jim celkově daří, a jednou z jejich hlavních obav je dostupnost, nacházení a udržení špičkových talentů. A pokud takový špičkový talent odejde, musí najít nové špičkové talenty nebo zvýšit kvalifikaci těch, kteří zůstali. Efektivnější, integrovaná a automatizovaná technologie může pomoct, ale to zdaleka nestačí.

Modní výrazy z oblasti zabezpečení se staly součástí každodenní slovní zásoby, protože kybernetické útoky se pravidelně objevují ve zprávách – a tyto útoky (a zprávy o nich) můžou mít na určitou společnost velký dopad. Ale víte co? Nejsou to jen špatné zprávy. Vzhledem k tomu, že se kybernetická bezpečnost stala známým tématem ve všech oblastech organizace, slyšíme, že koncept „zabezpečení dělají všichni“ začíná rezonovat napříč organizacemi. Zejména v souvislosti s novými hybridními pracovními modely a posouváním perimetrů zabezpečení nejrůznějšími novými cestami se lídři v oblasti zabezpečení stále více spoléhají na inovativní způsoby, jak zajistit bezpečnost všech, i když se potýkají s nedostatkem talentů a dovedností. To, o co se snaží inovativní lídři v oblasti zabezpečení v dnešní době není „docílit většího efektu s menšími prostředky“ ale spíš „docílit většího efektu jinými prostředky“.

Ačkoli nedostatek talentů a dovedností rozhodně není pozitivní zprávou, je tu malý paprsek světla – vytváření kultury zabezpečení se stává realitou. Mnoho ředitelů CISO nám říká, že jedním z nejefektivnějších způsobů, jak řešit problémy se zabezpečením v době, kdy musíte řešit výzvy týkající se stavu a dostupnosti zaměstnanců, je vybudovat kulturu zabezpečení, kde zabezpečení je úkolem pro každého. Ředitelé CISO stále častěji prosazují tuto myšlenku, že odpovědnost za zabezpečení může převzít celá organizace, zejména když se potýkají s nedostatkem zaměstnanců nebo problémy s financováním.

Vývojové týmy, správci systému a koncoví uživatelé musí rozumět zásadám zabezpečení, které se jich týkají. Sdílení informací je zásadní a týmy zabezpečení stále častěji hledají nové způsoby, jak spolupracovat s vývojáři, správci a vlastníky firemních procesů, aby porozuměli rizikům a vytvořili zásady a postupy prospěšné pro celou organizaci.

Nedostatek talentů a dovedností (zejména v neustále se měnící profesi kybernetické bezpečnosti) nutí ředitele CISO hledat nové a inovativní způsoby, jak si udržet náskok. Jednou ze strategií, o které neustále slyšíme, je rozvíjející se využívání zaměstnanců mimo tým zabezpečení v roli zástupců. Ředitelé CISO se snaží využít celou organizaci a zaměřují se při tom zejména na školení koncových uživatelů, aby se stali součástí řešení, a na budování podpory ze strany sousedních týmů.

Zvyšování a prohlubování znalostí koncových uživatelů o bezpečnostních hrozbách, aby například rozuměli útokům phishing a příznakům nenápadných útoků, má velký význam, protože to „zvyšuje počet očí a uší“ týmu zabezpečení, zejména v rámci strategie „tip of the spear“, kdy jsou koncoví uživatelé často vstupním bodem útoku. Netvrdím, že koncové uživatele lze zázračně vyškolit tak, aby zachytili vše, ale připravení a ostražití uživatelé můžou výrazně snížit zátěž týmů zabezpečení.

Další strategií je využití IT v roli zástupců jako součást zabezpečení. Úzké propojení IT týmu s týmem zabezpečení a zajištění informovanosti IT oddělení o strategiích zabezpečení pomáhá mnoha lídrům v oblasti zabezpečení rozšířit jejich poslání do všech oblastí organizace.

Poskytování poradenství a pomoci v oblasti automatizace a dalších proaktivních strategií správy pracovních postupů a úkolů je základním způsobem, jak ředitelé CISO rozšiřují své týmy a využívají IT k zajištění solidního stavu zabezpečení.

Všechny citované výzkumy společnosti Microsoft využívají nezávislé výzkumné firmy, které kontaktují odborníky na zabezpečení pro kvantitativní i kvalitativní studie, čímž je zajištěna ochrana soukromí a analytická preciznost. Pokud není uvedeno jinak, jsou citace a zjištění v tomto dokumentu výsledkem výzkumných studií společnosti Microsoft.