CISO Insider: Τεύχος 1

Λόγω της COVID-19 οι οργανισμοί χρειάστηκε να αυξήσουν την ανθεκτικότητα με ευελιξία του χώρου εργασίας και να επιταχύνουν τον ψηφιακό μετασχηματισμό—και αυτές οι αλλαγές απαίτησαν φυσικά ορισμένες αλλαγές και στις τακτικές ασφάλειας. Η περίμετρος έχει επεκταθεί και είναι όλο και πιο υβριδική, καθώς εκτείνεται σε πολλά cloud και πλατφόρμες. Παρόλο που οι νέες τεχνολογίες είναι ένα όφελος για πολλούς οργανισμούς, επιτρέποντας την παραγωγικότητα και την ανάπτυξη ακόμη και σε δύσκολους καιρούς, οι αλλαγές έχουν επίσης παρουσιάσει μια ευκαιρία στους εγκληματίες του κυβερνοχώρου, οι οποίοι προσπαθούν να εκμεταλλευτούν τις ευπάθειες που βρίσκονται σε όλο και πιο περίπλοκα ψηφιακά περιβάλλοντα.

Η άνοδος των επιθέσεων ηλεκτρονικού ψαρέματος που σχετίζονται με την απομακρυσμένη εργασία είναι στο επίκεντρο των επαγγελματιών ασφάλειας με τους οποίους συνομιλώ - και το βλέπουμε αυτό να αντικατοπτρίζεται και στην έρευνά μας. Σε μια έρευνα της Microsoft με τους ηγέτες ασφαλείας που διεξήχθη το 2020, το 55 τοις εκατό μας είπε ότι οι οργανισμοί τους είχαν εντοπίσει αύξηση των επιθέσεων ηλεκτρονικού "ψαρέματος" από την αρχή της πανδημίας και το 88 τοις εκατό είπε ότι οι επιθέσεις ηλεκτρονικού "ψαρέματος" είχαν επηρεάσει τους οργανισμούς τους. Ακούω επίσης τακτικά για επιθέσεις ransomware, για το πώς το κακόβουλο λογισμικό παραμένει σταθερή απειλή και πώς η παραβίαση ταυτότητας εξακολουθεί να είναι μια σημαντική πρόκληση που μαστίζει τις ομάδες ασφαλείας.

Επιπλέον, γνωρίζουμε ότι οι επιθέσεις σε εθνικό επίπεδο είναι όλο και πιο επιθετικές και επίμονες. Η επίθεση εφοδιαστικής αλυσίδας NOBELIUM, αξιοποιώντας την πλατφόρμα SolarWinds, ήταν μια από τις πολλές νέες επιθέσεις που έγιναν πρωτοσέλιδα τον τελευταίο χρόνο. Ενώ οι εντυπωσιακές νέες τεχνικές είναι αυτές που συχνά καταγράφονται από τις ειδήσεις, οι CISO μου λένε με συνέπεια ότι ακόμη και αυτοί οι προηγμένοι παράγοντες απειλής, όπως οι περισσότεροι κυβερνοεγκληματίες, τείνουν να εστιάζουν σε χαμηλού κόστους και υψηλής αξίας επιθέσεις ευκαιρίας.

Για να επεξηγήσουμε περαιτέρω αυτό το σημείο, έχουμε δει μια αύξηση στους εισβολείς εθνικών κρατών που χρησιμοποιούν επιθέσεις τύπου password spray.. Το να είσαι ηγέτης ασφάλειας έχει να κάνει με τη διαχείριση του κινδύνου και την ιεράρχηση, και πολλοί ηγέτες μού λένε ότι η ενίσχυση της υγιεινής τους στον κυβερνοχώρο για την πρόληψη των πιο συνήθων γραμμών επίθεσης, ειδικά σε όλο το αυξανόμενο ψηφιακό τους αποτύπωμα, είναι η κορυφαία προτεραιότητά τους. Τα δεδομένα και η έρευνά μας υποστηρίζουν αυτό το συναίσθημα—εκτιμούμε ότι η βασική υγιεινή ασφαλείας εξακολουθεί να προστατεύει από το 98 τοις εκατό των επιθέσεων (βλ. σελίδα 124 στην Αναφορά ψηφιακής ασφάλειας της Microsoft, Οκτώβριος 2021).

Μπορεί να νομίζετε ότι είναι εύκολο να μιλήσετε για θεμελιώδη βήματα ασφαλείας, αλλά πολύ πιο δύσκολο να τα εφαρμόσετε στην πραγματική ζωή, ειδικά όταν μια ομάδα είναι υπερφορτωμένη και υποστελεχωμένη. Αλλά θα υποστήριζα ότι το να είσαι ηγέτης ασφάλειας έχει να κάνει με τη διαχείριση τόσο του κινδύνου όσο και την ιεράρχηση προτεραιοτήτων – και αυτό κάνει την εστίαση στα θεμελιώδη στοιχεία μια σταθερά ρεαλιστική προσέγγιση. Πολύ συχνά, τα συμβάντα ασφαλείας δεν είναι θέμα του ΑΝ αλλά του ΠΟΤΕ. Υπάρχουν εκατοντάδες ανησυχητικά στατιστικά στοιχεία για την ασφάλεια από απειλές στον κυβερνοχώρο, όπως οι περίπου 4.000 επιθέσεις κυβερνοεγκλήματος που διαπράττονται καθημερινά μόνο στις ΗΠΑ και οι περισσότερες από 30.000 τοποθεσίες web σε όλο τον κόσμο που παραβιάζονται καθημερινά.

Πιστεύω ότι η καλύτερη γραμμή άμυνας είναι η υιοθέτηση μιας ισορροπημένης προσέγγισης και η επένδυση στον εντοπισμό και την αντιμετώπιση περιστατικών παράλληλα με την πρόληψη.

Αν και μπορεί να φαίνεται δύσκολο να επενδύσει κανείς σε νέα επίπεδα πρόληψης, ενώ παράλληλα προσπαθεί να συμβαδίσει με τις αυξανόμενες απαιτήσεις για εντοπισμό και απόκριση, η εύρεση της σωστής ισορροπίας μεταξύ των δύο προσπαθειών είναι τόσο σημαντική όσο και επωφελής. Μια μελέτη του 2021 του Ponemon Institute και της IBM Security διαπίστωσε ότι οι οργανισμοί χωρίς ομάδα αντιμετώπισης περιστατικών ή σχέδιο είδαν το μέσο κόστος των παραβιάσεων δεδομένων να αυξάνεται κατά 55%. Οι ομάδες ασφαλείας που μπορούν να εξισορροπήσουν τη σταθερή πρόληψη με μια στρατηγική που περιλαμβάνει αντιμετώπιση περιστατικών και επενδύσεις σε εργαλεία εντοπισμού και αποκατάστασης θα είναι σε θέση να αντιμετωπίσουν το αναπόφευκτο.

Όλοι έχουμε ακούσει για τη μεγάλη παραίτηση. Πάνω από το 40 τοις εκατό του παγκόσμιου εργατικού δυναμικού σκέφτεται να εγκαταλείψει τον εργοδότη του φέτος-και οι ηγέτες ασφάλειας και οι ομάδες τους αισθάνονται ήδη την έλλειψη προσωπικού. Συχνά μιλώ με τους CISO για το πώς πάνε τα πράγματα συνολικά και η οικονομική δυνατότητα, η εύρεση και η διατήρηση κορυφαίων ταλέντων είναι ένα από τα κύρια μέλημά τους. Και αν τα κορυφαία ταλέντα φύγουν, τότε είτε θα βρουν νέα κορυφαία ταλέντα είτε θα αναβαθμίσουν τις δεξιότητες αυτών που απομένουν. Η πιο αποτελεσματική, ολοκληρωμένη και αυτοματοποιημένη τεχνολογία μπορεί να βοηθήσει, αλλά δεν είναι σχεδόν αρκετή.

Τα τσιτάτα ασφαλείας έχουν γίνει μέρος της καθημερινής γλώσσας καθώς οι επιθέσεις στον κυβερνοχώρο εμφανίζονται τακτικά στις ειδήσεις — και αυτές οι επιθέσεις (και τα νέα σχετικά με αυτές) μπορούν να επηρεάσουν βαθιά μια εταιρεία. Αλλά, μαντέψτε! Αυτές δεν είναι απαραίτητες κακές ειδήσεις. Δεδομένου ότι η ασφάλεια από απειλές στον κυβερνοχώρο έχει γίνει ένα οικείο θέμα σε όλους τους τομείς ενός οργανισμού, ακούμε ότι η έννοια της φράσης «η ασφάλεια είναι δουλειά όλων μας» αρχίζει να έχει απήχηση σε όλους τους οργανισμούς. Ειδικά με τα νέα υβριδικά μοντέλα εργασίας και τις περιμέτρους ασφαλείας που προωθούνται με κάθε είδους νέους τρόπους—οι ηγέτες ασφάλειας βασίζονται όλο και περισσότερο σε καινοτόμους τρόπους για να κρατούν τους πάντες ασφαλείς, ακόμη και όταν αντιμετωπίζουν κενά ταλέντων και δεξιοτήτων. Δεν «κάνουμε περισσότερα με λιγότερα», αλλά «κάνουμε περισσότερα με διαφορετικούς τρόπους» είναι αυτό με το οποίο ασχολούνται σήμερα οι καινοτόμοι ηγέτες ασφάλειας.

Ενώ οι ελλείψεις ταλέντων και δεξιοτήτων σίγουρα δεν είναι θετικές, υπάρχει μια μικροσκοπική ακτίνα φωτός εδώ - η δημιουργία μιας κουλτούρας ασφάλειας γίνεται πραγματικότητα. Πολλοί CISO μάς λένε ότι ένας από τους πιο αποτελεσματικούς τρόπους αντιμετώπισης των προκλήσεων ασφάλειας εν μέσω προκλήσεων προσωπικού είναι να οικοδομήσουμε μια κουλτούρα ασφάλειας όπου η ασφάλεια είναι δουλειά όλων. Οι CISO υποστηρίζουν όλο και περισσότερο αυτή την ιδέα ότι ολόκληρος ο οργανισμός μπορεί να αναλάβει την ευθύνη της ασφάλειας, ειδικά καθώς αντιμετωπίζουν ελλείψεις προσωπικού ή προκλήσεις χρηματοδότησης.

Οι ομάδες ανάπτυξης, οι διαχειριστές συστήματος και, ναι, οι τελικοί χρήστες, πρέπει να κατανοούν τις πολιτικές ασφαλείας που σχετίζονται με αυτούς. Η κοινοποίηση πληροφοριών είναι θεμελιώδης και οι ομάδες ασφαλείας βρίσκουν ολοένα και περισσότερο νέους τρόπους για να συνεργαστούν με προγραμματιστές, διαχειριστές και ιδιοκτήτες επιχειρηματικών διαδικασιών για την κατανόηση των κινδύνων και την ανάπτυξη πολιτικών και διαδικασιών που ωφελούν ολόκληρο τον οργανισμό.

Οι ελλείψεις ταλέντων και τα κενά στις δεξιότητες (ειδικά στο διαρκώς μεταβαλλόμενο επάγγελμα της ασφάλειας από απειλές στον κυβερνοχώρο) αναγκάζουν τους CISO να αναζητούν νέους και καινοτόμους τρόπους για να παραμείνουν μπροστά. Μια στρατηγική για την οποία συνεχίζουμε να ακούμε είναι η εξελισσόμενη «αναπλήρωση» υπαλλήλων εκτός της ομάδας ασφαλείας. Οι CISO επιδιώκουν να αξιοποιήσουν ολόκληρο τον οργανισμό, με ιδιαίτερη έμφαση στην εκπαίδευση των τελικών χρηστών ώστε να συμμετέχουν στη λύση και στη δημιουργία υποστήριξης από γειτονικές ομάδες.

Η ενίσχυση και η βελτίωση της γνώσης των τελικών χρηστών σχετικά με τις απειλές ασφαλείας —όπως η διασφάλιση ότι κατανοούν το ηλεκτρονικό "ψάρεμα" και τα σημάδια ανεπαίσθητων επιθέσεων— συμβάλλουν σημαντικά στην αύξηση των ματιών και των αυτιών της ομάδας ασφαλείας, ειδικά ως στρατηγική «άκρης του δόρατος», όπου οι τελικοί χρήστες αποτελούν συχνά σημείο εισόδου για μια επίθεση. Δεν λέω ότι οι τελικοί χρήστες μπορούν ως δια μαγείας να εκπαιδευτούν για να πιάνουν τα πάντα, αλλά η προετοιμασία και η ειδοποίηση των χρηστών μπορεί να μειώσει δραματικά το φορτίο στις ομάδες ασφαλείας.

Μια άλλη στρατηγική είναι η αντικατάσταση του IT στο πλαίσιο της ασφάλειας. Η διατήρηση της ομάδας IT στενά συνδεδεμένης με την ομάδα ασφαλείας και η διασφάλιση ότι το IT είναι ενημερωμένο για τις στρατηγικές ασφαλείας βοηθά πολλούς ηγέτες ασφαλείας να επεκτείνουν την αποστολή τους σε όλους τους τομείς του οργανισμού.

Η παροχή καθοδήγησης και βοήθειας σχετικά με την αυτοματοποίηση και άλλες προληπτικές στρατηγικές ροής εργασιών και διαχείρισης εργασιών είναι ένας θεμελιώδης τρόπος με τον οποίο οι CISO επεκτείνουν τις ομάδες τους και αξιοποιούν το IT για να εξασφαλίσουν σταθερή στάση ασφαλείας.

Όλες οι αναφερόμενες έρευνες της Microsoft χρησιμοποιούν ανεξάρτητες εταιρείες έρευνας για να επικοινωνήσουν με επαγγελματίες ασφάλειας τόσο για ποσοτικές όσο και για ποιοτικές μελέτες, διασφαλίζοντας προστασία απορρήτου και αναλυτική αυστηρότητα. Τα αποσπάσματα και τα ευρήματα που περιλαμβάνονται σε αυτό το έγγραφο, εκτός εάν ορίζεται διαφορετικά, είναι αποτέλεσμα ερευνητικών μελετών της Microsoft.