Isi kandungan:
Perniagaan sedang disasarkan oleh cyberattacks pada kadar yang membimbangkan. Pelanggaran besar di Sasaran pada bulan Disember 2013 dan Neiman Marcus pada bulan Januari 2014 menyerlahkan perhatian besar terhadap kekurangan yang banyak di runcit mempunyai infrastruktur keselamatan mereka. Akibatnya, semakin banyak syarikat, besar dan kecil, merasakan keperluan untuk meningkatkan usaha mereka dan mempunyai pasukan keselamatan khusus.
Menurut laporan yang dikeluarkan oleh Reuters pada bulan Mei 2014, beberapa syarikat besar, seperti Pepsi dan JPMorgan Chase & Co., sedang memburu petugas keselamatan maklumat utama (CISO) baru dalam usaha untuk meningkatkan amalan keselamatan. Apa yang digambarkan ini adalah kesedaran keselamatan yang lebih tinggi dan kepentingannya di peringkat eksekutif perniagaan.
CISO, dan ketua pegawai keselamatan siber, dibasuh dalam keselamatan teknologi mereka, baik untuk majikan dan pelanggan, tetapi peranan dan tanggungjawab mereka menjadi lebih jelas dan penting di mata masyarakat umum, bukan hanya di kalangan masyarakat keselamatan.
"Lima tahun yang lalu, keselamatan maklumat hampir tidak merosakkan 10 keprihatinan papan utama. Setahun yang lalu, ia adalah No. 2. Menariknya, kini keselamatan data dan bukan hanya sekuriti maklumat, " kata David Boehmer, rakan pengurusan wilayah di firma perekrut Heidrick & Struggles, dalam video YouTube yang dihasilkan oleh syarikat.)
Apa CISO Adakah
Peranan CISO boleh menjadi agak luas, dan mereka sering mendapati diri mereka memakai topi yang berbeza. Tugas ini melibatkan segala-galanya dari keselamatan dalaman, seperti menguruskan keselamatan harta intelektual, untuk bertanggungjawab terhadap keselamatan pelanggan.
"Saya juga bekerjasama dengan pasukan produk dan pasukan kejuruteraan kami untuk melaksanakan ciri-ciri produk yang mungkin menarik kepada pembeli keselamatan, " kata Joan Pepin, CISO di Sumo Logic.
Walaupun pelanggaran Sasaran tahun lalu pastinya mendapat banyak orang bercakap, Pepin menjelaskan bahawa dia tidak semua yang terkejut - dan tidak juga kebanyakan komuniti keselamatan. Itu bukan untuk mengatakan komuniti keselamatan tidak mempunyai "moment watershed" walaupun, di mana semua orang perlu mengukuhkan kerja mereka ke hadapan.
Pelanggaran RSA pada 2011, di mana penggodam melanggar pelayan syarikat keselamatan maklumat dan mencuri token pengesahan yang memberikan akses kepada data sensitif dan korporat, mempunyai banyak profesional keselamatan yang kasar. Bagaimana mungkin syarikat keselamatan menjadi mangsa penggodam seperti itu? Hanya dua tahun kemudian, kebimbangan itu akan beralih kepada sasaran yang sebelum ini diterbangkan di bawah radar: pelanggan runcit. Serangan seperti yang dilihat di Target dan Neiman Marcus beralih perhatian kepada keselamatan untuk pelanggan setiap hari.
"Jelas apabila anda mempunyai operasi runcit besar-besaran dengan ribuan dan ribuan pekerja, semua laman web yang berbeza, mesin titik jualan, itu jenis sistem yang sangat termiskin dan hakikat bahawa jenis serangan itu tidak berlaku pada itu jenis skala lebih cepat sebenarnya adalah satu kejutan kepada saya, "kata Pepin.
Isu ini berpunca daripada keselamatan dilihat sebagai hanya kotak semakan untuk syarikat-syarikat untuk menandai dan meninggalkan bukannya aspek yang sentiasa diketepikan dari perniagaan mereka. Ini tidak bermakna bahawa penjenayah siber adalah lemah dan hanya boleh berjalan. Sebenarnya, penjenayah siber semakin mahir.
"adalah pelanggaran yang sangat canggih, mampu meniru agen BMC, dan jenis-jenis perkara yang senyap. Untuk melibatkan pergerakan sisi di seluruh rangkaian Sasaran adalah pandai, kata Pepin.
"Saya tidak mahu mengambilnya tetapi dari segi kesukaran dalam sasaran, tidak ada tujuan, saya tidak akan meletakkan sebarang rantaian runcit dalam senarai sasaran keras. Syarikat keselamatan adalah sasaran keras, kerajaan adalah sasaran yang sukar. Sesetengah rantaian runcit yang perniagaannya menjual kaus kaki, saya tidak akan mengharapkan mereka menjadi kedai yang paling selamat. "
Landskap untuk Profesional Keselamatan
Pada bulan Jun 2014, Target menyewa CISO pertamanya, Brad Maiorino, bekas eksekutif General Motors yang akan mengawasi kerja-kerja keselamatan syarikat.
Perniagaan, tanpa mengira bidang atau saiz mereka, perlu mengambil perhatian dan meningkatkan permainan keselamatan mereka sebagai tindak balas kepada ancaman yang semakin meningkat dengan kesedaran yang lebih tinggi dan lebih banyak kuasa untuk bertindak atas pelanggaran yang berpotensi.
"Sudah jelas … dalam kes Sasaran yang memberi amaran bahawa tiada siapa yang menjawab dan, dalam pengalaman saya yang datang dari keselamatan yang dikendalikan, sangat tipikal, kata Pepin.
"Sistem pengesanan pencerobohan terbaik di dunia masih mempunyai kadar positif palsu yang sangat tinggi dan oleh itu responden keselamatan pada asasnya dilatih oleh sistem mereka untuk mengabaikan sistem mereka. Terdapat jurang interaksi manusia teknologi di sana, di mana responden pertama menjadi mati rasa kepada beribu-ribu perhatikan bahawa mereka mendapat sampah. Dalam kes Sasaran, terdapat beberapa tanda yang tidak disusuli yang dapat membantu meminimumkan kesan lebih cepat. "
Seperti yang kerap berlaku, seorang profesional keselamatan tidak dapat segera bertindak atas masalah kerana mereka memerlukan kelulusan atau kelulusan dari orang lain yang lebih tinggi dalam hierarki. Ini perlu berubah, kata Pepin, menjelaskan bahawa pasukan keselamatan syarikat mesti mempunyai lebih banyak autonomi dan kuasa untuk mengambil inisiatif itu.
"Saya rasa ia masih merupakan masalah tadbir urus dalam ketua pegawai keselamatan maklumat itu tidak seharusnya melaporkan kepada CIO, " kata ketua pegawai cybersecurity Tom Kellermann di Trend Micro. "Mereka harus melaporkan kepada ketua pegawai risiko atau langsung kepada CEO." Ini memotong banyak orang tengah dan memastikan masa respon yang lebih cepat untuk kecemasan yang mungkin berlaku.
Pepin bersetuju bahawa profesional keselamatan harus "melaporkan hak ke atas" dalam syarikat mereka. "Saya cukup bernasib baik kerana saya melaporkan kepada Ketua Pegawai Eksekutif kami. Ia berfungsi dengan baik dan itu adalah sesuatu yang saya pasti akan mengesyorkan kepada mana-mana organisasi yang mengambil serius keselamatannya."
Belanjawan dan Keselamatan Lain untuk PKS
Menyewa CISO dan mengembangkan pasukan keselamatan anda adalah baik dan baik jika anda mempunyai belanjawan, tetapi bagaimana dengan syarikat yang lebih kecil? Walaupun serangan ke atas rantaian kecil atau kedai perkakasan tempatan anda tidak akan menuai faedah yang sama bagi penggodam sebagai sasaran atau Neiman Marcus, masih tidak bijak untuk meninggalkan diri anda terdedah dengan apa-apa cara. Jadi apa yang boleh anda lakukan untuk mengurangkan risiko serangan? Pepin mengesyorkan mengupah perkhidmatan kontraktor atau perunding tindak balas kejadian.
"Sekiranya anda diserang, anda mempunyai seseorang yang boleh anda panggil, jadi anda tidak perlu membuka Google dan mula mencari, " katanya.
Ini akan menjadikan lebih banyak rasa ekonomi untuk sebuah syarikat yang lebih kecil, dia menerangkan, kerana perniagaan itu hanya akan menggunakan perkhidmatan apabila diperlukan. Perkhidmatan ini juga sangat khusus dalam memilih tempat kakitangan anda berhenti.
"Anda boleh mempunyai pasukan hebat untuk mengadili, memahami bahawa anda sedang diserang tetapi itu bukan set yang sama kemahiran yang diperlukan untuk bertindak balas terhadap serangan itu, untuk melancarkan mereka keluar dari rangkaian anda dan untuk mengumpul bukti dengan cara yang dapat boleh digunakan di mahkamah undang-undang. "
Syarikat-syarikat mempunyai banyak sumber yang boleh digunakan untuk memerangi jenayah siber. Sejarah terkini mencadangkan satu lagi serangan besar hanya sekitar sudut.
