آیا زیر خط فقر امنیتی هستید؟ – شماره 8 2022 – انتشارات تکنیوز

آیا زیر خط فقر امنیتی هستید؟

شماره 8 2022 انتخاب سردبیر

گفته می شود، امنیت همیشه برای سازمان ها، چه امنیت سایبری و چه امنیت فیزیکی، یک مشکل است. تصمیمات زیادی در مورد سیستم هایی که باید استفاده کرد، درک وضعیت (یا وضعیت) سایبری سازمان، دانستن اینکه چه چیزی به چه چیزی و چه کسی متصل است، چه برنامه هایی در حال استفاده هستند و کدام باید استفاده شوند، داده های شما در کجا هستند، وجود دارد. و بسیاری سوالات دیگر امنیت به معنای ارائه راه‌حلی است که بتواند با پاسخ به آن سؤالات مقابله کند (یا شرکت را برای ساده‌تر کردن پاسخ‌ها تغییر دهد، مانند کنترل دقیق‌تر داده‌ها) و باور نکردن هر گلوله نقره‌ای که آخرین تبلیغات فروش ارائه می‌دهد.

1. پول.

احتمالاً سخت‌ترین عامل از میان چهار عامل، تأثیر شامل ایجاد توازن بین آنهایی است که تأثیر بیشتری دارند (بزرگترین/بلندترین) و بقیه جامعه امنیتی و تجاری، در حالی که «امنیت سایبری عظیم چندجانبه، فرامرزی، نظامی/مدنی» را نیز مورد توجه قرار می‌دهد. مشکل سیاست.»

آنچه مورد نیاز است یک دفاع چند لایه است که مانع از تأثیر شکست یک کاربر بر کل سازمان شود. این تعریف ساده شده Zero Trust است: شما به یک کاربر خاص برای دسترسی و استفاده از داده های خاص برای یک زمان خاص اعتماد دارید، تمام.

قابلیت: وقتی صحبت از قابلیت‌ها به میان می‌آید، Nather شیوه‌های به‌روزرسانی و ادغام فناوری بهتر و همچنین انتقال عملکردهای تجاری غیر اصلی به ابر را توصیه می‌کند. او همچنین می‌خواهد «معماری‌های مرجع امنیتی خاص عمودی» بیشتری ببیند، نه فهرست‌های چک.

همانطور که مشاهده می شود، بسیاری از شرکت هایی که فکر می کنند اقدامات لازم را برای آمادگی سایبری انجام داده اند، نه به دلیل عدم تلاش، بلکه به دلیل پیچیدگی چشم انداز امنیت سایبری، خود را زیر SPL می بینند. ترسناک تر این است که بسیار محتمل است که فقط تیم امنیتی بدانند که آیا شرکت زیر SPL است، مگر اینکه به مدیریت اطلاع دهند – و چه کسی این خطر را می پذیرد؟

به طور کلی، این تغییرات برای توسعه نرم‌افزار موهبتی بوده است و مطمئناً بهره‌وری توسعه‌دهندگان را افزایش داده و هزینه‌ها را کاهش داده است. اما از بسیاری جهات آنها یک کابوس برای امنیت بوده اند. توسعه‌دهندگان با تکیه بر کدهای شخص ثالث که ممکن است به طور کامل با کارکردهای داخلی آن آشنا نباشند، زنجیره‌ای از اجزای نرم‌افزاری را ایجاد کرده‌اند که پیچیده‌تر از اجزای سازنده‌های فیزیکی هستند. و از آنجایی که یک برنامه کاربردی به اندازه کم‌ایمن‌ترین مؤلفه آن امن است، نرم‌افزار ساخته شده به این روش دارای آسیب‌پذیری‌های منحصربه‌فردی است که صنعت عمیقاً با آن دست و پنجه نرم می‌کند.» ^[1]

برای احتیاط در صورت مرتکب اشتباه خود یا راننده دیگری در وسایل نقلیه کمربند ایمنی را می بندیم، البته در بیشتر مواقع نیازی به آن نیست. با این حال، در صورت نیاز، عواقب نپوشیدن آن می تواند شدید باشد. بنابراین، سازمان‌ها باید کمربند ایمنی Zero Trust را نیز ببندند تا مطمئن شوند سیستم‌هایشان از اشتباهات کاربران (یا فعالیت‌های مخرب) ایمن است. سرزنش کردن کاربر همیشه گزینه خوبی برای محافظت از مشاغل تیم های سایبری است، اما در درازمدت واقعاً هیچ فایده ای ندارد. در بهترین حالت، همه به مدت یک هفته یا یک ماه قبل از شروع دوباره «کسب و کار طبق معمول» در حالت آماده باش خواهند بود.

در حالی که MFA به کاهش تعداد نقض‌های ناشی از حدس زدن یا سرقت رمز عبور کمک می‌کند، درخواست‌های مداوم برای احراز هویت در طول زمان منجر به «خستگی MFA» می‌شود که کاربران را در تلاش برای یافتن راهی هوشمندانه برای جلوگیری از آن یا صرفاً موافقت می‌کند. همه و همه درخواست ها، همانطور که در سال 2022 برای Uber و دیگرانی که فکر می کردند توسط وزارت امور خارجه محافظت می شوند، اتفاق افتاد.

نوشته اندرو سلدون

بستن کمربند ایمنی Zero Trust

واقعیت این است که حتی شرکت‌های بزرگ راه‌حل‌های امنیتی زیادی دارند (کمتر از ۴ تا ۳۱ مورد) و بودجه‌های امنیتی اغلب می‌توانند تا چهار برابر کاهش یابند (یعنی خیلی کم) و هنوز هیچ تضمینی برای شما وجود ندارد. نقض نخواهد شد علاوه بر آن، می‌توانید «چیزهای کوچک» مانند فرهنگ شرکت و بحث‌های بی‌پایان ایمنی در مقابل امنیت و حریم خصوصی در مقابل امنیت را وارد کنید تا مسائل را حتی بیشتر پیچیده‌تر کنید.

پول: مشکل پول هر شرکتی به این موضوع اشاره دارد که آیا سازمان قادر به تهیه ابزار و افراد مناسب برای محافظت موثر از خود است؟ این موضوع همچنین سوالاتی را در مورد ماهیت جهانی امنیت سایبری ایجاد می کند. برای مثال، آیا برخی از زیرساخت‌ها یا کنترل‌های اساسی امنیت سایبری باید به‌عنوان یک سرویس یارانه‌ای ارائه شوند، زیرا به ندرت اتفاق می‌افتد که یک نقض فقط بر یک شرکت تأثیر بگذارد؟ علاوه بر این، چه امنیتی باید «ساخت‌شده» باشد و بنابراین بدون هزینه اضافی در دسترس باشد؟

Nather پیشنهاد می‌کند که محصولات امنیت سایبری به گونه‌ای طراحی شوند که به «تخصص امنیتی مخفیانه» کمتری نیاز داشته باشند، و صنعت باید بیشتر از همه مسیرهای ورود به صنعت حمایت کند. به طور انتقادی، او همچنین توصیه می‌کند که «تمرکز تخصص مبتنی بر بازار در فروشندگانی که می‌توانند برای استعدادها پیشی بگیرند» متوقف شود.

بهترین جمله از Nather در این رویداد این بود: “امنیت باید به راحتی استفاده از یک قاشق باشد.” یادگیری استفاده از قاشق آسان است و مهم نیست که کجا می روید، می دانید چگونه از قاشق بدون “آموزش آگاهی از قاشق” استفاده کنید.

امنیت سایبری چیزی است که صنعت به عنوان یک کل باید به آن توجه کند، نه صرفاً با انگیزه سود بلکه به عنوان یک پروژه پایدار، زیرا کسانی که مرتکب جرایم سایبری می شوند، از نظر اینکه چه کسی از تأثیر جنایات خود متحمل می شود، هیچ ابهامی ندارند. و این صرفاً یک موضوع صنعتی نیست – دولت‌ها باید با بخش خصوصی همکاری کنند (و بالعکس) در ایجاد قابلیت‌ها و امکانات پایه‌ای که به کسانی که قادر به خرید جدیدترین و بهترین محصولات و افراد ماهر نیستند اجازه می‌دهد تا در حداقل شانس محافظت از خود را دارند.