Vídeo: CGD 2017 - Taller: Avaluació del risc en ciberseguretat per mitjà de l’anàlisi d’amenaces (Setembre 2024)
Com es fa a tot arreu, la ciberseguretat va ser un gran tema de la conferència Fortune Brainstorm Tech la setmana passada. En un dinar a la taula rodona, directius de diverses empreses i organitzacions de ciberseguretat van discutir noves amenaces. Si bé van dir que les coses podrien millorar, també van apuntar a preocupacions més grans dels estats nació.
Mentrestant, Amy Hess de l'FBI va parlar de l'escenari sobre els diversos tipus d'amenaça i què haurien de fer les empreses com a resposta. Preguntada per si hem de tenir por, va dir que "la resposta breu és" sí ".
A la taula rodona del dinar, un dels grans temes tractats va ser el paper que juguen els estats nació com la Xina i Rússia, tant per incompliments externs com per intentar infiltrar-se directament a les empreses per fer coses com robar la propietat intel·lectual.
Michael Brown, antic conseller delegat de Symantec i ara director de la Unitat d'Innovació en Defensa del Departament de Defensa, va dir que a Silicon Valley, "les empreses més petites no són tan conscients que haurien d'amenaçar incompliments privilegiats i jugadors estrangers com la Xina".
Va dir que la majoria de les infraccions i amenaces per volum són delictius, que no provenen dels diferents governs, per la qual cosa el govern i la indústria privada han de fer és fer que els sistemes siguin més difícils i costosos. Va assenyalar que els atacants només han de tenir raó un cop per entrar en un sistema, mentre que els defensors han de tenir la raó de mantenir tota la gent fora de temps. "És un joc d'economia", va dir.
"Només hi ha quatre problemes en la ciberseguretat: la Xina, Rússia, Corea del Nord i l'Iran", segons Dmitri Alperovitch, cofundador i CTO de CrowdStrike. Va dir que no només eren els mateixos hackers importants aquests països, sinó que molts hackers criminals també operen fora d'aquests països. Aquests grups tenen una intenció de pirateria que, si s’esforcen prou, acabaran trobant una debilitat a la vostra xarxa.
Tim Junio, cofundador i conseller delegat d'Expanse, que supervisa Internet per cercar informació que pertany a les empreses de clients, va dir que "És increïblement rar, i és tard, en el joc" que les empreses pensin en el fet que els actors estrangers van a reclutar gent per penetrar a les seves xarxes. " Va suggerir que necessitem l'equivalent a un sistema d'auditoria financera per a la ciberseguretat.
El conseller general d’Oracle, Dorian Daley, va acordar que calia més empreses per centrar-se en amenaces privilegiades, però va subratllar que els alts executius de l’empresa havien de prendre seriosament la ciberseguretat. Va parlar sobre com Oracle tenia un comitè de supervisió de la seguretat i va parlar de fer una "colonoscòpia corporativa" per buscar problemes de seguretat i, després, corregir-los.
En una entrevista en escena, Amy Hess, directora adjunta executiva de la sucursal penal, cibernètica, resposta i serveis del FBI (a la part superior) va dir que el terrorisme, l’espionatge, el robatori de propietat intel·lectual i el delicte senzill formen part de les qüestions "cibernètiques"..
Va dir que l'objectiu de la Xina és "convertir-se en la superpotència dominant del món", i va afegir que el govern xinès està disposat a robar informació, propietat intel·lectual, informació identificable personalment (PII), secrets del govern i R + D per arribar-hi. A més, va dir, els xinesos estan disposats a invertir en empreses i formar part de la cadena de subministrament per obtenir més informació. Va dir que això els proporciona un accés fàcil a la tecnologia que va portar a les empreses nord-americanes anys a desenvolupar-se, aprofitant l’enginy americà. "Ho aconsegueixen gratis, ho aconsegueixen ràpidament", va dir.
Rússia era diferent, va dir Hess, perquè si bé encara estava interessat a robar secrets militars, secrets governamentals i R + D, també era una "influència estrangera maligna". Va dir que Rússia va utilitzar la nostra dependència de les xarxes socials per fer que la gent es preguntés si el que estan llegint és real i que va utilitzar aquestes plataformes per dividir-nos.
Hess va dir que l'FBI es coordina amb el Departament de Seguretat Nacional sobre com defensar les xarxes als Estats Units i treballa amb el Departament de Defensa per veure què passa a fora del mar. Però va dir que el paper principal del FBI era el de "rendir comptes": esbrinar qui piratejava i fer-los responsables. Per exemple, va dir que, basada en investigacions del FBI, el Departament de Justícia va acusar a diverses persones de robar informació en el moment de les eleccions presidencials de 2016. Va dir que el FBI va intentar infiltrar-se en els sistemes electorals el 2016, però, si bé no hi havia indicis que es canviés els vots, els pirates informàtics intentaven obtenir informació sobre el procés electoral.
Ella estava preocupada no només per la Xina i Rússia, on l'FBI ha carregat formalment agents d'aquests governs, sinó també per Iran i Corea del Nord. Els criminals també eren un problema, ja que "els diners són força fenomenals". Va dir que durant els últims 15 mesos, l'equip d'actius de recuperació de l'FBI va recuperar 380 milions de dòlars, o el 78 per cent del que es va sol·licitar.
El FBI va animar molt les empreses a contactar-hi quan vegin alguna cosa que sembla, segons va dir Hess. Va dir que es va adonar que algunes empreses podrien sentir que es troben en un desavantatge competitiu si reconeixen que poden haver estat piratejades, però l'FBI pot ajudar, ajudar a altres persones i ajudar a prevenir el proper atac. Va assenyalar que l'FBI no té l'obligació de parlar al món d'un atac i va dir: "Ens ho prenem molt seriosament".
Ella volia fomentar la col·laboració i la cooperació, que li agradaria veure amb més facilitat la possibilitat d’avançar i retrocedir entre el sector privat i el govern. Si bé el govern no pot competir amb la indústria privada en sous per als professionals de la ciberseguretat, va poder competir en la missió, va dir. Almenys, "Ens necessitem mútuament per compartir informació."
Va dir que el problema més important en la ciberseguretat segueixen sent humans. Això inclou l’error de l’usuari, com ara no actualitzar sistemes o instal·lar pegats, o el “clic perpetu sobre coses on no sabeu cap a on es dirigeixen”.
Preguntat quina era la seva por més gran, Hess va dir que era la "infraestructura crítica" de la companyia i com algú que tragués fins i tot una petita part de la xarxa cel·lular, finances, energia o xarxes de transport podria tenir "conseqüències nefastes". Ella estava preocupada pels nous dispositius connectats, dient que, amb moltes presses per treure les coses al mercat, de vegades la seguretat és una reflexió posterior.
Vaig preguntar què pensava que les empreses o els municipis que pagaven ransomware, un tema que ha estat a les notícies darrerament. Va dir que no era una bona idea pagar la rescat, ja que això només "anima els altres". A més, mai no hi havia la garantia de que funcionés. Va dir que darrerament el ransomware tenia més probabilitats de dirigir-se a les empreses més petites que són "potencialment més susceptibles", així com als municipis.
"Tu seràs un objectiu", va dir Hess, "doncs pensa en tu mateix d'aquesta manera".
També se li va preguntar sobre el concepte de "hacking back" i va dir que tenia preocupacions reals sobre la indústria privada que prengués accions ofensives. Va dir que estava preocupada pels danys col·laterals, les conseqüències secundàries i terciàries de les quals les organitzacions poden no ser conscients, i com això podria ser més perillós per a la infraestructura crítica.
