CISO Insider: Issue 1

COVID-19 on edellyttänyt, että organisaatiot luottavat entistä enemmän työpaikan joustavuuteen ja nopeuttavat digitaalista muutosta—ja nämä muutokset ovat luonnollisesti edellyttäneet muutoksia myös tietoturvataktiikoihin. Raja on laajentunut, ja se on yhä enemmän hybridi, ja kattaa useita pilviä ja käyttöympäristöjä. Vaikka uudet teknologiat ovat olleet monille organisaatioille siunaus, sillä ne ovat mahdollistaneet tuottavuuden ja kasvun haastavinakin aikoina, muutokset ovat myös tarjonneet tilaisuuden kyberrikollisille, jotka pyrkivät hyödyntämään yhä monimutkaisemmissa digitaalisissa ympäristöissä olevia haavoittuvuuksia.

Etätyöhön liittyvien tietojenkalasteluhyökkäysten lisääntyminen on päällimmäisenä mielessä tietoturva-alan ammattilaisilla, joiden kanssa keskustelen, ja näemme tämän heijastuvan myös tutkimuksessamme. Microsoftin vuonna 2020 tekemässä tietoturvajohtajille suunnatussa kyselytutkimuksessa 55 prosenttia kertoi, että heidän organisaationsa oli havainnut tietojenkalasteluhyökkäysten lisääntyneen pandemian alkamisen jälkeen, ja 88 prosenttia kertoi, että tietojenkalasteluhyökkäykset olivat vaikuttaneet heidän organisaatioihinsa. Kuulen myös säännöllisesti kiristysohjelmahyökkäysten lisääntymisestä ja siitä, että haittaohjelmat ovat edelleen jatkuva uhka ja että identiteettien vaarantaminen on edelleen merkittävä haaste, joka vaivaa tietoturvatiimejä.

Lisäksi tiedämme, että kansallisvaltioiden hyökkäykset ovat yhä aggressiivisempia ja jatkuvampia. SolarWinds-alustaa hyödyntävä NOBELIUM-toimitusketjun hyökkäys oli yksi monista uusista hyökkäyksistä, jotka ovat olleet otsikoissa viime vuonna. Vaikka uutiset ovat usein täynnä näyttäviä uusia tekniikoita, CISO:t kertovat minulle jatkuvasti, että jopa nämä kehittyneet uhkaavat toimijat, kuten useimmat kyberrikolliset, keskittyvät yleensä edullisiin ja arvokkaisiin tilaisuushyökkäyksiin.

Tätä seikkaa havainnollistaa myös se, että olemme nähneet, että kansallisvaltioiden hyökkääjät käyttävät salasanasumutushyökkäyksiä. Tietoturvajohtajana toimiminen on riskien hallintaa ja priorisointia, ja monet johtajat kertovat minulle, että heidän tärkein prioriteettinsa on vahvistaa kyberhygieniaansa yleisimpien hyökkäyslinjojen estämiseksi erityisesti kasvavassa digitaalisessa jalanjäljessä. Ja tietomme ja tutkimuksemme tukevat tätä näkemystä– arvioimme, että perusturvahygienia suojaa edelleen 98 prosentilta hyökkäyksistä (katso sivu 124 Microsoftin digitaalisen suojauksen raportista, lokakuu 2021).

Saatat ajatella, että on helppoa puhua perustavanlaatuisista tietoturvatoimista, mutta paljon vaikeampaa on panna ne täytäntöön tosielämässä, varsinkin kun tiimi on ylikuormittunut ja vajaamiehitetty. Väittäisin kuitenkin, että tietoturvajohtajana toimimisessa on kyse sekä riskien hallinnasta että priorisoinnista – ja siksi perustekijöihin keskittyminen on täysin käytännöllinen lähestymistapa. Usein tietoturvaloukkauksissa kyseessä ei ole JOS vaan KUN. On olemassa satoja hälyttäviä kyberturvallisuustilastoja, kuten se, että pelkästään Yhdysvalloissa tehdään päivittäin noin 4 000 kyberrikollisuuden hyökkäystä ja yli 30 000 verkkosivustoa hakkeroidaan päivittäin ympäri maailmaa.

Uskon, että paras puolustuslinja on tasapainoinen lähestymistapa ja investoiminen vaaratilanteiden havaitsemiseen ja niihin reagoimiseen ennaltaehkäisyn ohella.

Vaikka voi tuntua vaikealta investoida ennaltaehkäisyn uusiin tasoihin samalla kun yritetään pysyä mukana havaitsemisen ja reagoimisen kasvavissa vaatimuksissa, oikean tasapainon löytäminen näiden kahden ponnistelun välillä on sekä olennaista että hyödyllistä. Vuonna 2021 Ponemon Instituten ja IBM Securityn tekemässä tutkimuksessa todettiin, että organisaatioiden, joilla ei ole vastuuryhmää tai suunnitelmaa, tietomurtojen keskimääräiset kustannukset nousivat 55 prosenttia. Tietoturvatiimit, jotka pystyvät tasapainottamaan vankan ennaltaehkäisyn strategian kanssa, joka sisältää häiriöihin reagoimisen ja investoinnit havaitsemis- ja korjaustyökaluihin, ovat hyvässä asemassa selviytyäkseen väistämättömästä.

Olemme kaikki kuulleet suuresta irtisanoutumisesta. Yli 40 prosenttia maailmanlaajuisesta työvoimasta harkitsee työnantajansa jättämistä tänä vuonna– ja tietoturvajohtajat ja heidän tiiminsä tuntevat jo nyt henkilöstöpulaa. Puhun usein CISO:iden kanssa siitä, miten asiat yleisesti ottaen sujuvat, ja huippulahjakkuuksien hankkiminen, löytäminen ja säilyttäminen on yksi heidän suurimmista huolenaiheistaan. Ja jos huippuosaajat lähtevät, heidän on joko löydettävä uusia huippuosaajia tai parannettava jäljelle jäävien osaamista. Tehokkaampi, integroitu ja automatisoitu teknologia voi auttaa, mutta se ei riitä läheskään kokonaan.

Tietoturva-sanoista on tullut osa jokapäiväistä kielenkäyttöä, kun kyberhyökkäykset näkyvät uutisissa säännöllisesti – ja nämä hyökkäykset (ja niitä koskevat uutiset) voivat vaikuttaa yritykseen syvästi. Mutta arvaa mitä? Tämä ei ole pelkästään huono uutinen. Koska kyberturvallisuudesta on tullut tuttu aihe kaikilla organisaation osa-alueilla, olemme kuulleet, että käsite "tietoturva on kaikkien tehtävä" alkaa saada vastakaikua kaikissa organisaatioissa. Erityisesti uusien hybridityömallien ja kaikenlaisilla uusilla tavoilla siirtyvien turvallisuusrajojen vuoksi tietoturvajohtajat luottavat yhä enemmän innovatiivisiin tapoihin pitää kaikki turvassa, vaikka he joutuvat kohtaamaan lahjakkuus- ja taitovajetta. Innovatiiviset turvallisuusjohtajat pyrkivät nykyään siihen, että he eivät tee "enemmän vähemmällä" vaan "enemmän erilaisella".

Vaikka lahjakkuus- ja taitovaje ei todellakaan ole myönteinen asia, tässä on pieni valonsäde – tietoturvakulttuurin luomisesta on tulossa todellisuutta. Monet CISO:t kertovat meille, että yksi tehokkaimmista tavoista vastata tietoturvahaasteisiin henkilöstöhaasteiden keskellä on rakentaa tietoturvakulttuuri, jossa tietoturva on kaikkien tehtävä. CISO:t kannattavat yhä useammin tätä ajatusta, jonka mukaan koko organisaatio voi ottaa vastuun tietoturvasta, etenkin kun ne kohtaavat henkilöstöpulaa tai rahoitushaasteita.

Kehitystiimien, järjestelmänvalvojien ja loppukäyttäjien on ymmärrettävä heitä koskevat tietoturvakäytännöt. Tietojen jakaminen on olennaisen tärkeää, ja tietoturvaryhmät löytävät yhä useammin uusia tapoja tehdä yhteistyötä kehittäjien, ylläpitäjien ja liiketoimintaprosessien omistajien kanssa riskien ymmärtämiseksi ja sellaisten käytäntöjen ja menettelyjen kehittämiseksi, jotka hyödyttävät koko organisaatiota.

Osaajapula ja osaamisvaje (erityisesti alati muuttuvalla kyberturvallisuusalalla) saavat CISO:t etsimään uusia ja innovatiivisia tapoja pysyä kärjessä. Yksi strategia, josta kuulemme jatkuvasti, on tietoturvatiimin ulkopuolisten työntekijöiden "sijaistaminen". CISO:t pyrkivät hyödyntämään koko organisaatiota ja keskittyvät erityisesti kouluttamaan loppukäyttäjiä osallistumaan ratkaisuun ja saamaan tukea viereisiltä tiimeiltä.

Loppukäyttäjien tietoturvauhkia koskevan tietämyksen lisääminen ja parantaminen (esimerkiksi sen varmistaminen, että he ymmärtävät tietojenkalastelun ja hienovaraisten hyökkäysten merkit) auttaa huomattavasti lisäämään tietoturvatiimin silmiä ja korvia, erityisesti "keihään kärki" -strategiana, jossa loppukäyttäjät ovat usein hyökkäyksen aloituskohta. En väitä, että loppukäyttäjät voidaan taikakeinoin kouluttaa havaitsemaan kaikki, mutta valmistautuneet ja varovaiset käyttäjät voivat vähentää huomattavasti tietoturvatiimien kuormitusta.

Toinen strategia on IT:n ottaminen osaksi tietoturvaa. IT-tiimin pitäminen tiiviisti yhteydessä tietoturvaryhmään ja sen varmistaminen, että IT:tä informoidaan tietoturvastrategioista, auttaa monia tietoturvajohtajia ulottamaan tehtävänsä kaikille organisaation alueille.

Automaatiota ja muita ennakoivia työnkulku- ja tehtävienhallintastrategioita koskevan opastuksen ja avun antaminen on perustavanlaatuinen tapa, jolla CISO:t laajentavat tiimejään ja hyödyntävät tietohallintoa vankan suojaustason varmistamiseksi.

Kaikissa mainituissa Microsoftin tutkimuksissa käytetään riippumattomia tutkimusyrityksiä, jotka ottavat yhteyttä tietoturva-alan ammattilaisiin sekä kvantitatiivisissa että kvalitatiivisissa tutkimuksissa, mikä takaa yksityisyyden suojan ja analyyttisen tarkkuuden. Tähän asiakirjaan sisältyvät lainaukset ja havainnot ovat Microsoftin tutkimusten tulosta, ellei toisin mainita.