Waar decentralisatie cyberbeveiliging ontmoet

23 april 2020

Digitale transformatie dwingt IT om opnieuw te ontwerpen in de richting van een gedecentraliseerde infrastructuur die datazwaartekrachtbarrières wegneemt en alomtegenwoordige en on-demand operaties mogelijk maakt. Dit kan echter nieuwe beveiligingsproblemen introduceren met meer toegangspunten.

Wat staat het veranderende IT-beveiligingslandschap te wachten? Om meer te weten te komen over best practices die bedrijven zouden moeten overwegen bij het vormgeven van hun fysieke en cyberbeveiligingsstrategieën, hebben we Don Freese, Principal of PwC's Cyber ​​Strategy, Transformation & Risk, uitgenodigd om samen met Ed Diver, Digital Realty's CIO, een live Q&A bij te wonen op ons MarketplaceLIVE-evenement in New York City in november 2019. Met meer dan 22 jaar ervaring bij de afdeling Global Data Privacy van de FBI, bracht Don een schat aan kennis en ervaring mee en deelde hij zijn mening over:

• Voordelen die de cloud biedt voor beveiligingsstrategieën
• Hoe te denken over het risico dat gepaard gaat met overal verspreide gegevens
• Unieke uitdagingen overwinnen vanuit beveiligingsoogpunt met betrekking tot gegevenszwaartekrachtbarrières en verhuizen naar een gedecentraliseerde omgeving
• Hoe om te gaan met crisisoperaties
• Vooruitblik op de convergentie van fysieke en virtuele beveiliging

ED: Welk advies zou je geven aan CEO's en CSO's als het gaat om het omarmen van de cloud? Hoe moeten ze het aanpakken en wat zijn enkele van de voordelen die de cloud hen kan bieden voor hun beveiligingsstrategie?

DF: Het is een geweldige eerste vraag om mee te beginnen. Ik denk dat het echt is wat jou en mij bij elkaar heeft gebracht; het is wat deze situatie veroorzaakte waarin jij en ik op het podium belandden om met elkaar te praten. Ik bedoel, er zijn verschillende manieren om leiding te geven in de IT-wereld, maar een van de dingen is dat relaties ertoe doen en we proberen het goede voorbeeld te geven. Jij en ik - als CIO en als iemand die de hele tijd met CSO's werkt en voorheen zelf in die rollen zat - er is een groot verschil tussen wij die strijden over budgetten en strategie of ik die probeer te vertragen wat je doet aan de innovatiekant of een van de mensen in de beveiligingswereld die dat doet.

De cloudkwestie is er een die ons allemaal bezighoudt; of we nu gaan virtualiseren of in een on-prem omgeving blijven. De cloud is een geweldige facilitator voor beveiliging en zal de meeste bedrijven helpen om uit een verouderde netwerksituatie te komen die vaak een technisch tekort bevat, met name aan de kant van de gegevensopslag. Als bedrijven die dingen zelf proberen te beheren met apparatuur die verouderd is, zijn er problemen met het einde van de levensduur, alleen al met het patchen van verantwoordelijkheden.

"De cloud is een geweldige enabler voor beveiliging en zal de meeste bedrijven helpen om uit een oude netwerksituatie te komen."

Het aangaan van een zeer verantwoordelijke en robuuste relatie met cloudproviders is een geweldige manier om beveiligingsprogramma's vooruit te helpen en tegelijkertijd aan veel zakelijke strategische elementen te voldoen. Het voegt alleen maar waarde toe. Het voegt op bepaalde gebieden zeker ook risico's toe wanneer u gegevens op een meer gecentraliseerde locatie begint te krijgen; dat zorgt ervoor dat het aanvalsoppervlak een beetje verandert. Het maakt echter ook veel meer strategieën mogelijk om toegang te controleren via identiteit, toegang te controleren en te begrijpen wie welke gegevens wanneer en waar meeneemt. En ook om de mogelijkheid te hebben om de toegang zeer snel te stoppen, wat eerlijk gezegd onmogelijk is op de meeste oudere netwerken.

Deze strategie moet worden uitgevoerd in samenwerking met de CIO, met de algehele strategie-onderneming, met de bedrijfsleiding en met de bedrijfsonderdelen en producten. En dat is waar je begint te zien dat beveiliging het zakendoen daadwerkelijk mogelijk maakt in plaats van het na te jagen of te vertragen.

ED: Onze gegevens zijn overal verspreid. Compute is overal als het gaat om cloud- en on-prem-applicaties. Hoe moet een CIO of CSO denken over het risico dat daarmee gepaard gaat? Hoe moeten ze het werk categoriseren en prioriteren om beveiligingsuitdagingen op de juiste oppervlakken aan te pakken?

DF: Het gaat terug naar het eerste deel van uw vraag, namelijk dat gegevens overal verspreid zijn. Zonder gegevens te organiseren en te begrijpen waar ze zijn, waarom we ze opslaan, hoe ze zich verplaatsen, welke klanten - intern of extern - toegang tot die gegevens nodig hebben, wordt het echt onsamenhangend om te proberen een netwerk rond die dingen te beveiligen.

Dus het verschuiven van uw beveiligingsstrategie naar een datacentrische strategie helpt ook bij het opschonen van data voor de hele onderneming. Het helpt bij de regelgeving die verandert, zoals met GDPR en CCPA.

Ik zou me concentreren op het omgekeerde van die vraag: hoeveel privacy is er om die datasets gewikkeld? Dus ik hou echt van waar we als team kunnen praten met de CIO-wereld, met de beveiligingswereld, met de functionarissen voor gegevensprivacy, met de algemene raden, met de productomgeving en zeggen: "hoeveel gegevens hebben we eigenlijk nodig in onze omgeving?" ?” en laten we dat organiseren, laten we het categoriseren en laten we de toegang ertoe controleren op basis van identiteit en enkele van de andere dingen die logisch zijn.

Dit is het moment om te gebruiken of te kijken naar modernisering waar gegevens worden opgeslagen en, en cloudomgevingen zijn de perfecte manier om dat te doen.

ED: Barrières rond datazwaartekracht dwingen IT-leiders om naar een meer gedecentraliseerde omgeving te evolueren. Dat moet een aantal unieke uitdagingen met zich meebrengen vanuit beveiligingsoogpunt.

DF: De meeste bedrijven waarmee we samenwerken hebben een wereldwijde voetafdruk. Per land bekijken is een beetje irrelevant als we naar architectuur kijken, met uitzondering van het gegevensbeheer per land, maar dat beschouwen we als een secundaire benadering. En als we daarnaar kijken, kunnen we het bedrijf vaak echt uitdagen door te vragen:

• Waarom sla je zoveel data op?
• Waarom heb je het gedurende een bepaalde periode?
• Welk nut heeft het voor u voor uw bedrijfsvoering?

Dit zijn vragen die bedrijven zichzelf simpelweg niet stellen. Wanneer bedrijven een digitaal transformatieproject of migratie naar een cloudomgeving bespreken, gaan ze vaak uit van de aannames over hoeveel gegevens ze verwerken, hoeveel ze momenteel opslaan, en ze doen gewoon berekeningen van wat dat zou kosten in een cloudomgeving. Als je daar een paar stappen achter zet en kijkt naar de privacyregelgeving en je kijkt naar wat het zakelijke gebruik van de gegevens is, dan is het verbazingwekkend hoe daar geen rekening mee wordt gehouden. Vaak kunnen we vaststellen dat het enorm efficiënt is om minder gegevens op te slaan of in ieder geval regelmatig te archiveren. En dan gaan we in op onderwerpen als: hoe herstel je de gegevens en hoe plan je dat in de moderne dreigingsomgeving?

Waarom focust u zich niet op de gegevens die u daadwerkelijk nodig heeft om te werken? Wat is nu eigenlijk winstgevend voor jou als organisatie? En waarom geeft u die andere gegevens die u kunt archiveren niet af? Misschien heb je het om andere redenen nodig, maar dat kun je nu veel voordeliger opslaan. En in de omgevingen zoals Digital Realty biedt. We doen dat echt veel met verschillende bedrijven en het is een geweldige strategie die de zaken enorm opent.

ED: Veel CSO's en CEO's besteden veel tijd aan zorgen over een inbreuk en hoe ze in dat scenario gegevens kunnen herstellen. Het verbaast me altijd hoe ze dat niet van tevoren hadden gepland. Enige gedachten daarover?

DF: Ja, het is een punt van zorg. Het is iets dat we zeker veel coachen in onze wereld. We werken met zowel directie- als directieniveau over hoe crisisoperaties moeten worden aangepakt. Je zult cyberbeveiligingsexperts, zoals ikzelf, altijd horen praten over oefenen en voorbereiden en plannen voor dat soort dingen. Maar als we daar twee lagen van af gaan, zien we het vaak niet op technisch niveau of op operationeel niveau. Wat begrijpen mensen in engineeringteams en infrastructuurteams? Waar moet de CIO aan denken als een moderne dreiging het systeem binnendringt? Misschien een die gegevens in een hoog tempo versleutelt, zoals we zien bij ransomware, waarbij gegevens worden versleuteld op een manier die bewerkingen stopt.

Wat voor soort discussies vinden er plaats en wat voor soort mitigaties worden daar gedaan? Het mooie - om terug te gaan naar uw allereerste vraag met enkele van de bestaande cloudstrategieën - is dat zodra we zaken als ransomware in een omgeving zien plaatsvinden, die omgevingen binnen honderdsten van een seconde offline kunnen worden ontmanteld. Niemand zal zelfs maar weten dat er een gebeurtenis heeft plaatsgevonden. En vaak hebben we de gegevens georganiseerd, zoals we hebben besproken door middel van goed bestuur, goede locatie, goede opslag - die basiselementen die niet voorkomen in veel van onze oude netwerkomgevingen - als die dingen eenmaal op hun plaats zijn geregeld na het implementeren van een succesvolle cloudstrategie verdwijnen die zorgen.

ED: Het landschap is de afgelopen jaren echt veranderd, waar fysieke beveiliging gewoon niet meer genoeg is en we zien dat de convergentie van virtuele en fysieke beveiliging noodzakelijk is. Wat zie je met deze convergentie in de industrie?

DF: Vaak zijn de modellen voor fysieke beveiliging en informatiebeveiliging twee totaal verschillende teams. Het zijn teams die nooit echt hebben gepraat en vaak cultureel gezien wisselen ze niet echt goede ideeën uit. De aard van de mensen die elk van die organisaties leiden, is eerlijk gezegd heel anders. Nu hebben we vaak operationele technologie of IoT die de drijvende kracht zijn achter wat er gaande is in die fysieke beveiligingswereld. En ik denk dat dat een goede vraag is, want we willen dat die netwerken net zo georganiseerd zijn als de grotere netwerkopslag in welk systeem ze ook beschermen. Zijn ze correct gesegmenteerd of is dat nadat ze nu een bedreigingsvector hebben gecreëerd door digitale toegangscontroles rechtstreeks in de belangrijkste backbone van hun gegevens te installeren?

"Dit is het moment om te gebruiken of te kijken naar modernisering waar de opgeslagen gegevens en cloudomgevingen de perfecte manier zijn om dat te doen." Helaas hebben ze vaak [een bedreigingsvector gecreëerd] en dat komt simpelweg door een gebrek aan begrip van hoe deze verschillende elementen werken: hoe deze kaartlezers werken, hoe ze worden verkocht door verkopers. Dus u wilt vertragen en ervoor zorgen dat voordat uw fysieke beveiligingsteams dit soort dingen implementeren, er eerst een strategische kijk op is, maar ook dat u die gegevens gebruikt om de toegang op een logische manier te controleren. Dus wat bedoelen we daarmee? Hetzelfde wat we willen doen met data. Als iemand geen rol of een goed toegangselement heeft, moet hij er toegang toe kunnen hebben. Maar de eenvoudigste manier om een ​​digitale kaartlezer in de standaardmodus in te stellen, is dat als je die kaart hebt, je binnen kunt komen. Het segmenteren van die fysieke ruimtes is net zo belangrijk.

Voor meer informatie over MarketplaceLIVE en om op de hoogte te blijven, kunt u zich aanmelden op www.marketplacelive.com