风险业务:3在2021年减少安全风险的永恒方法

自从此以来 新冠肺炎 Pandemic Drove Workforces Home,我们看到董事会的安全风险增加:从网络钓鱼和矛网络钓鱼攻击的增加,依赖于第三方DNS-over-HTTPS解决方案的增加和复杂的国家攻击那个击中的人 Solarwinds. .

减少安全风险2021

组织之间的差距正试图防范和威胁潜伏的地方继续扩大并威胁到压倒性的安全团队。作为回应,我看到了流行的趋势,如购买 AI / ml解决方案 或安全动力的云采用加速。

鉴于利用的复杂性不断上升,安全策略不应基于时间点趋势。领导者而不是投注有前途的新技术解决方案,必须不断寻找常绿方法来降低风险。

这意味着不仅查看了他们的安全堆栈,而且在他们的组织范围的政策,流程,控制等方面,以降低基于组织特定风险框架的风险。

考虑到这一点,这里有三个永恒,实用的方法,减少将支付股息的风险:

充分利用智能策略执行(许多不)

在Solarwinds攻击的情况下,受影响的组织让Orion在几个月内进行威胁演员的竞标,几乎未被发现。这种可预测的 - 和高度特权 - 软件留下了暗示–以DNS查询的形式–它表现得很可疑。

作为非用户驱动服务器软件,通常可以预期orion来查询一组常规域。妥协,它验证了一个额外的域。

受影响的组织没有抓起,因为他们并没有采用良好的做法,即使是他们最关键的基础设施甚至左右的逻辑政策控制。

这里的课程是,无论安全堆栈的复杂程度如何,都有应该采取的常识步骤。

没有数据库或应用程序服务器应在Internet上查询随机的新域。相同的是网络上的智能设备,如安全摄像头,水族馆,销售点等等,如果他们这样做,有人应该调查。

所有这些的目的是减少Haystack的大小,即安全团队必须筛选到检测然后修复攻击。

不要依靠云来弥补穷人(很多人)

有些组织看到迁移到云作为创建格林菲尔德环境的一种方式,这些环境可以比技术债务装载的内部部署网络更容易地保护。

是的,云采用确实有许多安全福利。而且,是的,云确实代表了一个更好地做事的机会。使用绿地架构,最好的实践整齐地烘烤。

只有,许多组织缺乏云安全流程和控制可以在云预测风险降低福利中迅速进食,减少了这个机会的总体价值。

您应该记住,AWS S3桶留下无担保和公开可用。已知开发人员在最令人尴尬的地方留下(或硬码)私钥和令牌。

人员留下档案无抵押并经常向公众开放。可公开的端点从专用网络分段不当,有时会向本地网络创建autobahn。

许多组织在云中监控活动或云之间的信息流和内部部署网络之间的信息不足。

虽然云安全和本地安全性的目标是相同的,但实现每个所需的设计,工具和方法非常不同。没有对此行事的能力,共享责任模型不会有所帮助。

开始思考你很特别(很多不)

太多的组织假设它们比他们的安全风险更少,因为他们不是目标的错误信念。但是,如果在供应链攻击计划中使用的品牌股票风险不是每个CEO的风险矩阵的一部分,那么CISO就没有足够的教育工作的同事。

威胁演员可能不在乎直接伤害较小的球员 供应链 。然而,他们很乐意将这些较小的玩家用作伤害他们的客户的人们。

当然,供应链风险仍然是通过买方的承包商合同要求,供应商审核和穿透测试来管理。也许您的组织是不知名的典当,可能不会对其参与损害客户的直接责任。然而,它将对当前和未来的客户相信,这将受到打击。

首席执行官应准确地了解其组织的所有风险,以及供应链攻击计划 - 并导致客户的信心,善意和品牌股权反向 - 往往被低估。

某些首席执行官(即,在金融世界中)大量权衡安全风险对其业务运营的影响。其他人,较少。也许这是因为金融服务业已经如此高度监管,或者因为金融业已经很久就是一个高优先的目标。

这取决于安全领导人教育这种威胁的所有首席执行官。

降低2021年安全风险的步骤

战术和战略动作的摘要Cisos可以减少安全风险:

  • 通过智能策略执行,查看威胁途径的“干草堆”。将DNS视为矢量 - 攻击和检测
  • 确保您的云采用策略与声音云安全策略和设计相结合
  • 教育领导团队。 “我们不是一个目标”相当于伸出你的头在沙子里。

虽然无法防止所有事件,但以上是常见意义上限安全领导人可以减少安全风险。但是,这些建议只是一个起点(来自在一个人在网络和发展世界的人的有利位置,不再)。您可能有多次进一步的建议,即永恒,实际安全行动。请把它们付诸行动。

分享这个