ركن CISO: إرشادات وكالة الأمن القومي؛ دراسة حالة فائدة SBOM؛ مصابيح الحمم

مرحبًا بك في CISO Corner، الملخص الأسبوعي للمقالات التي تقدمها Dark Reading والتي تم تصميمها خصيصًا لقراء العمليات الأمنية وقادة الأمان. سنقدم كل أسبوع مقالات تم جمعها من عملياتنا الإخبارية، The Edge، وDR Technology، وDR Global، وقسم التعليقات لدينا. نحن ملتزمون بتقديم مجموعة متنوعة من وجهات النظر لدعم مهمة تفعيل استراتيجيات الأمن السيبراني للقادة في المؤسسات من جميع الأشكال والأحجام.

في هذا العدد من ركن CISO:

تركز إرشادات الثقة المعدومة الخاصة بوكالة الأمن القومي على التجزئة

بقلم ديفيد ستروم، كاتب مساهم، القراءة المظلمة

تعد هياكل الثقة المعدومة بمثابة إجراءات وقائية أساسية للمؤسسات الحديثة. توفر أحدث إرشادات NSA توصيات مفصلة حول كيفية تنفيذ زاوية التواصل الخاصة بالمفهوم.

قدمت وكالة الأمن القومي الأمريكية (NSA) إرشاداتها لأمن الشبكات ذات الثقة المعدومة هذا الأسبوع، حيث قدمت خارطة طريق أكثر واقعية نحو اعتماد الثقة المعدومة مما اعتدنا على رؤيته. إنه جهد مهم لمحاولة سد الفجوة بين الرغبة في المفهوم وتنفيذه.

تحتوي وثيقة وكالة الأمن القومي على الكثير من التوصيات بشأن أفضل ممارسات الثقة المعدومة، بما في ذلك، بشكل أساسي، تجزئة حركة مرور الشبكة إلى منع الخصوم من التحرك حول الشبكة والوصول إلى الأنظمة الحيوية.

وهو يتناول كيفية تحقيق عناصر التحكم في تجزئة الشبكة من خلال سلسلة من الخطوات، بما في ذلك رسم الخرائط وفهم تدفقات البيانات وتنفيذ الشبكات المعرفة بالبرمجيات (SDN). ستستغرق كل خطوة وقتًا وجهدًا كبيرين لفهم أجزاء شبكة الأعمال المعرضة للخطر وكيفية حمايتها بشكل أفضل.

تفرق وثيقة وكالة الأمن القومي أيضًا بين تجزئة الشبكة الكلية والجزئية. يتحكم الأول في حركة المرور بين الأقسام أو مجموعات العمل، لذلك لا يتمتع عامل تكنولوجيا المعلومات بإمكانية الوصول إلى خوادم وبيانات الموارد البشرية، على سبيل المثال.

وقد رحب جون كيندرفاج، الذي كان أول من عرف مصطلح "الثقة الصفرية" في عام 2010، عندما كان محللًا في شركة Forrester Research، بخطوة وكالة الأمن القومي، مشيرًا إلى أن "عدد قليل جدًا من المنظمات أدركت أهمية ضوابط أمن الشبكات في بناء الثقة الصفرية". - بيئات الثقة، وهذه الوثيقة تقطع شوطا طويلا نحو مساعدة المؤسسات على فهم قيمتها.

اقرأ أكثر: تركز إرشادات الثقة المعدومة الخاصة بوكالة الأمن القومي على التجزئة

هذا الموضوع ذو علاقة بـ: NIST Cybersecurity Framework 2.0: 4 خطوات للبدء

خلق الأمن من خلال العشوائية

بقلم أندرادا فيسكوتيان، كاتب مساهم، القراءة المظلمة

كيف تحافظ مصابيح الحمم البركانية، والبندول، وأقواس قزح المعلقة على أمان الإنترنت.

عندما تدخل إلى مكتب Cloudflare في سان فرانسيسكو، فإن أول ما تلاحظه هو جدار من مصابيح الحمم البركانية. غالبًا ما يتوقف الزوار لالتقاط صور سيلفي، لكن هذا التثبيت الغريب هو أكثر من مجرد بيان فني؛ إنها أداة أمنية بارعة.

تساعد الأنماط المتغيرة التي تم إنشاؤها بواسطة نقاط الشمع العائمة للمصابيح Cloudflare على تشفير حركة المرور على الإنترنت عن طريق توليد أرقام عشوائية. الأرقام العشوائية لها استخدامات متنوعة في مجال الأمن السيبراني، وتلعب دورًا حاسمًا في أشياء مثل إنشاء كلمات المرور ومفاتيح التشفير.

جدار الإنتروبيا الخاص بـ Cloudflare، كما هو معروف، لا يستخدم مصباحًا واحدًا بل 100 مصباح، وتزداد عشوائيتها مع حركة الإنسان.

تستخدم Cloudflare أيضًا مصادر إضافية للإنتروبيا الفيزيائية لإنشاء عشوائية لخوادمها. "في لندن، لدينا هذا الجدار المذهل من البندول المزدوج، وفي أوستن، تكساس، لدينا هذه الهواتف المحمولة الرائعة التي تتدلى من السقف وتتحرك مع تيارات الهواء،" يقول مدير التكنولوجيا في Cloudfare John Graham-Cumming. سيحتوي مكتب Cloudflare في لشبونة قريبًا على تركيب "يعتمد على المحيط".

المنظمات الأخرى لديها مصادر الإنتروبيا الخاصة بها. أضافت جامعة تشيلي، على سبيل المثال، قياسات زلزالية إلى هذا المزيج، في حين يستخدم المعهد الفيدرالي السويسري للتكنولوجيا مولد العشوائية المحلي الموجود على كل جهاز كمبيوتر في /dev/urandom، مما يعني أنه يعتمد على أشياء مثل الضغط على لوحة المفاتيح، ونقرات الماوس وحركة مرور الشبكة لتوليد العشوائية. استخدم Kudelski Security مولد أرقام عشوائية مشفر يعتمد على تشفير دفق ChaCha20.

اقرأ أكثر: خلق الأمن من خلال العشوائية

الشركة الجنوبية تبني SBOM لمحطة الطاقة الكهربائية الفرعية

بقلم كيلي جاكسون هيغينز، رئيس تحرير دارك ريدينغ

تهدف تجربة قائمة المواد البرمجية (SBOM) الخاصة بالأداة المساعدة إلى إنشاء أمان أقوى لسلسلة التوريد - ودفاعات أكثر إحكامًا ضد الهجمات الإلكترونية المحتملة.

بدأت شركة الطاقة العملاقة Southern Company تجربة هذا العام، والتي بدأت بسفر فريق الأمن السيبراني الخاص بها إلى إحدى محطات الطاقة الفرعية التابعة لها في ميسيسيبي لفهرسة المعدات هناك فعليًا، والتقاط الصور وجمع البيانات من أجهزة استشعار الشبكة. ثم جاء الجزء الأكثر صعوبة - وفي بعض الأحيان الإحباط - وهو الحصول على تفاصيل سلسلة توريد البرامج من 17 بائعًا تدير أجهزتهم الـ 38 المحطة الفرعية.

المهمة؟ ل جرد كافة الأجهزة والبرامج والبرامج الثابتة في المعدات التي تعمل في محطة توليد الكهرباء في محاولة لإنشاء قائمة مواد البرامج (SBOM) لموقع التكنولوجيا التشغيلية (OT).

قال Alex Waitkus، مهندس الأمن السيبراني الرئيسي في Southern Company ورئيس مشروع SBOM، قبل المشروع، كان لدى Southern رؤية لأصول شبكة التكنولوجيا التشغيلية الخاصة بها هناك عبر منصة Dragos الخاصة بها، لكن تفاصيل البرنامج كانت لغزًا.

وقال: "لم تكن لدينا أي فكرة عن الإصدارات المختلفة من البرامج التي كنا نقوم بتشغيلها". "كان لدينا العديد من شركاء الأعمال الذين أداروا أجزاء مختلفة من المحطة الفرعية."

اقرأ أكثر: الشركة الجنوبية تبني SBOM لمحطة الطاقة الكهربائية الفرعية

هذا الموضوع ذو علاقة بـ: تهدف البرامج الضارة المحسّنة والمشابهة لـ Stuxnet إلى تعطيل البنية التحتية الحيوية

ما الذي يحتاجه رؤساء الأمن السيبراني من رؤسائهم التنفيذيين؟

تعليق لمايكل ميستروفيتش، CISO، روبريك

ومن خلال مساعدة كبار مسؤولي تكنولوجيا المعلومات على التنقل بين التوقعات الملقاة على عاتقهم، يمكن للرؤساء التنفيذيين أن يفيدوا شركاتهم بشكل كبير.

يبدو الأمر واضحًا: يجب أن يكون الرؤساء التنفيذيون وكبار مسؤولي أمن المعلومات (CISOs) شركاء طبيعيين. ومع ذلك، وفقاً لتقرير صدر مؤخراً عن شركة برايس ووترهاوس كوبرز، فإن 30% فقط من مدراء تكنولوجيا المعلومات يشعرون أنهم يتلقون الدعم الكافي من مديرهم التنفيذي.

كما لو أن الدفاع عن مؤسساتهم من الجهات الفاعلة السيئة على الرغم من قيود الميزانية والنقص المزمن في مواهب الأمن السيبراني لم يكن صعبًا بما فيه الكفاية بالفعل، يواجه CISOs الآن اتهامات جنائية وغضبًا تنظيميًا إذا أخطأوا في الاستجابة للحادث. لا عجب أن تتوقع مؤسسة جارتنر أن ما يقرب من نصف قادة الأمن السيبراني سيغيرون وظائفهم بحلول عام 2025 بسبب الضغوطات المتعددة المرتبطة بالعمل.

فيما يلي أربعة أشياء يمكن للرؤساء التنفيذيين القيام بها للمساعدة: التأكد من أن رئيس أمن المعلومات لديه خط مباشر مع الرئيس التنفيذي؛ الحصول على دعم CISO؛ العمل مع CISO على استراتيجية المرونة؛ والاتفاق على تأثير الذكاء الاصطناعي.

إن الرؤساء التنفيذيين الذين يميلون إلى هذه الأمور لا يفعلون الشيء الصحيح لرؤساء أقسام تكنولوجيا المعلومات فحسب، بل إنهم يفيدون شركاتهم بشكل كبير.

اقرأ أكثر: ما الذي يحتاجه رؤساء الأمن السيبراني من رؤسائهم التنفيذيين؟

هذا الموضوع ذو علاقة بـ: يخضع دور CISO لتطور كبير

كيفية التأكد من أن الحزم مفتوحة المصدر ليست ألغامًا أرضية

بقلم أجام شاه، كاتب مساهم، القراءة المظلمة

نشرت CISA وOpenSSF بشكل مشترك إرشادات جديدة توصي بضوابط فنية لتجعل من الصعب على المطورين إدخال مكونات البرامج الضارة في التعليمات البرمجية.

تعتبر المستودعات مفتوحة المصدر ضرورية لتشغيل التطبيقات الحديثة وكتابتها، ولكنها يمكن أن تحتوي أيضًا على قنابل التعليمات البرمجية الخبيثة والكامنة، في انتظار دمجها في التطبيقات والخدمات.

للمساعدة في تجنب تلك الألغام الأرضية، أصدرت وكالة الأمن السيبراني وأمن البنية التحتية (CISA) ومؤسسة الأمن مفتوح المصدر (OpenSSF) إرشادات جديدة لإدارة النظام البيئي مفتوح المصدر.

ويوصون بتنفيذ ضوابط مثل تمكين المصادقة متعددة العوامل لمشرفي المشروع، وإمكانات إعداد التقارير الأمنية للجهات الخارجية، والتحذيرات للحزم القديمة أو غير الآمنة للمساعدة في تقليل التعرض للتعليمات البرمجية الضارة والحزم التي تتنكر في شكل تعليمات برمجية مفتوحة المصدر في المستودعات العامة.

تتجاهل المؤسسات المخاطر على مسؤوليتها الخاصة: قالت آن بارون ديكاميلو، العضو المنتدب والرئيس العالمي للعمليات الإلكترونية في Citi، في مؤتمر OSFF: "بالحديث عن الحزم الضارة خلال العام الماضي، فقد شهدنا زيادة مضاعفة مقارنة بالسنوات السابقة". قبل أشهر قليلة مضت. "لقد أصبح هذا حقيقة مرتبطة بمجتمعنا التنموي."

اقرأ أكثر: كيفية التأكد من أن الحزم مفتوحة المصدر ليست ألغامًا أرضية

هذا الموضوع ذو علاقة بـ: الملايين من المستودعات الضارة تغمر GitHub

الشرق الأوسط رائد في نشر أمن البريد الإلكتروني DMARC

بقلم روبرت ليموس، كاتب مساهم، القراءة المظلمة

ومع ذلك، لا تزال هناك تحديات حيث أن سياسات العديد من الدول فيما يتعلق ببروتوكول مصادقة البريد الإلكتروني لا تزال متساهلة ويمكن أن تتعارض مع القيود التي تفرضها Google وYahoo.

في الأول من فبراير، بدأت كل من Google وYahoo بإلزام جميع رسائل البريد الإلكتروني المرسلة إلى مستخدميها بأن تحتوي على سجلات يمكن التحقق منها من إطار سياسة المرسل (SPF) والبريد المحدد بمفتاح المجال (DKIM)، في حين يجب على المرسلين المجمعين - الشركات التي ترسل أكثر من 1 رسالة بريد إلكتروني يوميًا - أن أن يكون لديك أيضًا سجل صالح لتقارير مصادقة الرسائل وتوافقها (DMARC) المستند إلى المجال.

بعد، العديد من المنظمات متخلفة في اعتمادها لهذه التقنيات، على الرغم من أنها ليست جديدة. هناك استثناءان بارزان: المملكة العربية السعودية والإمارات العربية المتحدة.

مقارنةً بحوالي ثلاثة أرباع (73%) المؤسسات العالمية، قامت حوالي 90% من المؤسسات في المملكة العربية السعودية و80% في الإمارات العربية المتحدة بتطبيق الإصدار الأساسي من DMARC والذي - إلى جانب المواصفة الأخرى - يجعل انتحال الهوية عبر البريد الإلكتروني أكثر سهولة من الصعب على المهاجمين.

بشكل عام، تتقدم دول الشرق الأوسط في اعتماد DMARC. حوالي 80% من أعضاء مؤشر ستاندرد آند بورز العربي المركب لديهم سياسة DMARC صارمة، وهي أعلى من 100% في مؤشر FTSE72، وأعلى من 61% لمؤشر CAC40 الفرنسي، وفقًا لنديم لحود، نائب الرئيس للاستراتيجية والتحليل. عمليات لصالح شركة Red Sift، وهي شركة استخبارات للتهديدات.

اقرأ أكثر: الشرق الأوسط رائد في نشر أمن البريد الإلكتروني DMARC

هذا الموضوع ذو علاقة بـ: تُظهر بيانات DMARC زيادة بنسبة 75% في رسائل البريد الإلكتروني المشبوهة التي تصل إلى صناديق البريد الوارد

تتطلب استراتيجية التأمين السيبراني التعاون بين CISO والمدير المالي

بقلم فهميدة رشيد، مديرة التحرير، قسم المقالات، القراءة المظلمة

يجمع القياس الكمي للمخاطر السيبرانية بين الخبرة الفنية لـ CISO وتركيز المدير المالي على التأثير المالي لتطوير فهم أقوى وأفضل لما هو على المحك.

أصبح التأمين السيبراني هو القاعدة بالنسبة للعديد من المؤسسات، حيث قال أكثر من نصف المشاركين في أحدث استطلاع أمني استراتيجي أجرته دارك ريدينغ إن مؤسساتهم لديها شكل من أشكال التغطية. في حين أن التأمين كان عادةً من اختصاص مجلس إدارة المؤسسة والمديرين الماليين، فإن الطبيعة الفنية للمخاطر السيبرانية تعني أنه يُطلب بشكل متزايد من رئيس أمن المعلومات أن يكون جزءًا من المحادثة.

وفي الاستطلاع قال 29% تغطية التأمين على الإنترنت هي جزء من بوليصة تأمين أعمال أوسع، ويقول 28% منهم أن لديهم بوليصة مخصصة لحوادث الأمن السيبراني. يقول ما يقرب من نصف المؤسسات (46%) أن لديها سياسة تغطي مدفوعات برامج الفدية.

تقول مونيكا شوكراي، رئيسة قسم مخاطر الأعمال والتأمين في Google Cloud: "إن كيفية التحدث عن المخاطر وكيفية إدارتها والتخفيف من حدتها أصبحت الآن أكثر أهمية بكثير لكي تفهمها مؤسسة CISO"، مع الإشارة إلى أن توصيل المخاطر إلى أعلى هو شيء لقد كان المدير المالي "يعمل إلى الأبد".

وتقول إنه بدلاً من محاولة تحويل كبار مسؤولي تكنولوجيا المعلومات إلى "مديرين ماليين على الإنترنت"، يجب على المنظمتين العمل معًا لتطوير استراتيجية متماسكة ومتكاملة لمجلس الإدارة.

اقرأ أكثر: تتطلب استراتيجية التأمين السيبراني التعاون بين CISO والمدير المالي

مقالات ذات صلة: الخصوصية تتفوق على برامج الفدية باعتبارها أهم اهتمامات التأمين

نصائح حول إدارة فرق الأمن المتنوعة

تعليق جوراف ناجار، المدير الأول للعمليات الأمنية، BILL

كلما كان فريق الأمن يعمل معًا بشكل أفضل، كان التأثير المباشر أكبر على مدى قدرته على حماية المؤسسة.

يبدأ بناء فريق أمني بالتوظيف، ولكن بمجرد أن يبدأ الفريق في العمل معًا، فمن المهم إنشاء لغة مشتركة ومجموعة من التوقعات والعمليات. بهذه الطريقة، يمكن للفريق العمل نحو هدف مشترك بسرعة وتجنب سوء الفهم.

خاصة بالنسبة للفرق المتنوعة، حيث يكون الهدف هو أن يقدم كل شخص تجاربه المختلفة ووجهات نظره الفريدة وطرقه المميزة لحل المشكلات، كما أن وجود قنوات اتصال مشتركة لمشاركة التحديثات والتعاون يضمن أن يتمكن أعضاء الفريق من قضاء المزيد من الوقت في ما يحبون القيام به. ولا تقلق بشأن ديناميكيات الفريق.

فيما يلي ثلاث استراتيجيات لتحقيق هذا الهدف: التوظيف من أجل التنوع والمواءمة بسرعة مع ثقافة الفريق وعملياته؛ خلق الثقة لكل فرد في الفريق؛ وساعد أعضاء فريقك على بناء مهنة في مجال الأمن السيبراني والبقاء متحمسين للابتكار.

وبطبيعة الحال، الأمر متروك لكل واحد منا لتولي ملكية حياته المهنية الخاصة. كمديرين، قد نعرف ذلك جيدًا، لكن ليس كل أعضاء فريقنا قد يعرفون ذلك. يتمثل دورنا في تذكير وتشجيع كل واحد منهم على التعلم بنشاط ومتابعة الأدوار والمسؤوليات التي ستبقيهم متحمسين وتساعدهم في حياتهم المهنية.

اقرأ أكثر: نصائح حول إدارة فرق الأمن المتنوعة

هذا الموضوع ذو علاقة بـ: كيف يمكن للتنوع العصبي أن يساعد في سد النقص في القوى العاملة في مجال الأمن السيبراني

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• PlatoData.Network Vertical Generative Ai. تمكين نفسك. الوصول هنا.
• أفلاطونايستريم. ذكاء Web3. تضخيم المعرفة. الوصول هنا.
• أفلاطون كربون، كلينتك ، الطاقة، بيئة، شمسي، إدارة المخلفات. الوصول هنا.
• أفلاطون هيلث. التكنولوجيا الحيوية وذكاء التجارب السريرية. الوصول هنا.
• المصدر https://www.darkreading.com/cybersecurity-operations/ciso-corner-nsa-guidelines-utility-sbom-case-study-lava-lamps