По мнению Apple и Белого дома, цепочки поставок уязвимы для кибератак, и для блага вашего бизнеса пришло время сделать все возможное, чтобы обезопасить их.
Содержание статьи
Apple обеспечивает безопасность цепочки поставок технологий
Это одна из новостей, появившихся после встречи на высшем уровне по вопросам кибербезопасности между президентом США Джозефом Байденом и крупными техническими фирмами, включая Apple, IBM, Microsoft, Google, Amazon и другие. Большинство компаний, присутствовавших на встрече, с тех пор объявили о планах по повышению устойчивости и осведомленности о безопасности с упором на обучение и осведомленность о безопасности.
Вклад Apple кажется другим.
«Apple объявила о создании новой программы, направленной на непрерывное совершенствование системы безопасности во всей цепочке поставок технологий. В рамках этой программы Apple будет работать со своими поставщиками, в том числе более 9000 в Соединенных Штатах, чтобы стимулировать массовое внедрение многофакторной аутентификации, обучения безопасности, устранения уязвимостей, регистрации событий и реагирования на инциденты »
Что в итоге? Исходя из предположения, что наиболее очевидным ответом, вероятно, является правильный ответ, он заключается в следующем: большинству предприятий следует подумать о том, как наилучшим образом защитить не только свои собственные системы, но и системы по всей цепочке поставок.
Это происходит. означать партнерство — иногда между конкурирующими компаниями — образование, глубокие инвестиции в обучение и, возможно, даже инвестиции в партнеров.
Интересно, что, хотя Apple и считается надежной компанией, ее не считают компанией по обеспечению безопасности. (хотя это так). Теперь он берет на себя ответственность за исправление ситуации и реагирование. Это намек на то, что компания, по-видимому, уже делает внутри компании. Кажется вероятным, что это также отражает растущее место компании в корпоративных технологиях. Это предполагает, что Face ID, Touch ID и использование USB-ключей безопасности, таких как сделанные Yubico, станут более распространенными при доступе к корпоративному программному обеспечению и системам.
Я ожидаю, что это будет отражено в MDM, который предлагает улучшения в предложениях Apple (и всех остальных). Это также проливает новый свет на недавнее решение Apple добавить в iOS 15 аутентификатор пароля, который помогает снизить сложность использования двухфакторной аутентификации при сохранении безопасности.
Почему спешка?
Мы знаем, что во время пандемии количество инцидентов в области кибербезопасности резко возросло. Они также стали более изобретательными, эксплуатируя все, от вышек сотовой связи до электросети. Распространены фишинговые атаки и распространяются атаки программ-вымогателей. И не хватает профессионалов в области кибербезопасности, чтобы держать линию. Вот почему многие объявления, сделанные после встречи, сосредоточены на осведомленности о безопасности и обучении.
[Такжепрочтите: Будущее работы — гибридное и удаленное]
Когда дело доходит до обеспечения безопасности В цепочке поставок Apple кажется близкой к администрации Байдена. Белый дом заявил, что Национальный институт стандартов и технологий США (NIST) теперь будет сотрудничать с технологической отраслью и другими организациями для разработки новых структур безопасности для защиты цепочек поставок. Похоже, что Apple будет играть определенную роль в установлении этих стандартов вместе с другими техническими фирмами.
Кто является самым слабым звеном?
Акцент на безопасности цепочки поставок должен быть сигналом для любого предприятия. Это означает, что безопасность вашего бизнеса зависит от самого слабого звена в вашей цепочке безопасности.
Это звено может быть внутренней уязвимостью, но также может быть внешней уязвимостью для любого из ваших партнеров. Во все более взаимосвязанном мире менее защищенные деловые партнеры могут стать средством подрыва вашей существующей защиты, и наоборот.
Преступники умны. Хорошо финансируемый международный рост киберпреступности, спонсируемой государством, имеет, казалось бы, неограниченные бюджеты. Злоумышленники постоянно ищут слабые места — фишинговые атаки на отдельных лиц сопровождаются аналогичными попытками взлома систем. Никто не должен забывать, как в сеть Target проникли хакеры, использовавшие сетевые учетные данные, украденные у одного из ее партнеров еще в 2014 году.
Злоумышленники отслеживают компании в их цепочках поставок для выявления подобных уязвимостей. Если вы не можете получить доступ к компьютерам вашей основной цели, почему бы не атаковать их у поставщика, чтобы найти способ обойти существующую защиту периметра?
Что происходит сейчас?
В конце концов, если устройства могут сканировать содержимое Сообщений, они также могут сканировать сетевую активность (как это уже делают многие системы защиты от мошенничества).
Мы знаем, что существуют типичные шаблоны, которые отражают активный инцидент безопасности, особенно неожиданные потоки данных, отправляемые на неопознанные серверы. Ничего особенного в том, чтобы думать, что Microsoft, Google, Apple и другие могут дополнить существующую защиту безопасности большей ситуационной осведомленностью на устройстве.
Основная информация уже существует и уже используется — такие приложения, как Little Snitch или Activity Monitor показывают, как эти данные уже доступны. Специализированные охранные фирмы, такие как Orange Cyberdefense или Splunk, уже развертывают системы мониторинга сети для клиентов.
Последнее вмешательство Белого дома предполагает необходимость повышения осведомленности о безопасности во всей цепочке поставок, от ядра до самого центра. край. Участие Apple намекает на будущую работу по обеспечению этого преимущества. Возможно, для этого потребуется интеллект на устройстве — но какой ценой? Увидим ли мы, что Big Tech заручится поддержкой безопасности в форме квантовых вычислений?
Чем может заниматься ваш бизнес сегодня?
Многое из этого придется на будущее. Что ваши предприятия могут сделать, чтобы защитить себя в настоящее время?
Типичные проблемы и решения могут включать:
- Осведомленность, обучение и поддержка сотрудников: Каждое предприятие должно инвестировать в обучение персонала безопасности и осведомленности о ситуации. Это распространяется и на удаленных сотрудников: средства проверки на наличие вредоносных программ имеют значение, но не менее важны и хорошо защищенные сети Wi-Fi. Инвестируйте в оборудование для обеспечения безопасности и финансовых услуг без промедления. И обязательно используйте надежные пароли.
- Сообщение: Каждое предприятие должно принимать меры, чтобы убедить сотрудников и партнеров в безупречном подходе к ошибкам безопасности. Вы не хотите, чтобы вас заставляли неделями ждать, чтобы узнать, что сотрудник открыл зараженное вредоносным ПО электронное письмо и заразило вашу внутреннюю систему; Вы также не хотите ждать, чтобы узнать, что деловой партнер пострадал от того же. Культура обвинения делает вас менее защищенным, поскольку снижает вероятность того, что люди будут быстро раскрывать проблемы. Как и все остальное в цифровой трансформации предприятия, от таких эгоистичных иерархических моделей управления следует отказаться в пользу более открытых культур.
- Защита периметра и ядра: Обеспечьте использование защиты 2FA на всех своих устройствах. Используйте системы MDM для управления оборудованием, программным обеспечением и данными. В полной мере используйте все функции безопасности вашего автопарка и по возможности диверсифицируйте свой технический стек. Многие системы MDM теперь предлагают защиту на основе геолокации; обязательно используйте их там, где можете. Используйте резервные, отказоустойчивые системы, резервные сети, брандмауэры и убедитесь, что установлены обновления безопасности.
- Работа с партнерами (и конкурентами): Старайтесь быть открытыми со своими партнерами и конкурентами. Установите общие политики коллективной безопасности и соблюдайте их. Будьте готовы прекратить сотрудничество с партнером, если его системы безопасности не пройдут проверку и не улучшатся. В случае общих систем (даже каналов Slack) будьте готовы изолировать элементы вашего обмена данными с другими вашими системами. Будьте открыты, дружелюбны, будьте параноиком.
- Приготовьтесь к дождю: В нынешних условиях лучше предполагать, что нарушение безопасности неизбежно. Это означает, что помимо инвестиций в системы для повышения безопасности вашего предприятия, вы также должны разработать и отработать план реагирования на утечки данных. Что вы будете делать, если на вас (или ваших партнеров) нападут? Ваш бизнес, сотрудники, клиенты и партнеры уже должны это знать.
Это также может быть хорошее время для ознакомления с официальными документами Apple по безопасности.
Пожалуйста, подпишитесь на меня в Twitter или присоединяйтесь ко мне в гриль-баре AppleHolic и дискуссионных группах Apple на MeWe .
Авторские права © 2021 IDG Communications, Inc.
