CISO 的角色如何演变 [Q&A]

快速阅读: 据《Beta新闻》最新报道，Egress CISO罗宾·贝尔指出，人仍是组织最大风险，网络钓鱼和AI加剧威胁。他建议加强与员工和第三方的合作，融入网络安全核心理念，同时关注团队心理健康和倦怠问题，以提升整体安全态势。

CISO角色如何演变
[问答]
作者：伊恩·巴克尔
发布于大约一小时前

面对组织的整体威胁形势正在扩大，但许多威胁如网络钓鱼依然是老问题。更糟糕的是，人工智能通过消除许多旧的明显特征使它们变得更加有效。随着不断变化的挑战和风险，CISO如何在内部和外部有效地建立网络以获得更广泛团队的支持并建立适当的安全态势？我们采访了Egress的CISO罗宾·贝尔，以了解详情。

**BN**：组织目前面临哪些威胁？
**RB**：归根结底，人是组织面临的最大风险。大多数员工并非出于恶意，但每个人都会犯错，尤其是在压力或疲惫时，人们也会承担“理性风险”以完成工作，例如下载新应用程序。使用电子邮件时，人们最容易成为攻击目标。Verizon的《2024数据泄露调查报告》显示，平均只需21秒，收件人就会点击恶意邮件中的网络钓鱼超链接，再过29秒，他们就会在钓鱼网站上输入自己的凭据。请记住这个事实。成功的网络犯罪分子能在不到一分钟的时间里入侵一家组织。一旦侵入，网络犯罪分子可能能够横向移动以访问不同的系统和数据，并利用被攻陷的电子邮件地址向供应链发送进一步的钓鱼攻击。生成式人工智能大大简化了创建高质量且极具说服力的钓鱼攻击以及视觉和音频深度伪造的过程。我们已经注意到这些趋势：越来越多复杂攻击的数量增加，而且这种情况只会变得更糟。此外，人工智能可以用来收集潜在目标的信息——以前可能需要几个小时甚至几天的任务现在只需几分钟就能完成——还可以自动化整个电子邮件交流。

**BN**：CISO如何管理第三方供应链风险？
**RB**：您只希望与那些在安全方面与您有相同重视程度的组织合作。这意味着要建立一个包含明确政策和流程来指导您的第三方供应商风险管理计划，并包括全面的供应商风险评估，以便您可以了解每个供应商的安全状况。一旦您确定了任何风险，就可以确保采取适当的步骤来减轻它们。一些国际框架（如ISO和NIST）可以帮助您做到这一点。除了法律义务外，您还需要决定要求您的供应商遵循哪些安全标准。例如，某些过时的技术可能允许供应商勾选合规框，但它们可能不足以应对当今的威胁。您还需确保您的组织能够检测到由供应商引发的任何攻击。根据2024年电子邮件安全风险报告，一半（51%）的组织已成为因供应链账户被攻陷而遭受钓鱼攻击的受害者，因此您需要确保拥有能够检测来自合法账户的攻击的技术，这些账户可以通过传统的身份验证检查。除了技术之外，制定稳健的内部流程（如对供应商付款）以及定期培训员工以保持对供应链可能出现的风险的认识也很重要。

**BN**：为对抗这些风险，应采用哪些最佳实践？
**RB**：我能给出的最佳建议是从在整个业务中建立合作伙伴关系开始。如果贵公司员工理解为什么需要一个健全的过程来引入供应商或下载新软件的风险，那么他们会愿意与您一起踏上这段旅程。安全是每个人的责任——但我们的同事也有其他目标需要实现，我们可以帮助他们在安全的情况下实现这些目标。这可以从第一天的新员工入职培训开始，让安全在其中发挥作用。然后使用各种内部沟通机制定期更新组织，比如全员大会、聊天、电子邮件和企业内网。如前所述，您还需确保有一个依据内部标准制定的计划——用于评估供应商、发现并解决风险，并确保您所合作的伙伴遵守您的安全优先事项。

**BN**：为什么将网络安全融入企业的核心理念很重要？
**RB**：网络安全是不可或缺的。如果您没有适当的措施，就无法期望成功运营——或者持续很长时间！这意味着网络安全是促进每个组织使命的核心，因此安全理念必须延伸到每个部门和团队。这再次回到与更广泛的业务合作，帮助他们有效地和安全地完成工作。您需要让人们与您同行：是的，您或许正在推行某项政策，但您可以与同事互动，帮助他们理解原因。定期且透明的沟通至关重要，避免制造恐慌和指责非常重要。人们需要明白他们的行为会有后果，但您的团队也需要平易近人且人性化。当出现问题时，您希望同事能第一时间联系您，以便您能尽快帮助解决问题。基于恐惧的文化会滋生逃避行为，导致人们慢于报告潜在事件。

**BN**：我们如何应对网络安全团队的倦怠风险？
**RB**：首先，认识到倦怠是一个真实且重要的问题。大部分网络安全团队都资源匮乏，这也不是一份朝九晚五的工作！显然，全球组织全天候工作，但员工在非工作时间也可能工作，包括在移动设备上访问电子邮件和其他工作应用程序，非工作时间也可能发生事故。虽然网络安全不是一项线性工作——意外事件随时可能发生——但您需要清楚团队的优先事项，以帮助他们集中注意力。您的团队需要知道您始终支持他们，为此，您需要与他们保持联系，以便定期评估士气和压力状况。在非紧急情况下，倡导健康的工作与生活平衡——并身体力行！尽可能对团队进行交叉培训，以便您可以轮换任何高压岗位，如事件响应，并建立更广泛的韧性，以免过度依赖单一关键人物。支持团队成员的全面发展和成长，包括参加行业会议以及外出培训的时间。最后——但也是最重要的一点之一——确保您积极认可并奖励他们为团队和整个组织作出的贡献。所有这些都有助于营造积极的团队氛围，这不仅能缓解倦怠，还能让人在需要帮助时主动寻求支持。

**图片来源**：Kiosea39/Dreamstime.com

暂无评论
发推

(以上内容均由Ai生成)