Canto CISO: Diretrizes da NSA; um estudo de caso de utilidade SBOM; Lâmpadas de lava

Bem-vindo ao CISO Corner, o resumo semanal de artigos da Dark Reading adaptados especificamente para leitores de operações de segurança e líderes de segurança. A cada semana, ofereceremos artigos coletados em nossa operação de notícias, The Edge, DR Technology, DR Global e nossa seção de comentários. Temos o compromisso de apresentar um conjunto diversificado de perspectivas para apoiar o trabalho de operacionalização de estratégias de segurança cibernética para líderes de organizações de todos os formatos e tamanhos.

Nesta edição do CISO Corner:

As diretrizes de confiança zero da NSA concentram-se na segmentação

Por David Strom, escritor colaborador, Dark Reading

As arquiteturas de confiança zero são medidas de proteção essenciais para as empresas modernas. As orientações mais recentes da NSA fornecem recomendações detalhadas sobre como implementar o ângulo de rede do conceito.

A Agência de Segurança Nacional dos EUA (NSA) divulgou esta semana suas diretrizes para segurança de rede de confiança zero, oferecendo um roteiro mais concreto para a adoção de confiança zero do que estamos acostumados a ver. É um esforço importante tentar preencher a lacuna entre o desejo e a implementação do conceito.

O documento da NSA contém muitas recomendações sobre as melhores práticas de confiança zero, incluindo, fundamentalmente, a segmentação do tráfego de rede para impedir que adversários se movam em uma rede e obter acesso a sistemas críticos.

Ele explica como os controles de segmentação de rede podem ser realizados por meio de uma série de etapas, incluindo mapeamento e compreensão de fluxos de dados e implementação de redes definidas por software (SDN). Cada etapa exigirá tempo e esforço consideráveis ​​para entender quais partes de uma rede empresarial estão em risco e como melhor protegê-las.

O documento da NSA também diferencia entre segmentação de macro e microrrede. O primeiro controla o tráfego que se move entre departamentos ou grupos de trabalho, para que um trabalhador de TI não tenha acesso a servidores e dados de recursos humanos, por exemplo.

John Kindervag, que foi o primeiro a definir o termo “confiança zero” em 2010, quando era analista da Forrester Research, saudou a medida da NSA, observando que “muito poucas organizações compreenderam a importância dos controles de segurança de rede na construção de zero -confiáveis, e este documento ajuda muito as organizações a compreenderem o seu valor.”

Leia mais: As diretrizes de confiança zero da NSA concentram-se na segmentação

Relacionado: NIST Cybersecurity Framework 2.0: 4 etapas para começar

Criando segurança por meio da aleatoriedade

Por Andrada Fiscutean, escritora colaboradora, Dark Reading

Como lâmpadas de lava, pêndulos e arco-íris suspensos mantêm a Internet segura.

Ao entrar no escritório da Cloudflare em São Francisco, a primeira coisa que você nota é uma parede de lâmpadas de lava. Os visitantes costumam parar para tirar selfies, mas a instalação peculiar é mais do que uma afirmação artística; é uma ferramenta de segurança engenhosa.

Os padrões variáveis ​​criados pelas bolhas flutuantes de cera das lâmpadas ajudam a Cloudflare a criptografar o tráfego da Internet, gerando números aleatórios. Os números aleatórios têm vários usos em segurança cibernéticae desempenham um papel crucial em coisas como a criação de senhas e chaves criptográficas.

A Parede de Entropia da Cloudflare, como é conhecida, usa não uma, mas 100 lâmpadas, cuja aleatoriedade aumenta pelo movimento humano.

A Cloudflare também usa fontes adicionais de entropia física para criar aleatoriedade em seus servidores. “Em Londres, temos essa parede incrível de pêndulos duplos, e em Austin, Texas, temos esses móbiles incríveis pendurados no teto e se movendo com as correntes de ar”, diz John Graham-Cumming, CTO da Cloudfare. O escritório da Cloudflare em Lisboa contará em breve com uma instalação “baseada no oceano”.

Outras organizações têm suas próprias fontes de entropia. A Universidade do Chile, por exemplo, adicionou medições sísmicas à mistura, enquanto o Instituto Federal Suíço de Tecnologia usa o gerador de aleatoriedade local presente em todos os computadores em /dev/urandom, o que significa que ele depende de coisas como pressionamentos de teclado, cliques de mouse e tráfego de rede para gerar aleatoriedade. A Kudelski Security usou um gerador criptográfico de números aleatórios baseado na cifra de fluxo ChaCha20.

Leia mais: Criando segurança por meio da aleatoriedade

Southern Company constrói SBOM para subestação de energia elétrica

Por Kelly Jackson Higgins, editora-chefe, Dark Reading

O experimento da lista de materiais de software (SBOM) da concessionária visa estabelecer uma segurança mais forte na cadeia de suprimentos – e defesas mais rígidas contra possíveis ataques cibernéticos.

A gigante de energia Southern Company iniciou um experimento este ano, que começou com sua equipe de segurança cibernética viajando para uma de suas subestações de energia no Mississippi para catalogar fisicamente o equipamento lá, tirando fotos e coletando dados de sensores de rede. Depois veio a parte mais assustadora – e às vezes frustrante –: adquirir detalhes da cadeia de fornecimento de software dos 17 fornecedores cujos 38 dispositivos operam a subestação.

A missão? Para inventariar todo o hardware, software e firmware nos equipamentos em execução na usina em um esforço para criar uma lista de materiais de software (SBOM) para o site de tecnologia operacional (OT).

Antes do projeto, a Southern tinha visibilidade de seus ativos de rede OT por meio de sua plataforma Dragos, mas os detalhes do software eram um enigma, disse Alex Waitkus, principal arquiteto de segurança cibernética da Southern Company e chefe do projeto SBOM.

“Não tínhamos ideia de quais eram as diferentes versões de software que estávamos executando”, disse ele. “Tínhamos vários parceiros de negócios que gerenciavam diferentes partes da subestação.”

Leia mais: Southern Company constrói SBOM para subestação de energia elétrica

Relacionado: Malware de PLC aprimorado, semelhante ao Stuxnet, visa interromper a infraestrutura crítica

O que os chefes de segurança cibernética precisam de seus CEOs

Comentário de Michael Mestrovich CISO, Rubrik

Ao ajudar os CISOs a lidar com as expectativas colocadas sobre seus ombros, os CEOs podem beneficiar enormemente suas empresas.

Parece óbvio: os CEO e os seus diretores de segurança da informação (CISOs) devem ser parceiros naturais. E, no entanto, de acordo com um relatório recente da PwC, apenas 30% dos CISOs sentem que recebem apoio suficiente do seu CEO.

Como se defender suas organizações de maus atores, apesar das restrições orçamentárias e da escassez crônica de talentos em segurança cibernética, já não fosse suficientemente difícil, CISOs agora enfrentam acusações criminais e ira regulatória se cometerem um erro na resposta a incidentes. Não é de admirar que o Gartner preveja que quase metade dos líderes de segurança cibernética mudarão de emprego até 2025 devido a múltiplos factores de stress relacionados com o trabalho.

Aqui estão quatro coisas que os CEOs podem fazer para ajudar: Garantir que o CISO tenha uma linha direta com o CEO; ter o apoio do CISO; trabalhar com o CISO numa estratégia de resiliência; e concordar sobre o impacto da IA.

Os CEOs que se inclinam para isso não estão apenas fazendo a coisa certa para seus CISOs, mas também beneficiando enormemente suas empresas.

Leia mais: O que os chefes de segurança cibernética precisam de seus CEOs

Relacionado: A função do CISO passa por uma grande evolução

Como garantir que pacotes de código aberto não sejam minas terrestres

Por Agam Shah, escritor colaborador, Dark Reading

CISA e OpenSSF publicaram em conjunto novas orientações recomendando controles técnicos para tornar mais difícil para os desenvolvedores incorporarem componentes de software maliciosos no código.

Repositórios de código aberto são essenciais para executar e escrever aplicativos modernos, mas também podem conter bombas de código maliciosas e à espreita, apenas esperando para ser incorporado em aplicativos e serviços.

Para ajudar a evitar essas minas terrestres, a Agência de Segurança Cibernética e de Infraestrutura (CISA) e a Open Source Security Foundation (OpenSSF) emitiram novas diretrizes para o gerenciamento do ecossistema de código aberto.

Eles recomendam a implementação de controles como a ativação da autenticação multifatorial para mantenedores de projetos, recursos de relatórios de segurança de terceiros e avisos para pacotes desatualizados ou inseguros para ajudar a reduzir a exposição a códigos maliciosos e pacotes disfarçados de código-fonte aberto em repositórios públicos.

As organizações ignoram o risco por sua conta e risco: “Falando sobre pacotes maliciosos no último ano, vimos um aumento duplo em relação aos anos anteriores”, disse Ann Barron-DiCamillo, diretora administrativa e chefe global de operações cibernéticas do Citi, na conferência OSFF há poucos meses atrás. “Isso está se tornando uma realidade associada à nossa comunidade de desenvolvimento.”

Leia mais: Como garantir que pacotes de código aberto não sejam minas terrestres

Relacionado: Milhões de repositórios maliciosos inundam o GitHub

Oriente Médio lidera na implantação de segurança de e-mail DMARC

Por Robert Lemos, escritor colaborador, Dark Reading

No entanto, os desafios permanecem, uma vez que as políticas de muitos países para o protocolo de autenticação de e-mail permanecem frouxas e podem entrar em conflito com as restrições do Google e do Yahoo.

Em 1º de fevereiro, tanto o Google quanto o Yahoo começaram a exigir que todos os e-mails enviados a seus usuários tenham registros verificáveis ​​do Sender Policy Framework (SPF) e do Domain Key Identified Mail (DKIM), enquanto os remetentes em massa – empresas que enviam mais de 5,000 e-mails por dia – devem também têm um registro válido de relatório e conformidade de autenticação de mensagens baseado em domínio (DMARC).

Ainda, muitas organizações ficam atrasadas na adoção dessas tecnologias, apesar de não serem novas. Porém, existem duas exceções brilhantes: o Reino da Arábia Saudita e os Emirados Árabes Unidos (EAU).

Em comparação com aproximadamente três quartos (73%) das organizações globais, cerca de 90% das organizações na Arábia Saudita e 80% nos Emirados Árabes Unidos implementaram a versão mais básica do DMARC que, juntamente com as outras duas especificações, torna a representação baseada em e-mail muito mais fácil. difícil para os atacantes.

No geral, as nações do Médio Oriente estão à frente na adopção do DMARC. Cerca de 80% dos membros do Pan Arab Composite Index da S&P têm uma política DMARC rígida, que é superior aos 100% do FTSE72 e ainda superior aos 61% do índice CAC40 da França, de acordo com Nadim Lahoud, vice-presidente de estratégia e operações para Red Sift, uma empresa de inteligência de ameaças.

Leia mais: Oriente Médio lidera na implantação de segurança de e-mail DMARC

Relacionado: Dados DMARC mostram aumento de 75% em e-mails suspeitos que chegam às caixas de entrada

Estratégia de seguro cibernético requer colaboração CISO-CFO

Por Fahmida Y. Rashid, editora-chefe, recursos, Dark Reading

A quantificação do risco cibernético reúne a experiência técnica do CISO e o foco do CFO no impacto financeiro para desenvolver uma compreensão melhor e mais forte do que está em jogo.

O seguro cibernético tornou-se a norma para muitas organizações, com mais de metade dos entrevistados na mais recente Pesquisa de Segurança Estratégica da Dark Reading afirmando que suas organizações têm alguma forma de cobertura. Embora os seguros tenham sido normalmente domínio do conselho de administração e dos CFOs da organização, a natureza técnica do risco cibernético significa que o CISO é cada vez mais solicitado a fazer parte da conversa.

Na pesquisa, 29% dizem cobertura de seguro cibernético faz parte de uma apólice de seguro empresarial mais ampla e 28% afirmam ter uma apólice específica para incidentes de segurança cibernética. Quase metade das organizações (46%) afirma ter uma política que cobre pagamentos de ransomware.

“Como falar sobre riscos e como gerenciar e mitigar riscos agora está se tornando muito mais importante para a organização CISO entender”, diz Monica Shokrai, chefe de risco comercial e seguros do Google Cloud, ao mesmo tempo em que observa que comunicar o risco para cima é algo que o O CFO tem “feito desde sempre”.

Em vez de tentar transformar os CISOs em “CFOs cibernéticos”, as duas organizações deveriam trabalhar em conjunto para desenvolver uma estratégia coerente e integrada para o conselho, diz ela.

Leia mais: Estratégia de seguro cibernético requer colaboração CISO-CFO

Relacionado: Privacidade supera ransomware como principal preocupação em seguros

Dicas sobre como gerenciar diversas equipes de segurança

Comentário de Gourav Nagar, gerente sênior de operações de segurança, BILL

Quanto melhor uma equipe de segurança trabalhar em conjunto, maior será o impacto direto na forma como ela pode proteger a organização.

Construir uma equipe de segurança começa com a contratação, mas assim que a equipe começar a trabalhar junta, é fundamental criar uma linguagem comum e um conjunto de expectativas e processos. Dessa forma, a equipe pode trabalhar rapidamente em direção a um objetivo comum e evitar falhas de comunicação.

Especialmente para equipes diversas, onde o objetivo é que cada pessoa traga suas diferentes experiências, perspectivas únicas e formas distintas de resolver problemas, ter canais de comunicação comuns para compartilhar atualizações e colaborar garante que os membros da equipe possam dedicar mais tempo ao que gostam de fazer. e não se preocupe com a dinâmica da equipe.

Aqui estão três estratégias para atingir esse objetivo: Contratar de acordo com a diversidade e alinhar rapidamente a cultura e os processos da equipe; criar confiança para cada pessoa da equipe; e ajude os membros da sua equipe a construir uma carreira em segurança cibernética e a permanecer entusiasmados com a inovação.

É claro que cabe a cada um de nós assumir o controle de nossas próprias carreiras. Como gestores, podemos saber disso muito bem, mas nem todos os membros da nossa equipe sabem. Nosso papel é lembrar e encorajar cada um deles a aprender ativamente e assumir funções e responsabilidades que os manterão entusiasmados e os ajudarão em suas carreiras.

Leia mais: Dicas sobre como gerenciar diversas equipes de segurança

Relacionado: Como a neurodiversidade pode ajudar a suprir a escassez de força de trabalho em segurança cibernética

• Conteúdo com tecnologia de SEO e distribuição de relações públicas. Seja amplificado hoje.
• PlatoData.Network Gerativa Vertical Ai. Capacite-se. Acesse aqui.
• PlatoAiStream. Inteligência Web3. Conhecimento Amplificado. Acesse aqui.
• PlatãoESG. Carbono Tecnologia Limpa, Energia, Ambiente, Solar, Gestão de resíduos. Acesse aqui.
• PlatoHealth. Inteligência em Biotecnologia e Ensaios Clínicos. Acesse aqui.
• Fonte: https://www.darkreading.com/cybersecurity-operations/ciso-corner-nsa-guidelines-utility-sbom-case-study-lava-lamps