Ведущий директор по информационной безопасности требует от австралийских предприятий большей активности в области безопасности, чтобы избежать «сюрпризов» атак

19 октября 2023 г.

Сложность и изменения, с которыми сталкиваются организации по мере их роста, являются одной из причин, по которым мы наблюдаем те же риски кибербезопасности, что и десять лет назад, говорит директор по информационной безопасности Rapid7 Джая Балу. Однако квантовые вычисления — это один из новых рисков, в котором мы могли бы оставаться впереди игры.

Говоря об этике информационной безопасности на Австралийской киберконференции 2023 года, Балу сказал, что австралийский рынок действительно осознал киберриски в прошлом году из-за ряда громких утечек данных, от которых пострадали миллионы австралийцев.

Балу рассказал TechRepublic, что упреждающее картирование активов и уязвимостей, последовательность в периоды организационного роста и заблаговременное планирование рисков, таких как квантовые вычисления, могут помочь австралийским специалистам по безопасности отказаться от того, что может показаться «колесом хомяка».

Перейти к

Организациям не хватает понимания активов и уязвимостей. Расширение мультиоблачной среды усугубляет риски безопасности данных Риски квантовых вычислений — проверка активности отрасли

Организациям не хватает полного понимания активов и уязвимостей.

Несмотря на разговоры с организациями о подобных рисках в течение десяти лет, Балу сказал, что многие «все еще были удивлены», когда непонимание имеющихся у них активов и уязвимостей, которые были в этих активах, привело к тому, что они стали жертвой инцидента кибербезопасности.

«У нас до сих пор нет полного понимания нашего влияния, что очень важно для предприятия, и мы удивляемся, если у нас есть открытый API, проблемы с открытыми учетными данными или набором данных, агрегированным для модели обучения ИИ, которая была открыт для всех», — сказал Балу. «Недостаточно иметь эффективные меры по восстановлению.

«Мы должны знать себя, но мы все еще не знаем. Например, мы не понимаем наши сети и системы и не применяем те же стандарты для внутренних продуктов, что и для тестирования сред — что нам следовало бы, но мы этого не делаем».

SEE: Полное руководство по оценке решений в области кибербезопасности.

По словам Балу, старые уязвимости также проникали в новые продукты в новых технологических стеках, потому что, как отрасль, «мы не очень хорошо разработали систему безопасности».

Рост бизнеса затрудняет контроль киберрисков

Частично проблема заключается в отсутствии дисциплины в способах роста компаний. Балу сказал, что это приводит к тому, что компании или отделы, например, добавляют новые услуги или удаляют их, не обязательно документируя эти изменения или следуя тщательному процессу.

Это часто происходит, когда компании растут за счет поглощений или сами становятся частью более крупной организации, что приводит к отсутствию документации по совокупным внешним и внутренним активам.

«Мы не справляемся с этим хорошо, мы не реализуем эти изменения последовательно», — сказал Балу.

ПОСМОТРЕТЬ: Воспользуйтесь преимуществами политики контроля изменений TechRepublic Premium.

Балу сказал, что автоматизация управления поверхностью атаки в виде сторонних оценок рисков также не всегда корректна при оценке того, что принадлежит компании.

«У нас есть несовершенный внешний взгляд со стороны и внутренний взгляд, который является самым важным», — сказал Балу.

Расширение мультиоблачной среды усугубляет риски безопасности данных

Рост облачных вычислений усугубил риск того, что организации потеряют контроль над своими активами и уязвимостями. Балу сказал, что простота развертывания облачных ресурсов, которые часто не отключаются, а также несколько отличающиеся сервисы для регистрации, идентификации и мониторинга увеличивают общую сложность.

«Например, идентификация настраивается по-разному (в разных облачных средах), и это является обязательным условием для всего остального, что мы делаем», — сказал Балу. «Если вы не сделаете это правильно с самого начала и не согласуете это со всеми облачными стеками, можно легко все испортить».

Гармонизация облаков для уменьшения сложности

Организациям следует задаться вопросом, что они помещают в облако и почему, сказал Балу. Чистых операций «подъёма и перемещения», в результате которых старые приложения просто «переворачиваются куда-то в другое место», даже при использовании некоторых встроенных облачных функций, лучше всего избегать.

«В мультиоблачной среде вам необходимо задаться вопросом, как гармонизировать различные облачные среды, которые вы используете», — сказал Балу. «У вас должна быть основа того, что вы хотите на разных платформах, как они настроены, а затем вернуться к централизованному или встроенному мониторингу. Нам нужно найти способ сделать это, не будучи невероятно сложным».

SEE: Вот все, что вам нужно знать о мультиоблаке.

По словам Балу, если данные передаются из облака в облако, ИТ-отделу необходимо знать, как выглядит этот поток.

«Даже там могут возникнуть точки отказа», — сказал Балу. «Что это такое с топологической точки зрения?»

Риски квантовых вычислений — проверка активности отрасли

Квантовые вычисления — это одна из областей, где проактивность может вывести ИТ на передний план. Поскольку до появления первого квантового компьютера потенциально осталось пять-десять лет, есть время инвестировать в замену существующих алгоритмов шифрования, прежде чем они станут ненужными для защиты со стороны квантовых компьютеров.

SEE: Австралия рассматривает подход «предполагающего нарушения» в борьбе с кибератаками.

Балу сказал, что вопрос, который должен стимулировать действия, заключается в том, какие данные мы хотим защитить и как долго. Если австралийские организации хотят иметь возможность защищать медицинские данные на протяжении всей жизни пациента или даже из поколения в поколение, Балу сказал, что квантовые вычисления теперь означают, что «мы не знаем, как это сделать».

«Квантовые вычисления — это область, которая, я боюсь, будет такой же, как искусственный интеллект», — сказал Балу. «Это не будет считаться сверхважным, пока оно действительно не коснется нас. Это приближается, поэтому я хотел бы, чтобы мы планировали заранее. Давайте не будем цыплятами с отрезанными головами, когда оно нас поразит».

Опережая квантовую игру

Решением, вероятно, будет комбинация как квантовых сетей связи, подобных тем, которые разрабатываются в Китае, так и постквантовых алгоритмов, предположил Балу. Однако важно иметь достаточно времени, чтобы осуществить переход, пока не стало слишком поздно.

«Мы не умеем меняться; у нас это ужасно получается», — сказал Балу. «Собрать всех в одном месте и на одном уровне понимания, чтобы инвестировать в этот переход, будет непросто. Но если мы подождём, пока появится квантовый компьютер, мы облажаемся».

---

Оригинал