八位頂級(jí)CISO的新年目標(biāo)與行動(dòng)計(jì)劃
在企業(yè)數(shù)字化轉(zhuǎn)型的大潮中，面對(duì)日益擴(kuò)大的攻擊面和日益復(fù)雜的安全威脅，CISO（首席信息安全官）們將會(huì)在2024年面臨更加嚴(yán)峻的風(fēng)險(xiǎn)挑戰(zhàn)和能力測(cè)試。為了加強(qiáng)防御和應(yīng)對(duì)威脅挑戰(zhàn)，8位全球頂級(jí)的CISO日前向?qū)I(yè)IT網(wǎng)站DarkReading.com分享了他們的新年目標(biāo)和關(guān)鍵行動(dòng)計(jì)劃，這些目標(biāo)大多聚焦于如何加強(qiáng)組織安全態(tài)勢(shì)的舉措和方法，也再次強(qiáng)調(diào)了采取主動(dòng)措施、增強(qiáng)運(yùn)營(yíng)能力和響應(yīng)能力對(duì)實(shí)現(xiàn)數(shù)字化轉(zhuǎn)型發(fā)展的必要性。
1. Justin Dellportas——Syuniverse首席信息安全官
2024年，我最重要的工作就是提高公司網(wǎng)絡(luò)安全彈性，這主要包括評(píng)估業(yè)務(wù)連續(xù)性、災(zāi)難恢復(fù)（BC/DR）和事件響應(yīng)（IR）計(jì)劃等三大方面。我們會(huì)努力保持這些計(jì)劃的更新，并在適當(dāng)?shù)臅r(shí)間周期進(jìn)行練習(xí)，同時(shí)也會(huì)密切關(guān)注那些基礎(chǔ)性的威脅發(fā)現(xiàn)、預(yù)防和響應(yīng)能力。
2024年，我會(huì)要求團(tuán)隊(duì)更加了解數(shù)字化業(yè)務(wù)的關(guān)鍵產(chǎn)品和流程，能夠快速模擬出潛在的破壞性場(chǎng)景，并確定組織的BC、DR以及IR計(jì)劃是否足以緩解相關(guān)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，這一點(diǎn)非常重要。當(dāng)然，這不是僅僅依靠安全運(yùn)營(yíng)團(tuán)隊(duì)就能在“真空中”完成的事情，因此，與業(yè)務(wù)部門(mén)建立牢固的伙伴關(guān)系并與公司管理團(tuán)隊(duì)保持聯(lián)系將是我們?nèi)〉贸晒Φ年P(guān)鍵。
2024年，我還會(huì)嘗試建議公司建立一個(gè)跨職能的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理委員會(huì)，這樣可以確保建立可靠的偵查、預(yù)防和響應(yīng)能力及安全流程。在此基礎(chǔ)上，擁有基準(zhǔn)配置、集中日志記錄和補(bǔ)丁會(huì)進(jìn)一步幫助我們緩解網(wǎng)絡(luò)攻擊的影響。
2. Rinki Sethi——Bill首席信息安全官
在2024年，我希望能夠和公司IT部門(mén)一起建立積極主動(dòng)的協(xié)同關(guān)系，從而做出重大的安全改進(jìn)，包括建立強(qiáng)大的組織網(wǎng)絡(luò)安全文化。人工智能和其他新技術(shù)正在改變世界各地的組織，而監(jiān)管格局也正在發(fā)生變化，并推動(dòng)對(duì)網(wǎng)絡(luò)安全計(jì)劃的更多審查。在此背景下，識(shí)別人為錯(cuò)誤、防護(hù)社會(huì)工程和缺乏網(wǎng)絡(luò)衛(wèi)生的風(fēng)險(xiǎn)仍然會(huì)是我們?nèi)粘９ぷ髦械膬?yōu)先領(lǐng)域，并且隨著人工智能技術(shù)成為更流行的攻擊媒介，這一挑戰(zhàn)可能將變得越來(lái)越大。
對(duì)于威脅行為者使用AI實(shí)施攻擊的趨勢(shì)，組織必須提高警惕，并對(duì)員工進(jìn)行再培訓(xùn)，以監(jiān)視和報(bào)告任何惡意活動(dòng)。我對(duì)2024年這一領(lǐng)域的可能性和機(jī)會(huì)感到興奮，因?yàn)槿绻覀冏鰧?duì)了，它將改變游戲規(guī)則，有利于更好地阻止威脅行為者。
3. Katie McCullough——Panzura首席信息安全官
在迎接新一年的時(shí)候，我們的重點(diǎn)工作計(jì)劃不僅是聚焦防御能力的提升，最重要的決議是建立有效的防護(hù)機(jī)制，以確保在突發(fā)性安全事件出現(xiàn)時(shí)實(shí)現(xiàn)影響最小化。因此，2024年我們將致力于創(chuàng)建一個(gè)更加強(qiáng)大的網(wǎng)絡(luò)安全事件響應(yīng)計(jì)劃和恢復(fù)策略，以便在攻擊發(fā)生后迅速恢復(fù)到業(yè)務(wù)正常運(yùn)營(yíng)狀態(tài)。我們相信，只要為各種最壞的情況做好提前準(zhǔn)備，即使面臨潛在的網(wǎng)絡(luò)威脅，組織也可以保持其業(yè)務(wù)連續(xù)性和客戶信任。
2024年，我們還有一個(gè)關(guān)鍵的目標(biāo)是對(duì)潛在的安全風(fēng)險(xiǎn)進(jìn)行更加全面地識(shí)別、評(píng)估和處置。當(dāng)然，要實(shí)現(xiàn)這種前瞻性的風(fēng)險(xiǎn)管理方法需要持續(xù)監(jiān)控和評(píng)估公司的網(wǎng)絡(luò)安全態(tài)勢(shì)，以識(shí)別潛在的風(fēng)險(xiǎn)。通過(guò)及早認(rèn)知和處理這些風(fēng)險(xiǎn)，我們才可以防止它們演變成嚴(yán)重的威脅。
最后，我們還希望能夠提供一種與用戶和業(yè)務(wù)部門(mén)無(wú)縫集成的安全服務(wù)。這意味著我們需要設(shè)計(jì)強(qiáng)大且用戶友好的網(wǎng)絡(luò)安全措施，確保安全協(xié)議不會(huì)妨礙生產(chǎn)力或用戶體驗(yàn)。通過(guò)實(shí)現(xiàn)這種平衡，公司將可以維護(hù)一個(gè)支持業(yè)務(wù)目標(biāo)的良好安全環(huán)境。
4. Devin Ertel——Menlo Security首席信息安全官
我已經(jīng)要求我的團(tuán)隊(duì)在新年伊始就進(jìn)行一次徹底的風(fēng)險(xiǎn)評(píng)估，找出各種潛在的安全風(fēng)險(xiǎn)和弱點(diǎn)，這樣才可以戰(zhàn)略性地分配安全資源，以解決最緊迫的安全問(wèn)題。我認(rèn)為，通過(guò)這種主動(dòng)的安全防護(hù)方法，不僅可以確保公司現(xiàn)有的網(wǎng)絡(luò)安全策略是深層響應(yīng)的，而且還能更有效地預(yù)測(cè)新出現(xiàn)的威脅，為構(gòu)建企業(yè)網(wǎng)絡(luò)彈性提供堅(jiān)實(shí)的基礎(chǔ)。
為了更好地實(shí)現(xiàn)2024年的工作目標(biāo)，我會(huì)繼續(xù)說(shuō)服公司董事會(huì)將網(wǎng)絡(luò)安全戰(zhàn)略與組織預(yù)算相結(jié)合，這涉及明智地分配財(cái)政資源，以實(shí)施強(qiáng)有力的安全措施。對(duì)于我們公司而言，在先進(jìn)安全技術(shù)投資和確保安全運(yùn)營(yíng)工作可持續(xù)性之間保持一種適當(dāng)?shù)钠胶馐侵陵P(guān)重要的。
5. Joseph Carson——Delinea 首席信息安全官顧問(wèn)
2024年已經(jīng)到來(lái)，我將領(lǐng)導(dǎo)我的團(tuán)隊(duì)繼續(xù)尋找把安全密碼移到工作場(chǎng)所后臺(tái)的方法。目前，我們已經(jīng)看到許多組織實(shí)現(xiàn)了無(wú)密碼訪問(wèn)，在增強(qiáng)安全性的同時(shí)也改善了用戶體驗(yàn)。我們希望通過(guò)把密碼移到后臺(tái)，讓企業(yè)的數(shù)字化轉(zhuǎn)型之旅變得更美好、更安全。
2024年，在新興技術(shù)、不斷變化的威脅環(huán)境和監(jiān)管框架的推動(dòng)下，網(wǎng)絡(luò)安全合規(guī)形勢(shì)正在發(fā)生重大變化。GDPR和CCPA等隱私法規(guī)為更嚴(yán)格的數(shù)據(jù)保護(hù)要求奠定了基礎(chǔ)。因此，我們?cè)?024年也將為此趨勢(shì)做好準(zhǔn)備，提升處理個(gè)人數(shù)據(jù)的合規(guī)能力和保護(hù)范圍。
6. Gareth linddahl -wise——Ontinue 首席信息安全官
2024年，我最主要的工作任務(wù)就是集中精力預(yù)測(cè)威脅。因?yàn)檎嬲摹昂谔禊Z事件”很少，我們可以通過(guò)多種方式預(yù)測(cè)威脅，包括實(shí)戰(zhàn)化的攻擊模擬、實(shí)施桌面對(duì)抗練習(xí)，以及強(qiáng)化檢測(cè)、預(yù)防和響應(yīng)事件的能力等。
此外，2024年我的另一項(xiàng)重要工作就是提升自己在公司的影響力，并推動(dòng)更多的部門(mén)的人員參與到網(wǎng)絡(luò)安全工作中。網(wǎng)絡(luò)安全很多時(shí)候是在威脅事件發(fā)生后的考慮和處置。這需要讓我的同事和領(lǐng)導(dǎo)知道如何在常見(jiàn)的業(yè)務(wù)場(chǎng)景中管理安全風(fēng)險(xiǎn)，包括收購(gòu)、新產(chǎn)品或服務(wù)發(fā)布、投資、市場(chǎng)進(jìn)入或縮小規(guī)模。
7. John Bruns——Anomali 首席信息安全官
2024年，我的主要工作重點(diǎn)會(huì)側(cè)重于三個(gè)核心領(lǐng)域：主動(dòng)性措施、操作性措施和響應(yīng)性措施。
在主動(dòng)性措施方面，我們會(huì)完成或更新公司的整體成熟度評(píng)估，更新風(fēng)險(xiǎn)登記冊(cè)（risk register），并在此基礎(chǔ)上建立未來(lái)兩到三年的網(wǎng)絡(luò)安全建設(shè)路線圖。在風(fēng)險(xiǎn)登記冊(cè)的更新過(guò)程中，我們將嘗試引入緩解和控制措施，從而增強(qiáng)組織抵御網(wǎng)絡(luò)攻擊的能力。
在操作性措施方面，我們將會(huì)關(guān)注安全工具、流程和人員，努力構(gòu)建更加全面的檢測(cè)和響應(yīng)策略。因此在我們改進(jìn)操作性的年度工作計(jì)劃中，首先就是會(huì)繼續(xù)增強(qiáng)我們的日志管理策略，以推動(dòng)更好的檢測(cè)工程。從基本的日志記錄到高級(jí)的日志記錄，我們會(huì)不斷構(gòu)建和調(diào)整我們的檢測(cè)和響應(yīng)流程，以確保減少事件平均響應(yīng)時(shí)間。
在響應(yīng)性措施方面，我的重點(diǎn)工作是確保我們擁有“地面軍隊(duì)”（boots-on-ground）能力，包括事件響應(yīng)專家、取證捕獲和分析能力以及恢復(fù)處置的能力，主要包括重建系統(tǒng)、補(bǔ)丁管理或棄用受影響的系統(tǒng)。
8. Dana Simberkoff——AvePoint 首席風(fēng)險(xiǎn)隱私和信息安全官
我認(rèn)為，人工智能時(shí)代正在到來(lái)，這是人力所不可抗拒的，因此我們必須確保負(fù)責(zé)任地、安全地利用AI技術(shù)。考慮到這一點(diǎn)，我的團(tuán)隊(duì)將會(huì)在2024年和公司的IT部門(mén)和業(yè)務(wù)部門(mén)合作，共同開(kāi)發(fā)和實(shí)施生成式人工智能“可接受使用政策”（acceptable-use policies，AUP）。這個(gè)政策中會(huì)全面包括數(shù)據(jù)隱私和機(jī)密性、獲取gen AI以及負(fù)責(zé)任地使用該技術(shù)。
除了制定可接受使用政策外，我們還將對(duì)公司的所有員工進(jìn)行持續(xù)的安全性培訓(xùn)，以便他們意識(shí)到并能夠負(fù)責(zé)任地行事。特別是考慮到人工智能和機(jī)器學(xué)習(xí)的應(yīng)用對(duì)我們工作的影響有多快，以及這項(xiàng)技術(shù)的變化有多快，我要求我的團(tuán)隊(duì)必須在新的一年里繼續(xù)保持敏捷。
以安全和隱私為中心的方式成功采用人工智能，將與您在組織中實(shí)施的基本數(shù)據(jù)治理和生命周期管理程序有效結(jié)合，從而產(chǎn)生加倍效益。如果你把垃圾放進(jìn)去，那你得到的也只會(huì)是垃圾。因此，在將數(shù)據(jù)提供給人工智能之前，清理數(shù)據(jù)并確保其得到適當(dāng)管理是很重要的。否則，我們最終可能會(huì)發(fā)現(xiàn)，隱匿式安全（security by obscurity）將不再是一種后備性防御措施。
參考鏈接：
