Уголок CISO: глубокое погружение в SecOps, страхование и развивающуюся роль CISO

Переиздано Платоном

Читают: 0

Добро пожаловать в CISO Corner, еженедельный дайджест статей Dark Reading, специально предназначенный для читателей, занимающихся вопросами безопасности, и руководителей служб безопасности. Каждую неделю мы будем предлагать статьи, собранные из наших новостей, The Edge, DR Tech, DR Global и нашего раздела комментариев. Мы стремимся предоставить вам разнообразные точки зрения для поддержки работы по реализации стратегий кибербезопасности для руководителей организаций всех форм и размеров.

В этом выпуске:

Директора по информационной безопасности борются за статус топ-менеджеров, хотя ожидания стремительно растут
Учитывая рост атак, премии по киберстрахованию тоже могут вырасти
DR Global: отсутствие знака кибербезопасности с Essential 8
Ваш бюджет на кибербезопасность — это задняя часть лошади
Первый шаг в обеспечении безопасности инструментов AI/ML — их обнаружение
Три главных приоритета для директоров по информационной безопасности в 3 году
Руководство CISA по водному сектору ставит реагирование на инциденты во главу угла

Директора по информационной безопасности борются за статус топ-менеджеров, хотя ожидания стремительно растут

Джай Виджаян, писатель, участвовавший в Dark Reading

Опрос IANS показывает, что директора по информационной безопасности несут все большую юридическую и нормативную ответственность за утечку данных, но лишь немногие получают необходимое признание или поддержку.

Директоров по информационной безопасности все чаще просят взять на себя обязанности, которые обычно считаются ролью высшего руководства, но во многих организациях они не рассматриваются и не рассматриваются как таковые.

Опрос IANS показал, что целых 75% директоров по информационной безопасности ищут смену работы, поскольку ожидания в отношении роли директора по информационной безопасности в организациях государственного и частного сектора резко изменились из-за новых правил и растущих требований к ответственности за нарушения безопасности.

Но хотя более 63% директоров по информационной безопасности занимают должности уровня вице-президента или директора, только 20% находятся на уровне высшего руководства, несмотря на то, что в их названии есть слово «шеф». В случае организаций с выручкой более $1 млрд эта цифра еще меньше — 15%.

Почему большинству директоров по информационной безопасности не хватает удовлетворения от работы: Директора по информационной безопасности борются за статус топ-менеджеров, хотя ожидания стремительно растут

Связанный: Роль директора по информационной безопасности претерпевает значительную эволюцию

Учитывая рост атак, премии по киберстрахованию тоже могут вырасти

Роберт Лемос, писатель, участвовавший в Dark Reading

В конце 2021 года страховщики удвоили премии, чтобы компенсировать убытки от исков о программах-вымогателях. Поскольку количество атак снова растет, организации могут ожидать нового витка роста.

В то время как расходы на премии упали на 6% в третьем квартале 2023 года по сравнению с тем же кварталом 2022 года, хотя количество претензий, связанных с программами-вымогателями и конфиденциальностью, уже резко возросло по сравнению с предыдущим годом.

С 2020 года, вызванный пандемией и ростом количества программ-вымогателей, количество претензий по киберстрахованию резко возросло, что привело к резкому увеличению цен на полисы. Но индустрия киберстрахования только становится больше: стоимость прямых письменных премий вырастет до $5.1 млрд в 2023 году, что на 62% больше, чем в прошлом году, согласно данным Fitch Ratings.

В будущем появится больше игроков, менее комплексные полисы (и, следовательно, страховой риск) и большая конкуренция — все это приведет к снижению цен на страхование. Несмотря на это, некоторые прогнозируют рост стоимости премий в ближайшие 12-18 месяцев.

Узнайте, чего ожидать: Учитывая рост атак, премии по киберстрахованию тоже могут вырасти

Связанный: Война или издержки ведения бизнеса? Киберстраховщики уточняют исключения

DR Global: отсутствие знака кибербезопасности в основной восьмерке

Комментарий Арье Закса, старшего технического исследователя Adaptive Shield

Австралийская модель зрелости Essential Eight до сих пор не учитывает ключевые факторы, необходимые для защиты современных облачных сред и сред SaaS.

Essential Eight, основная система управления рисками кибербезопасности для бизнеса, созданная правительством Австралии, была создана в 2010 году и, хотя и обновляется ежегодно, не смогла модернизироваться с учетом темпов цифровой трансформации: приложения SaaS составляют 70% всего программного обеспечения, используемого предприятиями, но фраза «SaaS» нигде в документе не встречается.

В частности, отсутствуют четыре ключевые директивы безопасности, ориентированные на облако: управление конфигурацией, безопасность идентификации, управление интеграцией сторонних приложений и контроль ресурсов. В этой статье рассматриваются эти упущения и то, что современному бизнесу необходимо включить в свои системы кибербезопасности.

Подробнее здесь: Отсутствие знака кибербезопасности среди Essential Eight

Связанный: Пришло время защитить облачные приложения

Ваш бюджет на кибербезопасность — это задняя часть лошади

Комментарий Иры Винклер, директора по информационной безопасности и вице-президента CYE

Ограничивают ли исторические бюджетные ограничения вашу программу кибербезопасности? Не позволяйте старым пилам сдерживать вас. Пришло время пересмотреть свой бюджет, учитывая революционные будущие потребности.

Текущий бюджет безопасности неизбежно основывается на бюджете предыдущего года, который основан на предыдущем бюджете, который основан на предыдущем бюджете и так далее. Таким образом, нынешний бюджет может быть по существу основан на бюджете, составленном более десяти лет назад — точно так же, как современные пассажирские поезда может иметь долг размером с лошадь, тянущую римскую колесницу.

Вот как вырваться из этого ограничивающего цикла: Ваш бюджет на кибербезопасность — это задняя часть лошади

Связанный: Дочерняя компания Chertoff Group завершает приобретение Trustwave

Первый шаг в обеспечении безопасности инструментов AI/ML — их обнаружение

Автор: Фахмида Ю. Рашид, управляющий редактор журнала Features, Dark Reading

Командам безопасности необходимо начать учитывать эти инструменты при обдумывании цепочки поставок программного обеспечения. В конце концов, они не могут защитить то, о чем не знают.

Растущее число приложений, включающих возможности и инструменты искусственного интеллекта (ИИ), упрощающие работу с моделями машинного обучения (ML), создало новые проблемы в цепочке поставок программного обеспечения для организаций, чьим командам безопасности теперь приходится оценивать и управлять рисками, создаваемыми эти компоненты ИИ.

Кроме того, команды безопасности часто не информируются, когда сотрудники приносят эти инструменты в организацию, а отсутствие прозрачности означает, что они не могут управлять ими или защищать используемые данные.

Вот как можно обнаружить AI/ML, скрывающийся в используемых инструментах и приложениях, даже в теневых.

Подробнее здесь: Первый шаг в обеспечении безопасности инструментов AI/ML — их обнаружение

Связанный: ИИ дает защитникам преимущество в защите предприятия

Три главных приоритета для директоров по информационной безопасности в 3 году

Стивен Лоутон, писатель, пишущий о темном чтении

Изменение нормативной и правоприменительной среды означает, что умному директору по информационной безопасности, возможно, придется изменить методы своей работы в этом году.

Поскольку директора по информационной безопасности собираются вместе со своими командами безопасности и корпоративным руководством, чтобы определить основные приоритеты на 2024 год, личная и юридическая ответственность за утечку данных, которую SEC возложила на директоров по информационной безопасности, может оказаться самой сложной в новом году.

В свою очередь, изменения в киберстраховании также влияют на управление киберрисками. Ожидается, что в 2024 году страховщики киберстрахования ужесточат правила обеспечения безопасности частных данных и привилегированных учетных записей, включая сервисные учетные записи, которые, как правило, имеют чрезмерные привилегии и пароли которых часто не менялись годами.

Узнайте, как дальновидные провидцы подходят к риску взлома (и возникающим угрозам в цепочке поставок): Три главных приоритета для директоров по информационной безопасности в 3 году

Связанный: Подходит ли модель vCISO для вашей организации?

Руководство CISA по водному сектору ставит реагирование на инциденты во главу угла

Роберт Лемос, писатель, участвовавший в Dark Reading

Поскольку кибератаки все чаще нападают на поставщиков воды и предприятия по очистке сточных вод, федеральное правительство США хочет помочь ограничить воздействие разрушительных атак.

На прошлой неделе компании водоснабжения и водоотведения получили новые рекомендации по улучшению реагирования на кибератаки от Агентства США по кибербезопасности и безопасности инфраструктуры (CISA) после увеличения числа атак со стороны национальных государственных групп и киберпреступников, нацеленных на недостаточно обслуживаемую критически важную инфраструктуру.

Документ появился в связи с тем, что усилиям по кибербезопасности в секторе водоснабжения и водоотведения (WWS), однако, препятствовали ресурсные ограничения. 27-страничное руководство CISA предлагает подробные советы для предприятий водоснабжения о том, как создать эффективный план реагирования на инциденты с учетом уникальных проблем сектора.

Вот основные выводы: Руководство CISA по водному сектору ставит реагирование на инциденты во главу угла

Связанный: Подвиньтесь, APT: киберпреступники теперь нацелены и на критически важную инфраструктуру