Днешните екипи по сигурност никога не са разполагали с повече информация. Една съвременна програма за сигурност постоянно абсорбира сигнали от крайни устройства, регистрационни файлове от защитни стени (firewall logs), събития за идентификация, потоци от доставчици и разузнаване за заплахи – много по-голям обем данни, отколкото преди десетилетие. Предвид това ниво на информация, организациите би трябвало да имат по-добра видимост върху риска.

И все пак за много лидери в областта на сигурността е по-трудно от всякога да отговорят на един прост, но критичен въпрос: Къде сме уязвими в момента?

Повечето организации са изградили своята рамка за сигурност „на парче“ в продължение на много години, добавяйки инструменти един по един, всеки със собствена конзола, данни и методи за описване и оценка на риска. Резултатът е фрагментирана мозайка от системи, които не си пасват напълно, оставяйки пропуски, които пречат на ясната и цялостна представа за общия риск и предоставят перфектни места за укриване на сигналите за опасност.

Не можете да защитите активи, които не виждате

Фрагментацията на рамката за сигурност на дадена компания често се проявява на много базово ниво, според Ди Джей Хуксема, ръководител на Центъра за операции по сигурността (SOC) в SpearTip, компания от Цюрих. Когато екипът за реагиране на инциденти на SpearTip бъде повикан след пробив, те обикновено започват с лесен въпрос: Има ли организацията пълен опис на собствените си устройства? Изненадващо, отговорът често е „не“.

„Ако не знаете какво притежавате, е наистина трудно да определите какви данни са ви необходими, за да го защитите“, казва Хуксема. „Неоторизираният ИТ софтуер и хардуер (shadow IT) може да е добавил системи, които никой не е регистрирал. А процесите по извеждане от експлоатация често се пренебрегват, така че активи, които е трябвало да бъдат пенсионирани, остават онлайн и забравени, докато някой атакуващ не ги открие.“ Хуксема си спомня разследване на пробив, който е бил проследен обратно до защитна стена, за която организацията е вярвала, че е изключена преди две години.

Защо повече данни не означават повече яснота

При фрагментирана рамка за сигурност сериозните заплахи могат да останат неоткрити, тъй като екипите по сигурността виждат само част от своята среда, а не пълния обхват на случващото се.

Хуксема посочва скорошен случай с голям град в Тексас. Екипът открива инцидент със сигурността на едно крайно устройство, отстранява проблема на това устройство и предприема всички правилни действия. Това, което са пропуснали, е че компрометирането е достигнало до VPN мрежата и по този начин е осигурило достъп до цялата мрежа. Оказва се, че екипът е гледал инструмент, който съдържа само данни за крайните устройства, без видимост към VPN мрежата.

„Те просто погледнаха това единично крайно устройство, защото не им беше лесно да видят по-далеч“, отбелязва Хуксема.

Същата фрагментация подкопава и приоритизирането на рисковете. Тъй като всеки инструмент оценява сериозността по своя собствена скала, когато всички сигнали се вливат в обща опашка, организацията няма последователен и ясен начин да ги подреди по важност. Истинска спешна ситуация и рутинен шум могат да изглеждат по един и същ начин, което води до надценяване или подценяване на конкретен сигнал за риск.

И тъй като екипите по сигурността разчитат все повече на изкуствен интелект (AI) за приоритизиране и триаж на заплахите, този проблем се задълбочава, тъй като всеки модел вижда само своята собствена част и никой не може да свърже точките между различните инструменти.

Външните доставчици създават нови слепи петна

Добавянето на външни доставчици към микса прави още по-трудно за една компания да види цялостната си картина на риска – особено за малкия и средния бизнес (МСП).

Докато повечето големи предприятия имат стабилни програми за управление на риска от трети страни с редовни прегледи на сигурността и договорни контроли, МСП често трябва да разчитат на това, което доставчикът им казва относно собствените си протоколи за сигурност, вместо на нещо, което могат да измерят сами, казва Хуксема. Когато даден доставчик претърпи пробив в сигурността, всяка компания, която има интеграция с него, е изложена на риск да бъде засегната и често научава за това много по-късно, когато бъдат изпратени уведомленията.

Към този риск, произтичащ от доставчиците, се добавя и фактът, че инструментите на трети страни често имат много по-голям достъп, отколкото им е необходим – често без компанията изобщо да го осъзнава, отбелязва Хуксема.

„Рискът от трети страни може да се разпростре надалеч и е особено труден за справяне, ако не знаете какво сте инсталирали или до какви данни имат достъп тези интеграции“, казва Хуксема.

Изграждане на по-ясна представа за риска

За компаниите, които се стремят да получат по-всеобхватна представа за общия си риск, Хуксема препоръчва проста първа стъпка...