Rozmowa, którą CISO musi przeprowadzić z zarządem na temat oprogramowania wymuszającego okup

Trzy rzeczy, które każdy CISO powinien mówić swojemu zarządowi

1. To rozmowa o ryzyku biznesowym, a nie tylko o ryzyku dla bezpieczeństwa.

Oprogramowanie wymuszające okup to jednocześnie ryzyko operacyjne, finansowe, reputacyjne i dla ciągłości działania. Zarządy już rozumieją ryzyko dla łańcucha dostaw i rynku. Oprogramowanie wymuszające okup nie jest tu wyjątkiem. Gdy spojrzą na to w ten sposób, pytanie zmienia się z „jak szybciej odzyskać sprawność” na „jak ograniczyć ekspozycję, zanim dojdzie do zakłócenia”. Oba są ważne. Ale tylko jedno zmienia ekonomię ataku.

Ekosystem oprogramowania wymuszające okup działa dziś z wydajnością dojrzałego rynku — ze współdzieloną infrastrukturą, wyspecjalizowanymi dostawcami usług i technikami obsługiwanymi przez AI obniżającymi koszty atakujących na każdym etapie. Zakłócenie przez firmę Microsoft działalności grupy Fox Tempest wyraźnie to ilustruje. To nie było źródło oprogramowania wymuszającego okup. To była współdzielona infrastruktura, z której korzystały setki operacji przestępczych w celu sprawienia, by złośliwe ładunki wyglądały na wiarygodne. Zwalczenie jej osłabiło jednocześnie możliwości całego ekosystemu. Obrońcy muszą działać tak samo, czyli uderzać we współdzieloną infrastrukturę atakujących u źródła, a nie reagować dopiero w miejscu ataku.

Organizacje, które chcą wyprzedzić to zagrożenie, stawiają na ochronę tożsamości, wykrywanie brokerów dostępu, widoczność ścieżek ataku i stałą analizę, która umożliwia przerwanie ataku, zanim zostanie wdrożone oprogramowanie wymuszające okup — obok inwestycji w odporność, które zapewniają odzyskiwanie sprawności, jeśli do tego dojdzie.

Każda organizacja stanie się celem. Różnica nie polega na tym, czy dojdzie do włamania, ale na tym, czy organizacja będzie mogła ograniczyć zakłócenia, utrzymać ciągłość działania i odzyskać sprawność bez katastrofalnego wpływu na prowadzoną działalność. Wymaga to inwestycji w ciągłość działania i odzyskiwanie po awarii (BCDR), niezmienne i segmentowane kopie zapasowe, strategie izolowania tożsamości oraz testy odzyskiwania operacyjnego. Wymaga także mierzenia właściwego wskaźnika: nie tylko czasu odzyskiwania, ale też czasu między początkowym naruszeniem zabezpieczeń a jego powstrzymaniem. Ten przedział czasu decyduje, czy włamanie przerodzi się w kryzys biznesowy.

Co się zmienia, gdy zarządy rozumieją ekonomię zagrożeń

• Priorytety inwestycyjne są przesuwane na wyższy poziom. Organizacje z dojrzałą świadomością zagrożeń na poziomie zarządu zwykle kierują zasoby na ochronę tożsamości, wykrywanie brokerów dostępu i lepsze wykorzystanie analizy zagrożeń wykraczającej poza sam punkt ich pochodzenia.
• Odporność staje się zdolnością strategiczną, a nie praktykowaniem zgodności. Planowanie ciągłości działania i odzyskiwania po awarii, niezmienne kopie zapasowe oraz testy odzyskiwania operacyjnego przestają być polami do odhaczenia na liście kontrolnej inspekcji, a stają się czynnikami decydującymi o konkurencyjności. Sprawność najszybciej odzyskują te organizacje, które ćwiczą.
• Rola CISO zmienia się. Liderzy w dziedzinie zabezpieczeń przechodzą od reagowania na zdarzenia do strategicznego doradztwa w zakresie ryzyka — z analizą i językiem, które pomagają firmom przewidywać zagrożenia ze strony przeciwnika i zarządzać nimi, zanim przerodzą się w zakłócenia operacyjne.

Etap, na którym jesteśmy

Firma Microsoft śledziła i publikowała informacje o ekosystemie oprogramowania wymuszającego okup jako usłudze od 2020 roku.

Strategia reagowania, która miała sens w roku 2020, dziś już nie wystarcza. Rozmowa z zarządem, która utknęła na krajobrazie zagrożeń z roku 2020 również nie wystarcza.

Co tydzień aż do września firma Microsoft wykreśla mapę krajobrazu cyber­przestępczości w czasie rzeczywistym, publikując analizy, które nasi badacze zagrożeń obserwują wśród ponad 65 podmiotów działających z pobudek finansowych w skoordynowanym ekosystemie przestępczym. Gorące cyberprzestępcze lato ma omawiać właśnie analizy tego typu: przełożone na język, który umożliwia liderom ds. bezpieczeństwa skuteczne działanie i informowanie osób finansujących reagowanie.

Obserwuj tę serię. Użyj też tych analiz w kolejnej rozmowie z zarządem. Mapa jest już gotowa. Pytanie tylko, czy Twoja organizacja z niej korzysta. Blog dotyczący rozwiązań zabezpieczających firmy Microsoft | Analiza zagrożeń spowodowanych oprogramowaniem wymuszającym okup