CISO Insider: 1. udgave

COVID-19 har krævet, at organisationer måtte øge afhængigheden af fleksibilitet på arbejdspladsen og sætte fart på digital transformation – og disse ændringer har naturligvis krævet nogle ændringer med hensyn til sikkerhedstaktik. Perimeteren har udvidet sig og er stadigt mere hybrid ved at spænde over flere clouds og platforme. Selvom nye teknologier har været en stor gevinst for mange organisationer ved at muliggøre produktivitet og vækst selv i udfordrende tider, har forandringerne også givet en mulighed for cyberkriminelle, som arbejder på at udnytte sårbarhederne i stadigt mere komplekse digitale miljøer.

Stigningen i phishingangreb med relation til fjernarbejde er noget, de sikkerhedsfagfolk, jeg taler med, ofte tænker på – og noget vi også har set afspejlet i vores research. I en Microsoft-undersøgelse af sikkerhedsledere, der blev udført i 2020, fortalte 55 procent os, at deres organisationer havde registreret en stigning i phishingangreb siden pandemiens begyndelse, og 88 procent sagde, at phishingangreb havde påvirket deres organisationer. Jeg hører også jævnligt om stigende ransomwareangreb, hvordan malware forbliver en konsekvent trussel, og hvordan kompromittering af identiteter fortsætter med at være en større udfordring, der plager sikkerhedsteams.

Derudover ved vi, at angreb fra nationalstater er stadigt mere aggressive og vedholdende. NOBELIUM-forsyningskædeangrebet, der gjorde brug af SolarWinds-platformen, var en af de mange nye angreb, der har skrevet overskrifter i det seneste år. Selvom spændende nye teknikker er det, der ofte fange nyhedscyklussen, fortæller CISO'er mig regelmæssigt, at selv disse avancerede trusselsaktører, som de fleste cyberkriminelle har en tendens til at fokusere på muligheder for angreb med lave omkostninger og høj værdi.

For at illustrere denne pointe lidt mere: Vi har set en stigning i nationalstatsangriberes brug af password spray-angreb. At være en sikkerhedsleder handler om at administrere risiko og prioritet – og mange ledere fortæller mig, at bestyrkelse af cyberhygiejne med henblik på at forebygge de mest almindelige angrebsveje, særligt på tværs af deres stigende digitale aftryk, er deres vigtigste prioritet. Og vores data og research understøtter dette synspunkt – vi anslår, at grundlæggende sikkerhedshygiejne stadig beskytter mod 98 % af angreb (se side 124 i Microsoft-rapport over digitalt forsvar, oktober 2021).

Du mener måske, at det er nemt at tale om grundlæggende sikkerhedstrin, men meget sværere at implementere dem i den virkelige verden, særligt når et team er overbebyrdet og underbemandet. Men jeg vil hævde, at det at være en sikkerhedsleder handler om at håndtere både risiko og prioritering – og der gør fokus på det grundlæggende til en særdeles pragmatisk tilgang. Alt for ofte er sikkerhedshændelser ikke et spørgsmål om HVIS men HVORNÅR. Der findes hundredvis af alarmerende cybersikkerhedsstatistikker, f.eks. om cirka 4.000 cyberkriminalitetsangreb, der udføres hver dag blot i USA, og mere end 30.000 websteder der dagligt hackes verden over.

Jeg tor på, at den bedste forsvarslinje er at tage en balanceret tilgang og investere i hændelsesregistrering og respons sammen med forebyggelse.

Selvom det kan virke svært af investere i nye forebyggelsesniveauer, mens du stadig forsøger at holde trit med stigende krav til registrering og respons, er det at finde den rigtige balance mellem de to indsatser både afgørende og gavnligt. En Ponemon Institute- og IBM Security-undersøgelse fra 2021 fandt frem til, at organisationer uden et hændelsesresponsteam eller en fastlagt plan så den gennemsnitlige omkostning ved databrud stige med 55 procent. Sikkerhedsteams, som kan balancere stærk forebyggelse med en strategi, der inkluderer svar på hændelse og investeringer i registrerings- og afhjælpningsværktøjer, vil være godt positioneret til at klare det, der vil komme.

Vi har alle hørt om The Great Resignation. Over 40 procent af den globale arbejdsstyrke overvejer at forlade deres arbejdsgiver i år – og sikkerhedsledere og deres teams føler sig allerede underbemandede. Jeg taler ofte med CISO'er om, hvordan tingene går generelt, og det at have råd til, finde og fastholde førende talenter er en af deres største bekymringer. Og hivs førende talenter forlader virksomheden, står de over for enten at skulle finde nye førende talenter eller opkvalificere dem, der er tilbage. Mere effektiv, integreret og automatiseret teknologi kan hjælpe, men der er langt fra nok.

Sikkerheds-buzzwords er blevet en del af hverdagssproget, nu hvor cyberangreb jævnligt viser sig i nyhederne – og disse angreb (og nyhederne om dem) kan påvirke en økonomi kraftigt. Men gæt engang! Det er ikke alt sammen dårlige nyheder. Eftersom cybersikkerhed er blevet et velkendt emne på tværs af alle områder i en organisation, hører vi, at konceptet "sikkerhed er alles job" begynder at give genlyd på tværs af organisationer. Særligt med nye hybridarbejdsmodeller og sikkerhedsparametre, der føres ind på mange nye måder, gør sikkerhedsledere nu i stigende grad brug af innovative metoder til at holde alle sikre, selv hvis de mangler talenter og færdigheder. Ikke at "udrette mere med mindre", men at "udrette mere med noget andet" – det er det innovative sikkerhedsledere koncentrerer sig om i disse dage.

Selvom mangel på talenter og færdigheder bestemt ikke er noget positivt, er der et lille lysglimt – skabelsen af en sikkerhedskultur bliver en realitet. Mange CISO'er fortæller os, at en af de mest effektive måder at adressere deres sikkerhedsudfordringer på midt i bemandingsudfordringer, er at opbygge en sikkerhedskultur, hvor sikkerhed er alles job. CISO'er er generelt fortalere for denne idé om, at hele organisationen kan tage ansvar for sikkerhed, særligt eftersom de står foran personalemangel eller finansieringsudfordringer.

Udviklingsteams, systemadministratorer, og ja, også slutbrugere, skal forstå de sikkerhedspolitikker, der har relation til dem. Deling af oplysninger er grundlæggende, og sikkerhedsteams finder stadigt nye måder, hvorpå de samarbejder med udviklere, administratorer og forretningsprocesejere for at forstå risici og udvikle politikker og procedurer, der gavner hele organisationen.

Talentmangel og manglende færdigheder (særligt i cybersikkerhedsprofessionen, der undergår konstant forandring) får CISO'er til at lede efter nye og innovative måder, hvorpå de kan være et skridt foran. En strategi, vi fortsætter med at høre om, er en fremvoksende "inddragelse" af medarbejdere, der ikke er fra sikkerhedsteamet. CISO'er søger særligt at benytte hele organisationen, med fokus på oplæring af slutbrugere til at være en del af løsningen og at opbygge support fra tilstødende teams.

Boost og forbedring af slutbrugerkendskab til sikkerhedstrusler – f.eks. sikring af, at de forstår phishing og tegnene på diskrete angreb – rækker langt i forhold til at give sikkerhedsteamet folk i marken, særligt som en "spydspidsstrategi", hvor slutbrugere ofte er indgangspunktet for et angreb. Jeg siger ikke, at slutbrugere på magisk vis kan oplæres til at fange alt, men når slutbrugerne er forberedte og årvågne, kan det drastisk reducere sikkerhedsteamets belastning.

En anden strategi er at involvere it som en del af sikkerhed. Når it-teamet holdes nært forbundet til sikkerhedsteamet, og det sikres, at it-teamet er orienteret om sikkerhedsstrategier, hjælper det mange sikkerhedsledere med at udvide deres mission til alle organisationens områder.

En grundlæggende måde, hvorpå CISO'er udvider deres teams og gør brug at it til at hjælpe med at sikre et robust sikkerhedsniveau, er at give vejledning og hjælp til automation og andre proaktive arbejdsproces- og opgavestyringsstrategier.

Al citeret Microsoft-research gør brug af uafhængige researchfirmaer til at kontakte sikkerhedsfagfolk i både kvantitative og kvalitative undersøgelser, hvor der tages hånd om beskyttelse af personlige oplysninger og analytisk grundighed. Citaterne og resultaterne, der er inkluderet i dette dokument, er, med mindre andet er angivet, et resultat af Microsoft-researchundersøgelser.