2016-2022 All Rights Reserved.平安財(cái)經(jīng)網(wǎng).復(fù)制必究 聯(lián)系QQ280 715 8082 備案號:閩ICP備19027007號-6
本站除標(biāo)明“本站原創(chuàng)”外所有信息均轉(zhuǎn)載自互聯(lián)網(wǎng) 版權(quán)歸原作者所有。
在加拿大一些大公司從事網(wǎng)絡(luò)安全21年的職業(yè)生涯中,Vivek Khindria見證了潮流的起起伏伏。但他在周二的一次會議上表示,做好基礎(chǔ)工作仍是確保企業(yè)安全的最重要部分。
在多倫多舉行的年度國際網(wǎng)絡(luò)風(fēng)險(xiǎn)管理會議(International cyber risk Management Conference)上,洛布洛公司(Loblaw Companies)網(wǎng)絡(luò)安全與風(fēng)險(xiǎn)副總裁欣德里亞(Khindria)表示:“衛(wèi)生是根本?!?/p>
“許多公司被最新的銀彈技術(shù)分散了注意力,忘記了基本面:供應(yīng)商管理、資產(chǎn)管理、了解你的王冠上的寶石在哪里,等等?!?/p>
Khindria和另一位小組成員、戴爾公司的副首席技術(shù)官Nick Steele一起參加了一個(gè)關(guān)于安全從業(yè)人員觀點(diǎn)的小組討論,他們的建議包括衛(wèi)生、如何與董事會溝通以及人工智能在安全領(lǐng)域的前景。
衛(wèi)生問題是由主持人Doug Howard提出的,他是RSA的全球服務(wù)副總裁,他指出今天許多數(shù)據(jù)泄露并沒有復(fù)雜的原因,但是可以歸咎于補(bǔ)丁管理和開放端口等問題。
除了衛(wèi)生,Khindria說,他認(rèn)為確保企業(yè)安全的首要任務(wù)包括尋找IT安全人才,包括讓更多的女性進(jìn)入IT部門,使部門多樣化。
專家們正在向一些機(jī)構(gòu)發(fā)出警告,稱他們必須圍繞這些基礎(chǔ)工作(包括對網(wǎng)絡(luò)上的所有東西進(jìn)行準(zhǔn)確的盤點(diǎn))來構(gòu)建網(wǎng)絡(luò)安全戰(zhàn)略。但如果…
鑒于網(wǎng)絡(luò)安全意識月,我認(rèn)為這可能是有用的高管看到一個(gè)可采取行動的名單…
另一個(gè)問題是許多公司轉(zhuǎn)向敏捷軟件開發(fā),在一個(gè)或兩個(gè)星期的工作沖刺之后,進(jìn)行小的增量更改來修復(fù)問題。他指出,敏捷給安全和風(fēng)險(xiǎn)帶來了壓力。
此外,云服務(wù)的使用也在不斷增加。他說,在很多情況下,云就是新的影子IT。他指的是員工悄悄注冊未經(jīng)批準(zhǔn)的服務(wù)。
不過,“我毫不猶豫地說,除了大型銀行或大型組織之外,云架構(gòu)的安全性潛力比任何組織都要高得多。大多數(shù)公司沒有足夠的資源來應(yīng)對所有的復(fù)雜情況,所有的資源,技術(shù)……來保持衛(wèi)生,以應(yīng)對我們所看到的威脅。”
他補(bǔ)充說,云提供商正在競相在默認(rèn)情況下提供更多的安全性。
斯蒂爾并不反對衛(wèi)生很重要,但他說,衛(wèi)生必須有一定的背景:組織最關(guān)心的是什么,如何保護(hù)它?所以對他來說,衛(wèi)生是風(fēng)險(xiǎn)管理的一部分。他說,確定你的底線,這樣你就可以在整個(gè)企業(yè)中實(shí)施衛(wèi)生措施。
由于補(bǔ)丁如此重要,Howard不禁要問CSO如何決定補(bǔ)丁的優(yōu)先級。
“每家公司都需要建立自己的威脅模型,”欣德里亞回答。例如,如果持有公司“皇冠上的寶石”的資產(chǎn)是優(yōu)先考慮的,那么想想是誰在攻擊它們,為什么要攻擊它們,有哪些減輕措施。
“當(dāng)你開始計(jì)算漏洞時(shí),你就陷入了一個(gè)陷阱,”他說。但威脅模型將是設(shè)定補(bǔ)丁優(yōu)先級的指南。
環(huán)境也是一個(gè)因素,他補(bǔ)充道。如果一家公司有12臺虛擬服務(wù)器,那么6臺服務(wù)器可以在不停機(jī)的情況下通過補(bǔ)丁關(guān)閉。然后把它們提出來,對后面的6個(gè)進(jìn)行修補(bǔ)。在虛擬環(huán)境中,“人們的愿望是更快地修補(bǔ),冒更大的風(fēng)險(xiǎn),因?yàn)槟憧梢愿斓匦迯?fù)它”。
漏洞掃描只是CSO工具的一部分,他說,其中包括滲透測試、代碼掃描、日志分析、行為分析——所有這些都有助于檢測異常,同樣,也是補(bǔ)丁決策的因素。數(shù)據(jù)需要以自動化的方式編織在一起。“如果沒有這種儀器,如果你管理著數(shù)千臺服務(wù)器,你永遠(yuǎn)都趕不上?!?/p>
他補(bǔ)充道,Loblaws通常每周會合成10億件物品,并將其濃縮為30件可操作的物品。
斯蒂爾說,風(fēng)險(xiǎn)管理是一個(gè)好的決策,“但你不可能把所有事情都決定下來?!叭绻考露甲兂梢粋€(gè)冒險(xiǎn)的決定,你最終會陷入癱瘓……如果你知道什么是重要的,那就明確你的計(jì)劃并堅(jiān)持下去?!?/p>
在與董事會和非技術(shù)經(jīng)理打交道時(shí),兩人都強(qiáng)調(diào)了公民社會組織學(xué)習(xí)如何使用非技術(shù)語言的重要性。
斯蒂爾說:“如果你不學(xué)習(xí)商務(wù)語言,不學(xué)習(xí)用他們能理解的語言與他們交流,你很快就會失去那些聽眾?!?/p>
Khindria同意了?!拔以行抑笇?dǎo)過數(shù)百人(進(jìn)行安全管理),我可以說,最優(yōu)秀的安全人員都具有商業(yè)頭腦,因?yàn)樽钪匾氖悄軌蚺c企業(yè)溝通……學(xué)習(xí)安全比較容易,學(xué)習(xí)業(yè)務(wù)比較困難?!?/p>
最后,Khindria說,將加拿大在人工智能方面的專業(yè)知識與當(dāng)前計(jì)算平臺的能力相結(jié)合,應(yīng)該會使加拿大成為減輕infosec團(tuán)隊(duì)負(fù)擔(dān)的領(lǐng)導(dǎo)者。
“讓我感到興奮的是,它(人工智能)進(jìn)入了下一個(gè)階段,”他將其定義為將異常檢測與欺詐檢測聯(lián)系起來?!拔艺J(rèn)為我們即將迎來偉大的時(shí)刻。持續(xù)的監(jiān)控、持續(xù)的測試和持續(xù)的分析是一個(gè)前所未有的機(jī)會。”
2016-2022 All Rights Reserved.平安財(cái)經(jīng)網(wǎng).復(fù)制必究 聯(lián)系QQ280 715 8082 備案號:閩ICP備19027007號-6
本站除標(biāo)明“本站原創(chuàng)”外所有信息均轉(zhuǎn)載自互聯(lián)網(wǎng) 版權(quán)歸原作者所有。