Уголок CISO: Рекомендации АНБ; практический пример SBOM для коммунальных предприятий; Лавовые лампы

Добро пожаловать в CISO Corner, еженедельный дайджест статей Dark Reading, специально предназначенный для читателей, занимающихся вопросами безопасности, и руководителей служб безопасности. Каждую неделю мы будем предлагать статьи, собранные из наших новостей, The Edge, DR Technology, DR Global и нашего раздела комментариев. Мы стремимся представить широкий спектр перспектив для поддержки работы по реализации стратегий кибербезопасности для руководителей организаций всех форм и размеров.

В этом выпуске CISO Corner:

Рекомендации АНБ по нулевому доверию сосредоточены на сегментации

Дэвид Стром, автор статей, Dark Reading

Архитектуры нулевого доверия являются важными мерами защиты для современного предприятия. Последнее руководство АНБ содержит подробные рекомендации о том, как реализовать сетевой аспект этой концепции.

На этой неделе Агентство национальной безопасности США (АНБ) представило свои рекомендации по сетевой безопасности с нулевым доверием, предложив более конкретный план перехода к внедрению нулевого доверия, чем мы привыкли видеть. Это важная попытка попытаться преодолеть разрыв между желанием и реализацией концепции.

Документ АНБ содержит множество рекомендаций по передовым практикам нулевого доверия, включая, в первую очередь, сегментацию сетевого трафика для блокировать перемещение противников по сети и получение доступа к критически важным системам.

В нем рассказывается, как можно реализовать элементы управления сегментацией сети с помощью ряда шагов, включая сопоставление и понимание потоков данных, а также реализацию программно-определяемых сетей (SDN). Каждый шаг потребует значительного времени и усилий, чтобы понять, какие части бизнес-сети находятся под угрозой и как лучше всего их защитить.

В документе АНБ также проводится различие между сегментацией макро- и микросетей. Первый контролирует трафик, передаваемый между отделами или рабочими группами, поэтому ИТ-специалист, например, не имеет доступа к серверам и данным отдела кадров.

Джон Киндерваг, который первым дал определение термину «нулевое доверие» еще в 2010 году, когда он был аналитиком в Forrester Research, приветствовал шаг АНБ, отметив, что «очень немногие организации понимают важность контроля сетевой безопасности при построении нулевого доверия». -доверительная среда, и этот документ во многом помогает организациям понять их ценность».

Прочитайте больше: Рекомендации АНБ по нулевому доверию сосредоточены на сегментации

Связанный: NIST Cybersecurity Framework 2.0: 4 шага для начала работы

Создание безопасности посредством случайности

Андрада Фискутян, автор статей, Dark Reading

Как лавовые лампы, маятники и подвешенные радуги обеспечивают безопасность Интернета.

Когда вы заходите в офис Cloudflare в Сан-Франциско, первое, что вы замечаете, — это стена лавовых ламп. Посетители часто останавливаются, чтобы сделать селфи, но необычная инсталляция — это больше, чем просто художественное высказывание; это гениальный инструмент безопасности.

Меняющиеся узоры, создаваемые плавающими каплями воска в лампах, помогают Cloudflare шифровать интернет-трафик, генерируя случайные числа. Случайные числа имеют множество применений в кибербезопасности.и играют решающую роль в таких вещах, как создание паролей и криптографических ключей.

Как известно, «Стена энтропии» Cloudflare использует не одну, а 100 ламп, причем их случайность увеличивается за счет движения человека.

Cloudflare также использует дополнительные источники физической энтропии для создания случайности на своих серверах. «В Лондоне у нас есть невероятная стена из двойных маятников, а в Остине, штат Техас, у нас есть эти невероятные мобильные телефоны, свисающие с потолка и движущиеся вместе с потоками воздуха», — говорит технический директор Cloudfare Джон Грэм-Камминг. В офисе Cloudflare в Лиссабоне скоро появится инсталляция, «по мотивам океана».

Другие организации имеют свои источники энтропии. Например, Чилийский университет добавил к этому набору сейсмические измерения, а Швейцарский федеральный технологический институт использует локальный генератор случайных чисел, присутствующий на каждом компьютере в /dev/urandom, то есть он полагается на такие вещи, как нажатия клавиш и щелчки мыши. и сетевой трафик для генерации случайности. Kudelski Security использовал криптографический генератор случайных чисел на основе потокового шифра ChaCha20.

Прочитайте больше: Создание безопасности посредством случайности

Южная компания построила СБОМ для электроподстанции

Келли Джексон Хиггинс, главный редактор Dark Reading

Эксперимент компании по составлению спецификации программного обеспечения (SBOM) направлен на повышение безопасности цепочки поставок и более надежную защиту от потенциальных кибератак.

Энергетический гигант Southern Company в этом году начал эксперимент, который начался с того, что его команда по кибербезопасности отправилась на одну из своих подстанций в Миссисипи Power, чтобы физически каталогизировать там оборудование, сделать фотографии и собрать данные с сетевых датчиков. Затем наступила самая сложная — а порой и разочаровывающая — часть: получение подробной информации о цепочке поставок программного обеспечения от 17 поставщиков, 38 устройств которых управляют подстанцией.

Миссия? К провести инвентаризацию всего аппаратного, программного и встроенного программного обеспечения оборудования, работающего на электростанции. с целью создания спецификации программного обеспечения (SBOM) для сайта эксплуатационных технологий (OT).

До реализации проекта компания Southern имела доступ к своим сетевым активам OT через свою платформу Dragos, но детали программного обеспечения были загадкой, говорит Алекс Вайткус, главный архитектор кибербезопасности компании Southern Company и руководитель проекта SBOM.

«Мы понятия не имели, какие версии программного обеспечения мы используем», — сказал он. «У нас было несколько деловых партнеров, которые управляли разными частями подстанции».

Прочитайте больше: Южная компания построила СБОМ для электроподстанции

Связанный: Улучшенное вредоносное ПО для ПЛК, подобное Stuxnet, направлено на нарушение критической инфраструктуры

Что руководителям кибербезопасности нужно от своих руководителей

Комментарий Михаила Местровича CISO, Рубрик

Помогая директорам по информационной безопасности справляться с ожиданиями, возложенными на их плечи, генеральные директора могут принести большую пользу своим компаниям.

Кажется очевидным: генеральные директора и их директора по информационной безопасности (CISO) должны быть естественными партнерами. И тем не менее, согласно недавнему отчету PwC, только 30% директоров по информационной безопасности чувствуют, что получают достаточную поддержку от своего генерального директора.

Как будто защитить свои организации от злоумышленников, несмотря на бюджетные ограничения и хроническую нехватку специалистов в области кибербезопасности, уже было недостаточно сложно, Директорам по информационной безопасности теперь грозят уголовные обвинения и гнев регулирующих органов если они допустят ошибку при реагировании на инцидент. Неудивительно, что, по прогнозам Gartner, почти половина руководителей в области кибербезопасности к 2025 году сменят работу из-за множества стрессовых факторов, связанных с работой.

Вот четыре вещи, которые генеральные директора могут сделать, чтобы помочь: Обеспечить, чтобы директор по информационной безопасности имел прямую связь с генеральным директором; получить поддержку директора по информационной безопасности; работать с директором по информационной безопасности над стратегией устойчивости; и договориться о влиянии ИИ.

Руководители, которые опираются на это, не просто делают правильные вещи для своих директоров по информационной безопасности, но и приносят огромную пользу своим компаниям.

Прочитайте больше: Что руководителям кибербезопасности нужно от своих руководителей

Связанный: Роль директора по информационной безопасности претерпевает значительную эволюцию

Как убедиться, что пакеты с открытым исходным кодом не являются наземными минами

Агам Шах, автор статей, Dark Reading

CISA и OpenSSF совместно опубликовали новое руководство, в котором рекомендуются технические средства контроля, чтобы разработчикам было сложнее внедрять компоненты вредоносного программного обеспечения в код.

Репозитории с открытым исходным кодом имеют решающее значение для запуска и написания современных приложений, но они также могут содержать вредоносные, скрытые кодовые бомбы, просто ожидающий включения в приложения и сервисы.

Чтобы избежать этих наземных мин, Агентство кибербезопасности и безопасности инфраструктуры (CISA) и Фонд безопасности открытого исходного кода (OpenSSF) выпустили новые рекомендации по управлению экосистемой открытого исходного кода.

Они рекомендуют внедрить элементы управления, такие как включение многофакторной аутентификации для сопровождающих проектов, возможности сторонних отчетов о безопасности и предупреждения об устаревших или небезопасных пакетах, чтобы помочь уменьшить воздействие вредоносного кода и пакетов, маскирующихся под открытый исходный код в общедоступных репозиториях.

Организации игнорируют риск на свой страх и риск: «Говоря о вредоносных пакетах, за последний год мы увидели двукратный рост по сравнению с предыдущими годами», — сказала Энн Баррон-ДиКамилло, управляющий директор и глобальный руководитель отдела киберопераций Citi, на конференции OSFF. несколько месяцев спустя. «Это становится реальностью, связанной с нашим сообществом разработчиков».

Прочитайте больше: Как убедиться, что пакеты с открытым исходным кодом не являются наземными минами

Связанный: Миллионы вредоносных репозиториев заполонили GitHub

Ближний Восток лидирует по внедрению системы безопасности электронной почты DMARC

Роберт Лемос, автор статей, Dark Reading

Тем не менее, проблемы остаются, поскольку политика многих стран в отношении протокола аутентификации электронной почты остается слабой и может противоречить ограничениям Google и Yahoo.

1 февраля и Google, и Yahoo начали требовать, чтобы все электронные письма, отправляемые их пользователям, имели поддающиеся проверке записи структуры политики отправителей (SPF) и почты с идентификатором доменного ключа (DKIM), в то время как массовые отправители — компании, рассылающие более 5,000 электронных писем в день — должны также иметь действительную запись отчетности и соответствия проверки подлинности сообщений на основе домена (DMARC).

Тем не менее, многие организации отстают в принятии этих технологий, несмотря на то, что они не новы. Однако есть два ярких исключения: Королевство Саудовская Аравия и Объединенные Арабские Эмираты (ОАЭ).

По сравнению примерно с тремя четвертями (73%) организаций по всему миру, около 90% организаций в Саудовской Аравии и 80% в ОАЭ внедрили самую базовую версию DMARC, которая, наряду с двумя другими спецификациями, делает подделку по электронной почте гораздо более удобной. сложно для злоумышленников.

В целом, страны Ближнего Востока опережают внедрение DMARC. По словам Надима Лахуда, вице-президента по стратегии и аналитике, около 80% участников Панарабского композитного индекса S&P придерживаются строгой политики DMARC, что выше, чем 100% индекса FTSE72, и еще выше, чем 61% французского индекса CAC40. операции для Red Sift, фирмы, занимающейся разведкой угроз.

Прочитайте больше: Ближний Восток лидирует по внедрению системы безопасности электронной почты DMARC

Связанный: Данные DMARC показывают, что количество подозрительных писем, попадающих во входящие, увеличилось на 75%

Стратегия киберстрахования требует сотрудничества директора по информационной безопасности и финансового директора

Автор: Фахмида Ю. Рашид, управляющий редактор журнала Features, Dark Reading

Количественная оценка киберрисков объединяет технический опыт директора по информационной безопасности и внимание финансового директора к финансовым последствиям для более глубокого и лучшего понимания того, что поставлено на карту.

Киберстрахование стало нормой для многих организаций: более половины респондентов в последнем исследовании стратегической безопасности Dark Reading заявили, что их организации имеют ту или иную форму страхования. Хотя страхование обычно было прерогативой совета директоров и финансовых директоров организации, техническая природа киберрисков означает, что директора по информационной безопасности все чаще просят принять участие в обсуждении.

В опросе 29% говорят киберстрахование является частью более широкого полиса страхования бизнеса, и 28% говорят, что у них есть полис, специально предназначенный для инцидентов кибербезопасности. Почти половина организаций (46%) заявляют, что у них есть политика, охватывающая выплаты, связанные с программами-вымогателями.

«Как говорить о рисках, а также как управлять рисками и снижать их, теперь становится гораздо более важным для понимания организации, занимающейся информационной безопасностью», — говорит Моника Шокрай, руководитель отдела бизнес-рисков и страхования в Google Cloud, отмечая при этом, что информирование о риске вверх — это нечто важное. Финансовый директор «делал вечно».

По ее словам, вместо того, чтобы пытаться превратить директоров по информационной безопасности в «кибер-финансовых директоров», обеим организациям следует работать вместе над разработкой последовательной и интегрированной стратегии совета директоров.

Прочитайте больше: Стратегия киберстрахования требует сотрудничества директора по информационной безопасности и финансового директора

Похожие страницы:: Конфиденциальность превосходит программы-вымогатели как главную страховую проблему

Советы по управлению различными группами безопасности

Комментарий Гурава Нагара, старшего менеджера по обеспечению безопасности, BILL

Чем лучше команда безопасности работает вместе, тем больше прямое влияние на то, насколько хорошо она сможет защитить организацию.

Формирование команды безопасности начинается с найма сотрудников, но как только команда начнет работать вместе, крайне важно создать общий язык и набор ожиданий и процессов. Таким образом, команда сможет быстро работать над достижением общей цели и избежать недопонимания.

Особенно для разнородных команд, где цель состоит в том, чтобы каждый человек поделился своим разным опытом, уникальными точками зрения и уникальными способами решения проблем. Наличие общих каналов связи для обмена обновлениями и совместной работы гарантирует, что члены команды смогут уделять больше времени тому, что им нравится делать. и не беспокоиться о командной динамике.

Вот три стратегии достижения этой цели: нанимайте сотрудников с учетом разнообразия и быстро согласовывайте командную культуру и процессы; создать доверие для каждого человека в команде; и помогите членам вашей команды построить карьеру в области кибербезопасности и оставаться в восторге от инноваций.

Конечно, каждый из нас должен взять на себя ответственность за свою карьеру. Мы, менеджеры, возможно, хорошо это знаем, но не все члены нашей команды. Наша роль — напоминать и поощрять каждого из них активно учиться и выполнять роли и обязанности, которые будут их интересовать и помогать в карьере.

Прочитайте больше: Советы по управлению различными группами безопасности

Связанный: Как нейроразнообразие может помочь восполнить нехватку кадров в сфере кибербезопасности

• SEO-контент и PR-распределение. Получите усиление сегодня.
• PlatoData.Network Вертикальный генеративный ИИ. Расширьте возможности себя. Доступ здесь.
• ПлатонАйСтрим. Интеллект Web3. Расширение знаний. Доступ здесь.
• ПлатонЭСГ. Углерод, чистые технологии, Энергия, Окружающая среда, Солнечная, Управление отходами. Доступ здесь.
• ПлатонЗдоровье. Биотехнологии и клинические исследования. Доступ здесь.
• Источник: https://www.darkreading.com/cybersecurity-operations/ciso-corner-nsa-guidelines-utility-sbom-case-study-lava-lamps