CISO Insider: 1. vydanie

Pandémia COVID-19 donútila organizácie väčšmi využívať flexibilitu pracoviska a zrýchliť digitálnu transformáciu– tieto zmeny si prirodzene vyžiadali aj určité úpravy v taktikách zabezpečenia. Perimeter rozťahuje svoje hranice a zahŕňa čoraz hybridnejšie formy naprieč viacerými cloudmi a platformami. Hoci nové technológie mnohým organizáciám výrazne pomohli a priniesli im produktivitu a rast aj v náročných časoch, tieto zmeny súčasne otvorili príležitosti pre počítačových zločincov, ktorí sa snažia využiť zraniteľnosti v čoraz komplexnejších digitálnych prostrediach.

Medzi odborníkmi na zabezpečenie, s ktorými som v kontakte, najviac rezonuje téma pribúdajúcich phishingových útokov súvisiacich s prácou na diaľku – jednoznačne sa to odráža aj v našom výskume. V prieskume, ktorý spoločnosť Microsoft uskutočnila medzi lídrami v oblasti zabezpečenia v roku 2020, 55 % respondentov uviedlo, že ich organizácia zaznamenala od začiatku pandémie nárast phishingových útokov, a 88 % povedalo, že ich organizácia utrpela vplyvom phishingových útokov škodu. Takisto sa pravidelne stretávam s informáciami o prudkom náraste útokov ransomwaru, o pretrvávajúcej hrozbe škodlivého softvéru a o tom, že tímy pre zabezpečenie naďalej trápi predovšetkým problém zneužitia identity.

Akoby toho nebolo málo, vieme, že dochádza k čoraz agresívnejším a vytrvalejším útokom zo strany národných štátov. Útok skupiny NOBELIUM na dodávateľský reťazecs využitím platformy SolarWinds bol jedným z mnohých nových útokov, ktoré sa v minulom roku dostali na titulné strany novín. Aj keď v spravodajských kruhoch často zaujmú práve nápadné nové techniky, manažéri informačnej bezpečnosti mi neustále hovoria, že aj tieto pokročilé zdroje hrozieb sa podobne ako väčšina počítačových zločincov zameriavajú na oportunistické nízkonákladové útoky s vysokou hodnotou.

Možno to dokresliť aj týmto faktom: zaznamenali sme nárast počtu útočníkov z národných štátov, ktorí využívajú reverzné útoky hrubou silou (password spray attack). Byť lídrom v oblasti zabezpečenia znamená riadiť riziká a určovať priority – mnohí lídri mi prezradili, že prioritou číslo jeden je pre nich posilňovanie kybernetickej ochrany, aby vedeli zahatať najbežnejšie dráhy útokov, najmä vzhľadom na svoju rastúcu digitálnu prítomnosť. Tento pohľad na vec potvrdzujú aj naše údaje a prieskumy– odhadujeme, že základné postupy v oblasti zabezpečenia stále chránia pred 98 % útokov (pozri stranu 124 Microsoft Digital Defense Report – Microsoft Správa o digitálnej ochrane z októbra 2021).

Možno si myslíte, že o základných krokoch zabezpečenia sa ľahko hovorí, ale oveľa ťažšie je ich zavádzať v praxi, najmä ak je tím prepracovaný a chýbajú mu zamestnanci. Dovolím si však tvrdiť, že byť lídrom v oblasti zabezpečenia znamená riadiť riziká aj určovať priority – práve preto považujem zameranie sa na základy za solídny pragmatický prístup. Pri incidentoch týkajúcich sa zabezpečenia je až príliš často na stole otázka „kedy“, a nie „či“ sa to stane. Existujú stovky alarmujúcich štatistík v oblasti kybernetickej bezpečnosti, napríklad len v USA počítačoví zločinci každý deň spáchajú približne 4 000 útokov a na celom svete je denne haknutých viac než 30 000 webových lokalít.

Som presvedčený, že najlepšou obranou je vyvážený prístup a investovanie do odhaľovania incidentov a reakcie na ne ruka v ruke s prevenciou.

Hoci sa môže zdať ťažké investovať do nových úrovní prevencie a zároveň sa snažiť držať krok s rastúcimi požiadavkami na detekciu a reakciu, nájsť správnu rovnováhu medzi týmito dvoma rovinami úsilia je nielen nevyhnutné, ale aj prínosné. V štúdii Ponemonovho inštitútu a IBM Security z roku 2021 sa zistilo, že v organizáciách, ktoré nemajú vytvorený tím pre reakciu na incidenty alebo zavedený plán, sa priemerné náklady spojené s narušením bezpečnosti údajov zvýšili o 55 %. Tímy pre zabezpečenie, ktorým sa podarí nájsť strednú cestu medzi spoľahlivou prevenciou a stratégiou zahŕňajúcou odozvu na incidenty a investície do nástrojov detekcie a nápravy, budú dobre pripravené, aby dokázali prestáť to, čomu sa nedá vyhnúť.

Všetci sme počuli o rozsiahlom odchádzaní zamestnancov. Viac než 40 % globálnej pracovnej sily zvažuje, že tento rok opustí svojho zamestnávateľa– lídri v oblasti zabezpečenia a ich tímy pritom už teraz pociťujú nedostatok zamestnancov. Často sa zhováram manažérmi informačnej bezpečnosti o tom, ako sa im celkovo darí, a jedným z ich hlavných problémov je to, ako si môcť dovoliť, nájsť a udržať špičkové talenty. A pokiaľ od nich špičkový talent odíde, musia si buď nájsť nového rovnako šikovného človeka, alebo zvýšiť úroveň zručností tých, ktorí zostali. Pomôcť v tomto smere dokážu efektívnejšie, integrovanejšie a automatizovanejšie technológie, ale ani zďaleka to nestačí.

Rôzne obľúbené výrazy v oblasti zabezpečenia sa dnes skloňujú priam na každodennej báze, keďže v správach sa pravidelne objavujú nové kybernetické útoky – tieto útoky (a správy o nich) môžu mať na spoločnosť rozsiahly vplyv. Ale viete čo? Nie sú to len zlé správy. Pretože kybernetická bezpečnosť sa stala známou témou vo všetkých oblastiach organizácie, pozorujeme, že v organizáciách začína rezonovať myšlienka „zabezpečenie je záležitosťou všetkých“. Najmä v súvislosti s novými modelmi hybridnej práce a spôsobmi zabezpečenia, ktoré sa posúvajú rôznymi novými smermi, sa lídri v oblasti zabezpečenia čoraz viac opierajú o inovatívne spôsoby, ako zaistiť bezpečnosť všetkých, napriek nedostatku talentov a zručností. Inovatívni lídri v oblasti zabezpečenia dnes už nehovoria o tom, ako „urobiť viac s menšími zdrojmi“, ale ako „urobiť viac s inými zdrojmi“.

Aj keď na nedostatku talentov a zručností rozhodne nie je nič pozitívne, isté svetielko nádeje tu je – vytváranie kultúry zabezpečenia sa stáva realitou. Mnohí manažéri informačnej bezpečnosti súhlasia, že jedným z najúčinnejších spôsobov, ako čeliť výzvam v oblasti zabezpečenia v situácii poznačenej personálnymi problémami, je vybudovať kultúru zabezpečenia, v ktorej je zabezpečenie záležitosťou všetkých. Manažéri informačnej bezpečnosti sa čoraz častejšie zasadzujú o to, že zodpovednosť za zabezpečenie môže prevziať celá organizácia, najmä keď sa boria s nedostatkom zamestnancov alebo financií.

Tímy vývojárov, správcovia systémov a, presne tak, aj koncoví používatelia musia rozumieť politikám zabezpečenia, ktoré sa ich týkajú. Zdieľanie informácií je absolútnym základom a tímy pre zabezpečenie nachádzajú nové a nové spôsoby spolupráce s vývojármi, správcami a vlastníkmi obchodných procesov, aby pochopili riziká a vypracovali politiky a postupy, ktoré sú prospešné pre celú organizáciu.

Nedostatok talentov a medzery v zručnostiach (najmä pri práci v neustále sa meniacej oblasti, ako je kybernetická bezpečnosť) nútia manažérov informačnej bezpečnosti hľadať nové a inovatívne spôsoby, ako si udržať náskok. Jednou zo stratégií, o ktorej často počúvame, je rozvíjanie trendu „zastupovania“ zamestnancov mimo tímu pre zabezpečenie. Manažéri informačnej bezpečnosti sa snažia využiť potenciál celej organizácie. Zameriavajú sa pritom hlavne na zaškoľovanie koncových používateľov, aby sa vedeli na riešení podieľať, a na budovanie podpory od príbuzných tímov.

Zvyšovanie a rozširovanie znalostí koncových používateľov o hrozbách týkajúcich sa zabezpečenia, napríklad aby rozumeli phishingovým útokom a rozpoznali príznaky nenápadných útokov, je veľmi dôležité, pretože tím pre zabezpečenie tým získa ďalšie páry očí a uší, a to najmä s ohľadom na stratégiu „frontovej línie“, keďže koncoví používatelia sú často vstupným bodom útoku. Netvrdím, že koncových používateľov možno zázračne vycvičiť, aby dokázali zachytiť úplne všetko, ale keď máte dobre pripravených a ostražitých používateľov, výrazne tým odbremeníte tímy pre zabezpečenie.

Ďalšou stratégiou je zastupovanie IT ako súčasť zabezpečenia. Keď IT tím úzko komunikuje s tímom pre zabezpečenie a je informovaný o stratégiách zabezpečenia, mnohým lídrom v oblasti zabezpečenia to pomáha plniť si úlohu vo všetkých sekciách organizácie.

Usmernenia a pomoc pri automatizácii a iných proaktívnych stratégiách riadenia pracovných postupov a úloh sú základnými metódami, ktorými manažéri informačnej bezpečnosti môžu rozšíriť dosah svojich tímov a využiť IT v úsilí o spoľahlivú úroveň zabezpečenia.

Všetky citované výskumy spoločnosti Microsoft využívajú nezávislé výskumné firmy, ktoré kontaktujú odborníkov na zabezpečenie pre kvantitatívne a kvalitatívne štúdie, čím sa zaisťuje ochrana osobných údajov a analytická precíznosť. Pokiaľ sa neuvádza inak, citácie a zistenia v tomto dokumente sú výsledkom výskumných štúdií spoločnosti Microsoft.