הרבעון השלישי של שנת 2022 היה מאתגר עבור שרתים ממשלתיים ותאגידיים ברחבי העולם — אנו עדים לעלייה של 70% בהדלפות נתונים לעומת המספרים של הרבעון השני. לאור העובדה שהכשלים בהגנה נופלים בעיקר על כתפיהם של ה-CISOs, חשוב לדעת אילו כלים קיימים לשיפור היעילות שלהם.
פוסט זה מתאר מסמך לבן שנכתב על ידי אנליסט לשעבר ב-Gartner, ג'ונתן קייר. הורד את המסמך הלבן למידע מקיף ומעמיק אודות השיטות הטובות ביותר ל-CISO, מגמות העולות וטכנולוגיות עתידיות שיכולות לשפר את היעילות של ה-CISO בשנת 2023.
מפת דרכים ליעילות ה-CISO: סיכום המסמך הלבן
כמומחה מוכר בתחום הסייבר וגילוי הונאות, ג'ונתן קייר נותן את העצות הבאות לשיפור היעילות של ה-CISO:
1. הערכת סיכון מבלי לערבב סמכויות
תפקיד ה-CISO קשור לעיתים להתמוטטות נפשית וללחץ. סקר ה-CISO של Heidrick & Struggles מראה כי פחות מחצי מה-CISOs מעוניינים להישאר בתפקיד, כאשר הלחץ הוא הדאגה העיקרית שלהם.
שיתוף פעולה עם עמיתים בכירים הוא חיוני כאשר מגדירים את רעב הסיכון. עם זאת, ה-CISOs לעיתים מוצאים את עצמם לבד כאשר מדובר באכיפת מדיניות, קבלת החלטות מורכבות, ולקיחת אחריות על כל כשלי אבטחה הנובעים מכך.
הענקת שליטה רבה יותר ל-CISOs היא אחת מהעצות המרכזיות לשיפור היעילות של ה-CISO ולהפחתת הלחץ.
2. אימוץ מודל רשת מבוסס זהות
כיוון ש-מודל אבטחת Zero Trust אינו פתרון אוניברסלי, תוכנית אבטחה יעילה עבור ה-CISOs צריכה לשקול אלטרנטיבות המשלימות את מערכות ניהול זהויות מתקדמות ואנונימיזציה של נתוני לקוחות.
הענקת כוח לספק צד שלישי להקים זהויות עשויה להיראות לא אינטואיטיבית בהתחלה. אך זה הגיוני אם נזכור כי זהות המשתמש היא הליבה של מודלי העסקים של Microsoft ו-Google.
קישור ישיר של זהות המשתמש לשרתי שמות הדומיינים (DNS) מקשה על זיוף זהויות ומחזק את אבטחת הרשת. ניתן גם להתאים את המידע הספציפי שנדרש מהספק לשירותי אימות כדי למקסם את הגנת הלקוחות ולעמוד בדרישות החוקיות.
3. ניהול סיכון פנים אפקטיבי
הדלפות נתונים מצד עובדים הפכו ליקרות יותר וקשה יותר לשלוט בהן, עם עלייה של 44% בסיכון להדלפות נתונים מצד עובדים מאז תחילת המגפה.
תגובה מוגזמת למצב על ידי אכיפת החזרתם של עובדים מרוחקים למשרד מגדילה את הזדמנויות הגישה הפיזית שעשויות להוביל לאירועים של עובדים זדוניים, בעוד שמדיניות חופשית מדי עשויה להוביל לרשלנות ולגניבת אישורים.
כדי להילחם בסיכונים פנימיים, CISOs בשנת 2023 ייישמו אסטרטגיית הגנה בעומק ויממשו תוכנה לניהול סיכוני פנים כמו Syteca.
4. שילוב מערכת צ'קאאוט סיסמאות
כיוון שהאיומים הקיברנטיים ממשיכים להתפתח, CISOs מחפשים דרכים חדשניות לשפר את הגנת הסיסמאות. פתרון אחד שהופך לפופולרי הוא מערכת צ'קאאוט סיסמאות, שמונעת משני משתמשים לגשת לחשבון או סוד מסוים בו זמנית.
מערכת צ'קאאוט סיסמאות הופכת נכסים סודיים לבלעדיים. משמעות הדבר היא שכל התקפות שתלויות בהתחברות בו זמנית פשוט לא יעבדו.
בשילוב עם סיבוב אוטומטי של סיסמאות ושירותי ניהול גישה מועדפת, ש-Syteca מספקת גם כן, פונקציית הצ'קאאוט סיסמאות מקשה הרבה יותר על גניבת סיסמה. למרות שמערכת צ'קאאוט סיסמאות אולי לא מתאימה לכל הסודות, CISOs צריכים לשקול את הכלי הזה כדי לחזק את אבטחת הסייבר של הארגון שלהם בשנת 2023.
5. הגדלת יכולות אנונימיזציה של נתונים
דאגות פרטיות מנעו ממספר ארגונים להוציא משימות אבטחה קריטיות החוצה בתגובה לעלייה בפשעי סייבר. אנונימיזציה של נתונים — אחת מהפרקטיקות המומלצות לאבטחת נתונים עבור CISOs — עוזרת להגן על נתונים רגישים בעת ביצוע חקירות והוצאה חיצונית של משימות הקשורות למשאבי אנוש ואבטחה.
Syteca מציעה יכולות אנונימיזציה עבור חקירות פנימיות של הונאות סייבר. המערכת לאנונימיזציה ב-Syteca משתמשת במספרים ובמזהי מטרת החקירה במקום בשמות ונתונים אמיתיים. זה מאפשר לארגון שלך לטפל במשתמשים מבלי להטות את דעתו ולהביא מומחים חיצוניים.
6. הגנה על עובדים מפני זיהוי דפוס דפדפן
זיהוי דפוס דפדפן הופך לדאגה מרכזית בתחום אבטחת הסייבר כיוון שההאקרים משתמשים בו יותר ויותר כדי לעקוב אחרי זהויות משתמשים.
משתמש מזוהה הוא הרבה יותר פגיע להתקפות פישינג ממוקד, חיקוי זהות והנדסה חברתית. זיהוי דפוס דפדפן יכול לעקוף VPNים, ניתוב Onion ושיטות תקשורת אנונימית מרובת- nodes דומות.
CISOs שמיישמים אמצעים נגד זיהוי דפוס דפדפן יהיו יותר יעילים בהגנה על הארגונים שלהם. אמצעים אלו כוללים:
7. להחמיר את הענישה על הרעלת אינטליגנציה מלאכותית
חקירת נושא הרעלת אינטליגנציה מלאכותית (AI) וחיפוש דרכים שבהן CISO יכול לנהל את הסיכונים הקשורים לנושא זה היא אחת מהפרקטיקות המומלצות לאפקטיביות של CISO בשנת 2023.
הרעלת אינטליגנציה מלאכותית היא מגמה מתמשכת שבה מערכות אינטליגנציה מלאכותית (AI) ולמידת מכונה (ML) נגרמות להזדהם בכוונה. על ידי ניצול יכולות האינטראקציה של AI, האקרים יכולים להזרים רשתות נוירוניות עם מידע שגוי או כוונות זדוניות. התוצאות של ניצול זה יכולות לנוע מ-בוטים גזעניים ועד להתקפות על סודיות.
צפוי כי הרעלת אינטליגנציה מלאכותית תהפוך לבעיה מרכזית בתחום אבטחת הסייבר בשנת 2023 עבור ארגונים שמשתמשים בשירותי AI או ML, דבר שמטיל את האחריות על ה-CISO. אפילו אם החברה שלך לא עושה שימוש ב-AI, סביר להניח כי שירותים רבים שבהם אתה משתמש עושים זאת.
8. עמידה בדרישות אבטחת סייבר ממשלתיות חדשות
דרישות חדשות לאבטחת סייבר בממשלות ארה"ב ובריטניה שהוקמו במהלך המגיפה יכנסו לתוקף בתחילת 2023. משימת ה-CISO היא לקבוע אילו דרישות חלות על העסק שלהם ולעבוד על השגת ציות מלא.
ארגונים בארה"ב יצטרכו לקחת בחשבון את הוראת הנשיא 14028, שתכפה על יצרנים להודיע ללקוחות על מוצרים שנוצרו עם תשומת לב רבה יותר לסיכוני וסוגיות אבטחת סייבר.
בריטניה פרסמה גם כן סטנדרטים חדשים לאבטחת סייבר במוסדות חינוך. הם יחולו על תוכנה ורכיבי רשת וידרשו אודיטים וציות לכללי התאוששות מהירה.
שימוש בפתרונות ייעודיים כמו Syteca יכול לסייע ל-CISOs לוודא שהארגונים שלהם עומדים בדרישות הציות לאבטחת סייבר.
סיכום
כדי להיות אפקטיביים, על ה-CISOs לנהל את רמות הלחץ שלהם וליישם אמצעים חשובים להגנת נתונים. אלה כוללים את אימוץ מודל רשת מבוסס-זהות, ניהול סיכוני פנימיים ואנונימיזציה של נתונים. פרקטיקות הטובות ביותר עבור CISO בתחום אבטחת המידע כוללות התמקדות באיומים כמו הרעלת אינטליגנציה מלאכותית וזיהוי דפוס דפדפן, ולקיחת אמצעים להבטיח את הציות של הארגונים לדרישות הציות בתחום ה-IT.
מאמצי ה-CISO לא יהיו אפקטיביים ללא פתרונות אבטחת סייבר ייעודיים. כפתרון מקיף לניהול סיכוני פנימיים, Syteca יכולה לסייע ל-CISOs להגן על נכסים רגישים מפני סיכונים הקשורים לפעולות אנושיות.
לקריאה נוספת על לחץ הנפשי ותפקיד בריאות הנפש של CISO, הורד את המסמך הלבן המלא — מפת הדרך ליעילות ה-CISO.
המסמך נכתב על ידי יועץ לשעבר ב-Gartner ומומחה מוכר לאבטחת סייבר, ג'ונתן קייר. המסמך מספק תובנות חשובות ממקור ראשון ומספק תיאור מלא של כל הפרקטיקות המומלצות ל-CISOs ואמצעי הגנת הנתונים המפורטים בפוסט זה.
