„CISO Insider“: 1 leidimas

COVID-19 pareikalavo organizacijų lankstesnio darbovietės atsparumo ir spartesnės skaitmeninės transformacijos, o šie pokyčiai savaime lėmė ir tam tikrus apsaugos taktikos pokyčius. Jų perimetras išsiplėtė ir tapo hibridinis, apimantis keletą debesų ir platformų. Nors naujosios technologijos labai pravertė daugeliui organizacijų, padidino jų našumą ir paspartino plėtrą net sunkmečiu, šie pokyčiai taip pat atvėrė galimybių kibernetiniams nusikaltėliams, kurie išnaudoja aptiktas silpnąsias vietas vis sudėtingėjančioje skaitmeninėje aplinkoje.

Nuotolinio darbo šuolis išsyk įspėja saugos specialistus apie sukčiavimo apsimetant atakas, ir mes tai pastebime mūsų tyrime. 2020 metais „Microsoft“ atliktoje saugos lyderių apklausoje 55 procentai atsakovų teigė, kad nuo pandemijos pradžios jų organizacijos pastebėjo sukčiavimo apsimetant atakų pagausėjimą, o 88 procentai tvirtino, kad sukčiavimo apsimetant atakos pakenkė jų organizacijoms. Taip pat dažnai pasigirsta kalbų apie dažnėjančias išpirkos reikalaujančių programų atakas, kad kenkėjiškos programos išlieka nuolatine grėsme ir kad tapatybės vagystės ir toliau kelia rimtų problemų saugos komandoms.

Be to, žinome, kad vis agresyvėja ir intensyvėja kai kurių valstybių remiamos atakos. Tiekimo grandinės ataka NOBELIUM, panaudojusi platformą „SolarWinds“, buvo viena iš daugybės naujo tipo atakų, plačiai nušviestų žiniasklaidoje. Nors naujienų antraštėse dažniausiai minimi nauji įspūdingi atakų būdai, CISO mane nuolat tikina, kad net šie pažangūs grėsmių sukėlėjai kaip ir dauguma kibernetinių nusikaltėlių ieško lengvų, bet vertingų atakos galimybių.

Šią nuomonę geriau iliustruoja valstybių remiamų atakų pagausėjimas, naudojant vieno slaptažodžio bandymo atakas. Saugos lyderiai privalo suvaldyti riziką ir nustatyti prioritetus. Daugelis lyderiu teigia, kad jų pagrindinis prioritetas yra kibernetinės higienos stiprinimas dažniausiai pasitaikančių atakų prevencijai, ypač vis augančiame jų skaitmeniniame pėdsake. Ir šią nuomonę galima pagrįsti mūsų duomenimis ir tyrimais – mūsų apskaičiavimais bazinė saugos higiena vis dar apsaugo nuo 98 procentų atakų (žr.  2021 m. spalio „Microsoft“ skaitmeninės gynybos ataskaitos 124 psl.).

Galite manyti, kad lengva kalbėti apie pagrindinius saugos veiksmus, bet iš tikrųjų juos kur kas sunkiau įgyvendinti, ypač jei trūksta darbuotojų ir visi yra persidirbę. Tačiau, mano nuomone, saugos lyderiui svarbiausiai suvaldyti tiek rizikas, tiek prioritetus, kad saugos pagrindus būtų galima užtikrinti visiškai pragmatiškai. Dažniau nei norėtume saugos pažeidimo atvejai yra neišvengiami. Turime šimtus gąsdinančių kibernetinės saugos statistikos faktų, pvz., kad vien JAV kasdien įvykdoma maždaug 4 000 kibernetinių atakų ar kad pasaulyje per dieną įsilaužiama į daugiau kaip į 30 000 svetainių.

Manau, kad geriausia gynyba yra subalansuota strategija ir investicijos ne vien į prevenciją, bet ir į atvejų aptikimą ir reagavimą.

Nors investuoti į naują prevencijos lygmenį, tuo pat metu stengiantis neatsilikti nuo augančio aptikimo ir reagavimo poreikio, gali atrodyti sudėtinga, būtina ir pravartu atrasti tinkamą šių dviejų pastangų balansą. 2021 m. „Ponemon“ instituto ir „IBM Security“ tyrimas atskleidė, kad organizacijose, kuriose nėra reagavimo į incidentus komandų arba plano, duomenų nutekinimo nuostoliai padidėjo 55 procentais. Saugos komandos, kurios geba subalansuoti tvirtą prevenciją su strategija, kuri apima reagavimą į incidentus ir investavimą į aptikimą bei taisymo įrankius, bus gerai pasirengusios atlaikyti neišvengiamoms atakoms.

Visi esame girdėję apie didįjį išėjimą iš darbo. Daugiau kaip 40 procentų darbuotojų visame pasaulyje šiemet svarsto išeiti iš darbo, o saugos lyderiai ir jų komandos jau jaučia darbuotojų trūkumą. Dažnai kalbuosi su CISO apie bendrą padėtį, ir daugiausiai rūpesčių jiems kelia, kaip išgalėti pasamdyti, rasti ir išlaikyti geriausius talentus. O jei geriausia išeina, tenka ieškoti naujų geriausių talentų arba kelti likusių darbuotojų kvalifikaciją. Iš dalies gali padėti našesnė, geriau integruota ir automatizuota technologija, bet jos nepakanka.

Žiniose kasdien kalbant apie kibernetines atakas, saugos žargonas jau tapo kasdienio žodyno dalimi, o šios atakos (ir naujienos apie jas) gali stipriai pakenkti įmonei. Bet spėkite ką? Turime ne vien blogų naujienų. Kadangi kibernetinė sauga jau tapo gerai pažįstama visoms organizacijos sritims, vis dažniau organizacijoje girdime, kad „sauga yra visų reikalas“. Atsiradus naujiems hibridinio darbo modeliams ir saugos perimetrui plečiantis visomis kryptimis, saugos lyderiai vis dažniau pasitelkia novatoriškus būdus, kaip užtikrinti visų darbuotojų saugą, net stingant talentų ir įgūdžių. Šiais laikai pažangūs saugos lyderiai stengiasi ne daryti daugiau su mažesniais ištekliais, o daryti daugiau su kitokiais ištekliais.

Nors talentų ir įgūdžiu stygius nėra teigiamas dalykas, jau galima įžvelgti ir šviesos spindulėlį – įmanoma sukurti bendrą saugos kultūrą. Daugelis CISO tvirtina, kad vienas iš veiksmingiausių būdų įveikti saugos iššūkius, kai trūksta darbuotojų, yra sukurti saugos kultūrą, kurioje saugumu rūpinasi kiekvienas. CISO vis dažniau palaiko nuomonę, kad visa organizacija gali prisiimti atsakomybę už saugą, ypač, jei trūksta darbuotojų arba lėšų.

Kūrėjų komandos, sistemų administratoriai ir, taip, galutiniai vartotojai, privalo suprasti jiems aktualias saugos strategijas. Svarbiausia dalytis informacija ir saugos komandos atranda vis daugiau būdų dirbti su kūrėjais, administratoriais ir verslo procesų savininkais, kad perprastų rizikas ir sukurtų strategijas bei procedūras, kurios paverstų visai organizacijai.

Talentų trūkumas ir įgūdžių spragos (ypač nuolat kintančioje kibernetinės saugos profesijoje) privertė CISO ieškoti naujų ir novatoriškų būdų, kai neatsilikti nuo dabartinių realijų. Dažnai girdime apie darbuotojų „pavadavimą“ už saugos komandos ribų. CISO ieško būdų pasitelkti visą organizaciją, daugiausiai dėmesio teikdami sprendimo dalimi taptų galutinių vartotojų mokymas ir pasitelkdami gretimų komandų pagalbą.

Suteikiant galutiniam vartotojui daugiau žinių apie saugos grėsmes, pvz., padedant jiems suprasti, kas yra sukčiavimas apsimetant ir kaip atpažinti subtilias atakas, galima gerokai padidinti saugos komandos stebėjimo lauką, ypač „ieties smaigalio“ strategijos atveju, kai įsibraunama, pasinaudojus galutiniu vartotoju. Nesakau, kad galutinį vartotoją galima stebuklingai išmokyti gaudyti visas grėsmes, bet paruošti ir budrūs naudotojai gali gerokai sumažinti saugos komandoms tenkančią apkrovą.

Kita strategija – paskirti IT darbuotojus atstovauti saugos skyrių. Išlaikant glaudų IT komandos ryšį su saugos komanda ir šviečiant IT darbuotojus apie saugos strategijas, daugeliui saugos lyderių padeda paskirstyti savo užduotis visoms kitoms organizacijos sritims.

CISO labais svarbu teikti instrukcijas ir pagalbą dėl automatizavimo ir kitų darbo srautų bei užduočių valdymo strategijų, nes taip jie plečia savo komandas ir pasitelkia IT, kad užtikrintų patikimą saugos laikyseną.

Atliekant kiekybinius ir kokybinius tyrimus, visuose cituojamuose „Microsoft“ tyrimuose pasitelkiamos nepriklausomos tyrimų įmonės, kurios susisiekia su saugos specialistais, taip užtikrinant privatumo apsaugą ir analitinį tikslumą. Į šį dokumentą įtrauktos citatos ir išvados, jei nenurodyta kitaip, yra „Microsoft“ tyrimų rezultatas.