面對勒索軟件的威脅 成功的首席信息安全官需要解決的難題

責(zé)任編輯:cres

作者:Grant Geyer

2021-11-17 10:23:51

來源:企業(yè)網(wǎng)D1Net

原創(chuàng)

企業(yè)董事會有責(zé)任向最高管理層提出問題,對他們的風(fēng)險承受能力提出自己的觀點,制定良好的彈性計劃,并了解其運營環(huán)境中網(wǎng)絡(luò)風(fēng)險的當(dāng)前狀態(tài)。如果是首席信息安全官,提高對新風(fēng)險類別的認識將創(chuàng)建一個平臺,企業(yè)董事會不能忽視該平臺。

針對關(guān)鍵基礎(chǔ)設(shè)施部門的勒索軟件攻擊浪潮日益高漲,并且達到了前所未有的程度。如今,技術(shù)、法律和監(jiān)管風(fēng)向的轉(zhuǎn)變正使這一對工業(yè)環(huán)境的災(zāi)難越來越難以處理,成為許多首席信息安全官在議程中的首要議題。
 
企業(yè)必須處理的一些難題:
 
•是否支付贖金?
 
•網(wǎng)絡(luò)保險能否提供足夠的庇護?
 
•政府的作用是什么?
 
•是否即將出臺新的規(guī)定和處罰措施?
 
•對手如何演變他們的策略?
 
為了理解這一切,需要首先關(guān)注網(wǎng)絡(luò)犯罪分子和他們的技術(shù)。他們有著成熟的商業(yè)模式和仔細考慮的勒索軟件財務(wù)計算。他們已經(jīng)決定是否發(fā)起直接攻擊以實現(xiàn)利潤最大化,或提供勒索軟件即服務(wù),并配有幫助臺和其他支持服務(wù),為他們的收入提供補充,同時讓技術(shù)水平較低的惡意行為者受益。
 
他們根據(jù)支付能力對受害者和目標(biāo)組織進行了調(diào)查。所有這些策略都是協(xié)同制定和執(zhí)行的,以使支付贖金成為阻力最小的途徑——無論是在經(jīng)濟上和邏輯上。
 
勒索軟件活動的每一個方面都是為了激發(fā)攻擊目標(biāo)的情感反應(yīng),因此支付贖金比自己承擔(dān)試圖恢復(fù)的成本和延遲更容易。
 
企業(yè)所面臨的困境
 
•現(xiàn)在不是道德絕對化的時候。關(guān)于企業(yè)是否應(yīng)該支付贖金存在激烈的爭論,有人警告支付贖金將會導(dǎo)致更多的勒索軟件攻擊。雖然這是事實,但考慮到利害關(guān)系,這根本不實用或不可行。紙上談兵很容易,但考慮到受害者感受到的壓力,這也許是一種更好的選擇。面對關(guān)于網(wǎng)絡(luò)攻擊以及他們公司的曝光率和未知的命運,指責(zé)他們不應(yīng)該支付贖金,就像告訴搶劫的受害者不應(yīng)該交出他們的錢包一樣荒謬。
 
•禁止支付贖金只會增加痛苦。此外,另一個考慮的步驟是執(zhí)法機構(gòu)應(yīng)該通過將贖金支付定為非法行為來禁止支付贖金。但專家的觀點是,這將使政治和商業(yè)領(lǐng)袖陷入困境,他們需要在觸犯法律或影響公共安全和經(jīng)濟之間做出選擇。
 
•不要將風(fēng)險轉(zhuǎn)移誤認為是控制。雖然網(wǎng)絡(luò)保險是一種有效的風(fēng)險轉(zhuǎn)移機制,但不要將其與制定的計劃混淆。它也不能替代良好的治理和風(fēng)險管理。事實上,網(wǎng)絡(luò)犯罪分子正在積極針對擁有網(wǎng)絡(luò)保險的企業(yè)進行攻擊,因為他們知道這些受害者更有可能支付贖金。由于網(wǎng)絡(luò)保險公司的成本不斷上升,而且可用于創(chuàng)建精算表的數(shù)據(jù)有限,其保費和免賠額開始上漲。保險公司表示,如果企業(yè)沒有實施適當(dāng)?shù)目刂坪椭卫?,他們將不會承保勒索軟件攻擊。與任何類型的風(fēng)險緩解策略一樣,保險只是其中的一個組成部分。
 
企業(yè)應(yīng)該如何應(yīng)對
 
•從無知到疏忽將造成緊迫感。企業(yè)的董事會和最高管理層了解并考慮規(guī)避各種業(yè)務(wù)風(fēng)險,包括市場風(fēng)險、供應(yīng)鏈風(fēng)險和流動性風(fēng)險,但許多人并不了解工業(yè)網(wǎng)絡(luò)風(fēng)險。企業(yè)董事會都有責(zé)任向最高管理層提出問題,對他們的風(fēng)險承受能力提出自己的觀點,制定良好的彈性計劃,并了解其運營環(huán)境中網(wǎng)絡(luò)風(fēng)險的當(dāng)前狀態(tài)。如果是首席信息安全官,提高對這種新風(fēng)險類別的認識將創(chuàng)建一個平臺,企業(yè)董事會不能忽視該平臺。鑒于通過數(shù)字化轉(zhuǎn)型獲得的所有優(yōu)勢,工業(yè)企業(yè)內(nèi)部的網(wǎng)絡(luò)風(fēng)險不是“如果”而是“何時”的問題。一旦存在風(fēng)險,就容易陷入困境?,F(xiàn)在是開始加強工業(yè)網(wǎng)絡(luò)安全的時候了。
 
•命運眷顧有準(zhǔn)備的人。雖然面對網(wǎng)絡(luò)攻擊有時可能無能為力,但可以做很多事情來降低風(fēng)險。美國國家標(biāo)準(zhǔn)與技術(shù)研究院開發(fā)了網(wǎng)絡(luò)安全框架,該框架有助于提供一系列步驟,幫助企業(yè)如何在一段時間內(nèi)積極地思考和采取行動保護其基礎(chǔ)設(shè)施。通過立即實施推薦的控制措施并建立堅實的基礎(chǔ),企業(yè)可以減少事后反應(yīng)的擔(dān)憂。例如,了解運營環(huán)境、進行桌面練習(xí)以及與事件響應(yīng)和律師事務(wù)所建立正式關(guān)系,并為應(yīng)對網(wǎng)絡(luò)攻擊做好準(zhǔn)備。
 
•改變財務(wù)計算。勒索軟件攻擊的財務(wù)模型歷來傾向于付費。巴爾的摩市就是一個廣為宣傳的例子,這次網(wǎng)絡(luò)攻擊使該市損失收入以及恢復(fù)系統(tǒng)的直接成本超過1800萬美元,但在遭遇網(wǎng)絡(luò)攻擊當(dāng)天,其贖金僅為76000美元的比特幣。因此,美國眾議院和參議院的國會議員都提出立法以推動強制性事件報告,以及制定激勵和抑制機制來改變財務(wù)和風(fēng)險方式,以支持更好的控制和風(fēng)險治理。
 
只要有收益,針對關(guān)鍵基礎(chǔ)設(shè)施部門的勒索軟件攻擊就有可能繼續(xù)下去。為了降低風(fēng)險,最有效的一條途徑是探索可用的技術(shù)、法律和監(jiān)管手段來支持和鼓勵降低風(fēng)險的行為。這需要全社會的共同努力,并提出合乎道德且可行的方法,其中包括主動技術(shù)和實踐、緩解措施和響應(yīng)的組合。深入了解正在發(fā)揮作用的多種措施,可以朝著正確的方向前進。
 
版權(quán)聲明:本文為企業(yè)網(wǎng)D1Net編譯,轉(zhuǎn)載需注明出處為:企業(yè)網(wǎng)D1Net,如果不注明出處,企業(yè)網(wǎng)D1Net將保留追究其法律責(zé)任的權(quán)利。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號