211service.com
Beveiliging is de taak van iedereen op de werkplek
scimone belangrijkste kunstafbeelding
In associatie met Dell Technologies
Hackers over de hele wereld zijn slim: ze weten dat het niet alleen goede code is die hen helpt in te breken in systemen; het gaat ook over het begrijpen van - en het azen op - menselijk gedrag. De dreiging voor bedrijven in de vorm van cyberaanvallen wordt alleen maar groter, vooral nu bedrijven de overstap maken naar hybride werk.
Maar John Scimone, senior vice president en chief security officer bij Dell Technologies, zegt dat beveiliging de taak van iedereen is. En het opbouwen van een cultuur die dat weerspiegelt, is een prioriteit, want cyberaanvallen zullen niet afnemen. Hij legt uit: Als we kijken naar de kwetsbaarheid waarmee de industrie en organisaties worden geconfronteerd, exploderen technologie en data snel en groeien ze in volume, variëteit en snelheid. De toename van aanvallen betekent een toename van de schade voor bedrijven, vervolgt hij: ik zou moeten zeggen dat ransomware tegenwoordig waarschijnlijk het grootste risico is waarmee de meeste organisaties worden geconfronteerd.
En hoewel ransomware geen nieuwe uitdaging is, wordt het verergerd door de verschuiving naar hybride werk en het tekort aan talent waar experts al jaren voor waarschuwen. Scimone legt uit: Een van de belangrijkste uitdagingen die we hebben gezien in de IT-ruimte, en met name in de beveiligingsruimte, is een uitdaging rond arbeidstekorten. Hij vervolgt: Aan de beveiligingskant zien we het gebrek aan cyberbeveiligingsprofessionals als een van de belangrijkste kwetsbaarheden binnen de sector. Het is echt een crisis waar zowel de publieke als de private sector al jaren voor waarschuwen.
Investeren in werknemers en het opbouwen van een sterke cultuur kan echter voordelen opleveren voor inspanningen op het gebied van cyberbeveiliging. Scimone beschrijft het succes dat Dell heeft gezien. In het afgelopen jaar hebben we duizenden echte phishing-aanvallen gezien en gestopt doordat onze medewerkers ze als eerste zagen en aan ons rapporteerden.
En hoezeer organisaties cyberbeveiliging ook proberen te benaderen vanuit een systemisch en technisch perspectief, Scimone adviseert zich ook op de werknemer te concentreren: dus training is essentieel, maar nogmaals, het is tegen de achtergrond van een organisatorische cultuur, waar elk teamlid weet dat ze een rol te spelen.
Laat notities zien
Volledig transcript
Laurel Ruma : Van MIT Technology Review, ik ben Laurel Ruma, en dit is Business Lab, de show die bedrijfsleiders helpt om nieuwe technologieën te begrijpen die uit het lab en op de markt komen.
Ons onderwerp van vandaag is cyberbeveiliging en de druk van de trend van overal werken voor ondernemingen. Met een toename van cyberbeveiligingsaanvallen is het dringend noodzakelijk om een breder netwerk van werknemers en apparaten te beveiligen. Maar om de veiligheid van medewerkers hoog in het vaandel te houden, moet ook in cultuur worden geïnvesteerd. Twee woorden voor jou. Beveiligd personeel.
Mijn gast is John Scimone, senior vice president en chief security officer bij Dell Technologies. Voordat hij bij Dell in dienst trad, was hij de wereldwijde Chief Information Security Officer voor Sony Group.
Deze aflevering van Business Lab is geproduceerd in samenwerking met Dell Technologies.
Welkom, Johan.
John Scimone : Bedankt dat je me hebt, Laurel. Goed om hier te zijn.
Laurier : Om te beginnen, hoe zou u het huidige gegevensbeveiligingslandschap omschrijven en wat ziet u als de belangrijkste bedreiging voor gegevensbeveiliging?
John : Voor iedereen die vandaag op een nieuwsuitzending kan afstemmen, zien we dat deze aanvallen dichter bij huis plaatsvinden, dit jaar gevolgen hebben voor openbare evenementen, onze voedselvoorzieningsketen en nutsbedrijven dreigen te verstoren, en we zien cyberaanvallen die organisaties van elke omvang en over de hele wereld treffen alle industrieën. Als ik denk aan het landschap van cyberrisico's, verdeel ik het in drie gebieden. Ten eerste, hoe kwetsbaar ben ik? Vervolgens, hoe groot is de kans dat ik door een van deze aanvallen wordt geraakt? En tot slot, wat als ik dat doe? Wat zijn de gevolgen?
Terwijl we nadenken over de kwetsbaarheid waarmee de industrie en organisaties worden geconfronteerd, exploderen technologie en gegevens snel en groeien ze in volume, variëteit en snelheid. Er is echt geen teken dat het stopt, en in de huidige on-demand economie gebeurt er niets zonder data. Onze recente Data Paradox-studie (die we samen met Forrester hebben gedaan) bevestigde dat bedrijven overspoeld worden door data. En dat de pandemie extra druk legt op teams en middelen - niet alleen in de gegevens die ze genereren, waar 44% van de respondenten zei dat de pandemie de hoeveelheid gegevens die ze nodig hebben om te verzamelen, op te slaan en te analyseren aanzienlijk heeft vergroot - maar ook in de veiligheidsimplicaties van het feit dat meer mensen thuis werken. Meer dan de helft van de respondenten heeft noodmaatregelen moeten nemen om gegevens buiten het bedrijfsnetwerk te beveiligen terwijl mensen op afstand werkten.
We volgden een ander onderzoek op dat specifiek ging over gegevensbescherming tegen die achtergronden. In de wereldwijde gegevensbeschermingsindex van dit jaar ontdekten we dat organisaties meer dan tien keer zoveel gegevens beheren als vijf jaar geleden. Het is verontrustend dat 82% van de respondenten bezorgd is dat de bestaande oplossingen voor gegevensbescherming van hun organisatie niet in staat zullen zijn om al hun toekomstige zakelijke uitdagingen het hoofd te bieden. En 74% is van mening dat hun organisatie meer blootgesteld is aan gegevensverlies door cyberdreigingen, met de toename van het aantal werknemers dat thuis werkt.
Over het algemeen zien we dat de kwetsbaarheid aanzienlijk toeneemt. Maar hoe zit het met de waarschijnlijkheid? Hoe groot is de kans dat we door deze dingen worden geraakt? Als we nadenken over waarschijnlijkheid, is het echt een kwestie van hoe gemotiveerd en hoe capabel de bedreigingen zijn. En vanuit motivatieperspectief is het risico voor deze criminelen laag en blijft de beloning extreem hoog. Cyberaanvallen zullen dit jaar naar schatting de wereld biljoenen dollars kosten, en de realiteit is dat maar heel weinig criminelen gearresteerd zullen worden of er repercussies voor zullen krijgen. En ze worden steeds capabeler, en de tools en knowhow om deze aanvallen uit te voeren, worden steeds gebruikelijker en algemeen beschikbaar. De bedreigingen groeien in verfijning en prevalentie.
Ten slotte, vanuit het perspectief van de gevolgen, blijven de kosten stijgen wanneer organisaties worden getroffen, of het nu gaat om de impact op de merkreputatie, operationele storingen of de gevolgen van proceskosten en boetes. Uit onze recente wereldwijde gegevensbeschermingsindex blijkt dat een miljoen dollar de gemiddelde kosten waren van gegevensverlies in de afgelopen 12 maanden. En iets meer dan een half miljoen dollar waren de gemiddelde kosten voor ongeplande uitval van systemen in het afgelopen jaar. En er waren dit jaar talloze gevallen die publiekelijk werden gemeld waarbij bedrijven werden geconfronteerd met losgeldeis van meer dan $ 50 miljoen.
Ik ben bang dat deze gevolgen alleen maar groter zullen worden. In het licht hiervan moet ik zeggen dat ransomware tegenwoordig waarschijnlijk het grootste risico is waarmee de meeste organisaties worden geconfronteerd. In werkelijkheid blijven de meeste bedrijven er kwetsbaar voor. Het komt steeds vaker voor - sommige onderzoeken tonen aan dat er elke 11 seconden een ransomware-aanval plaatsvindt - en de gevolgen nemen toe, waardoor sommige organisaties tot tientallen miljoenen dollars aan losgeld eisen.
Laurier : Met de wereldwijde verschuiving naar overal werken en de toename van cyberbeveiligingsaanvallen in het achterhoofd, aan wat voor soort beveiligingsrisico's moeten bedrijven denken? En hoe zijn de aanslagen anders of ongebruikelijk ten opzichte van twee of drie jaar geleden?
John : Toen we een massale mobiliteitsbeweging zagen bij veel bedrijven, waarbij werknemers overschakelden naar werken op afstand, zagen we een toename van het risico omdat organisaties werknemers hun bedrijfslaptops en bedrijfssystemen buiten hun traditionele beveiligingsgrenzen lieten gebruiken. Het is helaas zo dat we werknemers hun persoonlijke systeem voor werkdoeleinden en hun werksysteem voor persoonlijke doeleinden zouden zien gebruiken. In werkelijkheid hebben veel organisaties nooit vanaf het begin nagedacht over massale mobiliteit op afstand. Hierdoor is de kwetsbaarheid van deze omgevingen aanzienlijk toegenomen.
Bovendien, als we nadenken over hoe criminelen werken, voeden criminelen zich met onzekerheid en angst, ongeacht of het cybercriminaliteit of fysieke wereldcriminaliteit is, onzekerheid en angst creëren een rijpe omgevingscriminaliteit van alle soorten. Helaas waren er de afgelopen 18 maanden zowel onzekerheid als angst in overvloed. En we hebben gezien dat cybercriminelen hiervan hebben geprofiteerd door te profiteren van het gebrek aan paraatheid van bedrijven, gezien de snelheid van verstoring en de verspreiding van gegevens die plaatsvond. Het was een geschikte omgeving voor cybercriminaliteit om hoogtij te vieren. In ons eigen onderzoek zagen we dat 44% van de ondervraagde bedrijven het afgelopen jaar meer cyberaanvallen en gegevensverlies heeft meegemaakt.
Laurier : Nou, dat is zeker belangrijk. Dus, hoe is het nu intern vanuit het perspectief van IT-ondersteuning: ze moeten al deze extra knooppunten ondersteunen van mensen die op afstand werken, terwijl ze ook de extra risico's van social engineering en ransomware aanpakken. Hoe heeft die combinatie de bedreigingen voor gegevensbeveiliging vergroot?
John : Een interessant bijproduct van de pandemie en van deze enorme verschuiving naar werken op afstand is dat het diende als een belangrijke versneller voor traditionele IT-initiatieven. We zagen een versnelling van digitale transformatie in IT-initiatieven die mogelijk eerder gepland of in uitvoering waren. Maar zoals u al zei, de middelen zijn uitgerekt. Een van de belangrijkste uitdagingen die we hebben gezien in de IT-ruimte en met name in de beveiligingsruimte, is een uitdaging rond arbeidstekorten. Aan de beveiligingskant zien we het gebrek aan cybersecurityprofessionals als een van de belangrijkste kwetsbaarheden binnen de sector. Het is echt een crisis waar zowel de publieke als de private sector al jaren voor waarschuwen. In feite is er vorig jaar een onderzoek naar cyberbeveiligingspersoneel uitgevoerd door ISC2 dat schat dat we 3,1 miljoen opgeleide cyberbeveiligingsprofessionals tekort komen aan wat de industrie eigenlijk nodig heeft om te beschermen tegen cybercriminaliteit.
Als we vooruitkijken, schatten we dat we het talent met ongeveer 41% in de VS en 89% wereldwijd moeten vergroten, alleen maar om te voldoen aan de behoeften van de digitaal transformerende samenleving, aangezien deze eisen toenemen. Arbeid is zeker een belangrijk onderdeel van de vergelijking en een punt van zorg vanuit een kwetsbaarheidsperspectief. We willen organisaties hierin beter van start laten gaan. Wij zijn van mening dat het inbouwen van beveiliging, privacy en veerkracht in het aanbod centraal moet staan, vanaf het ontwerp tot de productie, tot en met een veilig ontwikkelingsproces via de toeleveringsketen, en het volgen van de gegevens en applicaties overal waar ze komen. We noemen deze strategie intrinsieke beveiliging, en in wezen is het het inbouwen van beveiliging in de infrastructuur en platforms die klanten zullen gebruiken, waardoor er minder expertise nodig is om de beveiliging goed te krijgen.
Zoals je aangeeft, vertragen de aanvallen niet. Vooral social engineering blijft een topprioriteit. Voor degenen die niet bekend zijn met social engineering: het is in wezen wanneer criminelen werknemers proberen te misleiden om informatie te overhandigen of de deur open te zetten om criminelen binnen te laten in hun systeem, zoals door middel van phishing-e-mails, die we nog steeds als een van de meest populaire methoden beschouwen die worden gebruikt door hackers om hun eerste voet tussen de deur te krijgen in bedrijfsnetwerken.
Laurier : Lijkt intrinsieke beveiliging veel op beveiliging door ontwerp, waarbij producten opzettelijk worden gebouwd met een focus op beveiliging eerst en niet op beveiliging als laatste?
John : Dat is juist. Beveiliging door ontwerp, privacy door ontwerp - en niet alleen door ontwerp, maar standaard om het goed te doen, waardoor het gemakkelijk wordt om het juiste te doen vanuit een beveiligingsperspectief wanneer u overweegt deze technologieën te gebruiken. Het betekent natuurlijk een toename van het aantal beveiligingsprofessionals in het hele bedrijf, maar het zorgt er ook voor dat beveiligingsprofessionals alle aanbiedingen in elke fase van het ontwerp aanraken en ervoor zorgen dat de beste werkwijzen worden ingevoerd vanaf de ontwerp-, ontwikkelings- en productiefasen helemaal door, zelfs nadat ze de services en ondersteuning die erop volgen zijn verkocht. We beschouwen dit als een winnende strategie in het licht van de uitdagingen die we op grote schaal zien, de uitdagingen waarmee onze klanten worden geconfronteerd bij het vinden van het juiste cyberbeveiligingstalent om hen te helpen hun organisaties te beschermen.
Laurier : Ik neem aan dat Dell hier al een tijdje geleden over begon na te denken, omdat de uitdagingen op het gebied van het inhuren en herschalen van beveiliging al een tijdje bestaan. En aangezien de slechte acteurs duidelijk vaardiger zijn geworden, zijn er steeds meer goede mensen nodig om ze te stoppen. Met dat in gedachten, hoe denk je dat de pandemie die focus heeft versneld? Of is dit iets dat Dell zag aankomen?
John : Bij Dell investeren we al een aantal jaren in dit gebied. Het was duidelijk een uitdaging, maar zoals we hebben gezien, heeft het de uitdaging en de gevolgen waarmee onze klanten worden geconfronteerd, zeker versneld en versterkt. Daarom is het alleen maar belangrijker. We hebben in de loop van een aantal jaren meer geïnvesteerd in zowel techniek voor talentontwikkeling als in inzicht. En we zullen blijven investeren, in het besef dat, aangezien het een prioriteit is voor onze klanten, het een prioriteit voor ons is.
Laurier : Dat is logisch. Aan de andere kant van de medaille, hoe zorgt Dell ervoor dat werknemers
zelf gegevensbescherming serieus nemen en bijvoorbeeld niet vallen voor phishing-pogingen? Wat voor soort cultuur en mentaliteit moet worden ingezet om van beveiliging een bedrijfsbrede prioriteit te maken?
John : Het is echt een cultuur bij Dell, waar beveiliging de taak van iedereen is. Het is niet alleen mijn eigen bedrijfsbeveiligingsteam of de beveiligingsteams binnen onze product- en aanbiedingsgroepen. Het raakt elke werknemer en elke werknemer die zijn verantwoordelijkheid neemt om ons bedrijf en onze klanten te helpen beschermen. We hebben gedurende vele jaren een veiligheidscultuur opgebouwd waarin we onze werknemers de juiste kennis en training geven, zodat ze de juiste beslissingen kunnen nemen, en ons helpen sommige van deze criminele activiteiten die we zien, zoals alle bedrijven, te dwarsbomen. Een specifiek trainingsprogramma dat zeer succesvol is geweest, is ons phishing-trainingsprogramma. Hierbij testen en trainen we onze medewerkers continu door ze gesimuleerde phishing-e-mails te sturen, zodat ze beter weten waar ze op moeten letten en hoe ze phishing-e-mails kunnen herkennen. Zelfs alleen in dit laatste kwartaal zagen we meer medewerkers de phishing-simulatietest dan ooit tevoren herkennen en rapporteren.
Deze trainingsactiviteiten werken, en ze maken een verschil. Het afgelopen jaar hebben we duizenden echte phishing-aanvallen gezien die werden opgemerkt en gestopt doordat onze medewerkers ze als eerste zagen en aan ons rapporteerden. Training is dus essentieel, maar nogmaals, het is tegen de achtergrond van een organisatorische cultuur, waarin elk teamlid weet dat hij een rol te spelen heeft. Zelfs deze maand, als we kijken naar de Cybersecurity Awareness Month van oktober, versterken we onze inspanningen en bevorderen we het beveiligingsbewustzijn en de verantwoordelijkheden die teamleden hebben, of het nu gaat om het veilig gebruiken van de VPN, het beveiligen van hun thuisnetwerk of zelfs hoe veilig reizen. Dit is allemaal belangrijk, maar het begint ermee dat medewerkers weten wat ze moeten doen en vervolgens begrijpen dat het hun verantwoordelijkheid is om dat te doen.
Laurier : En dat zou niet zo verwonderlijk moeten zijn. Het is duidelijk dat Dell een groot wereldwijd bedrijf is, maar is dit tegelijkertijd een initiatief waar medewerkers een beetje trots op beginnen te worden? Wordt er misschien minder geklaagd over 'Oh, ik moet mijn wachtwoord nog een keer wijzigen' of 'Oh, nu moet ik me aanmelden bij de VPN.'
John : Een van de interessante bijproducten van de toegenomen aanvallen die elke dag op het nieuws te zien zijn, is dat ze nu vaak de gewone persoon thuis treffen. Het is van invloed of mensen eten op tafel kunnen zetten en wat voor soort eten ze kunnen bestellen en wat er beschikbaar is. De bewustwording is de afgelopen jaren enorm toegenomen. Met dat begrip van waarom dit belangrijk is, hebben we een toename gezien in zowel de aandacht als de trots waarmee de medewerkers deze verantwoordelijkheid zeer serieus nemen. We hebben zelfs interne scoreborden. We maken er een vriendelijke wedstrijd van, waarbij elk team organisatorisch kan zien wie de meeste phishing-tests voor beveiliging vindt. Ze vinden het geweldig om het bedrijf te kunnen helpen, en nog belangrijker, onze klanten te helpen op een extra manier die verder gaat dan het belangrijke werk dat ze dagelijks doen in hun primaire rol.
Laurier : Dat is geweldig. Dit is dus de vraag die ik beveiligingsexperts stel, omdat je zoveel ziet. Over wat voor soort beveiligingsinbreuken hoor je van klanten of bedrijven in de branche, en wat verbaasde je over deze specifieke ervaringen uit de eerste hand?
John : Het is een ongelukkige realiteit dat we vrijwel elke dag telefoontjes krijgen van onze klanten die helaas een aantal van de slechtste dagen in hun zakelijke ervaring doormaken, of ze nu in de greep zijn van ransomware of te maken hebben met een ander type cyber inbraak, het omgaan met gegevensdiefstal of digitale afpersing, en het is behoorlijk afschuwelijk om te zien. Als ik met onze klanten en zelfs collega's in de hele branche praat, is een van de gemeenschappelijke boodschappen die bij al deze afspraken overkomt, dat ze zouden willen dat ze zich wat meer hadden voorbereid. Ze zouden willen dat ze de tijd hadden genomen en de vooruitziende blik hadden gehad om bepaalde veiligheidsmaatregelen te treffen, of het nu gaat om het monitoren en detecteren van cyberdreigingen, of in toenemende mate met ransomware, meer gericht op het hebben van de juiste opslag en gegevensback-ups en bescherming, beide zowel in hun core on-premise omgeving als in de cloud.
Maar het was verrassend voor mij hoeveel organisaties niet echt veerkrachtige strategieën voor gegevensbescherming hebben, gezien hoe verwoestend ransomware is. Velen denken nog steeds aan gegevensback-ups in het tijdperk van tornado's en overstromingen, waar als je je back-up 300 mijl verwijderd hebt van waar je je gegevens hebt opgeslagen, je goed zit, je back-ups zijn veilig. Maar mensen denken tegenwoordig niet aan back-ups die het doelwit zijn van mensen die uw back-ups letterlijk vinden waar ze ook zijn, en ze proberen ze te vernietigen om hun afpersingsplannen meer impact te maken. Dus, nadenkend over moderne gegevensback-ups en cyberbestendigheid in het licht van ransomware, is het voor mij verrassend hoe weinig mensen zijn opgeleid om hierover na te denken.
Maar ik zal zeggen dat we met toenemende prevalentie deze gesprekken met klanten voeren, en klanten doen de investeringen proactiever voordat die dag komt en zorgen voor een betere basis voor wanneer dat het geval is.
Laurier : Heeft u het gevoel dat bedrijven nu met de cloud anders denken over strategieën voor gegevensbescherming? En met welke cloudtools en -strategieën kunnen bedrijven hun gegevens veilig houden?
John : Het is interessant omdat men zich algemeen realiseert dat de workloads en gegevens van klanten overal zijn, of het nu on-premises, aan de rand of in openbare clouds is. Wij zijn van mening dat een multi-hybride cloud-aanpak die het datacenter omvat, er een is die consistentie biedt in alle verschillende omgevingen als een best practice en hoe u denkt over het omgaan met uw strategieën voor gegevensbescherming. We zien steeds vaker dat mensen een multi-cloudaanpak kiezen vanwege de beveiligingsvoordelen die ermee gepaard gaan, maar ook kostenvoordelen, prestaties, compliance, privacy, enzovoort. Wat interessant is, is dat toen we naar onze bevindingen in de wereldwijde gegevensbeschermingsindex keken, we ontdekten dat applicaties worden bijgewerkt en geïmplementeerd in een groot aantal cloudomgevingen, en toch ontbreekt het vaak aan vertrouwen als het gaat om hoe goed de gegevens kunnen worden beschermd. Veel organisaties maken dus gebruik van multi-cloudinfrastructuur, implementeren applicatieworkloads, maar slechts 36% gaf aan vertrouwen te hebben in hun cloudgegevensbeschermingscapaciteiten.
Daarentegen gaf een vijfde van de respondenten aan enige twijfel te hebben of niet of helemaal geen vertrouwen te hebben in hun vermogen om gegevens in de openbare cloud te beschermen. Ik vind dit behoorlijk verontrustend, vooral wanneer veel organisaties de openbare cloud gebruiken om een back-up van hun gegevens te maken als onderdeel van hun rampenherstelplannen. Ze kopiëren in wezen al hun bedrijfsgegevens naar een computeromgeving waarin ze weinig vertrouwen hebben in de beveiliging. Organisaties moeten ervoor zorgen dat ze oplossingen hebben om gegevens in de multicloud en over hun virtuele workloads te beschermen. Vanuit ons perspectief zijn we gefocust op intrinsieke beveiliging, waarbij we de beveiligingsbestendigheid en privacy in de oplossingen inbouwen voordat ze aan onze klanten worden overhandigd. Hoe minder klanten hoeven na te denken over beveiliging en manieren moeten vinden om hun eigen moeilijk in te huren beveiligingsexperts te bemannen, hoe beter.
Een paar andere strategieën om te overwegen zijn, eerst, het selecteren van de juiste partner. Gemiddeld hebben we vastgesteld dat de kosten van gegevensverlies in het afgelopen jaar bijna vier keer hoger zijn voor organisaties die meerdere leveranciers van bescherming gebruiken in vergelijking met organisaties die een benadering van één leverancier gebruiken. Ten slotte, en vooral, heeft iedereen een datakluis nodig. Een gegevenskluis die is geïsoleerd van het netwerk en is gebouwd met ransomware in het achterhoofd om de bedreigingen die we zien het hoofd te bieden. Dit is waar klanten hun meest kritieke gegevens kunnen plaatsen en het vertrouwen hebben dat ze hun bekende goede gegevens kunnen herstellen wanneer die dag komt waarop gegevens echt de levensader zijn die hun bedrijf draaiende houdt.
Laurier : Is de datakluis een hardwareoplossing, een cloudoplossing of een beetje van beide? Misschien hangt het af van uw bedrijf.
John : Er zijn zeker een aantal verschillende manieren om het te ontwerpen. Over het algemeen zijn er drie belangrijke overwegingen bij het bouwen van een cyberbestendige datakluis. De eerste is dat het geïsoleerd moet worden. Alles wat zich op het netwerk bevindt, is mogelijk blootgesteld aan risico's.
Ten tweede moet het onveranderlijk zijn, wat in wezen betekent dat als je eenmaal een back-up van de gegevens hebt gemaakt, die back-up nooit meer kan worden gewijzigd. Als het eenmaal op de schijf is geschreven, kunt u het nooit meer wijzigen. En ten derde, en ten slotte, moet het intelligent zijn. Deze systemen moeten worden ontworpen om net zo intelligent, zo niet intelligenter te zijn dan de bedreigingen die ongetwijfeld na hen zullen komen. Het is essentieel om deze back-upsystemen voor gegevens te ontwerpen met de bedreigingsomgeving in gedachten door experts die de beveiliging en ransomware grondig begrijpen.
Laurier : Ik zie. Dat klinkt als hoe sommige drieletterige overheidsinstanties werken, offline met weinig toegang.
John : Helaas is dat waar de wereld voor is gekomen. Nogmaals, er is echt geen teken dat dit verandert. Als we kijken naar de prikkels waarmee cybercriminelen worden geconfronteerd, zijn de beloningen ongelooflijk. De gevolgen zijn laag. Het is echt de grootste, meest voordelige criminele onderneming in de geschiedenis van de mensheid in termen van wat ze waarschijnlijk uit een aanval halen versus de kans dat ze gepakt worden en naar de gevangenis gaan. Ik zie dat niet zo snel veranderen. Bedrijven moeten daarom voorbereid zijn.
Laurier : Het is zeker waar. We horen ook niet over alle aanvallen, maar als we dat doen, zijn er ook reputatiekosten. Ik denk aan de aanslag eerder dit jaar op de waterzuiveringsinstallatie in Florida. Verwacht u meer gerichte aanvallen op infrastructuur omdat dit wordt gezien als een gemakkelijke manier om binnen te komen?
John : Helaas is dit niet het probleem van slechts één branche. Ongeacht de aard van het bedrijf dat u runt en de branche waarin u zich bevindt, als u naar uw organisatie kijkt door de lens van een crimineel, valt er vaak iets te winnen, of het nu gaat om geopolitieke prikkels, het te gelde maken van criminele fraude, of dat het de gegevens die u bezit steelt en doorverkoopt op de zwarte markt. Er zijn maar weinig bedrijven die echt naar zichzelf kunnen kijken en zeggen: 'Ik heb niets dat een cybercrimineel zou willen.' En dat is iets waar elke organisatie van elke omvang mee te maken heeft.
Laurier : Vooral omdat bedrijven machine learning, kunstmatige intelligentie en, zoals je eerder al zei, edge- en IoT-apparaten integreren, zijn er overal gegevens. Hoe kunnen bedrijven, met dat in gedachten, en met de meerdere contactpunten die u probeert te beveiligen, inclusief uw werknemers die overal werken, gegevens het beste beveiligen?
John : Het is een tweesnijdend zwaard. De digitale transformatie, waarvan Dell in de eerste plaats getuige is geweest, was ongelooflijk. Wat we hebben gezien in termen van verbeteringen in de kwaliteit van leven en de manier waarop de samenleving transformeert door opkomende technologieën zoals AI en ML, en de explosie van apparaten aan de rand en IoT, de digitale transformatie en de voordelen zijn enorm. Tegelijkertijd vormt het allemaal een potentieel nieuw risico als het wordt geïnvesteerd in en ingezet op een manier die niet veilig is en niet goed is voorbereid. Met onze volledige gegevensbeschermingsindex ontdekten we zelfs dat 63% van mening is dat deze technologieën een risico vormen voor de gegevensbescherming, dat deze risico's waarschijnlijk bijdragen aan de angst dat organisaties niet klaar zijn voor de toekomst en dat ze het risico lopen verstoring in de loop van het volgende jaar.
Het gebrek aan gegevensbeschermingsoplossingen voor nieuwere technologieën was eigenlijk een van de drie grootste uitdagingen op het gebied van gegevensbescherming die organisaties aanhaalden tijdens de enquête. Investeren in deze opkomende technologieën is essentieel voor het digitaal transformeren van organisaties, en organisaties die niet digitaal transformeren, zullen waarschijnlijk niet goed overleven in het tijdperk waarin we naar concurrentie kijken. Maar tegelijkertijd is het van cruciaal belang dat organisaties ervoor zorgen dat hun infrastructuur voor gegevensbescherming gelijke tred kan houden met hun bredere digitale transformatie en investeringen in deze nieuwere technologieën.
Laurier : Als we dit allemaal bij elkaar opvatten, zijn er dan tips die u voor bedrijven heeft om hun datastrategie toekomstbestendig te maken?
John : Er zijn zeker een paar dingen die in je opkomen. Ten eerste is het belangrijk om continu na te denken over prioriteiten vanuit een risicoperspectief. De realiteit is dat we niet alles perfect kunnen beveiligen, dus het stellen van prioriteiten is van cruciaal belang. U moet ervoor zorgen dat u beschermt wat het belangrijkst is voor uw bedrijf. Het regelmatig uitvoeren van strategische risicobeoordelingen en deze informeren over de investeringen en de prioriteiten die organisaties nastreven, is een essentiële achtergrond waartegen u sommige van deze beveiligingsinitiatieven en -activiteiten daadwerkelijk start.
Het tweede dat in je opkomt, is dat oefening kunst baart. Oefening, oefening, oefening. Kun je jezelf afvragen, zou je echt kunnen herstellen als je werd geraakt door ransomware? Hoe zeker ben je van dat antwoord? We zien dat organisaties die de tijd nemen om te oefenen, interne oefeningen doen, nepsimulaties doen, het proces doorlopen om jezelf die vragen te stellen, betaal ik het losgeld? ik niet? Kan ik mijn back-ups herstellen? Hoe zeker ben ik dat ik het kan? Degenen die oefenen, hebben veel meer kans om goed te presteren wanneer de dag komt waarop ze worden getroffen door een van deze verwoestende aanvallen. Helaas wordt het steeds waarschijnlijker dat de meeste organisaties die dag zullen meemaken.
Ten slotte is het van cruciaal belang dat beveiligingsstrategieën worden gekoppeld aan bedrijfsstrategieën. De meeste strategieën van vandaag zullen vanuit een zakelijk perspectief natuurlijk mislukken als de gegevens waarop ze vertrouwen niet vertrouwd en beschikbaar zijn. Maar inspanningen op het gebied van cyberweerbaarheid en beveiligingsinspanningen kunnen niet op een eigen eiland worden uitgevoerd. Ze moeten worden geïnformeerd door en ondersteunend aan de bedrijfsstrategie en -prioriteiten. Ik heb nog geen klant ontmoet wiens bedrijfsstrategie levensvatbaar blijft als ze worden getroffen door ransomware of een andere strategische bedreiging voor gegevensbescherming, en ze niet in staat zijn om snel en zelfverzekerd hun gegevens te herstellen. Een kernvraag die je jezelf moet stellen is: hoeveel vertrouwen heb je vandaag in je paraatheid in het licht van alles wat we hebben besproken? En hoe evolueert u uw strategie voor cyberweerbaarheid om u beter voor te bereiden?
Laurier : Dat is zeker een belangrijke afhaalmaaltijd, toch? Het is niet alleen een technisch probleem of een technologisch probleem. Het is ook een zakelijk probleem. Iedereen moet meedenken over deze datastrategie.
John : Absoluut.
Laurier : Nou, heel erg bedankt, John. Het was fantastisch om je vandaag in het Business Lab te hebben.
John : Graag gedaan. Bedankt dat ik hier mocht zijn.
Laurier : Dat was John Scimone, de chief security officer bij Dell Technologies, met wie ik sprak vanuit Cambridge, Massachusetts, de thuisbasis van MIT en MIT Technology Review, met uitzicht op de Charles River. Dat was het voor deze aflevering van Business Lab. Ik ben je gastheer, Laurel Ruma. Ik ben de directeur van Insights, de custom publishing-divisie van MIT Technology Review. We zijn in 1899 opgericht aan het Massachusetts Institute of Technology. Je kunt ons elk jaar in print, op het web en op evenementen over de hele wereld vinden. Ga voor meer informatie over ons en de show naar onze website op technologyreview.com.
Deze show is overal beschikbaar waar je je podcasts vandaan haalt. Als je deze aflevering leuk vond, hopen we dat je even de tijd wilt nemen om ons te beoordelen en te beoordelen. Deze aflevering is geproduceerd door Collective Next. Business Lab is een productie van MIT Technology Review. Bedankt voor het luisteren.
Deze podcastaflevering is geproduceerd door Insights, de afdeling voor aangepaste inhoud van MIT Technology Review. Het is niet geschreven door de redactie van MIT Technology Review.