Отчет CISO: Если вы умеете водить автобус, то вы можете бороться с киберпреступностью

Мельбурн, Австралия – 7 апреля 2023 г.

Отчет CISO спонсируется KnowBe4.

Несмотря на все разговоры об ущербе, причиняемом киберпреступниками — с помощью программ-вымогателей, кражи учетных данных, вредоносных программ и тому подобного, — Бобби Форд считает, что есть еще один аспект киберпреступности, о котором мы только начинаем задумываться.

И хотя эти громкие киберпреступления, как ожидается, будут стоить миру 8 триллионов долларов ежегодно в этом году и 10,5 триллиона долларов к 2025 году, Форд считает, что гораздо менее хорошо изучены последствия киберпреступлений.

Старший вице-президент и глобальный исполнительный директор технологического гиганта HP Enterprise (HPE) Форд – бывший солдат армии США, работавший в аэрокосмической отрасли, обороне, науках о жизни и производстве быстрорастущих потребительских товаров — имел возможность наблюдать за деятельностью киберпреступников со многих сторон, в том числе работая бок о бок с правоохранительными органами.

И если преступления, связанные с киберзависимостью, являются верхушкой кибер айсберга, то преступления, связанные с киберпреступностью — традиционные преступные действия, которые используют новые технологии для расширения своего охвата или интенсивности, такие как продажа наркотиков на рынках darkweb, — это остальное.

“Я не думаю, что мы в полной мере осознаем, насколько велика проблема”, – сказал он журналу Cybercrime.

“Поскольку мы продолжаем говорить о цифровизации, и мы продолжаем видеть, как все перемещается в Интернет, я думаю, что [киберпреступность] будет только расти, но мы все еще даже не начали углубляться и по-настоящему понимать масштабы и влияние того, во что нам на самом деле обойдется киберактивность и киберпреступность”.

Тем не менее, несмотря на всю его угрозу и результаты резкого роста расходов на кибербезопасность, которые, как ожидается, превысят 1,75 триллиона долларов к 2025 году, Ford считает, что многие компании, возможно, на самом деле тратят слишком много на кибербезопасность — и не в тех местах.

“Одно дело тратить достаточно, а другое – эффективно”, – объяснил он, сравнив ситуацию со своими собственными проблемами, уравновешивая свою любовь к коллекционированию отличной обуви необходимостью после переезда в Лондон покупать практичную обувь для ходьбы.

“Вы много гуляете по Лондону, и мне следовало покупать больше для функциональности, чем для моды”, – признался Форд. “Дело было не в том, сколько я тратил, а в том, как я тратил. И когда я смотрю на сегодняшнюю индустрию, я все еще думаю, что это орешек, который мы не раскололи ”.

Многие компании, по его словам, придерживаются традиционного подхода к расходованию средств, который объединяет степень расходов с их эффективностью, в результате чего многие компании получают высокотехнологичные решения для обеспечения безопасности, которые не обязательно приносят пользу бизнесу так, как они предназначены.

“Я все еще думаю, что мы тратим, и мы действительно не понимаем, куда мы должны тратить, – объяснил он, – и затем, какую ценность мы получаем, когда тратим деньги”.

“Сколько мы на самом деле тратим на снижение риска?”

Создание кибер армии

Для Ford, как глобального CISO всемирной организации, насчитывающей около 60 000 сотрудников, особенно важно уделять приоритетное внимание расходам на безопасность для максимального управления рисками. Однако эффективное управление рисками кибербезопасности касается как людей, так и технологий, что заставляет его сосредоточиться не только на технологиях кибербезопасности, но и на управлении этой рабочей силой, чтобы человеческий фактор поддерживал его усилия по минимизации операционного риска.

Применяя правильный подход к созданию команды по кибербезопасности, Ford считает, что предприятия могут и должны расширять общий набор навыков в области кибербезопасности, а не концентрировать свои усилия на переманивании экспертов из других компаний.

Вкладывая свои деньги в то, что у них на уме, HPE работает над тем, чтобы сделать именно это с помощью своей программы HPE по перезагрузке карьеры в области кибербезопасности — программы переподготовки, которая набрала значительный импульс, ориентируясь именно на тот тип людей, на которых обычные организации по кибербезопасности обычно не обращают внимания.

“Есть только две квалификации, которые вам нужны для участия в программе”, – объяснил Форд. “Во—первых, у вас может не быть абсолютно никакого опыта работы в киберпространстве, а во-вторых, мы бы предпочли, чтобы у вас не было степени”.

Это может показаться странным, учитывая широко распространенное мнение о том, что кибербезопасность сложна и технична, но, привлекая сотрудников на первом этаже и обучая их, Ford говорит, что HPE удалось привлечь новых рестораторов, водителей школьных автобусов и других нетехнических работников, которые преуспели, когда получили преимущество в новой отрасли.

“Когда я завербовался в армию, все, что от меня требовалось, – это пульс, – сказал Форд, – и они научат [нас] всему остальному, что нам нужно знать. Я бы придерживался того же мнения, когда речь заходит о киберпространстве: если у вас есть импульс, мы можем научить вас всему остальному, что вам нужно знать ”.

Однако обучение сотрудников кибербезопасности является лишь частью уравнения.

Форд утверждает, что многие компании придерживаются неправильного подхода — обучения по вопросам безопасности сверху вниз, в ходе которого сотрудникам, например, предлагается сообщать о подозрительных фишинговых письмах в центральные ИТ-отделы.

Этот подход может быть полезным, но, по мнению Форда, из-за централизации реагирования компании, которые его применяют, упускают возможность повысить уровень образования своих сотрудников и их реакцию на киберугрозы.

“Вы часто слышали, как говорят, что люди – самое слабое звено, – сказал он, – но я принципиально и философски не согласен с этим: у них есть потенциал стать нашей самой сильной линией обороны, но, к сожалению, мы все еще полагаемся на осведомленность и образование, вместо того, чтобы фактически вооружать их, чтобы они помогли нам в борьбе с противником”.

Например, устранение последствий фишинга может позволить сотрудникам помечать фишинговые электронные письма как вредоносные и автоматически извлекать одно и то же сообщение из почтовых ящиков своих коллег— сотрудников – и все это без необходимости полагаться на перегруженные работой центральные ИТ-организации.

“Образование и осведомленность повысились, и наша база сотрудников стала намного более осведомленной”, – объяснил Форд. “Но следующая эволюция, о которой мы должны говорить, – это переход от образования к оснащению наших сотрудников, чтобы они могли помочь нам в борьбе”.

– Дэвид Брау – отмеченный наградами автор технических статей из Мельбурна, Австралия.