Le coin du RSSI : lignes directrices de la NSA ; une étude de cas SBOM utilitaire ; Lampes à lave

Bienvenue dans CISO Corner, le résumé hebdomadaire d'articles de Dark Reading spécialement conçu pour les lecteurs des opérations de sécurité et les responsables de la sécurité. Chaque semaine, nous proposerons des articles glanés dans l'ensemble de nos opérations d'actualité, The Edge, DR Technology, DR Global et notre section Commentaires. Nous nous engageons à présenter un ensemble diversifié de perspectives pour soutenir le travail de mise en œuvre des stratégies de cybersécurité, pour les dirigeants d'organisations de toutes formes et tailles.

Dans ce numéro du RSSI Corner :

Les lignes directrices Zero-Trust de la NSA se concentrent sur la segmentation

Par David Strom, écrivain collaborateur, Dark Reading

Les architectures Zero Trust constituent des mesures de protection essentielles pour l’entreprise moderne. Les dernières directives de la NSA fournissent des recommandations détaillées sur la manière de mettre en œuvre l’aspect réseau du concept.

L'Agence de sécurité nationale des États-Unis (NSA) a publié cette semaine ses lignes directrices pour la sécurité des réseaux Zero Trust, offrant une feuille de route plus concrète vers l'adoption du Zero Trust que ce à quoi nous sommes habitués. Il s'agit d'un effort important pour tenter de combler le fossé entre le désir et la mise en œuvre du concept.

Le document de la NSA contient de nombreuses recommandations sur les meilleures pratiques en matière de confiance zéro, notamment la segmentation fondamentale du trafic réseau pour empêcher les adversaires de se déplacer sur un réseau et accéder aux systèmes critiques.

Il explique comment les contrôles de segmentation du réseau peuvent être effectués à travers une série d'étapes, notamment la cartographie et la compréhension des flux de données, ainsi que la mise en œuvre d'un réseau défini par logiciel (SDN). Chaque étape nécessitera beaucoup de temps et d'efforts pour comprendre quelles parties d'un réseau d'entreprise sont à risque et comment les protéger au mieux.

Le document de la NSA fait également la distinction entre la segmentation des macro et micro-réseaux. Le premier contrôle le trafic circulant entre les départements ou les groupes de travail, de sorte qu'un informaticien n'a pas accès aux serveurs et aux données des ressources humaines, par exemple.

John Kindervag, qui a été le premier à définir le terme « confiance zéro » en 2010, alors qu'il était analyste chez Forrester Research, a salué la décision de la NSA, notant que « très peu d'organisations ont compris l'importance des contrôles de sécurité des réseaux dans la construction du zéro confiance ». -des environnements de confiance, et ce document contribue grandement à aider les organisations à comprendre leur valeur.

Lire la suite: Les lignes directrices Zero-Trust de la NSA se concentrent sur la segmentation

Connexe: NIST Cybersecurity Framework 2.0 : 4 étapes pour démarrer

Créer la sécurité grâce au hasard

Par Andrada Fiscutean, écrivain collaborateur, Dark Reading

Comment les lampes à lave, les pendules et les arcs-en-ciel suspendus assurent la sécurité d'Internet.

Lorsque vous entrez dans le bureau de Cloudflare à San Francisco, la première chose que vous remarquez est un mur de lampes à lave. Les visiteurs s'arrêtent souvent pour prendre des selfies, mais cette installation particulière est plus qu'une déclaration artistique ; c'est un outil de sécurité ingénieux.

Les motifs changeants créés par les gouttes de cire flottantes des lampes aident Cloudflare à chiffrer le trafic Internet en générant des nombres aléatoires. Les nombres aléatoires ont diverses utilisations en cybersécurité, et jouent un rôle crucial dans des choses telles que la création de mots de passe et de clés cryptographiques.

Le Mur d'Entropie de Cloudflare, comme on l'appelle, utilise non pas une mais 100 lampes, dont le caractère aléatoire est augmenté par les mouvements humains.

Cloudflare utilise également des sources supplémentaires d'entropie physique pour créer un caractère aléatoire pour ses serveurs. « À Londres, nous avons cet incroyable mur de doubles pendules, et à Austin, au Texas, nous avons ces incroyables mobiles suspendus au plafond et se déplaçant avec les courants d'air », explique John Graham-Cumming, directeur technique de Cloudfare. Le bureau de Cloudflare à Lisbonne présentera bientôt une installation « basée sur l'océan ».

D'autres organisations ont leurs propres sources d'entropie. L'Université du Chili, par exemple, a ajouté des mesures sismiques au mélange, tandis que l'École polytechnique fédérale suisse utilise le générateur aléatoire local présent sur chaque ordinateur à l'adresse /dev/urandom, ce qui signifie qu'il s'appuie sur des éléments tels que les pressions sur le clavier, les clics de souris. , et le trafic réseau pour générer du caractère aléatoire. Kudelski Security a utilisé un générateur de nombres aléatoires cryptographiques basé sur le chiffrement de flux ChaCha20.

Lire la suite: Créer la sécurité grâce au hasard

Southern Company construit SBOM pour une sous-station électrique

Par Kelly Jackson Higgins, rédactrice en chef de Dark Reading

L'expérience SBOM (Software Bill of Materials) du service public vise à établir une sécurité plus forte de la chaîne d'approvisionnement et des défenses plus strictes contre les cyberattaques potentielles.

Le géant de l'énergie Southern Company a lancé une expérience cette année, qui a commencé avec le déplacement de son équipe de cybersécurité dans l'une de ses sous-stations de Mississippi Power pour y cataloguer physiquement les équipements, prendre des photos et collecter des données à partir de capteurs de réseau. Vint ensuite la partie la plus intimidante – et parfois frustrante – : acquérir les détails de la chaîne d’approvisionnement en logiciels auprès des 17 fournisseurs dont les 38 appareils font fonctionner la sous-station.

La mission? À inventorier tout le matériel, les logiciels et les micrologiciels des équipements fonctionnant dans la centrale électrique dans le but de créer une nomenclature logicielle (SBOM) pour le site de technologie opérationnelle (OT).

Avant le projet, Southern avait une visibilité sur ses actifs de réseau OT via sa plateforme Dragos, mais les détails du logiciel étaient une énigme, a déclaré Alex Waitkus, architecte principal de cybersécurité chez Southern Company et responsable du projet SBOM.

« Nous n'avions aucune idée des différentes versions de logiciels que nous utilisions », a-t-il déclaré. « Nous avions plusieurs partenaires commerciaux qui géraient différentes parties de la sous-station. »

Lire la suite: Southern Company construit SBOM pour une sous-station électrique

Connexe: Un logiciel malveillant PLC amélioré, de type Stuxnet, vise à perturber les infrastructures critiques

Ce que les responsables de la cybersécurité attendent de leurs PDG

Commentaire de Michael Mestrovich RSSI, Rubrik

En aidant les RSSI à répondre aux attentes qui leur sont imposées, les PDG peuvent grandement bénéficier à leur entreprise.

Cela semble évident : les PDG et leurs responsables de la sécurité de l’information (RSSI) devraient être des partenaires naturels. Pourtant, selon un récent rapport de PwC, seuls 30 % des RSSI estiment bénéficier d’un soutien suffisant de la part de leur PDG.

Comme si défendre leur organisation contre les mauvais acteurs malgré les contraintes budgétaires et la pénurie chronique de talents en cybersécurité n'était pas déjà assez difficile, Les RSSI font désormais face à des accusations criminelles et à la colère des régulateurs s'ils font une erreur dans la réponse à un incident. Il n’est pas étonnant que Gartner prévoie que près de la moitié des responsables de la cybersécurité changeront d’emploi d’ici 2025 en raison de multiples facteurs de stress liés au travail.

Voici quatre choses que les PDG peuvent faire pour aider : S'assurer que le RSSI a une ligne directe avec le PDG ; avoir le soutien du RSSI ; travailler avec le RSSI sur une stratégie de résilience ; et s'accorder sur l'impact de l'IA.

Les PDG qui s’appuient sur ces principes ne font pas seulement ce qu’il faut pour leurs RSSI, ils profitent également grandement à leur entreprise.

Lire la suite: Ce que les responsables de la cybersécurité attendent de leurs PDG

Connexe: Le rôle du RSSI connaît une évolution majeure

Comment garantir que les packages open source ne sont pas des mines terrestres

Par Agam Shah, écrivain collaborateur, Dark Reading

CISA et OpenSSF ont publié conjointement de nouvelles directives recommandant des contrôles techniques pour rendre plus difficile pour les développeurs l'intégration de composants de logiciels malveillants dans le code.

Les référentiels open source sont essentiels à l'exécution et à l'écriture d'applications modernes, mais ils peuvent également contenir bombes codées malveillantes et cachées, qui n'attend que d'être intégré aux applications et services.

Pour aider à éviter ces mines terrestres, la Cybersecurity and Infrastructure Security Agency (CISA) et l’Open Source Security Foundation (OpenSSF) ont publié de nouvelles lignes directrices pour la gestion de l’écosystème open source.

Ils recommandent de mettre en œuvre des contrôles tels que l'activation de l'authentification multifacteur pour les responsables du projet, des capacités de reporting de sécurité tierces et des avertissements pour les packages obsolètes ou non sécurisés afin de réduire l'exposition aux codes malveillants et aux packages se faisant passer pour du code open source sur les référentiels publics.

Les organisations ignorent le risque, à leurs risques et périls : « En ce qui concerne les packages malveillants au cours de la dernière année, nous avons constaté une multiplication par deux par rapport aux années précédentes », a déclaré Ann Barron-DiCamillo, directrice générale et responsable mondiale des cyber-opérations chez Citi, lors de la conférence OSFF. il y a quelques mois. «Cela devient une réalité associée à notre communauté de développement.»

Lire la suite: Comment garantir que les packages open source ne sont pas des mines terrestres

Connexe: Des millions de dépôts malveillants inondent GitHub

Le Moyen-Orient est leader dans le déploiement de la sécurité du courrier électronique DMARC

Par Robert Lemos, écrivain collaborateur, Dark Reading

Pourtant, des défis demeurent, car les politiques de nombreux pays en matière de protocole d'authentification de courrier électronique restent laxistes et pourraient aller à l'encontre des restrictions de Google et de Yahoo.

Le 1er février, Google et Yahoo ont commencé à exiger que tous les e-mails envoyés à leurs utilisateurs aient des enregistrements vérifiables Sender Policy Framework (SPF) et Domain Key Identified Mail (DKIM), tandis que les expéditeurs en masse – les entreprises envoyant plus de 5,000 XNUMX e-mails par jour – doivent disposer également d'un enregistrement DMARC (Domain-based Message Authentication Reporting and Conformance) valide.

Encore, de nombreuses organisations sont en retard dans l'adoption de ces technologies, même si elles ne sont pas nouvelles. Il existe cependant deux exceptions brillantes : le Royaume d’Arabie saoudite et les Émirats arabes unis (EAU).

Comparativement aux trois quarts (73 %) des organisations mondiales, environ 90 % des organisations en Arabie saoudite et 80 % aux Émirats arabes unis ont mis en œuvre la version la plus basique de DMARC qui, avec les deux autres spécifications, rend l'usurpation d'identité par courrier électronique bien plus facile. difficile pour les attaquants.

Dans l’ensemble, les pays du Moyen-Orient sont en avance dans l’adoption du DMARC. Environ 80 % des membres de l'indice composite panarabe de S&P ont une politique DMARC stricte, ce qui est supérieur aux 100 % du FTSE72, et encore supérieur aux 61 % de l'indice français CAC40, selon Nadim Lahoud, vice-président de la stratégie et opérations pour Red Sift, une société de renseignement sur les menaces.

Lire la suite: Le Moyen-Orient est leader dans le déploiement de la sécurité du courrier électronique DMARC

Connexe: Les données DMARC montrent une augmentation de 75 % du nombre d'e-mails suspects arrivant dans les boîtes de réception

La stratégie de cyberassurance nécessite une collaboration RSSI-CFO

Par Fahmida Y. Rashid, rédactrice en chef, fonctionnalités, Dark Reading

La quantification des cyber-risques associe l'expertise technique du RSSI et l'attention portée par le directeur financier à l'impact financier pour développer une compréhension plus solide et meilleure de ce qui est en jeu.

La cyber-assurance est devenue la norme pour de nombreuses organisations, avec plus de la moitié des personnes interrogées dans la dernière enquête de sécurité stratégique de Dark Reading affirmant que leur organisation dispose d'une certaine forme de couverture. Alors que l'assurance est généralement le domaine du conseil d'administration et des directeurs financiers de l'organisation, la nature technique du cyber-risque signifie que le RSSI est de plus en plus invité à participer au débat.

Dans l'enquête, 29 % déclarent couverture cyber-assurance fait partie d'une police d'assurance commerciale plus large, et 28 % déclarent avoir une police spécifique pour les incidents de cybersécurité. Près de la moitié des organisations (46 %) déclarent avoir une politique couvrant les paiements par ransomware.

"Il est désormais de plus en plus important pour l'organisation RSSI de comprendre comment parler des risques et comment les gérer et les atténuer", déclare Monica Shokrai, responsable des risques commerciaux et des assurances chez Google Cloud, tout en notant que la communication des risques vers le haut est quelque chose de primordial. Le CFO « fait depuis toujours ».

Au lieu d’essayer de transformer les RSSI en « cyber-CFO », les deux organisations devraient travailler ensemble pour développer une stratégie cohérente et intégrée pour le conseil d’administration, dit-elle.

Lire la suite: La stratégie de cyberassurance nécessite une collaboration RSSI-CFO

Services Connexes: La confidentialité bat les ransomwares en tant que principale préoccupation en matière d'assurance

Conseils pour gérer diverses équipes de sécurité

Commentaire de Gourav Nagar, directeur principal des opérations de sécurité, BILL

Plus une équipe de sécurité travaille ensemble, plus l’impact direct sur la manière dont elle peut protéger l’organisation est important.

La constitution d'une équipe de sécurité commence par l'embauche, mais une fois que l'équipe commence à travailler ensemble, il est essentiel de créer un langage commun ainsi qu'un ensemble d'attentes et de processus. De cette façon, l’équipe peut travailler rapidement vers un objectif commun et éviter les problèmes de communication.

Surtout pour les équipes diversifiées, où l'objectif est que chaque personne apporte ses différentes expériences, ses perspectives uniques et ses manières distinctes de résoudre les problèmes, disposer de canaux de communication communs pour partager des mises à jour et collaborer garantit que les membres de l'équipe peuvent consacrer plus de temps à ce qu'ils aiment faire. et ne vous souciez pas de la dynamique d'équipe.

Voici trois stratégies pour atteindre cet objectif : embauchez en fonction de la diversité et alignez-vous rapidement sur la culture et les processus de l'équipe ; créer de la confiance pour chaque personne de l'équipe ; et aidez les membres de votre équipe à bâtir une carrière dans la cybersécurité et à rester enthousiasmés par l'innovation.

Bien entendu, c’est à chacun d’entre nous de s’approprier sa propre carrière. En tant que managers, nous le savons peut-être bien, mais pas tous les membres de notre équipe. Notre rôle est de rappeler et d'encourager chacun d'entre eux à apprendre activement et à assumer des rôles et des responsabilités qui les passionneront et les aideront dans leur carrière.

Lire la suite: Conseils pour gérer diverses équipes de sécurité

Connexe: Comment la neurodiversité peut aider à combler la pénurie de main-d'œuvre en cybersécurité

• Contenu propulsé par le référencement et distribution de relations publiques. Soyez amplifié aujourd'hui.
• PlatoData.Network Ai générative verticale. Autonomisez-vous. Accéder ici.
• PlatoAiStream. Intelligence Web3. Connaissance Amplifiée. Accéder ici.
• PlatonESG. Carbone, Technologie propre, Énergie, Environnement, Solaire, La gestion des déchets. Accéder ici.
• PlatoHealth. Veille biotechnologique et essais cliniques. Accéder ici.
• La source: https://www.darkreading.com/cybersecurity-operations/ciso-corner-nsa-guidelines-utility-sbom-case-study-lava-lamps