CISO Insider: numer 1

W związku COVID-19 organizacje były zmuszone do zwiększenia polegania na elastyczności miejsca pracy oraz przyspieszenia transformacji cyfrowej — a z tymi zmianami naturalnie wiązała się również konieczność wprowadzenia pewnych modyfikacji w taktyce zabezpieczeń. Granica obwodu rozszerzyła się i jest coraz bardziej hybrydowa oraz obejmuje wiele chmur i platform. Nowe technologie okazały się dobrodziejstwem dla wielu organizacji, ponieważ umożliwiły zapewnienie produktywności i wzrostu nawet w trudnych czasach, jednak zmiany stały się także szansą dla cyberprzestępców, którzy opracowują metody wykorzystywania luk znajdowanych w coraz bardziej złożonych środowiskach cyfrowych.

Wzrost liczby ataków mających na celu wyłudzanie informacji związanych z pracą zdalną jest głównym zmartwieniem profesjonalistów ds. zabezpieczeń, z którymi rozmawiam — znalazło to także odzwierciedlenie w naszych badaniach. W ankiecie firmy Microsoft przeprowadzonej w roku 2020 wśród kierowników ds. zabezpieczeń 55% z nich powiedziało, że ich organizacje wykryły wzrost liczby ataków mających na celu wyłudzanie informacji od momentu rozpoczęcia pandemii, a 88% stwierdziło, że te ataki wpłynęły na ich organizacje. Ja też regularnie słyszę o gwałtownie rosnącej liczbie ataków z użyciem oprogramowania wymuszającego okup, o tym, że złośliwe oprogramowanie wciąż stanowi zagrożenie, oraz że naruszenie bezpieczeństwa tożsamości nadal stanowi poważne wyzwanie będące zmorą zespołów ds. zabezpieczeń.

Ponadto wiemy, że ataki państw narodowych stają się coraz bardziej agresywne i powszechne. Atak na łańcuch dostaw NOBELIUM, wykorzystujący platformę SolarWinds, był jednym z nowatorskich ataków, które dostały się na czołówki wszystkich gazet w ubiegłym roku. Efekciarskie nowe techniki często przyciągają nagłówki prasowe, jednak dyrektorzy ds. bezpieczeństwa informacji ciągle zwracają moją uwagę na fakt, że nawet te zaawansowane źródła zagrożeń, takie jak większość cyberprzestępców, mają tendencje do skupiania się na atakach o niskich kosztach i wysokiej wartości wykorzystujących sposobną okazję.

Jeszcze lepiej tę kwestię ilustruje fakt, że zaobserwowaliśmy wzrost wykorzystywania ataków rozproszonych na hasła przez atakujące państwa narodowe. Rola kierownika ds. zabezpieczeń polega na zarządzaniu ryzykiem i określaniu priorytetów — wielu kierowników mówi mi, że ich głównym priorytetem jest wzmacnianie higieny cybernetycznej w celu zapobiegania większości typowych linii ataków, zwłaszcza w kontekście korzystania z zasobów cyfrowych na coraz większą skalę. Nasze dane i badanie odzwierciedlają to przekonanie — szacujemy, że podstawowa higiena zabezpieczeń nadal chroni przed 98% ataków (patrz strona 124 dokumentu Raport firmy Microsoft na temat ochrony zasobów cyfrowych, październik 2021 r.).

Pewnie myślisz, że łatwo jest mówić o podstawowych krokach zabezpieczeń, ale znacznie trudniej jest wdrażać je w praktyce, zwłaszcza gdy zespół jest przeciążony i ma za mało pracowników. Jednak bycie kierownikiem ds. zabezpieczeń polega na zarządzaniu zarówno ryzykiem, jak i ustalaniem priorytetów, przez co skupienie się na podstawowych zasadach stanowi solidne, pragmatyczne podejście. Zdarzenia związane z bezpieczeństwem nader często nie są kwestią JEŚLI, tylko KIEDY. Dysponujemy setkami alarmujących statystyk dotyczących cyberbezpieczeństwa, takimi jak około 4000 ataków cyberprzestępców popełnianych każdego dnia w samych Stanach Zjednoczonych oraz ponad 30 000 witryn internetowych padających codziennie ofiarami hakerów.

Moim zdaniem najlepszą linią obrony jest przyjęcie zrównoważonego podejścia i inwestowanie w wykrywanie zdarzeń oraz reagowanie na nie równolegle do zapobiegania im.

Inwestowanie w nowe poziomy zapobiegania przy jednoczesnej próbie zaspokojenia rosnącego zapotrzebowania na wykrywanie i reagowanie może wydawać się trudne, jednak znalezienie odpowiedniej równowagi między tymi dwoma wysiłkami ma zarówno kluczowe, jak i korzystne znaczenie. W badaniu organizacji Ponemon Institute i IBM Security z roku 2021 wykazano, że organizacje bez zespołu reagowania na zdarzenia lub gotowego planu odnotowały wzrost średniego kosztu naruszeń bezpieczeństwa danych o 55%. Zespoły ds. zabezpieczeń, które mogą równoważyć solidne zapobieganie ze strategią obejmującą reagowanie na zdarzenia oraz inwestycje w narzędzia do wykrywania i korygowania, będą lepiej przygotowane na przetrwanie tego, co nieuniknione.

Wszyscy słyszeliśmy o wielkiej rezygnacji. Ponad 40% pracowników na całym świecie rozważa odejście od swojego pracodawcy w tym roku, a kierownicy ds. zabezpieczeń i ich zespoły już teraz odczuwają braki w personelu. Często rozmawiam z dyrektorami ds. bezpieczeństwa informacji o ogólnej sytuacji, a jednym z ich głównych powodów do zmartwień jest zapewnianie, znajdowanie i utrzymywanie najbardziej utalentowanych pracowników. Jeśli najlepszy talent jednak odejdzie, stają przed wyborem, czy znajdować nowy najlepszy talent, czy podnieść umiejętności tych, które pozostały. Bardziej wydajna, zintegrowana i zautomatyzowana technologia może w tym pomóc, ale o wiele mniej niż wystarczająco.

Wraz z regularnym pojawianiem się w wiadomościach cyberataków do codziennego języka przeszły modne hasła związane z zabezpieczeniami — a te ataki (oraz wiadomości na ich temat) mogą głęboko wpłynąć na firmę. Ale wiecie co? To wcale nie są złe wieści. Ponieważ cyberbezpieczeństwo stało się tematem znanym we wszystkich obszarach organizacji, dowiadujemy się, że koncepcja „bezpieczeństwo to sprawa wszystkich” zaczyna znajdować oddźwięk w wielu organizacjach. Nowe modele pracy hybrydowej oraz obwody zabezpieczeń przesuwają się w różne nowe sposoby, dlatego kierownicy ds. zabezpieczeń coraz bardziej polegają na innowacyjnych metodach zapewniania wszystkim bezpieczeństwa, nawet gdy mierzą się z brakami talentów i umiejętności. Obecnie dewizę „robienie więcej mniejszym wysiłkiem” zastępuje „robienie więcej inną metodą” wśród innowacyjnych kierowników ds. zabezpieczeń.

Braki talentów i umiejętności na pewno nie są zjawiskiem pozytywnym, jednak jest tu nikły promyk światła — tworzenie kultury zabezpieczeń staje się rzeczywistością. Wielu dyrektorów ds. bezpieczeństwa informacji mówi nam, że jednym z najbardziej skutecznych sposobów na rozwiązanie ich wyzwań dotyczących zabezpieczeń w ramach wyzwań związanych z personelem jest utworzenie kultury zabezpieczeń, gdzie bezpieczeństwo to sprawa wszystkich. Dyrektorzy ds. bezpieczeństwa informacji coraz częściej opowiadają się za ideą, że cała organizacja może przejąć odpowiedzialność za zabezpieczenia, zwłaszcza w obliczu braków pracowników lub niedostatecznych funduszy.

Zespoły ds. rozwoju, administratorzy systemu oraz, także, użytkownicy końcowi muszą zrozumieć związane z nimi zasady zabezpieczeń. Udostępnianie informacji ma kluczowe znaczenie, a zespoły ds. zabezpieczeń coraz częściej znajdują nowe sposoby współpracy z deweloperami, administratorami i właścicielami procesów biznesowych w celu zrozumienia zagrożeń i opracowania zasad oraz procedur korzystnych dla całej organizacji.

Braki talentów i luki w umiejętnościach (zwłaszcza w wiecznie zmieniającej się branży cyberbezpieczeństwa) sprawiają, że dyrektorzy ds. bezpieczeństwa informacji szukają nowych i innowacyjnych sposobów na wyprzedzanie zmian. Jedną ze strategii, o której ciągle słyszymy, jest „wyznaczanie” pracowników spoza zespołu ds. zabezpieczeń. Dyrektorzy ds. bezpieczeństwa informacji próbują wykorzystać całą organizację, skupiając się przede wszystkim na szkoleniu użytkowników końcowych, aby stanowili część rozwiązania, oraz zapewnianiu pomocy technicznej od sąsiednich zespołów.

Pogłębianie i poszerzanie wiedzy użytkownika końcowego o zagrożeniach dla bezpieczeństwa — takie jak zapewnianie, że rozumieją oni wyłudzanie informacji oraz oznaki subtelnych ataków — działa cuda w zwiększaniu liczby par oczu i uszu zespołu ds. zabezpieczeń, zwłaszcza w kontekście strategii „czubek włóczni”, w której użytkownicy końcowi są często punktem wejścia dla ataku. Nie twierdzę, że użytkowników końcowych można magicznie wyszkolić, aby wyłapywali wszystko, ale przygotowani i czujni użytkownicy mogą diametralnie zmniejszyć obciążenie zespołów ds. zabezpieczeń.

Kolejną strategią jest wyznaczanie działu IT na element zabezpieczeń. Zapewnienie bliskiej łączności między zespołem IT i zespołem ds. zabezpieczeń oraz dostarczanie zespołowi IT podsumowań dotyczących strategii zabezpieczeń pomaga wielu kierownikom ds. zabezpieczeń rozszerzać swoją misję na wszystkie obszary organizacji.

Zapewnienie wskazówek oraz pomocy w zakresie automatyzacji i innych proaktywnych strategii zarządzania zadaniami i przepływem pracy to podstawowy sposób, w jaki dyrektorzy ds. bezpieczeństwa informacji poszerzają swoje zespoły i wykorzystują infrastrukturę IT do ułatwiania zapewniania solidnego stanu zabezpieczeń.

We wszystkich przytaczanych badaniach firmy Microsoft wykorzystano usługi niezależnych firm badawczych do kontaktowania się ze specjalistami ds. zabezpieczeń w celu przeprowadzenia badań ilościowych i jakościowych przy zapewnieniu ochrony prywatności i zachowaniu rygoru analitycznego. O ile nie wskazano inaczej, cytaty i ustalenia podane w tym dokumencie są wynikiem badań naukowych firmy Microsoft.