Your biggest cybersecurity threats are inside your enterprise

Your biggest cybersecurity threats are inside your enterprise


Estem encantats de tornar a presentar Transform 2022 en persona el 19 de juliol i pràcticament del 20 al 28 de juliol. Uneix-te als líders d’IA i de dades per a converses aprofundides i oportunitats de creació de xarxes emocionants. Registra’t avui!


Es parla molt de la multitud de riscos de seguretat i vulnerabilitats exteriors a què s’enfronten les empreses, i amb raó.

Dit això, però, moltes organitzacions poden estar passant per alt la seva amenaça potencialment més nociva: els seus empleats i altres persones privilegiades de confiança.

Ja siguin intencionals o no intencionats, el risc intern i l’amenaça interna tenen moltes formes i tenen conseqüències perjudicials, i en aquesta era postpandèmia marcada per la incertesa econòmica i la rotació de la força de treball, estan en augment.

Una enquesta del 2022 sobre el cost de les amenaces privilegiades realitzada per l’Institut Ponemon [subscription required] va trobar que els incidents de ciberseguretat liderats per persones privilegiades han augmentat un 44% durant els darrers dos anys, i els costos anuals mitjans dels incidents coneguts liderats per persones privilegiades han augmentat més d’un terç fins als 15,38 milions de dòlars.

Això és perjudicial en molts fronts perquè, en última instància, “la propietat intel·lectual d’una empresa és un actiu crític”, va assenyalar Paul Furtado, vicepresident analista de Gartner. “La difusió d’aquesta informació a tercers o competidors pot tenir un efecte material en els ingressos d’una empresa”, va dir, “o pot afectar negativament la seva marca”.

O potencialment pitjor.

Què constitueix el risc intern i l’amenaça interna?

Els termes “risc intern” i “amenaça interna” s’utilitzen sovint de manera intercanviable, però són diferents.

El risc privilegiat es refereix a tothom connectat als sistemes d’una empresa determinada. Ja sigui un empleat, un contractista o un tercer, si té o han tingut accés autoritzat, representen un risc. Segons Furtado, tenen el potencial d’actuar d’una manera que podria afectar negativament una organització, ja sigui de manera malintencionada o no intencionada.

“Quan mirem el risc intern, estem analitzant el 100% dels empleats/contractistes connectats que tenen accés a les dades de l’organització”, va explicar.

Mentrestant, una amenaça interna fa referència a la intenció, és a dir, usuaris específics que cometen actes aïllats i estan motivats per objectius maliciosos. Per exemple, un empleat que marxa que s’emporta les dades pròpies de l’empresa quan se’n va, o un empleat descontent que elimina informació important o sensible d’un servidor de l’empresa o d’un compte al núvol.

“La millor manera de descriure-ho és que cada amenaça interna va començar com un risc intern, però no tots els riscos interns es converteixen en una amenaça interna”, va explicar Furtado.

Alguns exemples d’amenaces privilegiades són l’espionatge, el frau, el robatori de dades sensibles, la destrucció deliberada, el dany o l’obstrucció (sabotatge) o la connivència o la pressió de tercers.

La filtració de dades sensibles d’una empresa també pot ser molt sovint no intencionada, a causa d’un accident (enviament d’un correu electrònic a un destinatari equivocat), negligència o negligència. De la mateixa manera, les credencials dels empleats es podrien veure compromeses a causa de l’explotació externa.

No importeu riscos o amenaces privilegiades

A més, va en els dos sentits, va apuntar Furtado. Quan una empresa contracta un empleat, qualsevol dada que aporti la nova contractació podria generar una responsabilitat legal. Per exemple, si un enginyer és contractat d’un competidor i aporta informació prototip d’aquest competidor, el seu nou ocupador podria ser considerat responsable d’acceptar i utilitzar dades de propietat.

Un informe d’exposició de dades de l’empresa de programari de ciberseguretat Code42 [subscription required] indica la freqüència d’aquesta transferència d’informació: el 63% dels empleats diuen que han portat dades del seu ocupador anterior per utilitzar-les en la seva feina actual. De la mateixa manera, el 71% de les organitzacions van dir que desconeixien la quantitat de dades sensibles que solen portar els seus empleats que marxen.

En última instància, es redueix a la naturalesa humana, va dir Carolyn Duby, CTO de camp amb l’empresa de plataforma de programari de dades híbrides Cloudera. “Per molt que s’apliqui la tecnologia per assegurar una infraestructura, sempre hi haurà riscos associats a la manera com es comporten els humans”, va dir. “El comportament humà és sovint l’enllaç de seguretat més feble”.

Factors contribuents

Tot i que els riscos interns i les amenaces internes han plantejat problemes importants per a les empreses des de fa un temps, i molt abans de l’era digital actual, només s’han tornat més freqüents enmig de l’anomenada “revolució digital”. Les dades s’acumulen cada dia més i són molt valuoses per a les empreses, però al mateix temps augmenten la seva vulnerabilitat.

Això s’ha agreujat només l’últim any enmig de la pandèmia de la COVID-19 i la consegüent Gran Resignació (o “Gran renúncia” o “Gran remodelació”), un fenomen que va començar als EUA i des de llavors s’ha globalitzat.

S’ha informat àmpliament que l’èxode més gran d’empleats registrat va tenir lloc el 2021. Només al novembre de 2021, gairebé 4,5 milions de persones als EUA van renunciar voluntàriament, establint un rècord mensual de tots els temps.

Aquesta mobilitat de persones s’ha barrejat amb el canvi brusc –en alguns casos d’un dia per l’altre– al treball a distància. Tot això ha creat “una tempesta perfecta perquè les dades sensibles surtin de les organitzacions”, va dir Furtado.

En molts casos, les organitzacions no estaven preparades per passar a una força de treball remota a l’escala que havien de fer, va assenyalar. Juntament amb això, la visibilitat de seguretat que s’ofereix en un entorn d’oficina es veu molt reduïda en el món dels entorns de treball remots.

“En sentir-se còmodes als seus propis espais i saber que no tenen algú mirant per sobre de l’espatlla o assegut al seu costat, (els empleats) poden sentir-se empoderats per ‘explorar’ la seva xarxa a la recerca d’informació sensible”, va dir Furtado.

Duby va estar d’acord: “Quan treballes de forma remota, estàs menys connectat, oi? Hi ha menys supervisió”.

A més, és possible que els empleats simplement busquen facilitar la seva vida laboral, posant en risc la seva organització sense voler-ho, baixant dades sensibles a dispositius no corporatius o aplicacions aprovades no corporatives.

Un factor que contribueix semblant és l’augment de BYOD (porta els teus propis dispositius). Segons Tech Pro Research, el 59% de les organitzacions practiquen BYOD. I segons la investigació de Microsoft, el 67% dels empleats utilitzen els seus propis dispositius a la feina.

Els experts assenyalen que això només ha ampliat l’àrea d’atac per als ciberdelinqüents, alhora que ha creat una multitud de sitges de dades que estan molt fora del control d’una organització.

Després hi ha l’assecament general de les oportunitats de frau en altres llocs. Per exemple, es calcula que s’han robat milers de milions de dòlars dels programes d’ajuda enmig de la COVID-19. Però amb la reducció de la pandèmia i els governs reprimint els estafadors, “la gent que collia la collita a la terra de COVID ara comença a dirigir la seva atenció a altres àrees”, va dir Duby.

Conceptes bàsics de polítiques i procediments

Cap empresa és immune a les amenaces internes, per la qual cosa és essencial que facin tot el que puguin per protegir-se, adverteixen els experts.

La primera capa de protecció, la més bàsica però essencial, és el desenvolupament d’un programa formal de gestió de riscos privilegiats, va dir Furtado. Això hauria d’establir i descriure clarament polítiques i regles sobre dades, maneig de dades i el que els empleats, els contractistes i altres persones privilegiades poden fer -i, el que és més important, no poden fer- amb les dades. I, el més important, ha de ser transparent i comunicat a tots els membres de l’organització.

“Això no és una cosa que s’hagi de precipitar”, ha subratllat Furtado. “No us podeu permetre equivocar-vos: l’impacte negatiu d’un programa de risc intern mal administrat pot ser devastador per a la cultura d’una organització i, de fet, provocar més risc amb la marxa de la gent”.

Altres experts suggereixen realitzar anàlisis periòdiques d’amenaces i riscos, proporcionar formació continuada i observant models de “confiança zero” o “necessitat de saber”.

D’acord amb Jony Fischbein, CISO de Check Point Software Technologies, també és fonamental establir solucions d’exclusió estrictes i meticuloses per reduir els riscos d’amenaces internes i violacions de dades. Com a part d’això, els registres s’han de revisar a fons abans que un empleat marxi per assegurar-se que no s’ha transferit cap dada a una font externa. A més, les empreses haurien de seguir controlant regularment els comptes per assegurar-se que tot l’accés concedit anteriorment hagi estat revocat, va dir.

“Aquí és on moltes organitzacions tendeixen a caure, sobretot quan estan més centrades en el nou talent que arriba que en el talent que estan deixant anar”, va escriure Fischbein en una publicació al bloc al lloc web del Fòrum Econòmic Mundial. . “És un dels pocs casos en ciberseguretat en què mirar enrere és tan important, si no més, que mirar endavant”.

Intel·ligència artificial i canvi de comportament

La detecció basada en signatures és ideal per a amenaces ja conegudes. Però un enfocament basat en el comportament i impulsat per la intel·ligència artificial pot adaptar-se a noves amenaces buscant anomalies com ara canvis en el comportament d’un servidor o dispositiu de punt final, va dir Duby.

Aquest enfocament pot permetre a les empreses desenvolupar pràctiques “bones d’higiene de la ciberseguretat”, com ara avaluar els registres del sistema per identificar les configuracions incorrectes abans que es converteixin en vulnerabilitats en entorns de producció, o descobrir anomalies com ara que els empleats tenen accés a sistemes que cap dels seus companys fa.

Per entendre tots els seus sistemes i aplicacions i qui té accés a què i per què, sempre haurien de vigilar el flux de dades, els patrons de dades i el comportament dels usuaris, va dir Duby. I les organitzacions distribuïdes geogràficament, especialment aquelles amb models de treball remot, han de ser capaços de gestionar les diferències de polítiques entre diversos equips, regions i ubicacions específiques.

“Això requereix més que canvis tecnològics”, va dir. “Requereix una nova cultura de seguretat”.

Especialment quan es treballa des de casa amb dispositius personals, és fonamental que els empleats estiguin formats per evitar una sèrie de fallades de seguretat senzilles. Per exemple, un empleat està en una videotrucada flanquejat per una pissarra que conté informació de propietat, inicia sessió a la feina des d’un dispositiu compartit i s’oblida de tancar la sessió, o “no protegeix un ordinador portàtil de mirades indiscretes en una cafeteria”, va dir Duby.

“Crear una cultura de seguretat significa construir campanyes de formació i conscienciació adequades en les interaccions diàries”, va subratllar Duby.

Un enfocament “cèntric humà”.

Però per combatre el risc intern i l’amenaça interna, les empreses poden tendir a passar per alt l’obvi: les habilitats humanes i de gestió bàsiques.

Les empreses han d’adoptar un “enfocament orientat a les persones per mantenir-se al dia amb els empleats, saber com són, què necessiten, perquè avui dia les coses són difícils, oi?” va dir Duby. “Has de conèixer la gent de la teva organització i evitar aquestes coses”.

Com ella va dir, es tracta de fer el bé pels empleats, escoltar-los, comprendre’ls i ajudar-los, assegurant-se que se sentin connectats i compresos. Això també s’ha de combinar amb una cultura de comunicació oberta i honesta.

Aquesta és “una bona gestió bàsica”, va dir. “Sincerament, només es redueix als conceptes bàsics de les habilitats de les persones”.

I tot i que hauria de ser un fet, “quan arribes a una gran empresa, pot ser molt difícil”.

Va subratllar el fet que la formació integral i els compromisos individuals no haurien de ser en forma de “missatges del dia del judici final repetits que els treballadors acaben desconnectant”.

En canvi, haurien de ser una part integral de les activitats d’inclusió i benestar d’una empresa. “Perquè en conèixer millor els vostres empleats, podeu identificar comportaments potencialment arriscats i abordar-los abans que es produeixin filtracions”, va dir Duby.

Tanmateix, en última instància, tot i que les organitzacions practiquen una bona higiene de seguretat, el risc intern i l’amenaça interna, i els mètodes amb què es duen a terme de manera intencionada o no, seguiran evolucionant i creixent cada cop més complexos. Això requereix que les empreses estiguin més vigilants.

“Crec que la història no està completament escrita aquí”, va dir Duby. “Perquè tot just comencem a veure els efectes de la pandèmia i la Gran Resignació”.

La missió de VentureBeat és ser una plaça digital de la ciutat perquè els responsables tècnics adquireixin coneixements sobre la tecnologia empresarial transformadora i facin transaccions. Més informació sobre la pertinença.



Source link

Related post

Emirates News Agency – WGS report addresses how governments can create a more systematic and rigorous approach to skills trainings

Emirates News Agency – WGS report addresses how governments…

DUBAI, 2nd October 2022 (WAM) – A report published by the World Government Summit Organization identifies how today’s employers are failing…
Try one of the easiest Python 3 beginner courses for $40

Try one of the easiest Python 3 beginner courses…

Offer price and availability subject to change after publication. TL;DR: Starting October 2, you can sign up for the Premium Python…
Crelor Space Launches Digital Training, Learning, Info Platform For Upskill

Crelor Space Launches Digital Training, Learning, Info Platform For…

In today’s world, the journey towards personal development and professional advancement is undoubtedly difficult for many. As a result, it’s not…

Leave a Reply

Your email address will not be published.