Angolo CISO: Linee guida NSA; un caso di studio SBOM di utilità; Lampade laviche

Benvenuti in CISO Corner, la raccolta settimanale di articoli di Dark Reading pensati specificatamente per i lettori e i leader della sicurezza che si occupano di operazioni di sicurezza. Ogni settimana offriremo articoli raccolti dalle nostre attività di notizie, The Edge, DR Technology, DR Global e dalla nostra sezione Commenti. Ci impegniamo a presentare una serie diversificata di prospettive per supportare il lavoro di operatività delle strategie di sicurezza informatica, per i leader di organizzazioni di ogni forma e dimensione.

In questo numero di CISO Corner:

Le linee guida Zero Trust della NSA si concentrano sulla segmentazione

Di David Strom, scrittore collaboratore, Dark Reading

Le architetture Zero Trust sono misure di protezione essenziali per l’impresa moderna. Le ultime linee guida della NSA forniscono raccomandazioni dettagliate su come implementare l’aspetto di rete del concetto.

Questa settimana la National Security Agency (NSA) degli Stati Uniti ha pubblicato le sue linee guida per la sicurezza della rete Zero Trust, offrendo una tabella di marcia più concreta verso l’adozione di Zero Trust di quanto siamo abituati a vedere. È uno sforzo importante cercare di colmare il divario tra desiderio e implementazione del concetto.

Il documento della NSA contiene moltissimi consigli sulle migliori pratiche zero trust, inclusa, fondamentalmente, la segmentazione del traffico di rete impedire agli avversari di muoversi all'interno di una rete e ottenere l'accesso ai sistemi critici.

Illustra come è possibile eseguire i controlli di segmentazione della rete attraverso una serie di passaggi, tra cui la mappatura e la comprensione dei flussi di dati e l'implementazione del networking definito dal software (SDN). Ogni passaggio richiederà molto tempo e impegno per comprendere quali parti di una rete aziendale sono a rischio e come proteggerle al meglio.

Il documento della NSA distingue anche tra la segmentazione della macro e della micro rete. Il primo controlla il traffico che si sposta tra reparti o gruppi di lavoro, quindi un lavoratore IT non ha accesso, ad esempio, ai server e ai dati delle risorse umane.

John Kindervag, che per primo definì il termine “zero trust” nel 2010, quando era analista presso Forrester Research, ha accolto con favore la mossa della NSA, sottolineando che “pochissime organizzazioni hanno compreso l’importanza dei controlli di sicurezza della rete nella costruzione di zero trust”. -ambienti di fiducia, e questo documento contribuisce notevolmente ad aiutare le organizzazioni a comprenderne il valore.

Leggi di più: Le linee guida Zero Trust della NSA si concentrano sulla segmentazione

Correlato: NIST Cybersecurity Framework 2.0: 4 passaggi per iniziare

Creare sicurezza attraverso la casualità

Di Andrada Fiscutean, scrittore collaboratore, Dark Reading

In che modo le lampade lava, i pendoli e gli arcobaleni sospesi mantengono Internet sicuro.

Quando entri nell'ufficio di San Francisco di Cloudflare, la prima cosa che noti è un muro di lampade lava. I visitatori spesso si fermano per farsi dei selfie, ma la peculiare installazione è più di una dichiarazione artistica; è uno strumento di sicurezza ingegnoso.

I modelli mutevoli creati dalle gocce di cera fluttuanti delle lampade aiutano Cloudflare a crittografare il traffico Internet generando numeri casuali. I numeri casuali hanno una varietà di usi nella sicurezza informaticae svolgono un ruolo cruciale in cose come la creazione di password e chiavi crittografiche.

Il Muro dell'Entropia di Cloudflare, come è noto, utilizza non una ma 100 lampade, la cui casualità aumenta con il movimento umano.

Cloudflare utilizza anche ulteriori fonti di entropia fisica per creare casualità per i suoi server. "A Londra, abbiamo questo incredibile muro di doppi pendoli, e ad Austin, in Texas, abbiamo questi incredibili dispositivi mobili appesi al soffitto e che si muovono con le correnti d'aria", afferma John Graham-Cumming, CTO di Cloudfare. L'ufficio di Cloudflare a Lisbona presenterà presto un'installazione “basata sull'oceano”.

Altre organizzazioni hanno le proprie fonti di entropia. L'Università del Cile, ad esempio, ha aggiunto misurazioni sismiche al mix, mentre l'Istituto Federale Svizzero di Tecnologia utilizza il generatore di casualità locale presente su ogni computer su /dev/urandom, il che significa che si basa su cose come la pressione della tastiera, i clic del mouse e traffico di rete per generare casualità. Kudelski Security ha utilizzato un generatore di numeri casuali crittografici basato sul codice a flusso ChaCha20.

Leggi di più: Creare sicurezza attraverso la casualità

La Southern Company costruisce SBOM per una sottostazione elettrica

Di Kelly Jackson Higgins, redattore capo, Dark Reading

L'esperimento della distinta base software (SBOM) dell'azienda mira a stabilire una maggiore sicurezza della catena di approvvigionamento e difese più rigorose contro potenziali attacchi informatici.

Quest’anno il colosso energetico Southern Company ha dato il via a un esperimento, iniziato con il viaggio del suo team di sicurezza informatica in una delle sue sottostazioni elettriche del Mississippi per catalogare fisicamente le apparecchiature presenti, scattare foto e raccogliere dati dai sensori di rete. Poi è arrivata la parte più scoraggiante e, a volte, frustrante: acquisire i dettagli della catena di fornitura del software dai 17 fornitori i cui 38 dispositivi gestiscono la sottostazione.

La missione? A inventariare tutto l'hardware, il software e il firmware delle apparecchiature in funzione nella centrale elettrica nel tentativo di creare una distinta base software (SBOM) per il sito di tecnologia operativa (OT).

Prima del progetto, Southern aveva visibilità sulle risorse della sua rete OT tramite la sua piattaforma Dragos, ma i dettagli del software erano un enigma, ha affermato Alex Waitkus, principale architetto della sicurezza informatica presso Southern Company e capo del progetto SBOM.

"Non avevamo idea delle diverse versioni del software che stavamo utilizzando", ha affermato. "Avevamo diversi partner commerciali che gestivano diverse parti della sottostazione."

Leggi di più: La Southern Company costruisce SBOM per una sottostazione elettrica

Correlato: Il malware PLC migliorato, simile a Stuxnet, mira a interrompere le infrastrutture critiche

Ciò di cui i capi della sicurezza informatica hanno bisogno dai loro CEO

Commento di Michael Mestrovich CISO, Rubrik

Aiutando i CISO a gestire le aspettative poste sulle loro spalle, i CEO possono apportare grandi vantaggi alle loro aziende.

Sembra ovvio: i CEO e i loro Chief Information Security Officer (CISO) dovrebbero essere partner naturali. Eppure, secondo un recente rapporto PwC, solo il 30% dei CISO ritiene di ricevere un sostegno sufficiente dal proprio CEO.

Come se difendere le proprie organizzazioni dai malintenzionati nonostante i vincoli di budget e la cronica carenza di talenti nel campo della sicurezza informatica non fosse già abbastanza difficile, I CISO ora devono affrontare accuse penali e l’ira normativa se commettono un errore nella risposta all'incidente. Non c’è da stupirsi che Gartner preveda che quasi la metà dei leader della sicurezza informatica cambieranno lavoro entro il 2025 a causa di molteplici fattori di stress legati al lavoro.

Ecco quattro cose che i CEO possono fare per aiutare: garantire che il CISO abbia una linea diretta con il CEO; coprire le spalle del CISO; collaborare con il CISO su una strategia di resilienza; e concordare l'impatto dell'intelligenza artificiale.

I CEO che si appoggiano a questi principi non solo stanno facendo la cosa giusta per i loro CISO, ma stanno apportando grandi benefici alle loro aziende.

Leggi di più: Ciò di cui i capi della sicurezza informatica hanno bisogno dai loro CEO

Correlato: Il ruolo del CISO subisce una grande evoluzione

Come garantire che i pacchetti open source non siano mine antiuomo

Di Agam Shah, scrittore collaboratore, Dark Reading

CISA e OpenSSF hanno pubblicato congiuntamente nuove linee guida che raccomandano controlli tecnici per rendere più difficile per gli sviluppatori inserire componenti software dannosi nel codice.

I repository open source sono fondamentali per l'esecuzione e la scrittura di applicazioni moderne, ma possono anche contenere bombe a codice dannose e in agguato, aspettano solo di essere incorporati in app e servizi.

Per contribuire a evitare queste mine, la Cybersecurity and Infrastructure Security Agency (CISA) e la Open Source Security Foundation (OpenSSF) hanno pubblicato nuove linee guida per la gestione dell’ecosistema open source.

Raccomandano di implementare controlli come l'abilitazione dell'autenticazione a più fattori per i manutentori del progetto, funzionalità di reporting sulla sicurezza di terze parti e avvisi per pacchetti obsoleti o non sicuri per contribuire a ridurre l'esposizione a codice dannoso e pacchetti mascherati da codice open source su repository pubblici.

Le organizzazioni ignorano il rischio a loro rischio e pericolo: "Parlando di pacchetti dannosi nell'ultimo anno, abbiamo assistito a un aumento doppio rispetto agli anni precedenti", ha affermato Ann Barron-DiCamillo, amministratore delegato e responsabile globale delle operazioni informatiche di Citi, alla conferenza OSFF qualche mese fa. “Questa sta diventando una realtà associata alla nostra comunità di sviluppo”.

Leggi di più: Come garantire che i pacchetti open source non siano mine antiuomo

Correlato: Milioni di repository dannosi inondano GitHub

Il Medio Oriente è leader nell’implementazione della sicurezza e-mail DMARC

Di Robert Lemos, scrittore collaboratore, Dark Reading

Tuttavia le sfide rimangono poiché le politiche di molte nazioni per il protocollo di autenticazione della posta elettronica rimangono permissive e potrebbero entrare in conflitto con le restrizioni di Google e Yahoo.

Il 1° febbraio, sia Google che Yahoo hanno iniziato a imporre che tutte le e-mail inviate ai propri utenti abbiano record verificabili Sender Policy Framework (SPF) e Domain Key Identified Mail (DKIM), mentre i mittenti di massa, ovvero le aziende che inviano più di 5,000 e-mail al giorno, devono disporre inoltre di un record DMARC (Domain-based Message Authentication Reporting and Conformance) valido.

Tuttavia, molte organizzazioni sono in ritardo nell'adozione di queste tecnologie, nonostante non siano nuove. Ci sono però due brillanti eccezioni: il Regno dell’Arabia Saudita e gli Emirati Arabi Uniti (EAU).

Rispetto a circa tre quarti (73%) delle organizzazioni globali, circa il 90% delle organizzazioni in Arabia Saudita e l'80% negli Emirati Arabi Uniti hanno implementato la versione più semplice di DMARC che, insieme alle altre due specifiche, rende la rappresentazione basata su email molto più efficace. difficile per gli aggressori.

Nel complesso, le nazioni del Medio Oriente sono in vantaggio nell’adozione di DMARC. Circa l'80% dei membri dell'indice Pan Arab Composite di S&P ha una rigorosa politica DMARC, che è superiore al 100% del FTSE72 e ancora superiore al 61% dell'indice francese CAC40, secondo Nadim Lahoud, vice presidente della strategia e operazioni per Red Sift, una società di intelligence sulle minacce.

Leggi di più: Il Medio Oriente è leader nell’implementazione della sicurezza e-mail DMARC

Correlato: I dati DMARC mostrano un aumento del 75% delle e-mail sospette che raggiungono le caselle di posta

La strategia di assicurazione informatica richiede la collaborazione tra CISO e CFO

Di Fahmida Y. Rashid, caporedattore, Caratteristiche, Lettura oscura

La quantificazione del rischio informatico riunisce le competenze tecniche del CISO e l'attenzione del CFO sull'impatto finanziario per sviluppare una comprensione più forte e migliore della posta in gioco.

L'assicurazione informatica è diventata la norma per molte organizzazioni, con più della metà degli intervistati nell'ultimo sondaggio sulla sicurezza strategica di Dark Reading che afferma che le loro organizzazioni hanno una qualche forma di copertura. Sebbene il settore assicurativo sia tipicamente di competenza del consiglio di amministrazione e dei CFO dell'organizzazione, la natura tecnica del rischio informatico fa sì che al CISO venga sempre più chiesto di prendere parte alla conversazione.

Nel sondaggio, dice il 29%. copertura assicurativa informatica fa parte di una polizza assicurativa aziendale più ampia e il 28% afferma di avere una polizza specifica per gli incidenti di sicurezza informatica. Quasi la metà delle organizzazioni (46%) afferma di avere una policy che copre i pagamenti di ransomware.

"Come parlare di rischio e come gestirlo e mitigarlo sta diventando sempre più importante per l'organizzazione CISO", afferma Monica Shokrai, responsabile del rischio aziendale e delle assicurazioni presso Google Cloud, pur sottolineando che comunicare il rischio verso l'alto è qualcosa che Il CFO “fa da sempre”.

Invece di cercare di trasformare i CISO in “cyber CFO”, le due organizzazioni dovrebbero lavorare insieme per sviluppare una strategia coerente e integrata per il consiglio di amministrazione, afferma.

Leggi di più: La strategia di assicurazione informatica richiede la collaborazione tra CISO e CFO

Leggi Anche: La privacy batte il ransomware come principale preoccupazione assicurativa

Suggerimenti sulla gestione di diversi team di sicurezza

Commento di Gourav Nagar, Senior Manager delle operazioni di sicurezza, BILL

Quanto meglio un team di sicurezza collabora, tanto maggiore sarà l'impatto diretto sulla capacità di proteggere l'organizzazione.

La creazione di un team di sicurezza inizia con l'assunzione, ma una volta che il team inizia a lavorare insieme, è fondamentale creare un linguaggio comune e una serie di aspettative e processi. In questo modo, il team può lavorare rapidamente verso un obiettivo comune ed evitare problemi di comunicazione.

Soprattutto per team eterogenei, dove l'obiettivo è che ogni persona porti le proprie esperienze diverse, prospettive uniche e modi distintivi di risolvere i problemi, avere canali di comunicazione comuni per condividere aggiornamenti e collaborare garantisce che i membri del team possano dedicare più tempo a ciò che amano fare e non preoccuparti delle dinamiche di squadra.

Ecco tre strategie per raggiungere questo obiettivo: assumere per la diversità e allinearsi rapidamente alla cultura e ai processi del team; creare fiducia per ogni singola persona del team; e aiuta i membri del tuo team a costruire una carriera nella sicurezza informatica e a rimanere entusiasti dell'innovazione.

Naturalmente spetta a ciascuno di noi assumersi la responsabilità della propria carriera. Come manager, forse lo sappiamo bene, ma non tutti i membri del nostro team lo sanno. Il nostro ruolo è ricordare e incoraggiare ciascuno di loro ad apprendere e perseguire attivamente ruoli e responsabilità che li manterranno entusiasti e li aiuteranno nella loro carriera.

Leggi di più: Suggerimenti sulla gestione di diversi team di sicurezza

Correlato: Come la neurodiversità può contribuire a colmare la carenza di forza lavoro nel settore della sicurezza informatica

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/cybersecurity-operations/ciso-corner-nsa-guidelines-utility-sbom-case-study-lava-lamps