CISO Insider: Utgave 1

Etter COVID-19 har organisasjoner i økende grad vært avhengige av fleksibilitet på arbeidsplassen og en fremskyndet digital transformasjon, og disse endringene har naturligvis krevd noen endringer i sikkerhetstaktikken også. Perimeteren er utvidet og stadig mer hybrid og spenner seg over flere skyer og plattformer. Selv om ny teknologi har vært en velsignelse for mange organisasjoner og har gjort det mulig med produktivitet og vekst selv i utfordrende tider, har skiftet også bydd på en mulighet for nettkriminelle, som prøver å utnytte sårbarhetene i stadig mer komplekse digitale miljøer.

Økningen i phishing-angrep knyttet til fjernarbeid er en av de største bekymringene for sikkerhetsekspertene jeg snakker med – og vi ser dette gjenspeilet i forskningen. I en Microsoft-undersøkelse av sikkerhetsledere utført i 2020 sa 55 prosent at organisasjonene deres hadde sett en økning i phishing-angrep siden begynnelsen av pandemien, og 88 prosent sa at phishing-angrep hadde berørt organisasjonen. Jeg hørte også jevnlig om stadig flere løsepengevirusangrep, den konstante trusselen fra skadelig programvare, og hvordan kompromitterte identiteter er en stadig og alvorlig utfordring for sikkerhetsteamene.

I tillegg vet vi at angrep fra nasjonalstater er stadig mer aggressive og vedvarende. NOBELIUM-angrepet på forsyningskjedersom utnyttet SolarWinds-plattformen, var en av de mange nye angrepene som har laget overskrifter det siste året. Mens det ofte er fancy nye teknikker som havner i nyhetene, forteller informasjonssikkerhetsledere meg stadig at selv disse avanserte trusselaktørene, i likhet med de fleste nettkriminelle, har en tendens til å konsentrere seg om angrep med høyt utbytte og lave kostnader når anledningen byr seg.

For å illustrere dette punktet ytterligere: Vi har sett en økning i angrep fra nasjonalstater med passordspray. Å være sikkerhetsleder dreier seg om å håndtere risiko og prioritere, og mange ledere forteller meg at de prioriterer å styrke cyberhygienen for å forhindre de vanligste angrepene, særlig på tvers av det stadig større digitale fotavtrykket. Og våre data og forskning støtter denne oppfatningen – vi anslår at grunnleggende sikkerhetshygiene fortsatt beskytter mot 98 prosent av angrep (se side 124 i Microsoft-rapport om digitalt forsvar, oktober 2021).

Du tenker kanskje at det er lett å snakke om grunnleggende sikkerhetstrinn, men det er mye vanskeligere å innføre dem i virkeligheten, særlig når teamet er overarbeidet og underbemannet. Men jeg vil påstå at å være sikkerhetsleder er å håndtere både risiko og prioritering, og da er den pragmatiske tilnærmingen å fokusere på det grunnleggende. Altfor ofte er ikke sikkerhetshendelser et spørsmål om HVIS, men NÅR. Det finnes hundrevis av skremmende statistikk over cybersikkerhet, for eksempel at 4000 nettkriminelle angrep utføres hver dag bare i USA, og at mer enn 30 000 nettsteder verden rundt hackes daglig.

Jeg mener det beste forsvaret er å bruke en balansert tilnærming og investere i oppdagelse og svar sammen med forebygging.

Selv om det kan virke vanskelig å investere i nye forekomster av forebygging samtidig med å prøve å holde tritt med økende krav til oppdagelse og svar, er det både viktige og nyttig å finne den riktige balansen mellom de to. En undersøkelse utført av Ponemon Institute og IBM Security i 2021 avdekket at for organisasjoner uten noe team for svar på hendelser eller en plan på plass endte databrudd med å koste 55 prosent mer. Sikkerhetsteam som kan balansere solid forebygging med en strategi som omfatter svar på hendelser og investering i verktøy for oppdagelse og utbedring, stiller sterkt når det uunngåelige skjer.

Vi har alle hørt om den store oppsigelsen. Over 40 prosent av den globale arbeidsstyrken vurderer å sutte i jobben i år, og sikkerhetsledere og teamene er allerede underbemannet. Jeg snakker ofte med informasjonssikkerhetsledere om hvordan ting går generelt, og en av de største bekymringene er hvordan de skal ha råd til, finne og beholde de beste ekspertene. Og hvis en ekspert slutter, må de enten finne en ny ekspert eller øke kompetansen til dem som er igjen. Mer effektiv, integrert og automatisert teknologi kan hjelpe, men det er ikke på langt nær nok.

Sikkerhetstermer har blitt en del av hverdagsspråket nå som cyberangrep ofte omtales i nyhetene – og disse angrepene (og nyhetene om dem) kan ha stor innvirkning på et selskap. Men gjett hva! Det er ikke bare dårlig nytt. Siden cybersikkerhet har blitt et vanlig tema i alle områder av en organisasjon, hører vi at «sikkerheten er alles jobb» begynner å gi gjenlyd i organisasjoner. Det er særlig nye modeller for hybridarbeid og sikkerhetsperimetere som utfordres på alle slags måter, som gjør at sikkerhetsledere i stadig større grad er avhengige av nyskapende måter å sørge for sikkerheten for alle på, selv med mangel på eksperter og kompetansehull. Det dreier seg ikke om «å gjøre mer med mindre», men «å gjøre mer med noe annet» for nytenkende sikkerhetsledere nå til dags.

Det finnes ikke noe positivt med mangel på talent og kompetanse, men det finnes et lite lysglimt: å skape en sikkerhetskultur har blitt en realitet. Mange informasjonssikkerhetsledere forteller oss at en av de mest effektive måtene å angripe sikkerhetsutfordringer blant bemanningsproblemer på, er å utvikle en sikkerhetskultur der sikkerhet er alles jobb. Informasjonssikkerhetsledere går i økende grad inn for denne ideen om at hele organisasjonen kan ta ansvaret for sikkerhet, særlig når de står overfor bemanningsproblemer eller budsjettbegrensninger.

Utviklingsteam, systemadministratorer og, ja, sluttbrukere, må forstå sikkerhetspolicyene som angår dem. Det er viktig å dele informasjon, og sikkerhetsteam finner stadig nye måter å samarbeide med utviklere, administratorer og forretningsprosesseiere på for å forstå risiko og utvikle policyer og prosedyrer som gagner hele organisasjonen.

Mangel på eksperter og kompetansehull (særlig i cybersikkerhetsyrket, som stadig er i endring) betyr at informasjonssikkerhetsledere må se etter nye og innovative måter komme i forkant på. Én strategi vi stadig hører om, er utviklingen av «utnevnelse» av ansatte utenfor sikkerhetsteamet. Informasjonssikkerhetsledere ønsker å utnytte hele organisasjonen med særlig fokus på å lære opp sluttbrukere til å bli en del av løsningen og utvikle støtte fra nærliggende team.

En styrking og forbedring av sluttbrukernes kunnskaper om sikkerhetstrusler – for eksempel å sørge for at de forstår phishing og tegnene på diskré angrep – kan langt på vei øke rekkevidden til sikkerhetsteamets øyne og ører, særlig som en «spydspisstrategi» der sluttbrukere ofte er inngangspunktet for et angrep. Jeg sier ikke at sluttbrukere på magisk vis kan læres opp til å fange opp alt, men å ha forberedte og årvåkne brukere kan dramatisk redusere belastingen på sikkerhetsteamene.

En annen strategi er å utnevne IT som en del av sikkerheten. Å holde IT-teamet tett knyttet til sikkerhetsteamet og sørge for at IT-teamet er orientert om sikkerhetsstrategier hjelper mange sikkerhetsledere med å utvide oppdraget til alle områder i organisasjonen.

Veiledning og hjelp med automatisering og andre proaktive strategier for arbeidsflyt og oppgavestyring er en grunnleggende måte som informasjonssikkerhetsledere utvider teamene og utnytter IT på til å sikre en solid sikkerhetsstatus.

All Microsoft-forskning det er henvist til, bruker uavhengige forskningsfirmaer til å kontakte sikkerhetseksperter for både kvantitative og kvalitative undersøkelser, som sørger for personvernet og høy analytisk standard. Sitater og resultater inkludert i dette dokumentet er, med mindre annet er spesifisert, et resultat av forskningsundersøkelser for Microsoft.