IT- und Sicherheitsexperten verfügen über eine breite Palette an Tools und Technologien zur Bekämpfung von Daten- und Gerätesicherheitsrisiken. Laut Gartner werden die weltweiten Ausgaben für Informationssicherheit im Jahr 124 voraussichtlich 2019 Milliarden Euro übersteigen. Trotzdem scheint es jede Woche eine neue, vielbeachtete Datenschutzverletzung zu geben. Tatsächlich gab der unabhängige Sicherheitsreporter Brian Krebs kurz vor dem Memorial Day-Wochenende bekannt, dass „auf der Website des Versicherungsgiganten Fortune 500 Realty, First American Financial Corp., Hunderte Millionen Dokumente im Zusammenhang mit Immobilienkreditgeschäften durchgesickert sind.“ dass „die Website von First American etwa 885 Millionen Dateien enthüllte, von denen die ältesten mehr als 16 Jahre alt waren.“ Wenn diese Lücke ein Erdbeben gewesen wäre, hätten die 885 Millionen auf der First American-Website veröffentlichten Datensätze einen Wert von 8.85 auf der Richterskala registriert. Während es in diesem Newsfeed-Szenario unwahrscheinlich ist, dass die FEMA den Betroffenen sofort zu Hilfe eilt und das Rote Kreuz davon nicht betroffen ist, wirkt sich die Offenlegung der Daten tatsächlich auf das Leben realer Menschen aus. Ihre digitale Sicherheit und die Zerstörung Ihrer Finanzen und Identität. Lebensunterhalt. Bleiben Sie bei mir in dieser Erdbeben-Parallele. Wissenschaftler können Erdbeben noch nicht vorhersagen oder die Wahrscheinlichkeiten für bestimmte Orte kalibrieren. Aber das hielt die Ingenieure nicht davon ab, Gebäude stärker zu machen. Wie bei Erdbeben können IT- und Sicherheitsteams nicht vollständig vorhersagen, wann und wann ein Verstoß auftreten könnte. Die äußerst komplexe Welt wird eine Fülle von Erdbebendaten erzeugen. Aber wenn wir Erdbeben, die unvorhersehbarste aller Naturkatastrophen, abmildern können, liegt es auf der Hand, dass wir Datenkatastrophen auch mit starken IT- und Sicherheitsmaßnahmen abmildern können. Was haben Erdbebeningenieure also getan, um der Naturgewalt zu widerstehen? Sie konzentrierten sich auf Resilienz.
Bildnachweis: Shutterstock (Bild: © Bildnachweis: BeeBright / Shutterstock)
Das Argument der Cyber-Resilienz.
Das ist die Lektion, die IT- und Sicherheitsmanager lernen müssen. Angesichts sich entwickelnder Bedrohungen, allgegenwärtiger Schwachstellen und einer großen Angriffsfläche ist Resilienz Ihr wichtigstes Bedürfnis. Wir können nicht vorhersagen, welches System, welcher Angreifer, welcher Fehler, welche Fehlkonfiguration oder welche Insiderinformationen unsere Tektonik antreiben werden, daher ist der typische „Härtungs“-Ansatz schlecht konzipiert. Wir brauchen keine komplexeren Systeme, Steuerungen, Anwendungen und Agenten. Starre Dinge brechen. Schauen Sie sich die Bauvorschriften nur an, wenn wir glauben, dass ein dichtes Material einem Erdbeben entgegenwirken könnte. Wie diejenigen, die in erdbebengefährdeten Regionen leben, begannen auch die IT-Sicherheitsteams, jeden Morgen Risiken einzugehen. Schließlich leben wir in einer Welt voller Gefahren, sowohl physischer als auch digitaler Natur. Wir beginnen nun zu sehen, dass diese Risikohypothese zu einer Kompromisshypothese wird. Im Fall First American bemerkt Krebs: „Ich sollte darauf hinweisen, dass diese Dokumente einfach auf der Website von First American verfügbar waren; ich weiß nicht, ob die Betrüger sich dieser Tatsache vorher bewusst waren, und ich glaube auch nicht, dass die Dokumente dort gesammelt wurden.“ masse“, räumt jedoch ein, dass „eine langsame, verteilte Indizierung dieser Daten selbst für einen unerfahrenen Hacker nicht schwierig gewesen wäre“ und „die von First American preisgegebenen Informationen eine wahre Goldgrube für Phisher und Betrüger wären, die an sogenannten Email Compromise beteiligt sind.“ „(BEC), die häufig Immobilienmakler, Maklerfirmen und Maklerfirmen imitieren, und alle Straftaten, um Käufer durch die Überweisung von Geldern an Betrüger zu täuschen.“ Welche Methode auch immer verwendet wird, es ist im Allgemeinen wichtig zu beachten, dass Flexibilität und nicht Starrheit, zeichnet ein System aus. Das bedeutet, dass wir Informationen und Informationen benötigen, die aus den tatsächlichen Aktivitäten jedes Elements der IT-Umgebung abgeleitet werden. Dieser evidenzbasierte Ansatz unter Nutzung von IT-Intelligenz ist es, der Unternehmen vorantreibt. Melden Sie jede Entscheidung und modellieren Sie die möglichen Ergebnisse. Wir müssen also unsere Vorstellungskraft erweitern. Wir wissen nicht, zu welcher Kontrollinstanz, Anwendung, Agent, Datenspeicher oder Cloud es später gehen wird. Aber indem wir sicherstellen, dass unsere kritischen Kontrollen bestehen bleiben können, kommen wir der Ausfallsicherheit näher.
Fangen Sie klein an, um erfolgreich zu sein
Denken wir schließlich nach dem ersten Vorfall in den USA daran, zunächst einfache Verbesserungen vorzunehmen, die sich auf Menschen, Prozesse und Technologie konzentrieren, so wie ein Ingenieur die Nachrüstung von Gebäuden durchführen würde. Wir denken vielleicht: „Er hat keine Zeit“. Aber weder Erdbeben noch Cyber-Bedrohungen haben eine Saison. Sie können jederzeit und ohne Vorwarnung Schäden anrichten. Aus Gründen der Erdbebensicherheit ist es daher besser, diese starren Sanitärversorgungsleitungen jetzt durch flexible Leitungen zu ersetzen. Ich ermutige uns alle, unsere Vorstellungskraft für Möglichkeiten zu öffnen, unseren Horizont zu erweitern, um Informationen aus unserer Computerumgebung zu extrahieren, und jedem Faden des Gewebes Beharrlichkeit und Widerstandsfähigkeit zu verleihen. Josh Mayfield, Direktor für Sicherheitsstrategie bei Absolute