Miksi empatia on avain parempaan uhkamallinnukseen?

Uhkamallinnus on erittäin tehokas tapa suojata ohjelmistoja ja sovelluksia, mutta vain harvat organisaatiot todella tekevät sitä. Nykypäivän tietojenkäsittely- ja turvallisuusympäristössä uhkien mallintaminen on kuitenkin tarpeellisempaa kuin koskaan.

Pilvipohjaiset hajautetut järjestelmät ja monitoimiset, ketterät ohjelmistokehitystiimit ovat korvanneet monoliittiset järjestelmät, jotka on rakennettu ja joita operoivat siled-tiimit. Ohjelmistoista on tullut paljon monimutkaisempia – ja niin ovat myös uhat. Uhkatoimijat ovat vaihtaneet taktiikkaa kiertääkseen perinteisiä havaitsemiskeinoja. Monet hyökkäykset eivät enää toimita esimerkiksi haittaohjelmia, vaan keskittyvät tunnistetietojen kompromisseihin. Ja hyökkääjät voivat istua yrityksen verkkojen sisällä kuukausia ennen kuin he toimivat. IBM:n "Tietojen rikkomusraportin kustannukset” havaitsi, että organisaatioilta kestää keskimäärin 287 päivää tunnistaa ja estää rikkomuksen.

Yritykset tiedostavat tarpeen. A 2021 Security Compass -tutkimus havaitsi, että 79 % keskisuurista ja suurista yrityksistä pitää uhkamallinnusta ensisijaisena tavoitteena, mutta vain 25 % suorittaa mallinnuksen suunnittelun alkuvaiheessa. Ja vain 10 % suorittaa uhkamallinnuksen 90 %:ssa kehittämistään sovelluksista.

Toimialana meidän on tehtävä uhkien mallintamisesta vakiokäytäntö ohjelmistokehityksessä, joka otetaan käyttöön tavalla, jonka kanssa sekä kehitys- että tietoturvatiimit voivat työskennellä, ja toteutetaan tavalla, joka näyttää myönteisiä tuloksia ja parannuksia ajan myötä. Ja kaikki alkaa sanasta, jota et ehkä kuule paljon IT-alalla ja tietoturvapiireissä: empatia.

Kulttuurimuutos

Uhkamallinnuksen arvon näkemisen ja sen tosiasiallisen tekemisen välillä on useita syitä, mukaan lukien tietoturva- ja kehitystiimien välisen viestinnän puute ja taipumus luopua uhkien mallintamisesta, jos alkuperäiset ponnistelut menevät sekaisin ja eivät toimi. tuottaa haluttuja tuloksia.

Liian usein tietoturvatiimit voivat tarkastella suojausohjaimien käyttöä yksisuuntaisena katuna heidän ja kehitystiimiensä välillä, koska vain kehittäjille kerrotaan, mitä heidän tulee tehdä. Mutta se alkaa väärällä jalalla. Organisaatioiden on ymmärrettävä, että jokaisella tiimillä on taitoja, joista toinen voi oppia. Loppujen lopuksi, jos laitat tietoturva-ammattilaisen kehittäjätilaan, he menetetään.

Tämän ajattelutavan muuttaminen vaatii kulttuurista muutosta, ja se alkaa empatian näkemisestä arvoehdotuksena. Tämän inhimillinen puoli on nostettava etualalle ja saatava enemmän ihmisiä mukaan tietojemme rikastamiseen. Turvatiimien täytyy arvostaa ympäristöä, jossa kehittäjät työskentelevät, paineen alla kehittää ja toimittaa ohjelmistoja nopeasti. Kehittäjätiimit voivat auttaa tietoturvatiimejä ymmärtämään puitteita, kuten säilöjä, ja kuinka hallita pääsyä. Tietoa voidaan soveltaa suojauskäytäntöihin.

Kun tiimit tekevät yhteistyötä edestakaisin, he oppivat toisiltaan. Siihen pisteeseen pääseminen vie aikaa. Se voi alkaa kokouksista tai prosessien integroinnista, ehkä kokeilemalla hieman yrityksen ja erehdyksen kautta, ja lopulta siirtyä työkaluintegraatioon. Kun he saavuttavat kypsyysasteen, jossa kaikilla on perusymmärrys toistensa toimialueista, he voivat siirtyä edistyneemmille uhkien mallinnuksen tasoille, kuten mallintamalla tietokantoja ja luomalla kaavioita käsitteistä, jotka kartoittavat yhdessä.

Mutta se tarvitsee vakaan prosessin, tai se tulee kalliiksi ja kaoottiseksi, mikä johtaa sotkuisiin ihmisongelmiin.

3 askelta parempaan uhkamallinnukseen

Yhteistyöilmapiirin luomisessa on kolme keskeistä elementtiä.

Valmennus: Tämä auttaa kehittäjiä ymmärtämään uhkamallinnuksen tärkeyden. Se voi alkaa uusien työntekijöiden palkkaamisesta. Riippumatta heidän taustastaan ​​ja sertifikaateistaan, älä oleta, että he tietävät, kuinka tietoturvaa käsitellään yrityksessäsi. Varmista, että he ymmärtävät kulttuuria.

Yhteistyö: Yhteistyö- ja yhteistyökulttuuri alkaa yrityksen johtajuudesta, jossa CISO:lla on asenne halu palvella tiimejä. Se voi viedä aikaa, mutta se tulisi mallintaa johtamistasolla.

Integraatio: Yhteistyön elementit yhdistyvät integraatioiden parissa, mikä on jatkuva prosessi. Tavoitteena ei ole täydellisyys, vaan parantaa ja kehittyä ajan myötä.

Avain tämän lähestymistavan toteuttamiseen on mittareiden soveltaminen, erityisesti tarkastelemalla tuloksia, kuten "haavoittuvuuksien vähentäminen" - sen sijaan, että yritetään arvioida yksityiskohtia siitä, miten yksilöt toimivat. Tulokset eivät ole kehittäjä- tai turvallisuusasia, se on kaikkien asia.

Olen havainnut kokemukseni perusteella, että on hyödyllistä tehdä selkeät 30, 60 ja 90 päivän suunnitelmat, jotka kuvaavat kunkin vaiheen odotetut tulokset. Suunnitelmien tulee osoittaa asteittaista kasvua ja ne on tehtävä yhteistyössä. Jos Nämä tulokset pitäisi mitata, tai päädyt ajautumaan päämäärättömästi.

Empatia on avain

Turvallisuusyhteisönä se on meidän vastuullamme auttaa kehittäjiä omaksumaan uhkien mallintamisen. Kyse ei ole meistä heitä vastaan. Meidän on saatava heidät ajattelemaan turvallisuutta ja uhkien mallintamista osana integroitua lähestymistapaa, joka kehittyy ajan myötä.

Empatia johtamistekniikkana voi auttaa luomaan tämän ympäristön. Jotkut saattavat ajatella, että empatia ei tarkoita vastuuvelvollisuutta - että jonkun aseman ja ajatusten ymmärtäminen on jotenkin pehmeää - mutta se johtaa itse asiassa päinvastaiseen tulokseen. Se kehittää yhteistyötä, jota niin kipeästi tarvitsemme.