CISO Corner: Mengoperasionalkan NIST CSF 2.0; Model AI Mengamuk

Diterbitkan Ulang Oleh Plato

Followers: 0

CISO Corner: Mengoperasionalkan NIST CSF 2.0; Model AI Menjalankan Kecerdasan Data Amok PlatoBlockchain. Pencarian Vertikal. Ai.

Selamat datang di CISO Corner, intisari artikel mingguan Dark Reading yang dirancang khusus untuk pembaca operasi keamanan dan pemimpin keamanan. Setiap minggu, kami akan menawarkan artikel yang dikumpulkan dari seluruh operasi berita kami, The Edge, DR Technology, DR Global, dan bagian Komentar kami. Kami berkomitmen untuk memberikan Anda beragam perspektif untuk mendukung tugas operasionalisasi strategi keamanan siber, bagi para pemimpin di organisasi dalam segala bentuk dan ukuran.

Dalam edisi ini:

Kerangka Keamanan Siber NIST 2.0: 4 Langkah untuk Memulai
Apple, Signal Debutkan Enkripsi Tahan Kuantum, namun Tantangan Menjulang
Sekarang jam 10 malam. Tahukah Anda Di Mana Model AI Anda Malam Ini?
Organisasi Menghadapi Hukuman Besar SEC karena Gagal Mengungkapkan Pelanggaran
Peraturan Biometrik Memanas, Pertanda Sakit Kepala Kepatuhan
DR Global: Kelompok Peretasan Iran yang 'Ilusif' Menjerat Perusahaan Dirgantara dan Pertahanan Israel, UEA
MITER Meluncurkan 4 CWE Baru untuk Bug Keamanan Mikroprosesor
Konvergensi Undang-undang Privasi Negara & Tantangan AI yang Muncul

Kerangka Keamanan Siber NIST 2.0: 4 Langkah untuk Memulai

Oleh Robert Lemos, Penulis Kontributor, Dark Reading

Institut Standar dan Teknologi Nasional (NIST) telah merevisi buku tentang pembuatan program keamanan siber komprehensif yang bertujuan membantu organisasi dari berbagai ukuran menjadi lebih aman. Di sinilah tempat untuk mulai menerapkan perubahan.

Mengoperasionalkan versi terbaru Kerangka Keamanan Siber (CSF) NIST, yang dirilis minggu ini, dapat berarti perubahan signifikan terhadap program keamanan siber.

Misalnya saja, terdapat fungsi baru “Govern” yang menggabungkan pengawasan eksekutif dan dewan yang lebih besar terhadap keamanan siber, dan fungsi ini semakin meluas. praktik keamanan terbaik lebih dari sekadar praktik untuk industri kritis. Secara keseluruhan, tim keamanan siber akan mempunyai tugas yang tidak dapat diselesaikan, dan harus mencermati penilaian yang ada, mengidentifikasi kesenjangan, dan aktivitas remediasi untuk menentukan dampak perubahan kerangka kerja.

Untungnya, tips kami untuk operasionalisasi Kerangka Keamanan Siber NIST versi terbaru dapat membantu menunjukkan jalan ke depan. Hal ini mencakup penggunaan seluruh sumber daya NIST (CSF bukan hanya sebuah dokumen namun kumpulan sumber daya yang dapat digunakan perusahaan untuk menerapkan kerangka kerja tersebut pada lingkungan dan persyaratan spesifik mereka); duduk bersama C-suite untuk mendiskusikan fungsi “Memerintah”; membungkus keamanan rantai pasokan; dan mengonfirmasi bahwa layanan konsultasi dan produk manajemen postur keamanan siber dievaluasi ulang dan diperbarui untuk mendukung CSF terbaru.

Baca lebih lanjut: Kerangka Keamanan Siber NIST 2.0: 4 Langkah untuk Memulai

Terkait: Pemerintah AS Memperluas Peran dalam Keamanan Perangkat Lunak

Apple, Signal Debutkan Enkripsi Tahan Kuantum, namun Tantangan Menjulang

Oleh Jai Vijayan, Penulis Kontributor, Dark Reading

PQ3 Apple untuk mengamankan iMessage dan PQXH Signal menunjukkan bagaimana organisasi mempersiapkan masa depan di mana protokol enkripsi harus jauh lebih sulit untuk dipecahkan.

Seiring dengan semakin matangnya komputer kuantum dan memberikan musuh cara yang mudah untuk memecahkan protokol enkripsi paling aman saat ini, organisasi perlu mengambil langkah sekarang untuk melindungi komunikasi dan data.

Untuk itu, protokol kriptografi pasca-kuantum (PQC) PQ3 baru Apple untuk mengamankan komunikasi iMessage, dan protokol enkripsi serupa yang diperkenalkan Signal tahun lalu yang disebut PQXDH, bersifat tahan kuantum, yang berarti mereka dapat — setidaknya secara teoritis — menahan serangan dari kuantum komputer mencoba memecahkannya.

Namun bagi organisasi, peralihan ke hal-hal seperti PQC akan memakan waktu lama, rumit, dan mungkin menyakitkan. Mekanisme saat ini yang sangat bergantung pada infrastruktur kunci publik akan memerlukan evaluasi ulang dan adaptasi untuk mengintegrasikan algoritma yang tahan kuantum. Dan itu migrasi ke enkripsi pasca-kuantum memperkenalkan serangkaian tantangan manajemen baru untuk tim TI, teknologi, dan keamanan perusahaan yang serupa dengan migrasi sebelumnya, seperti dari TLS1.2 ke 1.3 dan IPv4 ke v6, yang keduanya memerlukan waktu puluhan tahun.

Baca lebih lanjut: Apple, Signal Debutkan Enkripsi Tahan Kuantum, namun Tantangan Menjulang

Terkait: Memecahkan Kriptografi Lemah Sebelum Komputasi Kuantum Melakukannya

Iini jam 10 malam. Tahukah Anda Di Mana Model AI Anda Malam Ini?

Oleh Ericka Chickowski, Penulis Kontributor, Dark Reading

Kurangnya visibilitas dan keamanan model AI menempatkan masalah keamanan rantai pasokan perangkat lunak pada tingkat yang sangat tinggi.

Jika Anda berpikir masalah keamanan rantai pasokan perangkat lunak cukup sulit saat ini, bersiaplah. Pertumbuhan eksplosif dalam penggunaan AI akan membuat permasalahan rantai pasokan tersebut semakin sulit diatasi di tahun-tahun mendatang.

Model AI/pembelajaran mesin memberikan landasan bagi kemampuan sistem AI untuk mengenali pola, membuat prediksi, mengambil keputusan, memicu tindakan, atau membuat konten. Namun kenyataannya sebagian besar organisasi bahkan tidak tahu bagaimana cara mulai memperoleh keuntungan visibilitas ke semua model AI yang tertanam dalam perangkat lunak mereka.

Sebagai tambahan, model dan infrastruktur di sekitarnya dibuat secara berbeda dari komponen perangkat lunak lainnya, dan keamanan tradisional serta perangkat lunak tidak dibuat untuk memindai atau memahami cara kerja model AI atau kelemahannya.

“Model, menurut desainnya, adalah bagian kode yang dapat dijalankan sendiri. AI memiliki sejumlah keagenan,” kata Daryan Dehghanpisheh, salah satu pendiri Protect AI. “Jika saya memberi tahu Anda bahwa Anda memiliki aset di seluruh infrastruktur yang tidak dapat Anda lihat, tidak dapat Anda identifikasi, Anda tidak tahu apa isinya, Anda tidak tahu kodenya, dan aset tersebut dijalankan sendiri dan melakukan panggilan ke luar, itu terdengar mencurigakan seperti virus izin, bukan?”

Baca lebih lanjut: Sekarang jam 10 malam. Tahukah Anda Di Mana Model AI Anda Malam Ini?

Terkait: Platform AI Hugging Face Penuh Dengan 100 Model Eksekusi Kode Berbahaya

Organisasi Menghadapi Hukuman Besar SEC karena Gagal Mengungkapkan Pelanggaran

Oleh Robert Lemos, Penulis Kontributor

Dalam hal yang bisa menjadi mimpi buruk penegakan hukum, potensi denda jutaan dolar, kerusakan reputasi, tuntutan hukum pemegang saham, dan hukuman lainnya menunggu perusahaan yang gagal mematuhi aturan pengungkapan pelanggaran data baru SEC.

Perusahaan dan CISO mereka dapat menghadapi denda ratusan ribu hingga jutaan dolar dan hukuman lainnya dari Komisi Sekuritas dan Bursa AS (SEC), jika mereka tidak melakukan proses pengungkapan keamanan siber dan pelanggaran data untuk mematuhinya. dengan peraturan baru yang kini mulai berlaku.

Registrasi SEC punya gigi: Komisi dapat menjatuhkan perintah permanen yang memerintahkan terdakwa untuk menghentikan tindakan yang menjadi inti kasus, memerintahkan pengembalian keuntungan yang diperoleh secara tidak sah, atau menerapkan tiga tingkat hukuman yang lebih berat yang dapat mengakibatkan denda yang sangat besar. .

Mungkin yang paling mengkhawatirkan CISO adalah tanggung jawab pribadi yang mereka hadapi saat ini untuk banyak bidang operasi bisnis yang secara historis bukan merupakan tanggung jawab mereka. Hanya setengah dari CISO (54%) yang yakin akan kemampuan mereka untuk mematuhi keputusan SEC.

Semua hal ini mengarah pada pemikiran ulang secara luas mengenai peran CISO, dan biaya tambahan bagi dunia usaha.

Baca lebih lanjut: Organisasi Menghadapi Hukuman Besar SEC karena Gagal Mengungkapkan Pelanggaran

Terkait: Yang Harus Diketahui Perusahaan & CISO tentang Meningkatnya Ancaman Hukum

Peraturan Biometrik Memanas, Pertanda Sakit Kepala Kepatuhan

Oleh David Strom, Penulis Kontributor, Dark Reading

Semakin banyak undang-undang privasi yang mengatur biometrik ditujukan untuk melindungi konsumen di tengah meningkatnya pelanggaran cloud dan deepfake yang diciptakan oleh AI. Namun bagi bisnis yang menangani data biometrik, tetap mematuhi peraturan lebih mudah diucapkan daripada dilakukan.

Kekhawatiran privasi biometrik kian memanas seiring dengan meningkatnya jumlah pengguna ancaman deepfake berbasis kecerdasan buatan (AI)., meningkatnya penggunaan biometrik oleh bisnis, antisipasi undang-undang privasi tingkat negara bagian yang baru, dan perintah eksekutif baru yang dikeluarkan oleh Presiden Biden minggu ini yang mencakup perlindungan privasi biometrik.

Artinya, dunia usaha harus lebih berwawasan ke depan dan mengantisipasi serta memahami risikonya guna membangun infrastruktur yang tepat untuk melacak dan menggunakan konten biometrik. Dan mereka yang menjalankan bisnis secara nasional harus mengaudit prosedur perlindungan data mereka untuk mengetahui kepatuhan terhadap peraturan yang bersifat tambal sulam, termasuk memahami bagaimana mereka memperoleh persetujuan konsumen atau mengizinkan konsumen untuk membatasi penggunaan data tersebut dan memastikan bahwa data tersebut sesuai dengan berbagai seluk-beluk peraturan.

Baca lebih lanjut: Peraturan Biometrik Memanas, Pertanda Sakit Kepala Kepatuhan

Terkait: Pilih Autentikasi Biometrik Terbaik untuk Kasus Penggunaan Anda

DR Global: Kelompok Peretasan Iran yang 'Ilusif' Menjerat Perusahaan Dirgantara dan Pertahanan Israel, UEA

Oleh Robert Lemos, Penulis Kontributor, Dark Reading

UNC1549, alias Smoke Sandstorm dan Tortoiseshell, tampaknya menjadi biang keladi di balik kampanye serangan siber yang disesuaikan untuk setiap organisasi sasaran.

Kelompok ancaman Iran UNC1549 – juga dikenal sebagai Smoke Sandstorm dan Tortoiseshell – mengincar ruang angkasa dan perusahaan pertahanan di Israel, Uni Emirat Arab, dan negara-negara lain di Timur Tengah dan sekitarnya.

Khususnya, antara spear-phishing yang berfokus pada pekerjaan dan penggunaan infrastruktur cloud untuk perintah dan kontrol, serangan ini mungkin sulit dideteksi, kata Jonathan Leathery, analis utama Mandiant Google Cloud.

“Hal yang paling menonjol adalah betapa ilusifnya ancaman ini untuk ditemukan dan dilacak – mereka jelas memiliki akses terhadap sumber daya yang signifikan dan selektif dalam menargetkannya,” katanya. “Kemungkinan ada lebih banyak aktivitas dari aktor ini yang belum ditemukan, dan bahkan lebih sedikit lagi informasi mengenai bagaimana mereka beroperasi setelah mereka berhasil mencapai suatu target.”

Baca lebih lanjut: Kelompok Peretasan Iran yang 'Ilusif' Menjerat Perusahaan Dirgantara dan Pertahanan Israel, UEA

Terkait: Tiongkok Meluncurkan Rencana Pertahanan Siber Baru untuk Jaringan Industri

MITER Meluncurkan 4 CWE Baru untuk Bug Keamanan Mikroprosesor

Oleh Jai Vijayan, Penulis Kontributor, Dark Reading

Tujuannya adalah untuk memberikan pemahaman yang lebih baik kepada perancang chip dan praktisi keamanan di bidang semikonduktor tentang kelemahan utama mikroprosesor seperti Meltdown dan Spectre.

Dengan meningkatnya jumlah eksploitasi saluran samping yang menargetkan sumber daya CPU, program Common Weakness Enumeration (CWE) yang dipimpin MITRE menambahkan empat kelemahan baru terkait mikroprosesor ke dalam daftar jenis kerentanan perangkat lunak dan perangkat keras yang umum.

CWE adalah hasil upaya kolaboratif antara Intel, AMD, Arm, Riscure, dan Cycuity dan memberikan perancang prosesor dan praktisi keamanan di bidang semikonduktor bahasa umum untuk mendiskusikan kelemahan dalam arsitektur mikroprosesor modern.

Keempat CWE baru tersebut adalah CWE-1420, CWE-1421, CWE-1422, dan CWE-1423.

CWE-1420 menyangkut paparan informasi sensitif selama eksekusi sementara atau spekulatif — fungsi pengoptimalan perangkat keras yang terkait dengan Meltdown dan Specter — dan merupakan “induk” dari tiga CWE lainnya.

CWE-1421 berkaitan dengan kebocoran informasi sensitif dalam struktur mikroarsitektur bersama selama eksekusi sementara; CWE-1422 mengatasi kebocoran data yang terkait dengan penerusan data yang salah selama eksekusi sementara. CWE-1423 melihat paparan data yang terkait dengan keadaan internal tertentu dalam mikroprosesor.

Baca lebih lanjut: MITER Meluncurkan 4 CWE Baru untuk Bug Keamanan Mikroprosesor

Terkait: MITRE Meluncurkan Prototipe Keamanan Rantai Pasokan

Konvergensi Undang-undang Privasi Negara & Tantangan AI yang Muncul

Komentar oleh Jason Eddinger, Konsultan Keamanan Senior, Privasi Data, Keamanan GuidePoint

Sudah waktunya bagi perusahaan untuk melihat apa yang mereka proses, jenis risiko apa yang mereka hadapi, dan bagaimana mereka berencana memitigasi risiko tersebut.

Delapan negara bagian AS meloloskan undang-undang privasi data pada tahun 2023, dan pada tahun 2024, undang-undang tersebut akan mulai berlaku pada empat negara bagian, sehingga perusahaan perlu meninjau kembali secara mendalam data yang mereka proses, jenis risiko apa yang mereka hadapi, dan cara mengelolanya. risiko, dan rencana mereka untuk memitigasi risiko yang telah mereka identifikasi. Penerapan AI akan mempersulit hal ini.

Saat dunia usaha memetakan strategi untuk mematuhi semua peraturan baru yang ada, perlu dicatat bahwa meskipun undang-undang ini selaras dalam banyak hal, undang-undang tersebut juga menunjukkan nuansa spesifik negara bagian.

Perusahaan seharusnya berharap untuk melihat banyak hal tren privasi data yang sedang berkembang tahun ini, antara lain:

Kelanjutan dari negara-negara yang mengadopsi undang-undang privasi yang komprehensif. Kita tidak tahu berapa banyak yang lolos tahun ini, tapi yang pasti akan ada banyak diskusi aktif.
AI akan menjadi tren yang signifikan, karena bisnis akan melihat konsekuensi yang tidak diinginkan dari penggunaannya, yang mengakibatkan pelanggaran dan denda penegakan hukum karena adopsi AI yang cepat tanpa undang-undang atau kerangka kerja standar yang sebenarnya.
Tahun 2024 adalah tahun pemilihan presiden di Amerika, yang akan meningkatkan kesadaran dan perhatian terhadap privasi data. Privasi anak-anak juga semakin diutamakan, dengan negara-negara seperti Connecticut memperkenalkan persyaratan tambahan.
Dunia usaha juga harus mengantisipasi tren kedaulatan data pada tahun 2024. Perusahaan multinasional harus meluangkan lebih banyak waktu untuk memahami di mana data mereka berada dan persyaratan berdasarkan kewajiban internasional ini untuk memenuhi persyaratan residensi dan kedaulatan data guna mematuhi hukum internasional.