良好的网络安全源于对正确事物的关注,但是它们是什么?

“进入安全领域并没有错误的方法’永远不会太晚 职业转变 那会带你去的”首席技术官Mark Orlando说 雷神 Cyber Protection Solutions.

良好的网络安全

如果你认为’对于他来说,说起来很容易,在进入技术以及最终进入网络安全之前,请考虑一下他的学历和工作经历是如何曲折的:他是一名艺术与设计专业的学生,​​然后是一名海军陆战队队员,后来又成为UPS卡车装载机。

在做完最后一份工作并讨厌它的同时,他认为没有太大的个人牺牲可以改变生活。因此,他花了一个夏天在哥哥的沙发上睡着,花光了他能找到的所有Unix和TCP / IP书籍,直到他找到了初级系统管理员的工作。

几位慷慨的导师和不只几个幸运的休息后,他以安全分析师的身份进入了网络防御领域,并一路晋升。在网络安全领域任职期间,他已经建立并运营 安全运营团队 在白宫,五角大楼,全球托管安全服务提供商以及公共和私营部门的各种其他组织。

“我在此过程中吸取的教训之一是,要想成功地完成安全工作,您真正需要的只是好奇心和良好的态度。相比之下,技术技能要容易得多,”他告诉Help Net Security。

“考虑到这一点,同样重要的是,我们必须在这一领域坚持高标准而又不排斥他人,这有时是我们作为一个社区而努力的事情。”

观念和方法的改变

这些高标准肯定还应该包括避免将FUD(恐惧,不确定性和疑问)作为主要的销售策略之一。

“在该行业中花费大量时间的任何人都知道,您可以在不牺牲工作安全性的情况下产生积极的影响并取得成功-只要技术不断发展,威胁和漏洞就会随之发展,” he noted.

在危机之外展示自己的价值是一个挑战,但这是一个挑战’每个Infosec专业人士都应尽力克服这一挑战。

一方面是改变组织’关于安全的心态。“我们的工作是使组织能够安全地创造价值并量化替代方案的风险,而不是设置障碍并管理我们的组织,” he added.

另一个方面是改变他们自己的思维方式,即倾向于将网络安全视为一个问题,只要他们可以在安全产品上投资更多或雇用更多人,就可以解决。这通常导致对利基问题的过度投资,并对新挑战应用过时的解决方案。

例如,安全团队最终将更多的精力放在防御零日攻击上,而不是加强和管理网络基础架构,或者增加更多的SOC分析人员和24/7覆盖范围,而不是将安全资源嵌入到软件开发和云迁移等战略计划中。

“我认为我的工作是帮助他人进行明智的长期投资并专注于正确的事情,即使这些事情不是最令人兴奋的,”他说。他认为,建立防御性网络和教育用户同样会令人沮丧。’s adversaries.

制定安全策略时避免陷阱

有几件事 IT安全领导者 在构建适合其组织的安全策略时应牢记:他们应将其与业务需求联系在一起,并且不应使其过于雄心勃勃。

“首先,您需要了解组织是如何创造价值的:它是运送小部件,提供公共服务,管理数据还是所有上述各项?如果您可以将这些东西与支持它们的系统,流程和用户联系在一起,则可以开始构建威胁模型并更好地了解您要防御(和防御)的内容。这意味着不仅要了解业务的运作方式,还要了解领导层的角色和职责,您需要领导层来执行策略,” Orlando explains.

同时,他们应避免尝试立即实施许多举措。

“一次尝试做所有事情是处理很多事情的好方法,” he opines. “一个执行良好的策略需要相互依靠的现实目标相互重复。例如,成熟的事件响应计划从好的开始 能见度 和可重复的过程。在这些领域取得成功并提供可靠的数据来证明您的努力可以帮助您从管理层和其他对事件响应流程至关重要的团队中获得支持。”

信息安全行业的未来挑战

与所有其他行业一样,信息安全行业正在发展,转移和变化,威胁形势也在不断发展。在某些威胁领域,该行业正在努力跟上步伐。

“选举安全和 关键基础设施 这是两个庞大而复杂的流程和基础架构的例子,在谈论安全性方面,我们可以说远远落后于力量曲线,”奥兰多指出。

“这些不会是最后的‘new’ security conversations we’ll have to have, and the only way we’ll be able to scale to these 新 challenges is by sharing our knowledge, avoiding fear-mongering, and talking in plain English about these problems.”

他还期望–经过多年对安全工具的过度投资,尽管安全支出逐年增加–可以进行课程更正。

“我们不能一直依靠小众技能和高度复杂的平台来完成我们需要做的一切,并且需求将使安全技术在可用性和已证明的价值方面更像消费类应用,而不像企业软件,” he believes.

“对于已经投入数百万美元用于单一安全应用程序且几乎没有任何运营价值的组织而言,这将是一个盘算,而那些组织则对那些采用了可以评估和切换的模块化,敏捷工具集的组织处于不利地位。更容易。我们还可以预期,由于企业将面临更多的隐私和安全法规,并希望通过网络保险和外部服务提供商来减少风险,因此这些安全资金将面临更多竞争。”

分享这个