CISO Insider: 1. izdaja

COVID-19 je od organizacij zahteval večje zanašanje na prilagodljivost delovnega mesta in pospešeno digitalno preobrazbo – te spremembe pa so seveda zahtevale tudi nekatere spremembe v pristopu do varnosti. Območje se je razširilo in je čedalje bolj hibridno, saj vključuje več oblakov in platform. Čeprav nove tehnologije prinašajo koristi za številne organizacije, saj omogočajo storilnost in rast tudi v zahtevnih časih, pa so te spremembe hkrati tudi priložnost za kibernetske kriminalce, ki izkoriščajo ranljivosti v vse bolj zapletenih digitalnih okoljih.

Varnostni strokovnjaki, s katerimi se pogovarjam, imajo v mislih predvsem porast napadov z lažnim predstavljanjem na daljavo, kar se odraža tudi v naših raziskavah. V Microsoftovi raziskavi vodij oddelkov za varnost, izvedeni leta 2020, jih je 55 odstotkov povedalo, da so njihove organizacije od začetka pandemije zaznale porast napadov z lažnim predstavljanjem, 88 odstotkov pa, da so napadi z lažnim predstavljanjem prizadeli njihove organizacije. Redno poslušam tudi o naraščajočih napadih z izsiljevalsko programsko opremo, o tem, da zlonamerna programska oprema ostaja stalna grožnja in da je ogrožanje identitete še vedno velik izziv za varnostne ekipe.

Poleg tega vemo, da so napadi s podporo držav vse bolj agresivni in vztrajni. Napad na oskrbovalno verigo NOBELIUM, v katerem je bila uporabljena platforma SolarWinds, je bil eden od številnih novih napadov, ki so se v zadnjem letu znašli na naslovnicah. Čeprav so v novicah pogosto v ospredju bleščeče nove tehnike, mi pooblaščenci za varovanje informacij vedno znova govorijo, da se tudi ti akterji naprednih groženj, tako kot večina kibernetskih kriminalcev, osredotočajo na cenovno ugodne napade z veliko vrednostjo.

Da bi to še bolj ponazorili, opazili smo porast napadalcev z državno podporo, ki uporabljajo napade z razprševanjem gesel. Biti vodja na področju varnosti pomeni obvladovati tveganja in določati prednostne naloge. Številni vodje mi povedo, da je krepitev kibernetske higiene za preprečevanje najpogostejših vrst napadov, zlasti v njihovem naraščajočem digitalnem okolju, njihova glavna prednostna naloga. Naši podatki in raziskave potrjujejo to izjavo – ocenjujemo, da osnovna varnostna higiena še vedno zagotavlja zaščito pred 98 odstotki napadov (glejte stran 124 v  Poročilu o digitalni obrambi Microsoft, oktober 2021).

Morda si mislite, da je o temeljnih varnostnih korakih enostavno govoriti, veliko težje pa jih je izvajati v resničnem življenju, zlasti kadar je ekipa preobremenjena in ima premalo osebja. Vendar trdim, da je vodenje varnosti povezano z obvladovanjem tveganja in določanjem prednostnih nalog, zato je osredotočanje na osnove povsem pragmatičen pristop. Ni vprašanje, ALI se bodo dogodki, povezani z varnostjo, zgodili, temveč KDAJ. Obstaja na stotine zaskrbljujočih statističnih podatkov o kibernetski varnosti, na primer, da je samo v ZDA vsak dan storjenih približno 4000 napadov kibernetske kriminalitete in da je dnevno vdrtih več kot 30.000 spletnih strani po vsem svetu.

Menim, da je najboljša obramba uravnotežen pristop in vlaganje v odkrivanje in odzivanje na dogodke skupaj s preprečevanjem.

Čeprav se zdi težko vlagati v nove ravni preprečevanja in hkrati slediti naraščajočim zahtevam po odkrivanju in odzivanju, je iskanje pravega ravnovesja med obema prizadevanjema nujno in koristno. Študija Ponemon Institute in IBM Security iz leta 2021 je pokazala, da so se v organizacijah, ki nimajo ekipe za odzivanje na incidente ali načrta, povprečni stroški kršitev varnosti podatkov povečali za 55 odstotkov. Varnostne ekipe, ki lahko uravnotežijo zanesljivo preprečevanje s strategijo, ki vključuje odzivanje na incidente ter naložbe v orodja za odkrivanje in sanacijo, bodo dobro pripravljene na neizogibno.

Vsi smo že slišali za napovedane odpovedi. Več kot 40 odstotkov svetovne delovne sile namerava letos zapustiti svojega delodajalca, vodje varnostnih služb in njihove ekipe pa že čutijo pomanjkanje osebja. S pooblaščenci za varovanje informacij se pogosto pogovarjam o splošnem stanju in med njihovimi glavnimi skrbmi so zagotavljanje, iskanje in ohranjanje najboljših talentov. In če vrhunski talenti odidejo, morajo poiskati nove vrhunske talente ali pa izpopolniti znanje tistih, ki so ostali. Bolj učinkovita, integrirana in avtomatizirana tehnologija lahko pomaga, vendar to še zdaleč ni dovolj.

Besedne zveze, povezane z varnostjo, so postale del vsakdanje govorice, saj se kibernetski napadi redno pojavljajo v novicah – in ti napadi (in novice o njih) lahko močno vplivajo na podjetje. Toda naj vam nekaj zaupam. To niso nujno slabe novice. Glede na to, da je kibernetska varnost postala znana tema na vseh področjih organizacije, slišimo, da se koncept »varnost je delo vseh« začenja uveljavljati v vseh organizacijah. Zlasti zaradi novih hibridnih modelov dela in premikanja varnostnih meja na vse nove načine se vodje varnostnih služb vse bolj zanašajo na inovativne načine za zagotavljanje varnosti vseh, čeprav se soočajo s pomanjkanjem talentov in spretnosti. Ne »narediti več z manj«, temveč »narediti več z drugačnim« je tisto, kar je danes namenjeno inovativnim vodjem na področju varnosti.

Čeprav pomanjkanje talentov in znanja vsekakor ni pozitiven pojav, je tu droben žarek svetlobe – ustvarjanje kulture varnosti postaja realnost. Številni pooblaščenci za varovanje informacij nam pravijo, da je eden najučinkovitejših načinov za reševanje varnostnih izzivov med kadrovskimi težavami vzpostavitev varnostne kulture, v kateri je varnost naloga vseh. Pooblaščenci vse bolj zagovarjajo idejo, da lahko celotna organizacija prevzame odgovornost za varnost, zlasti kadar se soočajo s pomanjkanjem osebja ali izzivi financiranja.

Razvojne ekipe, sistemski skrbniki in končni uporabniki morajo razumeti varnostne pravilnike, ki se nanašajo nanje. Izmenjava informacij je temeljnega pomena, varnostne ekipe pa vse pogosteje iščejo nove načine sodelovanja z razvijalci, skrbniki in lastniki poslovnih procesov, da bi razumeli tveganja ter razvili politike in postopke, ki koristijo celotni organizaciji.

Zaradi pomanjkanja talentov in vrzeli v znanju (zlasti na področju kibernetske varnosti, ki se nenehno spreminja) pooblaščenci za varovanje informacij iščejo nove in inovativne načine, da bi ostali v ospredju. Ena od strategij, o kateri še vedno slišimo, je vse pogostejše »pooblaščanje« zaposlenih zunaj varnostne ekipe. Pooblaščenci si prizadevajo izkoristiti celotno organizacijo, s posebnim poudarkom na usposabljanju končnih uporabnikov, da postanejo del rešitve, in pridobivanju podpore drugih ekip.

Krepitev in izboljšanje znanja končnih uporabnikov o varnostnih grožnjah, kot je zagotavljanje, da razumejo lažno predstavljanje in znake subtilnih napadov, sta zelo pomembna za povečanje oči in ušes varnostne ekipe, kjer so končni uporabniki pogosto vstopna točka za napad. Ne trdim, da je mogoče končne uporabnike čudežno usposobiti, da bodo ujeli vse, vendar lahko s pripravljenimi in opozorjenimi uporabniki bistveno zmanjšamo obremenitev varnostnih ekip.

Druga strategija je, da informacijske tehnologije postanejo del varnosti. Če je ekipa IT tesno povezana z varnostno ekipo in je obveščena o varnostnih strategijah, lahko številni varnostni vodje razširijo svoje poslanstvo na vsa področja organizacije.

Zagotavljanje smernic in pomoči pri avtomatizaciji ter drugih proaktivnih strategijah za upravljanje delovnih tokov in nalog je temeljni način, s katerim pooblaščenci za varovanje informacij širijo svoje ekipe in izkoriščajo IT za zagotavljanje trdne varnostne drže.

Vse navedene Microsoftove raziskave so bile izvedene s strani neodvisnih raziskovalnih podjetij, ki so se obrnila na strokovnjake za varnost za kvantitativne in kvalitativne študije, s čimer je zagotovljena zaščita zasebnosti in analitična natančnost. Citati in ugotovitve, vključeni v ta dokument, so rezultat Microsoftovih raziskovalnih študij, razen če je navedeno drugače.