Abaixo a obsessão pela detecção: segurança proativa em 2024

Para os profissionais de segurança, uma violação cibernética há muito é considerada a “terceira certeza” da vida, ao lado da morte e dos impostos. Em 2024, a falta de uma solução mágica para as defesas de segurança cibernética parece mais clara do que nunca, à medida que organizações que deveriam ser as mais preparadas de todas, com base em coisas como a sofisticação das suas equipas de segurança e o investimento total em segurança, continuam a ser violadas.

Esta dicotomia levanta a questão: que diferença faz toda esta despesa com segurança? Sabemos que o investimento também não está a abrandar. Por exemplo, a IBM espera que 51% das organizações aumentem os seus investimentos em segurança em 2024, enquanto a Gartner observa na sua previsão de gastos globais em segurança e gestão de riscos (SRM) para 2024 que os líderes de SRM estão a adotar mais capacidades técnicas de segurança que proporcionam maior visibilidade em todo o digital da organização. ecossistema.

Na minha opinião, tem sido dada demasiada ênfase aos esforços de detecção, tais como a verificação, e não o suficiente à segurança proactiva. Estamos cercados por quantidades insustentáveis ​​de dados e inteligência que nos informam sobre riscos, ameaças, vulnerabilidades de software existentes e muito mais. Com tantos “conhecimentos conhecidos” em segurança, as organizações ainda estão obcecadas em encontrar instâncias de vulnerabilidades por meio de varreduras, testes e outros métodos de detecção, em vez de compreender e reduzir o impacto dessas descobertas nos negócios.

Não possuo uma bola de cristal, mas penso que há sinais suficientes para apoiar uma crença saudável de que é possível que as organizações finalmente adotem e priorizem abordagens proativas à segurança em 2024.

O gerenciamento de vulnerabilidades é a manifestação mais clara de segurança proativa que temos

Basicamente, os métodos proativos de segurança, como o gerenciamento de vulnerabilidades, concentram-se na identificação, avaliação e abordagem de vulnerabilidades antes mesmo de serem exploradas. E se olharmos para os dados, a maioria dos ataques aproveita vulnerabilidades que existem há anos. As organizações geralmente não são violadas porque os hackers criaram um método de ataque totalmente novo e nunca antes visto. A maioria das organizações simplesmente não possui uma higiene suficientemente boa para evitá-los.

E não é de admirar. Quando o volume de ruído das ferramentas de detecção é tão alto, como as equipes de segurança determinam o que é mais importante? Essas mesmas equipes sabem quais sistemas são mais críticos para o negócio? Infelizmente, em muitos casos, a resposta é não.

Olhando para quem hoje compõe o pessoal de segurança dentro de uma grande organização, faz sentido como chegamos aqui. Os CISOs de hoje são profissionais que subiram na hierarquia como administradores de sistemas, analistas, respondedores de incidentes, etc. Eles são líderes técnicos com experiência em encontrar e detectar coisas; foi assim que eles foram treinados.

Agora, como se espera que os conselhos de administração e os executivos de alto escalão sejam mais experientes em segurança, eles estão fazendo perguntas importantes sobre riscos aos seus CISOs: Considerando todos esses gastos para encontrar nossos problemas, estamos seguros? Estamos em melhor situação do que há um ano, ou há dois anos, ou há três anos? E poucos executivos de segurança conseguem responder a essas perguntas com conforto, porque historicamente eles não estavam focados em abordar o risco, mas sim em descobrir o risco.

À medida que o tempo passa e o papel do líder de segurança se torna mais centrado nos negócios, os benefícios de adotar uma abordagem mais proativa à segurança continuarão a crescer e brilhar. Por exemplo, o papel da gestão de vulnerabilidades no fornecimento de uma melhor redução de riscos, na obtenção de conformidade regulamentar e na poupança de custos.

Ao procurar e abordar ativamente as vulnerabilidades, as organizações podem reduzir significativamente a superfície geral de ataque, minimizando as chances de violações de segurança, vazamentos de dados e muito mais. Muitos setores, como os de saúde e de serviços financeiros, têm regulamentações rígidas que regem a proteção de dados confidenciais.

Avaliar e abordar regularmente as vulnerabilidades garante que as organizações cumpram estas normas regulamentares, evitando potenciais consequências legais. Por fim, abordar as vulnerabilidades antecipadamente é mais econômico do que lidar com as consequências de uma violação de segurança. Medidas proativas podem salvar as organizações dos encargos financeiros associados à recuperação de dados, questões legais ou danos à reputação após um ataque bem-sucedido.

Recomendações práticas para abordar a segurança proativa

Adotar uma abordagem proativa à segurança não é apenas uma questão de tecnologia, mas também requer uma mudança de cultura. Exige que os CISOs responsabilizem os proprietários de seus negócios e, ao mesmo tempo, entendam as prioridades do negócio. Exige que a liderança em segurança aceite riscos que normalmente não aceitaria e os traduza do discurso técnico de segurança para o risco relevante para os negócios.

Ao mesmo tempo, os proprietários de empresas devem confiar que a segurança apenas lhes pedirá que resolvam questões que são verdadeiramente importantes. Devem também concordar em responsabilizar o seu próprio povo pela resolução de tais problemas com a prioridade que merecem.

Em algumas organizações, isto manifesta-se como um centro de operações de risco, uma base nova e mais madura para a segurança, onde as disciplinas tradicionais se fundem numa visão holística de todo o negócio. Se olharmos para o valor que o Salesforce trouxe para as equipes de vendas ou que o HubSpot trouxe para o marketing, ter um hub centralizado para segurança proativa é algo óbvio.

Nem todas as organizações estarão preparadas para uma abordagem de centro de operações de risco. Dito isto, existem alguns passos que a maioria dos líderes empresariais e de segurança podem tomar hoje para promover uma abordagem mais proativa à segurança:

• Avaliação e priorização de riscos: Nem todas as vulnerabilidades são críticas, por isso é essencial priorizá-las com base na gravidade e no impacto potencial na organização. Isso permitirá que suas equipes de segurança concentrem seus esforços em abordar primeiro os riscos mais críticos.
• Melhor compreensão da sua superfície de ataque: É verdade o que dizem: você não pode garantir o que não conhece. Ter uma forte compreensão do seu ambiente pode parecer óbvio, mas na prática, isso requer um exame muito intencional e frequente do que você está tentando proteger e onde está.
• Treinamento de conscientização sobre segurança bem planejado: Sabemos que 74% de todas as violações incluem o elemento humano, mas a cibersegurança também é demasiado grande e ampla para esperar que os funcionários não relacionados com a segurança se tornem bem versados ​​em todos os aspectos, quando mesmo os profissionais com anos de experiência ainda têm muito que aprender. É importante que os funcionários entendam a importância das melhores práticas de segurança, mas é mais importante que a organização priorize riscos comerciais específicos para determinar quem precisa estar envolvido no treinamento e se o treinamento sobre tentativas de phishing ou segredos em código, por exemplo, será realizado. para causar mais impacto.

É uma certeza conhecida: os cibercriminosos continuarão a explorar empresas com barreiras de entrada tão baixas. As explorações usadas na natureza são praticamente gratuitas e fáceis de obter, e o retorno é claramente muito alto. As organizações devem operar partindo do pressuposto de que os hackers já conhecem as suas vulnerabilidades e devem priorizar a proteção das suas joias da coroa únicas. No final das contas, por que gastar mais dinheiro para identificar mais vulnerabilidades e descobertas de segurança quando está claro que já ultrapassamos o ponto de retornos decrescentes para detectá-los? Lidar com os riscos e vulnerabilidades conhecidos tornará o alvo nas costas da sua organização muito menor.

A postagem Abaixo a obsessão por detecção: segurança proativa em 2024 apareceu pela primeira vez em The New Stack.