CISO Insider: 1. väljaanne

COVID-19 on nõudnud organisatsioonidelt suuremat sõltuvust töökoha paindlikkusest ja digitaalse ümberkujundamise kiirendamist – ja need muudatused on loomulikult nõudnud ka mõningaid muudatusi turbetaktikates. Perimeeter on laienenud ja on üha enam hübriidne, hõlmates mitut pilve ja platvormi. Kuigi uued tehnoloogiad on olnud õnnistuseks paljudele organisatsioonidele, võimaldades tootlikkust ja kasvu ka keerulistel aegadel, on muutused andnud võimaluse ka küberkurjategijatele, kes töötavad selle nimel, et kasutada ära üha keerulisemaks muutuvas digitaalkeskkonnas leiduvaid haavatavusi.

Kaugtööga seotud andmepüügirünnete arvu suurenemine on turbespetsialistide jaoks, kellega ma räägin, kõige olulisem – ja me näeme, et see kajastub ka meie uurimistöös. 2020. aastal läbi viidud Microsofti turbejuhtide küsitluses ütles 55 protsenti, et nende organisatsioon on pandeemia algusest alates tuvastanud andmepüügirünnete arvu suurenemise ja 88 protsenti vastas, et andmepüügiründed on mõjutanud nende organisatsiooni. Samuti kuulen regulaarselt lunavararünnete arvu suurenemisest, sellest, kuidas pahavara jääb püsivaks ohuks ja kuidas identiteedimurre on jätkuvalt suur väljakutse, mis vaevab turbemeeskondi.

Lisaks teame, et riiklikult mahitatud ründed on järjest agressiivsemad ja püsivamad. NOBELIUMi tarneahela rünne, mis kasutas SolarWindsi platvormi, oli üks paljudest uudsetest rünnetest, mis on viimasel aastal meediapealkirjades silma paistnud. Kui uudistes torkavad silma eelkõige uued säravad tehnikad, räägivad CISO-d mulle järjekindlalt, et isegi kõrgetasemelised küberohustajad, enamik küberkurjategijaid, keskenduvad pigem odavatele ja väärtuslikele ründevõimalustele.

Selle punkti täiendavaks illustreerimiseksoleme näinud paroolipihustusrünnakuid kasutavate riiklikult mahitatud ründajate arvu kasvu. Turbejuhiks olemine tähendab riskide haldamist ja prioriteetide seadmist - ja paljud juhid ütlevad meile, et nende küberhügieeni tugevdamine, et vältida kõige levinumaid ründeliike, eriti nende kasvava digitaalse jalajälje puhul, on nende peamine prioriteet. Ja meie andmed ja uuringud toetavad seda seisukohta – meie hinnangul kaitseb elementaarne turbehügieen endiselt 98 protsendi rünnete eest (vt lk 124 Microsoft Digital Defense Report, oktoober 2021).

Võib-olla arvate, et fundamentaalsetest turbemeetmetest on lihtne rääkida, kuid palju raskem neid reaalses elus rakendada, eriti kui meeskond on üle töötanud ja töötajaid vähe. Kuid ma väidan, et turbejuhiks olemine tähendab nii riskide haldamist kui ka prioriteetide seadmist – ja see muudab põhialustele keskendumise kindlalt pragmaatiliseks lähenemisviisiks. Liiga sageli pole turbeintsidentide küsimus KAS, vaid MILLAL. Ainuüksi USA-s on iga päev sadumurettekitavaid küberjulgeolekujuhtumeid, näiteks umbes 4000 küberrünnet ja iga päev häkitakse üle 30 000 veebisaidile üle maailma.

Usun, et parim kaitseviis on tasakaalustatud lähenemine ja investeerimine intsidentide avastamisse ning neile reageerimisse koos ennetustööga.

Kuigi võib tunduda keeruline investeerida ennetuse uutesse tasemetesse, püüdes samas pidada sammu üha kasvavate tuvastamis- ja reageerimisnõuetega, on nende kahe pingutuse vahel õige tasakaalu leidmine oluline ja kasulik. 2021. aasta Ponemoni Instituudi ja IBMi turbeuuringusleiti, et organisatsioonide puhul, kellel ei olnud intsidentidele reageerimise meeskonda ega plaani, suurenesid andmetega seotud murded keskmiselt 55 protsenti. Turbemeeskonnad, kes suudavad tasakaalustada kindlat ennetamist strateegiaga, mis hõlmab intsidentidele reageerimist ning investeeringuid tuvastamis- ja kahjutustamisvahenditesse, on hästi positsioneeritud vältimatusega toimetulemiseks.

Oleme kõik kuulnud suurest töölt lahkumisest. Üle 40 protsendi ülemaailmsest tööjõust kaalub sel aastal oma tööandja juurest lahkumistning turbejuhid ja nende meeskonnad tunnevad juba tööjõupuudust. Räägin sageli CISO-dega, kuidas asjad üldiselt lähevad, ning tipptalentide pakkumine, leidmine ja hoidmine on nende üks peamisi muresid. Ja kui tipptalendid lahkuvad, seisavad nad silmitsi kas uute tipptalentide leidmisega või allesjäänute oskuste parandamisega. Tõhusam, integreeritud ja automatiseeritud tehnoloogia võib aidata, kuid sellest ei piisa.

Turvalisuse moesõnad on muutunud igapäevaseks kõnepruugiks, kuna küberründed ilmuvad regulaarselt uudistes – ja need ründed (ja uudised nende kohta) võivad ettevõtet sügavalt mõjutada. Meil on teile hea uudis! See pole üldse halb. Arvestades, et küberturvalisus on muutunud tuttavaks teemaks kõigis organisatsiooni valdkondades, on kuulda, et mõte „turvalisus on igaühe teha“ hakkab organisatsioonides üha rohkem kõlama. Eelkõige uute hübriidsete töömudelite ja turbeperimeetrite muutmise korral kõikvõimalikel uutel viisidel – turbejuhid toetuvad üha enam uuenduslikele viisidele, et hoida kõiki turvaliselt, isegi kui neil on talentide ja oskuste puudujääk. Tänapäeval uuenduslikud turbejuhid mitte ei „tee vähemaga rohkem”, vaid „teevad teistsugustega rohkem”.

Kuigi talentide ja oskuste nappus pole kindlasti positiivne, on siin ka väike valguskiir – turbekultuuri loomine on saamas reaalsuseks. Paljud CISO-d räägivad meile, et üks tõhusamaid viise oma turbeprobleemide lahendamiseks keset personaliprobleeme on luua turbekultuur, kus turvalisus on igaühe töö. CISO-d toetavad üha enam seda arusaama, et kogu organisatsioon võib turvalisuse eest vastutada, eriti kui neil on personalipuudus või rahastamisprobleemid.

Arendusmeeskonnad, süsteemiadministraatorid ja jah, lõppkasutajad peavad mõistma nendega seotud turbepoliitikaid. Teabe jagamine on ülioluline ning turbemeeskonnad leiavad üha enam uusi viise, kuidas töötada koos arendajate, administraatorite ja äriprotsesside omanikega, et mõista riske ning töötada välja poliitikad ja protseduurid, millest on kasu kogu organisatsioonile.

Talendipuudus ja lüngad oskustes (eriti pidevalt muutuvas küberturvalisuse ametis) on pannud CISO-d otsima uusi ja uuenduslikke viise, kuidas ajaga sammu pidada. Üks strateegia, millest me jätkuvalt kuuleme, on sagenev väljaspool turbemeeskonda olevate töötajate kaasamine. CISO-d soovivad kogu organisatsiooni võimendada, keskendudes eelkõige lõppkasutajate koolitamisele, et nad saaksid osa lahendusest, ja külgnevate meeskondade toe loomisele.

Lõppkasutajate turbeohtude alaste teadmiste suurendamine ja täiendamine – näiteks andmepüügi ja vaevumärgatavate rünnete märkide mõistmise tagamine – aitab oluliselt suurendada turbemeeskonna silmi ja kõrvu, eriti „löögirühma“ strateegia puhul, kus lõppkasutajad on sageli ründe sisenemispunktiks. Ma ei ütle, et lõppkasutajaid saab võluväel õpetada kõike tabama, kuid kasutajate ettevalmistamine ja hoiatamine võib oluliselt vähendada turbemeeskondade koormust.

Teine strateegia on muuta IT turbe osaks. IT-meeskonna hoidmine turbemeeskonnaga tihedalt seotuna ja IT teavitamine turbestrateegiatest aitab paljudel turbejuhtidel laiendada oma missiooni organisatsiooni kõikidele valdkondadele.

Juhiste ja abi pakkumine automatiseerimise ning muude ennetava töövoogude ja ülesannete haldamise strateegiate kohta on oluline viis, kuidas CISO-d laiendavad oma meeskondi ja kasutavad IT-d, et tagada kindel turbeseisund.

Kõik viidatud Microsofti uuringud kasutavad nii kvantitatiivsete kui ka kvalitatiivsete uuringute jaoks turbespetsialistidega ühenduse võtmiseks sõltumatuid uuringufirmasid, tagades privaatsuse kaitse ja analüütilise ranguse. Selles dokumendis sisalduvad tsitaadid ja järeldused on Microsofti uurimistöö tulemus, kui pole teisiti märgitud.