211service.com
La sicurezza informatica nel 2020: l'ascesa del CISO
Le violazioni dei dati hanno insegnato alle aziende dure lezioni nel 2019. Un aspetto chiave: hanno bisogno di un responsabile della sicurezza delle informazioni, afferma Stephanie Balaouras di Forrester.
24 febbraio 2020
Prodotto in collaborazione con Sicurezza Microsoft
Con l'inizio del nuovo anno (e del nuovo decennio), una cosa è certa: la sicurezza informatica continuerà ad avere un impatto crescente sul business, nel bene e nel male. In questo episodio, sentiamo Stephanie Balaouras, un'esperta di sicurezza informatica che ha parlato con migliaia di clienti nei suoi 15 anni presso Forrester Research. È vicepresidente e direttrice del gruppo per la sicurezza e la ricerca sui rischi, nonché per la ricerca sulle infrastrutture e le operazioni.
Balaouras sostiene che tutte le aziende dovrebbero avere un Chief Information Security Officer, o CISO, poiché il mondo delle minacce informatiche diventa più intricato e pericoloso. 'Anche le aziende che hanno un CISO dovrebbero dare un'occhiata a quanto in alto nell'organizzazione che segnalano', afferma Balaouras. 'Hanno il budget giusto? Hanno abbastanza personale? Hai dato loro il giusto intervallo di controllo?'
Balaouras esamina anche alcune delle più grandi tendenze della sicurezza informatica nel 2019 e fa previsioni per il 2020.
Business Lab è ospitato da Laurel Ruma, direttrice di Insights, la divisione di pubblicazione personalizzata di MIT Technology Review. Lo spettacolo è una produzione di MIT Technology Review, con l'aiuto della produzione da Collective Next. La musica è di Merlean, di Epidemic Sound.
La sicurezza informatica non riguarda solo l'arresto delle minacce che vedi. Si tratta di fermare quelli che non puoi vedere. Ecco perché Microsoft Security impiega oltre 3.500 esperti di criminalità informatica e utilizza l'IA per anticipare, identificare ed eliminare le minacce. Così puoi concentrarti sulla crescita della tua attività e Microsoft Security può concentrarsi sulla protezione. Ulteriori informazioni su Microsoft.com/cybersecurity.
Mostra note e collegamenti
Ricerca Forrester: sicurezza informatica
Una guida CISO per guidare il cambiamento di Jinan Budge, Forrester Research
La necessità di una sicurezza cloud completa, un'intervista con Stephanie Balaouras, su YouTube
Trascrizione completa
Lauro Ruma: Da MIT Technology Review, sono Laurel Ruma e questo è Business Lab, lo spettacolo che aiuta i leader aziendali a dare un senso alle nuove tecnologie che escono dal laboratorio e nel mercato.
Le minacce alla sicurezza sono ovunque. Ecco perché Microsoft Security ha oltre 3.500 esperti di criminalità informatica che monitorano costantemente le minacce per proteggere la tua azienda. Maggiori informazioni su microsoft.com/cybersecurity.
Il nostro argomento oggi è la sicurezza informatica e più specificamente il ruolo del Chief Information Security Officer, il CISO. Esamineremo anche le notizie sulla sicurezza informatica del 2019 e guarderemo avanti alle tendenze della sicurezza informatica per il 2020. Una parola per te: Deepfakes. La mia ospite è Stephanie Balaouras che è un'analista di sicurezza informatica e ha parlato con migliaia di clienti nei suoi quasi 15 anni di ricerca Forrester. Stephanie è vicepresidente e direttrice del gruppo per la ricerca sulla sicurezza e sui rischi, nonché la ricerca sulle infrastrutture e le operazioni. Stephanie, grazie mille per aver parlato con me su Business Lab.
Stefania Balaoura: Grazie.
Alloro: Tanto per cominciare, nel 2017 Forester ha pubblicato un rapporto di Jeff Pollard, un membro del vostro team, sui percorsi di carriera dei CISO, i Chief Information Security Officer. E mi piace particolarmente parlare di questo ruolo perché è così nuovo per le C-suite nel mondo degli affari. Se Citibank ha nominato il primo CISO in assoluto, nel 1995, è una storia davvero recente. Ma se ogni azienda è anche un'azienda tecnologica, perché non tutte le aziende hanno un CISO?
Stefania: Se guardi alla storia di altri ruoli, come penso che il primo CMO, chief marketing officer sia stato negli anni '50, avevi ancora aziende 20, 30 anni dopo senza un CMO. Quindi, quando questi ruoli emergenti iniziano per la prima volta, ci vuole del tempo prima che diventino la norma. Ma dirò che ogni azienda dovrebbe davvero avere un CISO. Le società quotate in borsa devono avere un CISO. Ma quello che troveremo spesso è che, a seconda delle dimensioni dell'azienda, a volte se la cavano chiamando il CIO anche il CISO o anche qualche altro dirigente IT il CISO. Quindi è abbastanza comune con le aziende più piccole: se la caveranno senza avere un ruolo autonomo.
Ma scoprirai anche che se hanno una violazione o una sorta di grave problema di sicurezza informatica o anche una grave violazione della conformità correlata alla sicurezza dei dati, la prima cosa che faranno è nominare un CISO dedicato. E poi anche le aziende che hanno un CISO dedicato, quando hanno una violazione, molte volte quello che succede è che si rendono conto che il CISO non ha riportato abbastanza in alto nell'organizzazione o non aveva il giusto intervallo di responsabilità o un budget sufficiente o abbastanza persone. Allora lo risolveranno. Il nome CISO dovrebbe essere un requisito, ma direi che anche le aziende che hanno un CISO dovrebbero dare un'occhiata a quanto in alto nell'organizzazione segnalano. Hanno il budget giusto? Hanno abbastanza personale? Hai dato loro il giusto intervallo di controllo?
Alloro: Perché è una soluzione costosa, vero?
Stefania: Si, esattamente.
Alloro: Solo dopo un attacco, dobbiamo guardare i ruoli e le responsabilità sotto una nuova luce, in una luce più responsabile?
Stefania: Esattamente.
Alloro: Quindi, se il CISO perfetto è un po' un uomo d'affari che può parlare direttamente con l'amministratore delegato, spiegare la necessità di sicurezza e mitigazione del rischio, ma anche parlare con i clienti forse così come con altri dipendenti e parlare di sicurezza e di come è questo ruolo importante per l'azienda. Da dove vengono queste persone? Dove stanno ricevendo tutta questa istruzione?
Stefania: Quando abbiamo esaminato i percorsi di carriera di CISO, abbiamo scoperto che la maggior parte di loro è uscita dai ranghi della sicurezza. Quindi in genere hanno iniziato come professionisti della sicurezza. Hanno maturato decenni di esperienza nel ruolo. Ma quello che abbiamo scoperto spesso è che la maggior parte di loro spesso tornava per laurearsi e in realtà andavano dopo una laurea in economia. Spesso ricevevano MBA, ed era perché avevano bisogno di soddisfare entrambi questi requisiti, ovvero sì, sono un dirigente tecnologico, ma allo stesso tempo sono un dirigente tecnologico che in una grande azienda riporta al consiglio di amministrazione su base trimestrale o riporta direttamente al CIO o direttamente al CEO. Quindi è sicuramente una combinazione di istruzione ed esperienza.
Direi che le università stanno facendo un lavoro migliore nel fornire diplomi universitari e laureati in sicurezza delle informazioni. Ci sono alcune aree in cui sono incredibilmente deboli, come la sicurezza delle applicazioni non viene insegnata bene a livello universitario, se non del tutto. È fatto davvero male. L'altra cosa su cui prenderò in considerazione le università è che non stanno facendo un buon lavoro nel reclutare donne nei programmi universitari e post-laurea. C'è un enorme divario di competenze e un problema di personale nella sicurezza, e in Forrester ci piace dire che è in gran parte autoinflitto perché non stiamo reclutando metà della popolazione e non stiamo reclutando persone di diversa estrazione. Abbiamo questo tipo di individuo da cui reclutiamo, e poi siamo scioccati quando non riusciamo a trovare abbastanza persone con questo set di abilità molto ristretto, quindi.
Alloro: Sì, il rapporto dice che nove CISO su 10 sono maschi.
Stefania: Esatto, esatto. Non abbiamo ancora guardato alla fine del 2019, ma negli ultimi due anni è stato vero. E se guardi anche al personale, è peggio del settore della sicurezza generale. Circa l'11% del personale di sicurezza è composto da donne. È peggio dell'IT generale. Anche l'IT generale ha un problema, ma è più compreso tra il 20% e il 30%, quindi la sicurezza è ancora peggiore.
Alloro: Quindi, quando parliamo di mancanza di diversità nella sicurezza in generale, come stanno cercando di rispondere le aziende? Vedi qualche azienda in particolare che mostra le migliori pratiche?
Stefania: Ci sono sicuramente alcune buone pratiche. In realtà, ho visto molti fornitori, come i grandi fornitori di tecnologia, in realtà collaborano con le università e in realtà collaborano anche a livello di scuola superiore. Ad esempio, con le Girl Scouts of America, per promuovere effettivamente programmi che entusiasmino e interessino le ragazze alla sicurezza informatica sin dalla più tenera età e poi vogliano continuare a seguirla a livello universitario e universitario. In un certo numero di università, ci sono programmi di borse di studio piuttosto aggressivi.
E poi c'è anche solo molta introspezione che sta accadendo a livello aziendale in cui guardiamo alla cultura dei team di sicurezza. Osserviamo molte delle rotte tradizionali da cui reclutiamo, che sono le conferenze dominate dagli uomini o ancora, abbiamo queste descrizioni di lavoro che enfatizzano molta esperienza militare come esempio. Quindi è un po' come ampliare l'apertura delle persone che recluteranno nel settore della sicurezza, la volontà di sviluppare le proprie competenze e fare un lavoro molto migliore nel riempire effettivamente la canalizzazione, riempiendo la pipeline effettiva a lungo termine.
Ma al tuo punto, diversi team prendono decisioni migliori e, a lungo termine, hanno prestazioni migliori. E poi la seconda cosa che direi è che ci sono così tanti posti di lavoro aperti nella sicurezza, non solo negli Stati Uniti, ma anche a livello globale. È anche un problema di matematica. Non ricopriremo queste posizioni aperte se non assumiamo da metà della popolazione.
Alloro: Inoltre, sembrava che non molti talenti della sicurezza fossero necessariamente promossi dall'interno. Nei rapporti di Forrester, sembrava che avessi più probabilità di ricevere una promozione se andassi in un'altra azienda. Le aziende stanno riesaminando i propri talenti?
Stefania: Questo è effettivamente vero sia a livello individuale che a livello CISO. Quindi abbiamo scoperto tra i Fortune 500 che i CISO per la prima volta erano rari e non venivano promossi dall'interno. Quindi vorrebbero assumere esternamente per CISO e volevano CISO che avessero una precedente esperienza come CISO. E in realtà se sei una persona nella sicurezza, quindi significa che se vuoi essere promosso in CISO, la tua migliore opportunità è in realtà guardare all'esterno, al di fuori della tua azienda. E abbiamo anche scoperto che quando le aziende assumevano CISO esternamente invece di promuoverli dall'interno, era più probabile che facessero rapporto ai livelli più alti dell'organizzazione. Quindi sì, a livello di CISO, le aziende potrebbero fare un lavoro migliore guardando all'interno e dando a quelle persone la giusta opportunità di fare rapporto più in alto nell'organizzazione.
Ma abbiamo anche riscontrato cose simili a livello di manager e di singolo collaboratore, ovvero che non assumevano dall'interno dell'azienda o quando assumevano persone, non offrivano loro buoni percorsi di carriera e sviluppo continuo delle competenze. Quindi, ancora una volta, se quelle persone volevano davvero promuovere la loro carriera, la maggior parte di loro ha finito per andarsene. Ecco perché diciamo che gran parte delle competenze e delle sfide relative al personale sono completamente autoinflitte.
Alloro: Quindi è un po' un punto cieco su cui probabilmente tutti potrebbero fare un po' meglio, giusto?
Stefania: Esattamente. Sì.
Alloro: Stavo leggendo questo rapporto del Ponemon Institute e questa frase in particolare mi è saltata in mente e mentre stavamo parlando del CISO e che tipo di persona avrebbe svolto quel ruolo in primo luogo e l'esperienza che hanno avuto, più di un semplice curriculum, è anche il tuo atteggiamento e la tua capacità di agire molto rapidamente e in modo molto intelligente e anche di comunicare molto bene. Ma la citazione era, e sto parafrasando un po' qui, che la tecnologia ha trasformato l'era di Internet in un periodo di miracoli crudeli per i professionisti della sicurezza. Tutti i nostri miracoli crudeli sono che abbiamo dispositivi in ogni tasca. Possiamo andare ovunque, possiamo parlare con chiunque in qualsiasi momento, e possiamo farlo alla velocità di un fulmine, ma allo stesso tempo se sei un CISO, come metti al sicuro tutto?
Stefania: Destra. Sì. Tutti questi dispositivi che estendono le quattro mura dell'azienda, stanno sostanzialmente estendendo la superficie di attacco dell'organizzazione. Quindi, per i CISO, è stata una sorta di allontanamento da un tradizionale approccio alla sicurezza basato sul perimetro e in realtà ha adottato più un approccio alla sicurezza incentrato sui dati e sull'applicazione, e direi anche incentrato sull'identità.
Non che la rete non sia importante, la sicurezza della rete è estremamente importante, ma è più l'approccio alla sicurezza basato sul perimetro che è cambiato radicalmente. Quindi di nuovo, dove non ci sono vere quattro mura della società. Il perimetro è in realtà molto più piccolo. Quindi tendiamo a pensare a enclavi sicure. Come posso costruire un micro perimetro attorno alle nostre risorse più importanti?
Quando parliamo di una rete estesa di tutti i tipi di dispositivi come hai menzionato o dell'ambiente informatico stesso, che potrebbe essere una combinazione di cloud privato in hosting, cloud, host e ogni sua variazione e qualsiasi tipo di popolazione di utenti che interagisce con i sistemi ei dati aziendali. Potrebbero essere i tuoi stessi dipendenti, potrebbero essere consumatori e clienti, potrebbero essere partner di terze parti. Quindi, quando si pensa ai dispositivi, alle popolazioni di utenti e ai diversi modelli di elaborazione, non esiste un perimetro. Quindi l'attenzione si concentra sulla protezione dei dati stessi indipendentemente da dove viaggiano e indipendentemente dal modello di hosting o dalla posizione. Davvero, davvero, dare un'occhiata all'identità. Quindi limitando e imponendo rigorosamente l'accesso, sia umano che non umano. Quindi ribalta in qualche modo il tradizionale paradigma della sicurezza. Ti allontani da perimetro-centrico a dati e identità-centrico.
Questo è ciò che in genere consigliamo ai CISO. E lo chiamiamo il modello di sicurezza zero-trust, ovvero presupponi di avere già una violazione e non presumi mai fiducia nel tuo ambiente. Dai sempre per scontato che qualcosa stia andando storto da qualche parte, ma funziona. Forse non è l'effetto più positivo del mondo, tipo, oh, zero trust, ma funziona. È molto efficace.
L'altra cosa che direi è che incoraggerei davvero i produttori di tutti questi dispositivi, sensori IoT, dispositivi IoT, tutto ciò a cui puoi pensare a fare davvero un lavoro migliore per costruire la sicurezza nel dispositivo stesso fin dall'inizio. Ciò renderebbe sicuramente il lavoro del CISO molto più semplice. È così frustrante. È anche in gran parte fuori dal loro controllo.
Alloro: Destra? Beh, soprattutto-
Stefania: Fatta eccezione per i CISO che lavorano effettivamente nelle società di prodotti. Dovresti essere coinvolto nello sviluppo del prodotto. Dovresti consigliare l'organizzazione.
Alloro: Ed è interessante perché la sicurezza non viene sempre prima di tutto, vero?
Stefania: No.
Alloro: Soprattutto quando ti occupi di design del prodotto. Quindi vedi che succede spesso? I CISO sono effettivamente coinvolti attivamente nella progettazione del prodotto?
Stefania: Non ad oggi, purtroppo, ma è qualcosa che consigliamo. E direi che alcuni CISO non lo vedono necessariamente come il loro ruolo tradizionale, poiché il loro ruolo tradizionale è stato quello di proteggere i sistemi back-end di registrazione e infrastruttura e i dati dell'azienda e non necessariamente essere coinvolti nello sviluppo, ma in realtà siamo attivamente incoraggiare i CISO a essere coinvolti nella progettazione e nello sviluppo del prodotto per aiutare davvero l'organizzazione a proteggere ciò che vendi. Quindi, qualunque cosa tu vendi, qualunque sia il servizio che stai offrendo a un consumatore, un paziente, un cittadino, un'altra società, se sei un'organizzazione B2B, attivamente coinvolta nella protezione di ciò che vendi.
Alloro: E questo è certamente un fattore di differenziazione competitivo, non è vero?
Stefania: Sì, assolutamente. Assolutamente. Abbiamo riscontrato che la sicurezza, così come la privacy, che non sono sinonimi, ma a volte vanno di pari passo, creano una differenziazione competitiva per le aziende.
Alloro: Sì. E questo è un importante elemento di differenziazione, e tutto il rumore che esce. Quindi, se c'è qualcosa di molto specifico che puoi commercializzare, sarebbe buono. Ma stiamo anche parlando del fatto che il CISO abbia davvero un ruolo attivo in tutto. Quindi devi essere questa persona multi-talento in grado di parlare e capire il prodotto oltre ad essere in giro per la comunità, giusto? Tutto allo stesso tempo condividendo, ma non condividendo, i segreti aziendali e il modo in cui difendi i dati perché c'è questa idea, soprattutto nella comunità tecnologica, dove condividi le tue migliori pratiche e ciò da cui hai imparato. E mi chiedevo solo un po', come fanno i CISO a condividere effettivamente ma non a condividere tutto?
Stefania: Sì, c'è quella sfida. Molti CISO sono molto restii a parlare di dettagli sulle loro implementazioni e non vedo necessariamente che cambi a breve. A volte, però, in gruppi più piccoli, ci sono molte comunità che supportano i CISO. In realtà, in Forester, abbiamo un gruppo di networking tra pari di circa 100 CISO. Ci sono tutti i tipi di ISAC e comunità di condivisione dell'intelligence tra come CISO che sono specifici del settore. Così spesso nelle comunità unite dove c'è la consapevolezza che tutto è sotto NDA, dove c'è franchezza, dove ci sono alcune relazioni personali, i CISO condivideranno molto di più. Ma ho trovato CISO disposti a parlare di strategia generale. Quando ho menzionato il passaggio da approcci basati sul perimetro a quelli incentrati sui dati e sull'identità. Parliamo di cultura. La cultura è in realtà estremamente importante, non solo al CISO ma anche per il resto dell'organizzazione della sicurezza.
Perché hai bisogno di un'organizzazione che disponga del giusto tipo di personale che possa effettivamente parlare con gli sviluppatori e partecipare allo sviluppo di applicazioni sicure, che possa lavorare con i team operativi e dell'infrastruttura per proteggere le implementazioni cloud. Ciò potrebbe effettivamente funzionare con i team di marketing per aiutarli a comprendere le implicazioni sulla privacy di come potrebbero personalizzare servizi, dati e annunci per i consumatori. Quindi è necessario che anche il team di sicurezza stesso, non solo il CISO, sia esplicito e schietto, collaborativo e disposto a inserirsi nel core business e nei processi IT dell'intera organizzazione. Quindi parleranno di cultura, parleranno di personale, parleranno anche del tipo di competenze richieste. Vediamo sicuramente dei cambiamenti lì.
Alloro: E anche l'azienda deve essere disposta a consentire alla sicurezza di chiudere il cerchio su questa idea, ma non solo sul prodotto, ma anche su tutti gli altri. Quindi marketing, pensiero, ancora, sicurezza prima o sicurezza ad un certo punto. Come fai allora questa conversazione, così tutti sono un po' istruiti? Non devi essere un esperto di sicurezza se sei nel marketing, ma devi essere disposto ad ascoltare.
Stefania: Molte volte i CISO raccontavano le storie e tutto era rovina e oscurità. Penso che adottare un approccio molto più basato sul rischio in cui aiuti l'azienda a comprendere i rischi futuri e li aiuti semplicemente a capire sia la probabilità che l'impatto e consigliandoli su come prendere le decisioni giuste, come passare da quel dipartimento di no a più di quello consultivo ruolo penso aiuta. Più diventi quell'esperto consultivo in materia, penso che potrai portare con te il resto dell'organizzazione. Penso che sia di grande aiuto e in qualche modo varia in base al set di abilità CISO su quanto sono bravi a farlo. Penso che ogni volta che puoi anche mettere le cose in termini commerciali positivi, questo aiuta.
C'era un analista nel mio team che ha scritto questo rapporto, si chiamava sicurezza a scopo di lucro e in esso ha delineato i modi in cui la sicurezza potrebbe potenzialmente essere un generatore di entrate per l'azienda. Ancora una volta, potrebbero essere caratteristiche a valore aggiunto che le persone erano disposte a pagare di più, o potrebbe diventare un elemento di differenziazione competitivo in un prodotto o servizio che offri. Quindi potrebbe effettivamente contribuire alla linea superiore. E poi ha anche delineato tutti i modi che possono effettivamente far risparmiare denaro all'azienda oltre all'elusione delle violazioni e all'elusione delle multe di conformità.
Ci sono tutti i modi in cui, se si esegue correttamente la sicurezza, può effettivamente migliorare notevolmente l'esperienza dei dipendenti e ridurre i costi operativi all'interno dell'azienda. L'identità è uno degli esempi più grandi, quando si pensa all'onboarding di un dipendente e alla capacità di automatizzare tutti i modi in cui si dà loro accesso ai sistemi di cui hanno bisogno. Reimpostazione delle password. Voglio dire, ci sono così tanti frutti a basso costo in cui puoi rendere la vita dei dipendenti più facile, ma in realtà stai davvero riducendo i costi pesanti.
Alloro: Sì. Ed è sicuramente qualcosa a cui non pensi, ma sei sicuramente frustrato quando devi rifare la tua password e ci vuole un'eternità e/o devi andare su un sistema diverso e bla, bla, bla. Ma quel tipo di razionalizzazione non è solo dal punto di vista della sicurezza, ma, come hai detto, è dal punto di vista di tutti semplificare la vita, che è ciò che alla fine ogni dipendente desidera.
Stefania: Sì.
Alloro: Quindi, come fanno i CISO a rimanere al passo con le ultime tendenze? Voglio dire, conferenze, quei piccoli gruppi con cui parlano?
Stefania: Sì, penso che facciano le loro ricerche, sia che si tratti di pubblicazioni come la tua, di aziende come Forrester, e anche dell'altro grande tipo di società di consulenza strategica. Fanno le loro ricerche però. Invieranno spesso il loro personale a molte conferenze. E poi penso che anche quei gruppi di rete tra pari aiutino notevolmente. Ma è difficile stare al passo con ogni singola tendenza possibile. Quindi penso che sia sempre d'aiuto avere anche una sorta di consulenza esterna, per informarti sulle minacce emergenti, sui rischi emergenti, sulla conformità emergente e sulle normative che stanno accadendo in tutto il mondo.
Alloro: Sì, e poi, proprio come hai detto tu, avere quel gruppo di pari per stabilire fiducia e una sorta di trasparenza condividendo le migliori pratiche e ascoltando solo varie storie, anche se è da un amico che ho sentito, per trasmettere quegli avvertimenti a varie organizzazioni e persone. A proposito, a parte questi gruppi di pari, c'è molta cooperazione tra governo e imprese? Ne stai vedendo di più o le persone praticamente rimangono nella loro corsia perché ci sono altri conflitti di cui preoccuparsi con aziende e governi?
Stefania: Sì. Negli Stati Uniti e in altri paesi come il Regno Unito, se sei considerato un'industria di infrastrutture critiche, dovrai avere stretti rapporti con i funzionari del governo federale. Se ti trovi in un'infrastruttura critica, voglio dire, ci saranno normative di sicurezza informatica specifiche del settore che devi seguire, sai, se sei nel settore dell'energia. Voglio dire, anche i servizi finanziari sono considerati infrastrutture critiche. Quindi dovrai seguire le linee guida del NIST, ad esempio. Chiunque faccia affari con il governo federale dovrà seguire il NIST.
Non vuoi aspettare per stringere rapporti con il governo federale o agenzie specifiche, come l'FBI. Non vuoi aspettare finché non sospetti qualcosa o hai una violazione. O in molti casi, è il contrario, ovvero hanno rilevato qualcosa, ti stanno avvisando di questo. A volte, non possono offrirti dettagli perché hanno le mani legate come parte di un'indagine più ampia. Quindi puoi effettivamente sviluppare relazioni con molte agenzie del governo federale degli Stati Uniti in anticipo, in modo da poter condividere l'intelligence sulle minacce. O ancora, se qualcosa dovesse davvero accadere, hai già quelle relazioni preesistenti in atto.
Alloro: Sì, e parlando di qualcosa che sta già accadendo e dei piani di preparazione, vedi più aziende sviluppare quei piani di preparazione per, ancora, non se, ma quando vengono hackerati o si verifica un attacco informatico e devono renderlo pubblico?
Stefania: Quindi, con la risposta agli incidenti, c'è una sorta di risposta agli incidenti interna, che è una sorta di tutti i processi che è necessario rilevare, quindi correggere e quindi rispondere. E gran parte della risposta è più quella che chiamiamo una specie di risposta a livello forense: determinare esattamente cosa è successo, rimediare, raccogliere potenzialmente prove forensi se hai deciso che avresti effettivamente intrapreso un'azione legale, a seconda di chi era in seguito . Poi c'è la risposta esterna e hai davvero bisogno di entrambe. Hai davvero bisogno di una risposta agli incidenti, di un processo e di un'iniziativa sofisticati all'interno dell'azienda con esperti dedicati, in particolare se sei una grande impresa.
Ma penso che il punto in cui le aziende spesso cadono davvero sia nella risposta alle violazioni esterne. E ancora, le normative richiedono che se è correlato al consumatore, se si tratta di individui interessati, sei tenuto a notificarlo entro giorni specifici. In molti casi, sono 30 giorni. Sotto GDPR in Europa, sono 72 ore o meno. E abbiamo visto le aziende sbagliare regalmente la risposta alle violazioni esterne, il che significa che erano caute nell'offrire informazioni ai consumatori.
Non voglio prendere di mira le aziende perché incolpare le vittime spesso non è molto utile, ma ho visto aziende che incolpano il consumatore, in un certo senso, dicendo: 'Oh, se avessi una migliore igiene delle password, se stessero monitorando i tuoi account molto più da vicino, questo non avrebbe un impatto così grande.' No. Devi mostrare empatia con i tuoi clienti. Mettili al primo posto. Fai tutto il possibile per proteggerli. Non essere cauto nel condividere le informazioni a causa di problemi di tipo CYA. E in alcuni casi, se lo fai bene, è un'opportunità per non perdere la loro fiducia, ma potenzialmente anche per rafforzarla e costruirla, se li hai messi per primi. Ma puoi davvero rovinare tutto e rendere la violazione molto peggiore del necessario.
Alloro: E questo è solo costato all'azienda ancora più soldi.
Stefania: Esattamente.
Alloro: Quando guardi indietro al 2019 e c'è molto di cui parlare di sicurezza informatica, se guardiamo a tre aree specifiche, prima di tutto ci sono solo attacchi informatici, ma in modo molto specifico su città e comuni. Quindi New Orleans è stata la più recente, alla fine dell'anno, di cui siamo a conoscenza, ma era anche sulla scia di un attacco alla sicurezza informatica dello Stato della Louisiana. Sappiamo che sta succedendo in tutto il paese. Quindi, per porre una domanda molto pesante, perché città e comuni sono presi di mira da attacchi informatici quando non sono necessariamente gli outfit più ben finanziati?
Stefania: Sì. Ecco perché, perché sono facili bersagli. Quindi, se sono anni che sottofinanziano i loro sforzi di sicurezza, è molto più facile penetrare e poi chiedere un riscatto, anche se il riscatto è piccolo.
Alloro: Meglio di niente.
Stefania: Meglio di niente. Questo è in realtà il consenso di gran parte del team, è così che molti di questi governi e municipalità locali, cittadine e statali sono obiettivi così facili perché sono stati sottofinanziati e a corto di personale per anni. E la maggior parte delle volte c'è una motivazione finanziaria, ma ci sono altri tipi di motivazione. Potrebbe essere politico, sociale. Se arrivi a un tipo più ampio di stati o di un'agenzia federale, potresti persino entrare in geopolitica e persino militare in parte della natura.
In realtà, la città di New Orleans, la cosa interessante è che gli aggressori non hanno chiesto un riscatto. Quindi hanno usato il ransomware per disabilitarli. Tutto è stato crittografato e li ha costretti. Penso che stessero sostituendo tonnellate di infrastrutture informatiche. Può essere davvero difficile recuperare dai backup. Lo diciamo in modo così irriverente, come 'Oh, recupera dai tuoi backup'. La maggior parte dei backup completi di errori e la possibilità di eseguire il ripristino da un backup su larga scala è in realtà molto, molto difficile. E chissà quando è stato effettivamente introdotto il ransomware? Quindi stai solo reinstallando il ransomware.
Alloro: Interessante.
Stefania: Ma si. Da quanto ho capito, in realtà non hanno chiesto un riscatto. Quindi la loro motivazione non era finanziaria. Quindi potrebbe essere stato...
Alloro: Solo interruzione.
Stefania: ...solo interruzione per il gusto di farlo.
Alloro: Per vedere se potevano farlo, sì.
Stefania: O abbastanza interessante, ho letto questo articolo in cui ha costretto la città a sostituire una tonnellata di infrastrutture di computer, laptop, desktop, infrastrutture di server. Quindi c'è una parte di me che si chiede: 'Oh, potrebbero essere i dipendenti della città. So come migliorare la città.'
Alloro: Giusto giusto. Forzali.
Stefania: Forzali.
Alloro: Rovinando tutto.
Stefania: Sì. Quindi sono facili bersagli e le motivazioni per l'attacco sono molto varie, penso, quando si tratta di infrastrutture critiche e poi città, stato e governo locale.
Alloro: E non è necessariamente quando viene chiesto un riscatto per scoprire da dove vengono o chi sono o se sono attori di uno stato straniero.
Stefania: Sì, non necessariamente lo sai.
Alloro: Non saprai mai. È solo un'ipotesi.
Stefania: Sì. Quest'anno abbiamo effettivamente pubblicato un rapporto controverso in cui si affermava che, in alcuni casi, le organizzazioni potrebbero voler considerare di pagare il riscatto. Sarò onesto, penso che alle amministrazioni cittadine, statali e locali potrebbe essere vietato pagare il riscatto. Non lo so. Dovrei esaminarlo, ma le società del settore privato, anche se sono sicuro che l'FBI e altre forze dell'ordine preferirebbero che non lo facessero, in alcuni casi potrebbe effettivamente avere un senso. E gli assicuratori informatici direbbero persino che in alcuni casi potrebbe avere senso. E in realtà ci sono aziende specializzate nell'aiutare le aziende a pagare il riscatto. A volte, puoi effettivamente negoziare un riscatto inferiore. È come un baratto. Agiranno come intermediari tra i vari personaggi della compagnia. Ovviamente, li stai pagando in una criptovaluta. Non stai solo trasferendo contanti.
Alloro: Ovviamente.
Stefania: Quindi possono facilitare anche questo. Voglio dire, se guardi alla città di Baltimora, ciò che hanno finito per spendere per riprendersi dall'attacco ransomware è stato probabilmente cento volte di più del riscatto effettivo. Dimentico i numeri, ma la differenza era ridicola.
Alloro: Quindi un consiglio a città e comuni sarebbe quello di guardare effettivamente i tuoi sistemi e cercare di aggiornarli e proteggerli, in qualche modo.
Stefania: Sì. Sicuramente con il ransomware, assicurati che tutti i tuoi sistemi siano aggiornati, con patch. Se osservi gli attacchi di maggior successo, gli attacchi esterni, sfruttano le vulnerabilità e altri tipi di exploit software. Non è niente di speciale. Tutti amano sempre usare attacchi avanzati o attacchi sponsorizzati dallo stato. La realtà è che la maggior parte di questi attacchi ha un budget piuttosto basso, ma è comunque efficace.
L'altra cosa è dare un'occhiata da vicino ai tuoi backup. Non posso enfatizzarlo abbastanza. Le persone trascurano sempre i loro backup. Diventa questo processo IT meccanico che nessuno guarda mai due volte o le persone lo sminuiscono e lo chiamano non importante. Potrebbe essere più importante oggi se non vuoi pagare il riscatto.
****
Alloro: La sicurezza informatica non riguarda solo l'arresto delle minacce che vedi. Si tratta di fermare quelli che non puoi vedere. Ecco perché Microsoft Security impiega oltre 3.500 esperti di criminalità informatica e utilizza l'IA per anticipare, identificare ed eliminare le minacce in modo che tu possa concentrarti sulla crescita del tuo business e Microsoft Security può concentrarsi sulla protezione. Ulteriori informazioni su microsoft.com/cybersecurity.
****
Alloro: Quindi un altro argomento interessante uscito dal 2019 sono state solo le violazioni generali dei dati. Quindi nel 2019 sembrava davvero che, a giorni alterni, qualche azienda o qualcuno annunciasse una violazione dei dati. E poi, secondo Risk Based Security, nel 2019 sono stati esposti oltre sette miliardi di record. Quindi, quando torniamo ai CISO, come stanno realmente rispondendo i CISO e i dirigenti dell'azienda a questo se il 2019 è stato una specie di anno in cui [abbiamo visto così tante] violazioni, in un anno?
Stefania: Sì. Penso che il 2019 sia stato finalmente l'anno della fatica da violazione. Voglio dire, è stato persino difficile per noi tenere il passo con ogni violazione che ha colpito la notizia. Penso che aiuti a metterlo in prospettiva. Non tutte queste violazioni erano un attacco. Molti di loro in realtà erano il risultato di esposizioni accidentali. Quindi, se, ad esempio, hai configurato in modo errato l'archiviazione cloud, in realtà è considerata una violazione, anche se non c'è necessariamente alcuna prova che qualsiasi tipo di terza parte o aggressore o organizzazione esterna abbia effettivamente utilizzato in modo improprio o abusato dei dati. Solo il fatto che qualcuno o internamente o, spesso, sia il ricercatore di sicurezza in realtà che scopre che tutte le informazioni erano meno esposte. Questa è considerata una violazione.
Ma si. Se si considerano le violazioni stesse, il 51% delle aziende ha avuto almeno una violazione nell'ultimo anno. E quel numero è probabilmente più alto perché molte organizzazioni non lo sanno immediatamente. Ma poi, ce ne sono una grande percentuale, in realtà la maggior parte, sono interni, il risultato di incidenti interni, incidenti di terze parti o semplicemente dispositivi smarriti o rubati. E se guardi alle vere violazioni esterne, in cui è stata una parte esterna che ti ha attaccato e ha ottenuto l'accesso ai tuoi dati sensibili, tornando a gran parte del suo budget ridotto, i primi tre vettori di attacco sono stati un attacco diretto alla tua applicazione, sfruttando una vulnerabilità del software o le credenziali dell'utente compromesse.
E tutti e tre, se ci guardi... Odio essere irriverente e dire che è facile da risolvere, ma non richiede necessariamente la tecnologia software più avanzata per affrontarlo, ma è uno sviluppo di applicazioni sicuro. Tornando allo sviluppo e alla progettazione del nostro intero prodotto, è solo assicurarci che le applicazioni che sviluppi e rivolte ai clienti siano sicure in base alla progettazione, che tu crei sicurezza in esse fin dall'inizio. Ciò ridurrà un numero enorme di attacchi diretti alle applicazioni. E poi, una volta che le applicazioni sono state distribuite in produzione, di nuovo, proteggendole con qualsiasi cosa, dai firewall delle applicazioni Web ad altri tipi di misure di sicurezza che avvolgono l'applicazione e le protezioni.
L'altra cosa sono gli exploit software. Così tanti aggressori stanno sfruttando vulnerabilità che non sono state affrontate. Quindi avere un programma di gestione delle vulnerabilità davvero forte, non l'argomento più sexy del mondo, la gestione delle vulnerabilità, ma le aziende in realtà non hanno un buon modo per dare priorità alle vulnerabilità e quindi affrontarle.
Alloro: E questo è un frutto basso.
Stefania: Un frutto così basso. E poi la compromissione delle credenziali utente, l'autenticazione a più fattori.
Alloro: Sì. Vai al tuo telefono. Digita la password. Ci siamo abbastanza abituati, però.
Stefania: Destra. E così tante volte con queste gravi violazioni ... e scrivevamo questo rapporto annuale sulle lezioni apprese ed è diventato quasi noioso perché ho continuato a dare gli stessi consigli più e più volte, come lo sviluppo di app sicure, la gestione delle vulnerabilità, la crittografia di più dati sensibili di cui disponi e quindi autenticazione a due fattori e quindi disporre di un solido programma di rilevamento e risposta agli incidenti. Quindi c'è ancora frutta bassa là fuori. Voglio dire, parliamo così tanto di attacchi avanzati e della superficie di attacco in aumento ed è vero, ma ancora una volta non abbiamo ancora affrontato così tante delle basi.
Alloro: E quelle basi, come hai detto, le scrivi da anni. Pensi che alcuni di questi attacchi più importanti aggiungano colore e forse attirino l'attenzione delle persone in modi che sono disposte a dedicare effettivamente parte del budget IT alla vulnerabilità?
Stefania: Loro fanno. Per quanto riguarda l'autenticazione a più fattori, penso che ora sia diventata una conclusione scontata e una best practice accettata: devi averla in atto. Ci è voluto un po'. Doveva essere una violazione dopo l'altra. Doveva essere l'industria a dire due fattori, due fattori, due fattori. Anche le aziende di tecnologia di consumo che dicono ai loro clienti: 'Attiva due fattori, attiva due fattori'. Quindi penso che più ripetiamo alcune di queste migliori pratiche, più alla fine diventano radicate. Spero che la stessa cosa accada con lo sviluppo di applicazioni sicure.
E poi la gestione delle vulnerabilità, ancora una volta, avere un modo per dare la priorità alle vulnerabilità che devi affrontare è davvero importante. E migliaia di vulnerabilità vengono aggiunte ogni anno al National Vulnerability Database e il 30% di esse è ritenuto critico. Quindi non aiuta. È necessario un processo, internamente, per assegnare un'ulteriore priorità alle vulnerabilità in base al proprio contesto aziendale, al contesto IT e al proprio ambiente di minaccia per aiutare a correggere il sistema.
Alloro: Perché altrimenti è solo...
Stefania: Sarebbe travolgente.
Alloro: Così travolgente.
Stefania: Sì.
Alloro: Penso che le banche e il settore bancario siano uno dei settori che forzano l'autenticazione a due fattori, su tutta la linea. Vedi qualche settore in particolare che lo fa con la protezione di applicazioni o la creazione di app sicure?
Stefania: Creazione di app sicure, chi penso possa essere in testa? Questa è una buona domanda. Non so se qualche altro settore si distingue davvero. Di recente abbiamo redatto questo rapporto sulla sicurezza dello stato dell'applicazione ed è stato abbastanza aperto per gli occhi, oltre che triste. Non è stato un rapporto di benessere. E poi ne abbiamo realizzato una versione specifica del settore in cui abbiamo filtrato i dati che avevamo dal governo. E il governo federale era anche peggio del settore privato, quindi è piuttosto preoccupante. Penso che i settori che forse mi preoccupano di più sarebbero l'assistenza sanitaria e il governo.
Alloro: E quelli sono due che la maggior parte delle persone probabilmente usa più regolarmente di quasi ogni altra cosa.
Stefania: Destra.
Alloro: Sì. Quella sanitaria non è affatto una piccola preoccupazione. L'idea di dati ospedalieri, dati personali, ma anche PII [informazioni di identificazione personale] e solo accesso a sistemi e macchine. È tutto un problema? Quando tutto è un problema, come si dà effettivamente la priorità se si è un istituto sanitario?
Stefania: Sì. Penso che con l'assistenza sanitaria, per molto tempo, gran parte dell'enfasi sia stata posta sul rispetto dell'HIPAA. Parlando di specifico per gli Stati Uniti. Negli Stati Uniti, c'era così tanta enfasi sul rispetto dell'HIPAA che persino i CISO erano incentrati sull'HIPAA piuttosto che sulla vera sicurezza informatica. Quindi storicamente, abbiamo spesso riscontrato che, sfortunatamente, l'assistenza sanitaria ha speso meno di altri settori per la sicurezza. E ancora, se avevano un CISO, spesso scoprivamo che non aveva rapporti sufficientemente alti nell'organizzazione o aveva il giusto intervallo di controllo. Questo sta cambiando. Penso che anche l'assistenza sanitaria stia lottando, anche se stanno affrontando alcuni dei problemi storici di budget che avevano, è un settore che sta lottando con i costi. Se hai un dollaro da spendere per un sistema clinico rispetto alla sicurezza informatica, è una scelta davvero difficile, in particolare negli Stati Uniti dove spendiamo così tanto per l'assistenza sanitaria, ma abbiamo ancora i peggiori risultati sanitari di tutte le nazioni sviluppate. Questa è la vera lotta è che la sicurezza richiede una discreta quantità di budget per fare bene.
Sì. Quindi l'assistenza sanitaria, questo è ciò che mi preoccupa è che sono dietro ad altri settori in termini di maturità generale, ma penso che questo stia cambiando. Penso che la prossima area che probabilmente mi preoccupa all'interno dell'assistenza sanitaria sarebbe la sicurezza dei dispositivi medici e la sicurezza delle applicazioni.
Alloro: Sì, è un argomento completamente diverso, spaventoso, giusto? Bene, quindi, infine, quello a cui stavo pensando dal 2019 è che questo argomento è ampio e vasto, ma anche molto importante per la maggior parte delle aziende che producono effettivamente un articolo fisico o spediscono cose da un luogo all'altro, ovvero attacchi alla sicurezza della catena di approvvigionamento. Se la catena di approvvigionamento di un'azienda è così lunga e complicata, non stiamo parlando solo di proteggere, sì, i tuoi locali fisici o il cloud. È anche il prodotto. Da dove viene spedito, dove va e poi anche i fornitori.
Stefania: I componenti.
Alloro: I componenti e i fornitori con cui lavori.
Stefania: Sì. Penso che molto di questo inizierà con il rischio complessivo di terze parti. Rischio di terze parti e rischio della catena di approvvigionamento, voglio dire, la catena di approvvigionamento è una sorta di sottoinsieme del rischio complessivo di terze parti. In generale, direi che il rischio di terze parti è stata una delle prime cinque sfide di cui molti dei nostri clienti CISO ci parlano negli ultimi anni. Ancora una volta, se si osservano i dati sulle violazioni, quasi un buon 25%-30%, da qualche parte in quella gamma di violazioni sono il risultato di terze parti. E una tipica grande impresa potrebbe avere fino a 300 relazioni di terze parti quando si sommano non solo i fornitori, ma poi si pensa ai fornitori di servizi IT, ai fornitori di servizi cloud. Una volta ho fatto un'analisi dell'impatto aziendale in cui stavo facendo l'inventario di tutte le relazioni di terze parti per un'organizzazione davvero di medie dimensioni, un migliaio di dipendenti. E ho trovato circa 30 relazioni di terze parti di cui l'organizzazione IT non sapeva nulla.
Alloro: Oh, vabbè.
Stefania: E così ora lo porti in una grande impresa. Quindi penso che molto tornerà se puoi iniziare con il programma di rischio di terze parti principale. Uno, ne hai uno? La sicurezza è inclusa nel rischio di terze parti? Hanno capacità di veto sulle relazioni di terze parti? E non è solo una valutazione una tantum di terze parti della posizione di sicurezza. È anche una relazione continua in cui le rivalutate periodicamente. Ci sono molti requisiti da definire come accordi sul livello di servizio sulla sicurezza con terze parti. Quindi tutto inizia con la gestione del rischio di terze parti di base. E poi penso che si estenderà anche al rischio della catena di approvvigionamento.
Alloro: E probabilmente lo vedrai come con le persone o le aziende che esibiscono davvero le migliori pratiche. Lo spingono a valle a tutti i loro fornitori. Quindi, se prevedi di lavorare con noi, dovrai seguire queste procedure.
Stefania: Esattamente.
Alloro: OK.
Stefania: Esattamente. Sì. Volevo scrivere questo rapporto da un po', che è, per il successo aziendale a lungo termine, agire come una società di violazione. Le aziende che hanno effettivamente subito mega violazioni e in qualche modo sono sopravvissute alle conseguenze iniziali, dopo circa cinque anni continuano ad avere risultati aziendali che spesso supereranno l'S&P 500. E se torni indietro e guardi molto di ciò che hanno fatto, li costringe a prendere decisioni sia per affari davvero difficili che per IT e sicurezza. Quindi, dal punto di vista del business, li costringerà a ridefinire le priorità di molte delle loro iniziative strategiche perché la violazione ha finito per costare loro $ 300 milioni, $ 500 milioni, persino $ 1 miliardo. Quindi li costringe a impegnarsi molto di più per guardare alla loro strategia aziendale complessiva e alle loro operazioni commerciali perché semplicemente non hanno i soldi da spendere per tutto. O in alcuni casi devono liberarsi da decisioni sbagliate in cui continuavano a versare denaro.
Dal punto di vista IT, li vedremo implementare cose che avrebbero dovuto fare da sempre. Rischio di terzi. Una società che aveva commesso una violazione ha detto che dopo la violazione, sai, non potresti comprare una matita senza...
Alloro: Approvazione.
Stefania: Approvazione. E non vuoi necessariamente arrivare a quell'estremo, ma era chiaro che non avevano alcun rischio di terze parti in anticipo. Oppure assumeranno il CSO o cambieranno il luogo in cui il CSO segnala, inizieranno a finanziare i programmi di risposta agli incidenti e di risposta alle violazioni. Quindi, la violazione li costringe effettivamente a essere un'azienda molto più matura e migliore. È solo un peccato che abbiano dovuto attraversare la breccia per arrivarci.
Alloro: Per arrivarci. Immagino che sia probabilmente ciò che ogni azienda a un certo punto dovrebbe considerare, stiamo davvero facendo tutto ciò che dovremmo essere nel modo giusto? Qual è lo stato delle cose, lo stato dell'azienda? e dare un'occhiata. Ma sono sicuro che anche questo non ti renderebbe molto popolare se fosse solo un esercizio.
Stefania: Sì.
Alloro: Se subisci una terribile violazione della sicurezza, allora hai una scusa. Quindi torniamo all'intera faccenda in cui quando succede qualcosa di terribile, ora hai una scusa per...
Stefania: Penso che le valutazioni della maturità aiutino lì. Voglio dire, ci sono molte valutazioni di maturità specifiche del settore per la sicurezza informatica. In Forrester, abbiamo le nostre valutazioni della maturità. Quindi, scopriamo spesso che i clienti lo utilizzeranno come base, quindi possono andare al consiglio di amministrazione e andare dai loro dirigenti aziendali e IT e dire: 'Guarda, rispetto alle migliori pratiche del settore, ecco dove siamo maturi , ed è proprio qui che siamo deboli.' E poi questo li aiuta anche a iniziare a creare tabelle di marcia simili e quindi a giustificare i finanziamenti per iniziative specifiche perché puoi dire che migliorerà la nostra maturità da 1,5 a 3. E questo è davvero, per il nostro settore, dobbiamo essere almeno un 3 in questa zona.
Quindi penso al tuo punto, prendendo quella linea di base rispetto alle migliori pratiche del settore e scegliere una valutazione della maturità, sai, quella di Forrester, di qualche altra società di consulenza. Ma stabilisci la tua posizione di sicurezza, comunica i risultati, collabora con le aziende per stabilire obiettivi realistici su dove dovresti essere come azienda e settore. E poi questo guida davvero la tua tabella di marcia e molti dei tuoi finanziamenti. Quindi ti dà come un vero nord a cui puntare.
Alloro: E ti mette sulla strada per avere la sicurezza come elemento di differenziazione.
Stefania: Esattamente.
Alloro: Sì. Quindi nel 2020 probabilmente ne vedremo di più. Ma qualche aggiunta più preoccupante. Abbiamo solo brevemente toccato la geopolitica. La fine dell'anno ci ha mostrato una strada un po' accidentata con l'Iran in particolare. Quindi, quanto pensi che le aziende medie siano preoccupate per la geopolitica, o che sia solo un cattivo attore che si fa strada per rafforzare la sicurezza?
Stefania: In realtà avevamo scritto questo rapporto di nuovo, voglio dire inizialmente nel 2016, ed era per i CISO. E il titolo era Ignora il rischio geopolitico a tuo rischio. Ed era proprio questa idea che i CISO avevano davvero bisogno di svegliarsi alle implicazioni sulla sicurezza informatica del rischio geopolitico. Quindi, sì, è l'Iran oggi. Potrebbe essere un altro paese in futuro. Anche se pensi che, oh, non sono al governo, non sono in infrastrutture critiche, le organizzazioni del settore privato sono prese di mira tutto il tempo. Ancora una volta, in alcuni casi perché sono facili bersagli, perché fai affari con il governo federale.
Quindi devi preoccuparti del rischio geopolitico. E ancora, per molte grandi imprese in cui sei multinazionale, devi pensare a come influisce sui tuoi dipendenti, sui tuoi uffici, sulle terze parti con cui fai affari. Quindi, come se le OSC non avessero abbastanza da fare, devono tenere conto del rischio geopolitico. Come aumenta il rischio? Li rende più un bersaglio? In realtà, abbastanza interessante, se guardi alcune delle violazioni, conosci Marriott per esempio. Inno, non ricordo se è stato circa tre anni fa. Non avrebbero pensato di essere gli obiettivi di uno stato nazionale, ma erano i loro dati che volevano.
Alloro: Ovviamente. E quel tipo di nomi di tendoni sono più a rischio o davvero è solo, sì, hai degli ottimi dati?
Stefania: Penso che fosse meno del nome e più, in quei casi particolari, sui dati che avevano. Sai, nel caso di Marriott, avevano informazioni incredibilmente dettagliate sulle abitudini di viaggio dei dipendenti governativi e degli alti funzionari. Penso che in alcuni casi avessero persino copie dei loro numeri di passaporto come parte dei dati sensibili che sono stati compromessi.
Nel caso di Anthem, hai informazioni mediche sensibili sugli individui. Devi pensare al rischio geopolitico e a come uno stato nazionale potrebbe essere in grado di utilizzare i tuoi dati.
Alloro: C'è sicuramente molto lì. Ma per quanto riguarda la politica interna e il rischio? Il 2020 è un anno elettorale. Ma oltre alla sicurezza delle urne, quale altro tipo di gruppi e campagne di interesse speciale potrebbero raccogliere dati che potrebbero essere presi di mira?
Stefania: Sì, voglio dire, è interessante. Bene, ancora una volta, la capacità di prendere di mira gli elettori è molto potente. Quindi, di nuovo, se sei un'organizzazione di consumatori che ha informazioni molto dettagliate su individui come preferenze, Mi piace, abitudini. Potrebbe non essere necessariamente utilizzato per scopi nefasti come il furto di identità. Ma ancora una volta, potrebbe essere utilizzato da qualcuno che vuole prendere di mira e influenzare quegli individui. Quindi posso sicuramente vedere, ancora una volta, se sei un'azienda di consumatori che ha dati incredibilmente dettagliati su preferenze, comportamenti di acquisto, atteggiamenti, tutto ciò sarebbe sicuramente maturo per il targeting.
Alloro: Oltre ad attacchi come i deepfake, giusto?
Stefania: Sì.
Alloro: Quindi diresti che i deepfake sono come il nuovo phishing o è solo un assaggio di phishing?
Stefania: Gusto. È una specie della prossima evoluzione dell'ingegneria sociale. Come se l'ingegneria sociale non fosse abbastanza difficile da affrontare, ora dobbiamo fare i conti anche con i deepfake. E mi sembra che con i deepfake siano maturati molto più rapidamente di quanto l'industria si aspettasse. Voglio dire, ricordo di aver letto e ascoltato podcast ed esperti che dicevano: 'Oh, sai, siamo ancora lontani anni da deepfake che possono davvero ingannare gli esperti'. E mi sento come se quella linea temporale fosse lontana.
Alloro: Modo accelerato.
Stefania: Modo accelerato.
Alloro: Quindi Forrester ha questo fantastico rapporto chiamato Predictions 2020 e la previsione è che i deepfake costeranno alle aziende più di un quarto di $ 1 miliardo il prossimo anno. Quindi, la tecnologia sta accelerando, ma anche l'impatto e il danno lo sono.
Stefania: Sì, corretto. E penso che proprio come una tipica violazione, ci siano i costi immediati. Quindi, se pensi ai tuoi tipici attacchi di ingegneria sociale. Proprio di recente è stata una società tedesca che qualcuno è stato effettivamente in grado di fingere in modo convincente la voce del CEO e hanno convinto un altro dirigente all'interno dell'azienda a trasferire loro qualcosa come un quarto di milione di dollari. Quindi, c'è un esempio della tua prossima evoluzione di compromissione aziendale e attacchi di ingegneria sociale. Quindi puoi immaginare che sia ancora più sofisticato, su scala più ampia, ma poi deve anche affrontare le sue ricadute. Dimostrare che si trattava di un deepfake, affrontare la risposta alla violazione, come gestirla. Il costo totale pensiamo sicuramente potrebbe essere significativo.
Alloro: È qualcosa che le compagnie assicurative sono pronte a gestire o possono gestire?
Stefania: Abbastanza interessante, quell'esempio che ho appena dato, quindi è un deepfake, tutto è successo sull'infrastruttura informatica. Sarebbe considerato una frode al contrario di un attacco esterno. Quindi non sono sicuro che la tua assicurazione informatica lo coprirebbe davvero.
Alloro: Oh.
Stefania: E so che molte aziende lo fanno come parte della loro risposta. Si presume che una buona parte di esso sarà coperta. Per una grande impresa, non è raro avere una polizza assicurativa informatica da 100 milioni di dollari. Quindi, se stai puntando sulla possibilità di utilizzare quei $ 100 milioni, a seconda della natura di ciò che è successo esattamente. Se è classificato come frode, potrebbero non coprirlo.
Alloro: Cosa potrebbero fare i dirigenti? Torna alle password segrete e alle strette di mano o...
Stefania: Sì, scherzi a parte. Se in quelle istanze di bonifico bancario o qualsiasi altra cosa che coinvolge dati sensibili, avere quel secondo fattore, l'autenticazione, penso che in realtà sia davvero importante.
Alloro: Interessante. Ovviamente deepfake, molta tecnologia in rapido movimento, tutto si sta muovendo e sta diventando molto più sofisticato. Quindi, non stiamo parlando solo dei bravi ragazzi che hanno accesso a tutta la tecnologia. Lo fanno anche i cattivi. Quindi cosa stiamo guardando in un'altra previsione di Forrester sull'intelligenza artificiale armata e sull'apprendimento automatico? È un argomento ampio, ma con una tecnologia in così rapida evoluzione e tutti hanno accesso agli stessi strumenti, c'è una corsa agli armamenti in corso, o è solo che dobbiamo prenderci cura l'uno dell'altro e farlo?
Stefania: Penso che siano entrambi. Voglio dire, la sicurezza è una corsa agli armamenti perenne. Dirò, penso che i team di sicurezza debbano abbracciare l'apprendimento automatico e altri tipi di intelligenza artificiale molto rapidamente. Veloce come lo sono i cattivi. Voglio dire, ci sono enormi opportunità per automatizzare molti dei nostri processi principali all'interno della sicurezza. Tutto, dal rilevamento alla correzione fino alla risposta effettiva.
Utilizzo dell'apprendimento automatico per migliorare le capacità di rilevamento. Quindi immagina se fossimo in grado di rilevare qualcosa più rapidamente e quindi molto più della nostra risposta fosse automatizzata. In questo momento, molto di ciò che facciamo è molto manuale. Il manuale del rilevamento, come lo sono spesso i team di sicurezza, come se guardi un tipico SOC, voglio dire che sono inondati da migliaia di avvisi. Cercare di dare un senso a quali avvisi sono più importanti di altri è difficile. Quindi, ancora una volta, è una specie di priorità. Come capire immediatamente quali sono veramente nefasti e pericolosi è fondamentale. E potresti assumere tutte le persone che vuoi. Non saresti mai in grado di stargli dietro.
Alloro: Destra.
Stefania: Quindi hai davvero bisogno della tecnologia per farlo per te. Ma poi una volta che sai che qualcosa è veramente dannoso, di nuovo, in questo momento è un processo manuale che viene avviato, ovvero dovresti reimpostare manualmente le password dell'utente. Dovresti isolare manualmente i dispositivi dalla rete. Tutto viene eseguito manualmente e in alcuni casi abbiamo ancora molti passaggi in cui chiediamo l'approvazione. In futuro, tutto ciò accadrebbe automaticamente. Avresti bisogno che un'azienda lavorasse con te per dire: 'OK, d'ora in poi se raggiunge una certa soglia, se siamo sicuri al 90% che si tratti di un danno, allora il team di sicurezza, tutti i processi sono automatizzati'. Tutto ciò che ho appena descritto come il ripristino delle password, l'isolamento dei dispositivi, tutto ciò può avvenire automaticamente. Non devi aspettare l'approvazione di nessuno.
Alloro: E il tempo è essenziale?
Stefania: Sì, quindi dobbiamo parlare di aziende che devono sottoporsi alla trasformazione digitale per soddisfare le aspettative dei nuovi clienti e le mutevoli esigenze aziendali. Penso che i team di sicurezza debbano subire la propria trasformazione digitale, perché tutto ciò che facciamo oggi è così manuale e richiede molto tempo. E se vogliamo tenere il passo con i criminali informatici che sfruttano queste tecnologie, dobbiamo farlo prima piuttosto che dopo.
C'era questa azienda che utilizzava algoritmi di apprendimento automatico per indirizzare le persone con messaggi di ingegneria sociale più sofisticati ed è stata in grado di aumentare non solo il numero totale di persone che erano in grado di ingegnerizzare socialmente, ma il successo dei clickthrough in modo esponenziale con l'apprendimento automatico e tecnologie di automazione. Quindi sì, dobbiamo tenere il passo.
Alloro: Diresti che ci sono altre tendenze particolari che stai guardando per il 2020 o cose che le persone dovrebbero tenere d'occhio?
Stefania: In realtà penso che il rischio di terze parti e la catena di approvvigionamento continueranno a essere un grosso problema. E questa è in realtà un'altra area a causa delle dimensioni del problema. Quando parlo di un'impresa che ha 300 relazioni con terze parti, è solo una media. Ci sono grandi aziende con un numero ancora maggiore di quello, ed è molto dispendioso in termini di tempo valutare la posizione, negoziare SLA, continuare a valutarli, tenerne d'occhio, ottenere registri da loro in modo da capire dove si trovano i tuoi dati. Quindi la sola sfida del rischio di terze parti ha bisogno di un proprio insieme di strumenti di automazione e regole della catena di approvvigionamento. Penso che la trasformazione del SOC continuerà a essere un problema nel 2019.
Alloro: Il centro operativo di sicurezza?
Stefania: Il centro operativo di sicurezza. Come se non avessimo competenze e carenza di personale. Anche se potessi assumere tutte le persone che vuoi, non puoi stare al passo con la portata e la sfida dei problemi. Quindi devi adottare l'automazione anche lì.
Alloro: Vedi le aziende che adottano l'automazione prima forse nella sicurezza, dove potrebbero essere state più titubanti in altre parti dell'azienda?
Stefania: Sì. E per molto tempo c'è stata una riluttanza ad adottare l'automazione, perché c'era questa paura che potessi bloccare una transazione commerciale legittima. E sai, storicamente, il team di sicurezza ha lottato per essere visto come un partner commerciale. Erano il dipartimento di n. E quindi c'era questa paura temuta di bloccare potenzialmente qualsiasi tipo di transazione commerciale legittima. Penso che quella paura sia scomparsa ora date tutte le violazioni che abbiamo. L'attività è tipo 'No, sai che qualcosa è dannoso, lo blocchi'.
Alloro: Destra.
Stefania: 'O con una certa sicurezza, pensi che sia dannoso, lo blocchi.' Quindi, c'è sicuramente un'apertura all'automazione. Dirò, c'è questa frase come non automatizzare lo stupido. Non puoi semplicemente investire in una tecnologia di automazione se non hai processi fondamentali nel tuo SOC. Quindi, devi maturare le tue operazioni SOC e disporre di processi maturi e quindi puoi automatizzarli. Altrimenti, stai solo automatizzando stupido. E in alcuni casi anche, ecco perché molte aziende si rivolgono ai servizi gestiti.
La stragrande maggioranza del budget per la sicurezza è attualmente spesa per i servizi. Che si tratti di consulenza, servizi gestiti professionali o sicurezza effettivamente fornita come servizio dal cloud. Si è spostato dai prodotti on-premise ai servizi. E penso che parte di ciò rifletta la necessità che i team di sicurezza abbiano bisogno di aiuto esterno. Hanno un problema di portata, hanno un problema di competenza, quindi si rivolgono sempre più ai servizi. E poi, man mano che l'azienda diventa sempre più basata sul cloud, anche le tue tecnologie di sicurezza devono diventare basate sul cloud.
Alloro: E rapidamente.
Stefania: Esattamente.
Alloro: Sì. E questo sicuramente torna al punto di partenza, non andare da solo. Non puoi fare tutto questo da solo nel deserto.
Stefania: Sicuramente no.
Alloro: Grazie mille, Stephanie. È stato fantastico averti oggi nel Business Lab.
Stefania: Grazie per avermi. È stato bello essere qui.
Alloro: Era Stephanie Balaouras, vicepresidente e direttrice del gruppo per la ricerca sulla sicurezza e sui rischi, nonché la ricerca sulle infrastrutture e le operazioni presso Forrester Research, con la quale ho parlato da Cambridge, Massachusetts, sede del MIT e della MIT Technology Review, affacciata sul fiume Charles. Inoltre, grazie al nostro partner, Microsoft Security.
Questo è tutto per questo episodio del Business Lab. Sono la tua ospite, Laurel Ruma. Sono il direttore di Insights, la divisione di pubblicazione personalizzata di MIT Technology Review. Siamo stati fondati nel 1899 presso il Massachusetts Institute of Technology e puoi trovarci anche in stampa, sul web, a dozzine di eventi dal vivo ogni anno. Per ulteriori informazioni su di noi e sullo spettacolo, visita il nostro sito Web, TechnologyReview.com. Questo programma è disponibile ovunque tu abbia i tuoi podcast. Se ti è piaciuto questo episodio, speriamo che ti prenderai un momento per valutarci e recensirci. Business Lab è una produzione di MIT Technology Review. Questo episodio è stato prodotto da Collective Next. Grazie per aver ascoltato.
Le minacce alla sicurezza sono ovunque. Ecco perché Microsoft Security ha oltre 3.500 esperti di criminalità informatica che monitorano costantemente le minacce per proteggere la tua azienda. Maggiori informazioni su Microsoft.com/cybersecurity.