CISO Corner: CIO Convergence, 10 Critical Security Metrics, & Ivanti Fallout

Välkommen till CISO Corner, Dark Readings veckosammanfattning av artiklar som är skräddarsydda specifikt för läsare av säkerhetsoperationer och säkerhetsledare. Varje vecka kommer vi att erbjuda artiklar från hela vår nyhetsverksamhet, The Edge, DR Technology, DR Global och vår kommentarsektion. Vi är fast beslutna att ge dig en mångsidig uppsättning perspektiv för att stödja arbetet med att operationalisera cybersäkerhetsstrategier, för ledare i organisationer av alla former och storlekar.

I detta nummer:

10 Säkerhetsmåttkategorier CISO:er bör presentera för styrelsen

Av Ericka Chickowski, bidragande skribent, Dark Reading

Styrelser bryr sig inte om säkerhetsprogrammets tekniska detaljer. De vill se hur nyckeltal spåras och används.

Med US Securities and Exchange Commissions nya regler kring cybersäkerhet nu på plats måste säkerhetsteamen lägga mer stränghet på hur de spårar nyckelprestandaindikatorer (KPI) och nyckelriskindikatorer (KRI) – och hur de använder dessa mätvärden för att ge råd och rapportera till styrelsen.

"När de delas med styrelsens risk- eller revisionskommittéer, belyser dessa nyckelprestandaindikatorer organisationens cybersäkerhetskapacitet och effektiviteten av cyberkontroller, samtidigt som de hjälper styrelsen att utvärdera lämpligheten av investeringar i teknik och talang", enligt Homaira Akbari, VD för AKnowledge Partners, och Shamla Naidoo, chef för molnstrategi för Netskope, skriver i The Cyber ​​Savvy Boardroom.

Med utgångspunkt från rekommendationerna i boken bryter Dark Reading ner de främsta operativa säkerhetsmåtten som CISO:er och cyberledare behöver vara flytande med för att ge styrelsen en omfattande rapport om risknivåer och säkerhetsprestanda och diskuterar hur man skapar en data- stödd modell för att bestämma effektiviteten av en organisations program och identifiera luckor i skyddet.

Läs mer: 10 Säkerhetsmåttkategorier CISO:er bör presentera för styrelsen

Relaterat: Hur CISOs kan skapa bättre berättelser för styrelsen

CISO & CIO-konvergens: redo eller inte, här kommer det

Kommentar av Arthur Lozinski, VD och medgrundare, Oomnitza

De senaste förändringarna understryker vikten av samarbete och anpassning mellan dessa två IT-ledare för framgångsrik digital transformation.

CISO:s förvaltarskap för att kontrollera digitala risker är så viktigt för framgångsrik digital transformation att deras roller i allt högre grad överlappar med CIO – vilket lyfter fram cybersäkerhetens fortsatta bana från serverrummet till styrelserummet.

De två rollerna har samlats i 20 år, men nu har CIO:er främst till uppgift att anskaffa och utnyttja teknologi för att stödja affärsinnovation — och rollen är markant mindre operativ än den en gång var.

Samtidigt är CISO nu en central operativ intressent, som står inför efterlevnadsmandat, förhindrar driftstörningar från dataintrång och tilldelar riskpoäng för framväxande cybersäkerhetshot.

Resultatet? CIO:er och CISO:er går allt mer i lås - och oavsett hur de två rollerna utvecklas, understryker förändringen vikten av samarbete och anpassning mellan dessa två IT-ledare för framgångsrik digital transformation och vidare.

Mer om CIO/CISO-konvergens: CISO & CIO-konvergens: redo eller inte, här kommer det

Relaterat: Hur ändringar i statliga CIO-prioriteringar för 2024 tillämpas på API-säkerhet

FCC kräver att telekom- och VoIP-leverantörer rapporterar PII-intrång

Av Tara Seals, chefredaktör, News, Dark Reading

Kommissionens överträdelseregler för röst- och trådlösa leverantörer, orörda sedan 2017, har äntligen uppdaterats för modern tid.

Flytta över, SEC: Det finns ett nytt efterlevnadsmandat i stan.

Från och med nästa månad måste telekom- och VoIP-leverantörer göra det rapportera dataintrång till FCC, FBI och Secret Service inom sju dagar efter upptäckten.

Och de kommer att behöva utfärda dataintrångsmeddelanden till kunder närhelst det finns personligt identifierbar information (PII) som fångas upp i en cyberincident.

FCC släppte sina slutgiltiga regler denna vecka, som kräver att operatörer och tjänsteleverantörer ska vara mer transparenta när PII avslöjas. Kommissionens definition av PII är bred och omfattar inte bara namn, kontaktinformation, födelsedatum och personnummer, utan även biometri och en mängd andra uppgifter.

Tidigare krävde FCC kundmeddelanden endast när CPNI-data (Customer Proprietary Network Information) påverkades, t.ex. telefonräkningsinformation som abonnemangsplaner, användningsavgifter, nummer som ringts eller skickats med meddelanden och så vidare.

Den senaste uppdateringen av FCC:s överträdelserapporteringskrav var för 16 år sedan.

Läs mer: FCC kräver att telekom- och VoIP-leverantörer rapporterar PII-intrång

Relaterat: Prudential Files Frivilligt meddelande om överträdelse med SEC

Mellanöstern och Afrika CISO planerar att öka 2024 års budgetar med 10 %

Från DR Global

Av Robert Lemos, bidragande författare, Dark Reading

Ny data visar högre än väntat cybersäkerhetstillväxt i Mellanöstern, Turkiet och Afrika, tack vare AI och andra faktorer.

Marknaden för cybersäkerhet förväntas växa snabbt i Mellanöstern, Turkiet och Afrika (META), med utgifterna beräknade att nå 6.5 miljarder dollar 2024.

Enligt IDC planerar mer än tre fjärdedelar av CISO:er i regionen att öka budgetarna med minst 10 % i år, till stor del sporrat av geopolitiska hot, tillväxten av generativ AI och ökande dataskyddsbestämmelser i hela regionen .

"Ökningen av framgångsrika cyberbrott har drivit på efterfrågan på konsulttjänster i icke-kärnländer där medvetenheten inte är lika hög jämfört med kärnländerna", säger Yotasha Thaver, forskningsanalytiker för IT-säkerhetsdata vid IDC Sydafrika och META. "Det finns också en push från regeringar - särskilt i Mellanöstern - för förbättrad cybersäkerhet."

Utgifterna kommer naturligtvis att variera från land till land. Till exempel, både Saudiarabien och Förenade Arabemiraten (UAE), som är det aktivt investera i nationella strategier för att säkra sina nätverk och teknologier, befinner sig i en utgiftsbana med högre tillväxt än sina kamrater, fann IDC.

Läs mer: Mellanöstern och Afrika CISO planerar att öka 2024 års budgetar med 10 %

Relaterat: UAE Banker genomför Cyber ​​War Games Exercise

GenAI-verktyg kommer att genomsyra alla delar av företaget

Från Djupläsning: DR Forskningsrapporter

Många avdelningar och grupper ser fördelarna med att använda generativa AI-verktyg, vilket kommer att komplicera säkerhetsteamens jobb med att skydda företaget från dataläckor och efterlevnad och integritetsintrång.

Det finns ett stort intresse bland organisationer för att använda generativa AI-verktyg (GenAI). för ett brett spektrum av användningsfall, enligt Dark Readings första undersökning någonsin om GenAI. Många olika grupper inom företag kan använda denna teknik, men dessa verktyg verkar vara vanligast i dataanalys, cybersäkerhet, forskning och marknadsföringsteam.

Nästan en tredjedel av de tillfrågade säger att deras organisationer har pilotprogram eller på annat sätt undersöker användningen av GenAI-verktyg, medan 29 % säger att de fortfarande överväger om de ska använda dessa verktyg. Bara 22 % säger att deras organisationer aktivt använder GenAI-verktyg och 17 % säger att de håller på att implementeras.

Säkerhetsteam tittar på hur dessa aktiviteter kan införlivas i deras dagliga verksamhet, särskilt för att skriva kod, leta efter referensinformation relaterad till specifika hotindikatorer och problem och automatisera utredningsuppgifter.

Samtidigt använder marknadsförings- och försäljningsgrupper oftast AI-generatorer för att skapa första utkast av textdokument eller utveckla personliga marknadsföringsbudskap och sammanfatta textdokument. Produkt- och tjänstegrupper har börjat luta sig mot GenAI för att identifiera trender i kundbehov och skapa ny design, medan tjänstegrupper är fokuserade på att prognostisera trender och integrera teknologi i kundnära applikationer, som chatbots.

Läs mer om hur Dark Reading-läsare förväntar sig att använda generativ AI i företaget i detta gratis nedladdningsbar rapport.

Läs mer: GenAI-verktyg kommer att genomsyra alla delar av företaget

Relaterat: Saudiarabien debuterar "Generativ AI för alla".

Ska CISO:er hoppa över Ivanti för nu?

Av Becky Bracken, redaktör, Dark Reading

Kaskadande kritiska CVE:er, cyberattacker och försenad patchning plågar Ivanti VPN, vilket tvingar cybersäkerhetsteam att söka efter lösningar. Forskarna är inte imponerade.

Ivanti har avslöjat fem VPN-brister hittills under 2024, mest utnyttjad som nolldagar — med två av dem offentligt tillkännagivna veckor innan patchar blev tillgängliga. Vissa kritiker, som cybersäkerhetsforskaren Jake Williams, ser överflödet av Ivantis sårbarheter, och företagets långsamma incidentrespons, som ett existentiellt hot mot verksamheten.

Williams skyller Ivantis nuvarande problem på år lång försummelse av säker kodning och säkerhetstestning. För att återhämta sig skulle Ivanti behöva övervinna den tekniska skulden, enligt Williams, samtidigt som han på något sätt bygger upp förtroendet hos sina kunder. Det är en uppgift som Williams tillägger att han är tveksam till att Ivanti kommer att kunna utföra.

"Jag ser inte hur Ivanti överlever som ett företagsbrandväggsvarumärke", säger Williams till Dark Reading, en känsla som han har upprepat flitigt på sociala medier.

Ytterst faller Ivantis elände på företagens cyberteam, som måste välja. Cyberteam kan följa CISA:s råd och koppla bort Ivanti VPN-enheter och uppdatera innan de återansluts. Eller, medan de redan är offline för patchning, kan de ersätta Ivanti-apparater helt och hållet med helt uppdaterad utrustning.

Vissa säger dock att det att hålla sig till Ivanti är en juice som kanske inte är värd att klämma på. "Dessa enheter behöver sin mjukvara konstruerad med samma typ av allvar som detta hot kräver", säger John Bambenek, VD på Bambenek Consulting. "Om jag var en CISO, skulle jag ta ett pass på Ivanti i några år tills de har bevisat sig igen."

Läs mer: Ivanti får dåliga betyg för svar på cyberincidenter

Relaterat: Volt Typhoon träffar flera elnät, utökar cyberaktiviteten

• SEO-drivet innehåll och PR-distribution. Bli förstärkt idag.
• PlatoData.Network Vertical Generative Ai. Styrka dig själv. Tillgång här.
• PlatoAiStream. Web3 Intelligence. Kunskap förstärkt. Tillgång här.
• Platoesg. Kol, CleanTech, Energi, Miljö, Sol, Avfallshantering. Tillgång här.
• PlatoHealth. Biotech och kliniska prövningar Intelligence. Tillgång här.
• Källa: https://www.darkreading.com/cybersecurity-operations/ciso-corner-cio-convergence-critical-security-metrics-ivanti-fallout