CISO Corner: aprofundamento no papel em evolução de SecOps, seguros e CISOs

Republicado por Platão

seguidores: 0

Bem-vindo ao CISO Corner, o resumo semanal de artigos da Dark Reading adaptados especificamente para leitores de operações de segurança e líderes de segurança. Todas as semanas, ofereceremos artigos coletados em nossa operação de notícias, The Edge, DR Tech, DR Global e nossa seção de comentários. Temos o compromisso de trazer a você um conjunto diversificado de perspectivas para apoiar o trabalho de operacionalização de estratégias de segurança cibernética para líderes de organizações de todos os formatos e tamanhos.

Nesta edição:

CISOs lutam pelo status de C-Suite mesmo com as expectativas disparando
Com os ataques em ascensão, os prêmios de seguros cibernéticos também devem aumentar
DR Global: perdendo a marca da segurança cibernética com o Essential 8
Seu orçamento de segurança cibernética é a traseira de um cavalo
O primeiro passo para proteger as ferramentas de IA/ML é localizá-las
As 3 principais prioridades para CISOs em 2024
O Guia do Setor de Água da CISA coloca a resposta a incidentes em destaque

CISOs lutam pelo status de C-Suite mesmo com as expectativas disparando

Por Jai Vijayan, escritor colaborador da Dark Reading

Um inquérito da IANS mostra que os CISOs assumem cada vez mais responsabilidades legais e regulamentares por violações de dados, mas poucos estão a obter o reconhecimento ou o apoio de que necessitam.

Cada vez mais se pede aos CISOs que assumam as responsabilidades do que normalmente seria considerado uma função de C-suite, mas sem serem considerados ou tratados como tal em muitas organizações.

Um inquérito da IANS concluiu que 75% dos CISOs procuram uma mudança de emprego, uma vez que as expectativas para o papel do CISO mudaram drasticamente nas organizações dos setores público e privado devido a novas regulamentações e às crescentes exigências de responsabilização por violações de segurança.

Mas embora mais de 63% dos CISOs tenham um cargo de vice-presidente ou diretor, apenas 20% estão no nível C-suite, apesar de terem “chefe” no cargo. No caso de organizações com faturamento superior a US$ 1 bilhão, esse número é ainda menor, de 15%.

Por que a maioria dos CISOs não tem satisfação no trabalho: CISOs lutam pelo status de C-Suite mesmo com as expectativas disparando

Relacionado: A função do CISO passa por uma grande evolução

Com os ataques em ascensão, os prêmios de seguros cibernéticos também devem aumentar

Por Robert Lemos, escritor colaborador da Dark Reading

As seguradoras dobraram os prêmios no final de 2021 para compensar perdas causadas por reclamações de ransomware. Com os ataques aumentando novamente, as organizações podem antecipar uma nova rodada de aumentos.

Embora os custos dos prémios tenham caído 6% no terceiro trimestre de 2023 em comparação com o mesmo trimestre de 2022, mesmo com as reclamações relacionadas com ransomware e privacidade já terem disparado em relação ao ano anterior.

Impulsionados pela pandemia e pelo crescimento do ransomware, os sinistros de seguros cibernéticos aumentaram a partir de 2020, levando a um aumento dramático nos preços das apólices. Mas a indústria dos seguros cibernéticos está apenas a crescer, com o valor dos prémios emitidos diretamente a crescer para 5.1 mil milhões de dólares em 2023, um aumento de 62% face ao ano anterior, de acordo com a Fitch Ratings.

No futuro, haverá mais intervenientes, políticas menos abrangentes (e, portanto, risco de seguradora) e maior concorrência – tudo resultando num abrandamento dos preços de cobertura. Mesmo assim, alguns prevêem um aumento nos custos dos prémios nos próximos 12 a 18 meses.

Descubra o que esperar: Com os ataques em ascensão, os prêmios de seguros cibernéticos também devem aumentar

Relacionado: Guerra ou custo de fazer negócios? Seguradoras cibernéticas discutindo exclusões

DR Global: Perdendo a Marca da Segurança Cibernética com os Oito Essenciais

Comentário de Arye Zacks, pesquisador técnico sênior, Adaptive Shield

O Essential Eight Maturity Model da Austrália ainda não aborda os principais fatores necessários para proteger os atuais ambientes de nuvem e SaaS.

O Essential Eight, a principal estrutura de gestão de riscos de segurança cibernética do governo australiano para empresas, foi estabelecido em 2010 e, embora atualizado anualmente, não conseguiu se modernizar com o ritmo da transformação digital: aplicativos SaaS compreendem 70% de todos os softwares usados pelas empresas, mas a frase “SaaS” não aparece em nenhum lugar do documento.

Especificamente, faltam quatro diretivas principais de segurança centradas na nuvem: gerenciamento de configuração, segurança de identidade, gerenciamento de integração de aplicativos de terceiros e controle de recursos. Este artigo investiga essas omissões e o que as empresas modernas precisam incorporar em suas estruturas de segurança cibernética.

Relacionado: Chegou a hora de proteger aplicativos nativos da nuvem

Seu orçamento de segurança cibernética é a traseira de um cavalo

Comentário de Ira Winkler, CISO de campo e vice-presidente, CYE

As restrições orçamentárias históricas estão limitando o seu programa de segurança cibernética? Não deixe que serras velhas o impeçam. É hora de revisar seu orçamento tendo em mente as necessidades futuras revolucionárias.

Inevitavelmente, um orçamento de segurança actual baseia-se no orçamento do ano anterior, que se baseia no orçamento anterior, que se baseia no orçamento anterior, e assim por diante. O orçamento actual pode, portanto, basear-se fundamentalmente num orçamento de há mais de uma década - da mesma forma que os comboios de passageiros modernos pode ter uma dívida ao tamanho do cavalo que puxa uma carruagem romana.

Veja como sair desse ciclo limitante: Seu orçamento de segurança cibernética é a traseira de um cavalo

Relacionado: Afiliada do Grupo Chertoff conclui aquisição da Trustwave

O primeiro passo para proteger as ferramentas de IA/ML é localizá-las

Por Fahmida Y. Rashid, editora-chefe, recursos, Dark Reading

As equipes de segurança precisam começar a considerar essas ferramentas ao pensar na cadeia de fornecimento de software. Afinal, eles não podem proteger o que não sabem que possuem.

O número crescente de aplicações que incorporam recursos e ferramentas de inteligência artificial (IA) que facilitam o trabalho com modelos de aprendizado de máquina (ML) criou novas dores de cabeça na cadeia de fornecimento de software para as organizações, cujas equipes de segurança agora precisam avaliar e gerenciar os riscos representados por esses componentes de IA.

Além disso, as equipes de segurança muitas vezes não são informadas quando essas ferramentas são trazidas para a organização pelos funcionários, e a falta de visibilidade significa que não são capazes de gerenciá-las ou proteger os dados que estão sendo usados.

Veja como encontrar a IA/ML escondida nas ferramentas e aplicativos usados, até mesmo nos obscuros.

Relacionado: IA dá aos defensores vantagem na defesa empresarial

As 3 principais prioridades para CISOs em 2024

Por Stephen Lawton, escritor colaborador da Dark Reading

Um ambiente regulatório e de fiscalização em mudança significa que o CISO inteligente pode precisar mudar a forma como trabalha este ano.

À medida que os CISOs se reúnem com as suas equipas de segurança e gestão corporativa para definir as principais prioridades para 2024, a responsabilidade pessoal e legal pelas violações de dados que a SEC atribuiu aos CISOs poderá ser o maior desafio no novo ano.

Por sua vez, as mudanças no seguro cibernético também afetam a gestão do risco cibernético. Quando se trata de violações de privacidade em 2024, espera-se que os subscritores de seguros cibernéticos endureçam as regulamentações sobre como as organizações implementam segurança em dados privados e contas privilegiadas, incluindo contas de serviço, que tendem a ser excessivamente privilegiadas e muitas vezes não têm as suas palavras-passe alteradas há anos.

Descubra como os visionários com visão de futuro estão abordando o risco de violação (e as ameaças emergentes à cadeia de fornecimento): As 3 principais prioridades para CISOs em 2024

Relacionado: O modelo vCISO é adequado para sua organização?

O Guia do Setor de Água da CISA coloca a resposta a incidentes em destaque

Por Robert Lemos, escritor colaborador da Dark Reading

À medida que os ciberataques visam cada vez mais os fornecedores de água e os serviços de águas residuais, o governo federal dos EUA pretende ajudar a limitar o impacto dos ataques destrutivos.

As empresas de abastecimento de água e águas residuais receberam na semana passada novas orientações para melhorar a sua resposta a ataques cibernéticos da Agência de Segurança Cibernética e de Infraestruturas dos EUA (CISA), na sequência de um maior número de ataques por parte de grupos estatais e cibercriminosos visando infraestruturas críticas mal servidas.

O documento surge no momento em que os esforços de segurança cibernética para o setor de água e águas residuais (WWS), no entanto, foram prejudicados por restrições de recursos. O guia de 27 páginas da CISA oferece conselhos detalhados para o setor de serviços públicos de água sobre como criar um manual eficaz de resposta a incidentes, dados os desafios únicos do setor.

Aqui estão os principais tópicos: O Guia do Setor de Água da CISA coloca a resposta a incidentes em destaque

Relacionado: Mova-se, APTs: os cibercriminosos agora também visam a infraestrutura crítica