Bałkanizowany Internet komplikuje biznes

Państwa narodowe zaczęły ingerować w wolną naturę Internetu, m.in. wprowadzać filtry i blokować dostępy obywateli do określonych treści. Coraz częściej też pojawiają się koncepcje izolowania państwowych sieci od świata – by utrudnić i ograniczyć aktywność obcych szpiegów. Internet jest powoli „lokalizowany” z uwzględnieniem otoczenia geopolitycznego.

"To będzie interesujące zobaczyć jak rozwinie się i czym zakończy retoryka lokalizowania internetu wokół interesów państwowych bądź grup wpływów” – mówi Durbin. „Zbałkanizowany internet w mojej opinii nie będzie działał” – dodaje.

Niezamierzone skutki interwencji państwa

W sytuacji gdy politycy podejmują działania realizujące politykę obronną sieci, wiele firm może spodziewać się strat pobocznych – koronnym przykładem jest tutaj nadszarpnięcie wielu dostawców sieci (ISP) w Stanach Zjednoczonych po ujawnieniu afery o śledzeniu obywateli przez NSA.

Durbin za inny przykład podaje decyzję amerykańskiego Departamentu Sprawiedliwości w sprawie zablokowania witryny Megaupload w 2012 roku za łamanie praw autorskich. Zaznacza, że akcja oznaczała także zablokowanie wymiany 11 mln legalnych plików.

ISF sugeruje m.in. przyłożenie większej wagi do komunikacji z klientami. Za przykład podaje Google, które opublikowało niedawno film szczegółowo wyjaśniający jak firma postrzega ochronę prywatności i bezpieczeństwo w świetle zapytań rządowych.

Usługodawcy mogą być słabym ogniwem

Dostawców usług stają się główną słabością w łańcuchach dostaw, które cyberprzestępcy mogą wykorzystać do docelowej organizacji pośrednio.

"Dziś mamy do udostępniania danych z zewnętrznych dostawców i łańcucha dostaw," Durbin mówi. "Musimy zrozumieć i monitorowanie integralności łańcucha dostaw, jak łańcuch dostaw zbierania danych w naszym imieniu. Wyobraź sobie, że ktoś dostanie się i zmienia niektóre z tych danych. Istnieje rynek jest w stanie spowolnić zawodnika w dół lub uzyskać informacje przed nimi, dzięki czemu można dostać się do rynku w pierwszej kolejności. "

ISF zaleca wspieranie silne relacje z dostawcami usług, których celem jest coraz partnerzy, i zrozumienia wyraźnie których systemy prawne regulują informacje Twojej organizacji.

Big Data oznacza kłopoty

Analiza danych może przynieść niesamowite korzyści dla organizacji. Problem pojawia się wtedy, gdy dane bazowe okazują się niesprawdzone lub nie pełne. Opieranie na nich ważnych decyzji może doprowadzić do katastrofy.

„Z punktu widzenia organizacji wyzwaniem jest zrozumieć skąd dokładnie pochodzą analizowane w dużych zbiorach i przez zaawansowane systemy dane” – mówi Durbin. „Musicie być pewni, że posiadacie niezbędne umiejętności i wiedzę w celu sprawdzenia poprawności wyników przy użyciu wielu typów danych oraz różnorodnych testów" – dodaje.

Oprócz zapewnienia, że organizacja ma wiedzę i umiejętności niezbędne do analizy dużych danych, ISF zaleca również zestawienie procesu stosowania dużych analiz danych z kwestią bezpieczeństwa informacji – także w perspektywie źródeł, na bazie których powstaje analiza.

Aplikacje mobilne

Smartfony są wciąż jedną z najbardziej przełomowych technologii wpływającą na obecny krajobraz rynku IT. Niestety szybki cykl rozwoju produktów (urządzeń, systemów i poszczególnych aplikacji) powoduje, że mobile jest łatwym celem dla cyberprzestępców.

"Coraz więcej usług korporacyjnych będzie działać na smartfonach czy innych urządzaniach mobilnych. Produkty te zwykle nie są obecnie jeszcze dopracowane i stanowią łatwy cel ataku dla cyber-przestępców, którzy chcą dostać się do zasobów danej firmy” – mówi Durbin.

ISF zaleca włączenie urządzeń użytkownika do istniejących norm dotyczących zarządzania dostępem, a także edukowanie użytkowników w zakresie bezpieczeństwa BYOx (Bring Your Own Anything).

Szyfrowanie zawodzi

Szyfrowanie wszystkiego stało domyślnym podejściem do zabezpieczania interakcji internetowych. Ale zwiększenie dostępności dużych ilości mocy obliczeniowej w połączeniu z coraz częściej występującymi lukami w oprogramowaniu oznacza, że nie można już twierdzić, że coś jest bezpieczne „bo przecież jest szyfrowane”. Nie ma czegoś takiego jak „totalne bezpieczeństwo”, mówi Durbin. Szyfrowania powinno być składnikiem kompleksowego planem bezpieczeństwa, ale nie w całości nim.

"Szyfrowanie nie jest Nirvaną, której oczekiwaliśmy. Musisz zbadać szyfrowanie, które wdrażasz i określić, jakie inne formy ochrony masz również zamiar umieścić w miejscu" – mówi Durbin.

Małe zaniedbania powodują katastrofy

Ponieważ zapotrzebowanie na specjalistów ds. bezpieczeństwa będzie stale rosło, znalezienie naprawdę zdolnych pracowników będzie coraz trudniejsze – mówi Durbin.

„Problemem, z którym spotykamy się coraz częściej, jest to, że specjaliści ds. bezpieczeństwa z upływem lat pracy w jednej firmie zajmują się coraz bardziej ogólnymi rzeczami, a cyberprzestępcy korzystają z coraz bardziej precyzyjnych i wymyślnych metod ataku” – mówi Durbin. „Organizacje muszę znaleźć ludzi z odpowiednimi umiejętnościami i nieustannie motywować ich do działania. Nie wystarczy być zespołem, który pilnuje firewalla, trzeba zastanawiać się nad bezpieczeństwem organizacji w wielu innych miejscach”.

ISF zaleca korzystanie z zewnętrznych programów coachingu i promowanie aktywności wewnątrz organizacji. Ponadto zaleca wspieranie inicjatyw zewnętrznych w celu szukania nowych talentów.

Bezpieczeństwo informacji nie działa z nowymi pokoleniami

Millenialsi, którzy dorastali w erze cyfrowej, mają zupełnie inny pogląd na bezpieczeństwo i prywatność niż poprzednie pokolenia.

"To osoby, które nie znają żadnego innego sposobu współpracy od tej, wykonywanej drogą elektroniczną" - mówi Durbin. "Niektóre z ich wyobrażeń na temat bezpieczeństwa informacji i prywatności są w sprzeczności z istniejącymi w firmach politykami. To nierealne by powiedzieć ludziom, którzy cały czas uczyli się jak efektywnie współpracować w cyberprzestrzeni, że "nie, nie mogą tego zrobić” – dodaje.

ISF zaleca firmom by nieustannie starały się zrozumieć, w jaki sposób podejść do nowych pokoleń pracowników, spotkań towarzyskich czy prywatności - a następnie dostosować polityki i procedury do oczekiwań tych osób.

CEO rozumie, Ty dostarczasz

Przez lata CISO i inni specjaliści ds. bezpieczeństwa byli samotnymi głosami w organizacjach. Ale to się zmienia. W tej chwili Prezesi i kierownictwo wyższego szczebla rozumieją potrzebę zabezpieczania danych. I wymagają więcej niż dotychczas.

"Trzeba, aby podziękować za pomoc organizacji Target, która dzięki swoim działaniom zwiększa poziom wrażliwości na zagadnienia bezpieczeństwa wśród menadżerów w firmach. Mówi. Jestem pewien, że w ciągu najbliższych 6 do 18 miesięcy w dyskusjach wielu zarządów pojawi się kwestia zabezpieczenia organizacji. CISO będzie musiał sprostać wielu oczekiwaniom” – mówi Durbin.