Дилемма DevOps: как CISOs могут восстановить контроль в эпоху скорости?

[Tomcat]

Введение
Печально известные атаки программ-вымогателей на конвейеры Colonial (2021) и атака на цепочки поставок SolarWinds (2020) были не просто утечкой данных; это были сейсмические сдвиги в кибербезопасности. Эти атаки выявили критическую проблему для руководителей служб информационной безопасности (CISO): удержаться на месте, сохранив контроль над облачной безопасностью в ускоряющемся мире DevOps. Проблема была подчеркнута утечкой данных Capital One (2019), утечкой данных Epsilon (2019), компрометациями Magecart (продолжаются) и утечками MongoDB (2023-), когда хакеры воспользовались неправильно сконфигурированной корзиной AWS S3. Тесное сотрудничество между командами CISOs и DevOps по надлежащим конфигурациям облачной безопасности могло бы предотвратить нарушения.

Помимо борьбы с хакерами и последствиями их атак, выделяются несколько важных проблем — эволюция роли и обязанностей CISO и задача повышения безопасности в облаке, а также то, как операционные группы по обеспечению безопасности взаимодействуют с бизнес-подразделениями в безумии цифровой трансформации.

Наблюдая за конфликтами SecOps и DevOps в организациях разных типов, мы попытаемся разобраться в сложном ландшафте руководства по кибербезопасности, особенно в их динамичных взаимоотношениях с главным технологом (CTO). Поскольку роль CISO становится более важной, чем когда-либо, мы сосредоточимся на дальнейшем расширении возможностей CISO, чтобы они стали влиятельными участниками процесса принятия решений, а обеспечение безопасности заняло достойное место в практике DevOps.

Мы также предложим несколько способов общения CISO с ИТ-руководством, чтобы обучать и повышать осведомленность о насущных вопросах безопасности. В конечном счете, только прочные партнерские отношения между CISO, командами DevOps и ИТ-менеджментом могут улучшить процессы разработки, которые стимулируют инновации без ущерба для безопасности.

Ставки для CISO выше, чем когда-либо
Представьте себе гоночный автомобиль, мчащийся по трассе разработки. Технический директор за рулем стремится к головокружительным инновациям. Но на заднем сиденье CISO потеет, вцепившись в метафорический ручной тормоз безопасности. Это постоянная дилемма для CISO в эпоху DevOps: сохранение контроля над безопасностью в молниеносной среде разработки.

Мы можем согласиться с тем, что раньше о безопасности часто думали запоздало, привязывая ее к приложениям спустя долгое время после их создания. DevOps, способствуя гибкости, может создавать уязвимости, если о безопасности не позаботиться с самого начала. Успешные команды разработчиков, ориентированные на скорость, могут непреднамеренно создавать пробелы в безопасности. Устаревшие подходы к обеспечению безопасности, основанные на ручных процессах и ограниченных ресурсах, просто не успевают за головокружительными темпами DevOps.

Согласно современному взгляду на управление ИТ, технический директор находится на переднем крае решения бизнес-задач, связанных с технологиями, включая перенос всей инфраструктуры в облако, в то время как CISO фокусируется на безопасности, и защита облака становится одним из главных приоритетов. Темпы изменений и совершенно новая архитектура, в случае с облаком, ставят новые задачи перед CISO, которые сталкиваются с постоянно меняющейся средой. Важно адаптировать свой стиль общения для эффективного сотрудничества с техническими директорами, которые все больше сосредотачиваются на внедрении инноваций и стимулировании роста бизнеса.

Реальные последствия для CISO
В заявлении Комиссии по ценным бумагам и биржам (SEC) утверждается, что SolarWinds не раскрыла инвесторам адекватную существенную информацию о рисках кибербезопасности. В заявлении говорится, что компания и ее CISO Тимоти Браун раскрыли только общие и гипотетические риски, несмотря на внутренние знания о конкретных недостатках в практике кибербезопасности SolarWinds и повышенной вероятности угроз.

Самые печально известные случаи, о которых все должны знать, - взломыSolarWinds и Uber, - были не просто утечкой данных. Это были тревожные сигналы. Юридические последствия сбоев в системе безопасности вызывают растущую озабоченность, поскольку SEC обязывает публичные компании раскрывать информацию об инцидентах в течение четырех дней и требует подробных планов обеспечения безопасности. Это оказывает огромное давление на CISO, таких как Джо Салливан (бывший главный сотрудник службы безопасности Uber) и Тимоти Г. Браун (бывший CISO SolarWinds), которым могут быть предъявлены уголовные обвинения за невыполнение надлежащих мер предосторожности.

Эти инциденты подчеркивают деликатный баланс, с которым сталкиваются CISO в эпоху DevOps. В методологиях DevOps приоритет отдается скорости и маневренности, что может противоречить необходимости строгих мер безопасности. Могут ли CISOs более эффективно перемещаться по этому канату, при этом гарантируя, что инновации не будут происходить в ущерб безопасности?

CISO необходимо преодолеть разрыв
На заре DevOps CISO часто чувствовали себя пассажирами без ремней безопасности в новом, быстро меняющемся мире, где безраздельно властвовала скорость, а безопасность отставала. Продвижение методов обеспечения безопасности без снижения скорости разработки может быть сложной задачей. Влияние CISO позволяет им эффективно сотрудничать с командами DevOps и обеспечивать безопасность, а не откладывать ее в долгий ящик.

Вот основные действия, которыми CISO может заняться, чтобы преодолеть разрыв:

1. Привлекайте внешних авторитетных аудиторов: Партнерство с авторитетными охранными фирмами и превращение их в своих союзников обеспечивает экспертизу и убедительные доказательства, подтверждающие ваши опасения. Эти независимые оценки могут не только выявить уязвимости, но и предоставить доказательства потенциальных рисков и того, что бизнес может быть свернут.
2. Практические тесты с помощью упражнений Red Teaming: Упражнения Red teaming похожи на противопожарные учения службы безопасности. Предоставляя команде pentester баланс карты для выполнения миссии, эти упражнения демонстрируют потенциальное влияние взлома на организацию. Обнаружение компрометации конфиденциальных финансовых данных или изменения всех настроек в организации с помощью одного объекта групповой политики или terraform access может стать мощным тревожным звонком для технического директора и команд разработчиков, подчеркивающим важность надежных мер безопасности.
3. Внедрите регулярное сканирование уязвимостей и непрерывный внешний мониторинг поверхности атаки по всему периметру: Профессиональная оценка облачных сред (AWS, Azure и т.д.) Выявляет неправильные настройки безопасности, которые могут сделать организацию уязвимой. Эти оценки предоставляют конкретные данные, которые могут быть использованы для влияния на решения, касающиеся инвестиций в безопасность и практики DevSecOps.
4. Объедините свой C-suite, чтобы определить четкие роли и обязанности для симулированного реагирования на инциденты, способствуя созданию среды сотрудничества, в которой все работают сообща для разрешения наихудшего сценария. Это не только укрепит вашу обороноспособность, но и заслужит лояльность C-suite: настольные упражнения при кризисных ситуациях с нарушениями - отличный инструмент для выявления пробелов в коммуникации или осведомленности о процедурах экстренной помощи в случае нарушения. В рамках практического занятия воспользуйтесь возможностью проанализировать обязанности и коммуникации и используйте матрицу RACI в качестве инструмента для определения того, как улучшить коммуникации между CISO / CTO / CIO и другими исполнительными функциями по вопросам безопасности.
5. Команда юристов - ваши лучшие друзья: Поймите, как развиваются комплаенс и регулирование, чтобы вы могли помочь сформировать стратегию безопасности, которая минимизирует будущие риски. Юристы всегда рады новым друзьям.
6. Укрепите свою позицию в области безопасности: Сотрудничая с поставщиком MDR, вы приобретаете ценного союзника в борьбе с киберугрозами. Они могут справляться с повседневными задачами и предоставлять специализированные знания, когда это необходимо, позволяя вашей внутренней команде со спокойной душой сосредоточиться на стратегиях безопасности высокого уровня.

Регулярно выполняемые эти действия продемонстрируют, как служба безопасности может активно снижать риски, повышая доверие к CISO и команде, которую он привлекает для наведения моста между безопасностью и разработкой. Эти мероприятия стимулируют сотрудничество и обмен информацией, так что по мере совместной работы команды начнут разделять ответственность за обеспечение безопасности. Таким образом, вместо того, чтобы чувствовать себя пассажиром, CISO становится активным партнером, обеспечивающим безопасность с самого начала, позволяя инновациям развиваться на надежной основе в ИТ-отделе.

Как CISO может усилить свой голос в диалоге DevOps
Когда CISO не могут усилить свой голос, последствия могут быть ужасными. Неадекватные методы обеспечения безопасности подвергают организацию юридическим и нормативным рискам. Что еще более важно, они оставляют дверь открытой для дорогостоящих взломов, как это произошло с SolarWinds, которые сдерживают инновации и подрывают доверие клиентов.

1. Лидерство в области безопасности часто требует преодоления разрыва между техническими деталями и более широкими бизнес-целями. Учебные программы, ориентированные на четкое общение и переговоры, могли бы дать ему возможность более эффективно сотрудничать с коллегами и обеспечить безопасность важнейших ресурсов для команды безопасности. Оценки безопасности, отраслевые отчеты и примеры реальных нарушений могут количественно оценить потенциальные финансовые последствия сбоев в системе безопасности, что делает разговор о снижении рисков интересной деловой дискуссией.
2. Демонстрируя, как надежные методы обеспечения безопасности могут способствовать инновациям, повысить доверие клиентов и, в конечном итоге, стимулировать рост бизнеса, CISO могут найти общий язык с техническими специалистами, которые отдают приоритет гибкости и эффективности. Согласование рекомендаций по безопасности с существующими целями технического директора, такими как ускорение циклов разработки, способствует созданию беспроигрышной ситуации. Здесь CISO могут улучшить свое понимание облачной среды, пройдя специализированные обучающие курсы AWS cloud. Это не только укрепляет их технический опыт, но и позволяет им говорить на том же языке, что и их коллеги по DevOps, способствуя более плавному сотрудничеству при безопасном и эффективном развертывании облачных вычислений.
3. Открытое общение и доверие являются краеугольными камнями эффективного сотрудничества. Регулярное обсуждение последствий для безопасности на протяжении всего жизненного цикла разработки, а не только в качестве препятствия в последнюю минуту, позволяет CISO своевременно устранять проблемы и предотвращать потенциальные препятствия. Итак, знание языка технического директора является ключевым в этой роли.
4. Управляемое обнаружение и реагирование (MDR) выходит за рамки простого инструмента безопасности. Оно действует как усилитель голоса CISO в диалоге DevOps. Головокружительный темп DevOps может заставить даже самых опытных CISO чувствовать, что они постоянно играют в догонялки. Команды безопасности сильно растянуты, они изо всех сил пытаются отслеживать сложные среды, обнаруживать изощренные угрозы и идти в ногу с постоянно меняющимся ландшафтом угроз. Именно здесь MDR от UnderDefense становится мощным фактором усиления CISO в среде DevOps.

Вот как MDR позволяет CISO влиять на безопасную разработку:

• Контроль соответствия требованиям в режиме 24/7 и упреждающее обнаружение угроз: службы MDR обеспечивают непрерывный мониторинг и расширенную информацию об угрозах, позволяя CISOs упреждающе решать проблемы безопасности до того, как они превратятся в проблемы. Это позволяет командам безопасности сосредоточиться на стратегических инициативах и способствует созданию среды сотрудничества, в которой безопасность носит превентивный, а не реактивный характер.
• Система раннего предупреждения о пробелах в безопасности: MDR выходит за рамки традиционного мониторинга, обнаруживая аномалии в шаблонах доступа, поведении пользователей и системных конфигурациях. Это позволяет выявлять потенциальные внутренние угрозы или неправильные конфигурации, вносимые командами DevOps. Предоставляя оповещения в режиме реального времени о потенциальных рисках безопасности, CISO могут работать с командами разработчиков над их устранением до того, как они станут уязвимыми местами, которые можно использовать.

Оценки, настольные упражнения и возможность привлечения внешних экспертов, таких как команда MDR, выявят любые пробелы в коммуникации внутри организации. Решение о том, что необходимо сообщить и кому передать, чрезвычайно важно для эффективного использования ресурсов и привлечения внимания к важным проблемам безопасности. Определение ключевых категорий, вызывающих озабоченность, и тех, кто нуждается в информировании и участии, является ключом к успешным операциям по обеспечению безопасности и успешному бизнесу. Проверка и формализация сообщений может сэкономить время во время чрезвычайной ситуации, такой как взлом.

Матрица RACI - это лишь один пример, подчеркивающий важность установления четких моделей коммуникации в DevOps. Внедряя такие модели и интегрируя их в политики безопасности, CISO могут получить значительные рычаги влияния, гарантируя, что безопасность вплетена в структуру DevOps, а не закреплена как запоздалая мысль.

Наконец, в матрице подчеркивается важнейший аспект роли CISO: обеспечение сильной поддержки со стороны Правления. Такое согласование важно для придания безопасности стратегического значения и обеспечения ресурсов, необходимых для надежного обеспечения безопасности.

Сильная команда безопасности по-прежнему необходима
Быстрый темп DevOps может заставить даже самых опытных CISO с трудом справляться с угрозами. MDR позволяет CISO перейти от реактивного пожаротушения к упреждающему поиску угроз. Вместо исправления уязвимостей после взлома MDR помогает выявлять и устранять их до того, как они могут быть использованы. Такой упреждающий подход сводит к минимуму риски безопасности и способствует формированию культуры "безопасности по замыслу" в конвейере DevOps.

Хотя MDR добавляет значительную ценность, он не заменяет сильную команду внутренней безопасности. Специалисты по безопасности остаются жизненно важными для:

• Поддержание осведомленности о ситуации: команда безопасности интерпретирует данные и оповещения, генерируемые MDR, предоставляя контекст и расставляя приоритеты угроз.
• Реагирование на инциденты: Сотрудники службы безопасности, обладающие глубоким опытом реагирования на инциденты, имеют решающее значение для эффективного сдерживания и устранения нарушений безопасности.
• Управление требованиями безопасности: Команда безопасности обеспечивает интеграцию требований безопасности в конвейер DevSecOps, способствуя культуре "безопасности по замыслу".

Мы также подготовили для вашего внимания наиболее полное руководство для покупателя MDR от UnderDefense, которое поможет вам выбрать идеального партнера по MDR, обеспечивающего безопасность ваших данных и бизнес-операций. Это позволяет экспертам, не зависящим от поставщика, получать информацию, которая поможет вам принимать обоснованные решения.

Главный вывод: сотрудничество - ключ к успеху
Хотя механизм влияния CISO предоставляет им мощные инструменты, безопасность остается делом совместных усилий. Наведение мостов с техническим директором и содействие открытому общению с командами разработчиков являются краеугольными камнями по-настоящему безопасной среды DevOps. Эффективно используя свое влияние и сотрудничая между подразделениями, CISO могут гарантировать, что безопасность станет неотъемлемой частью процесса DevOps, позволяя процветать инновациям без ущерба для безопасности на магистрали безопасности.

Головокружительный темп DevOps может создать дилемму безопасности – лежачего полицейского на шоссе безопасности. Здесь CISO играет решающую роль как архитектор, а не исполнитель. Механизм расширения влияния предоставляет им инструменты для навигации в этом сложном ландшафте. Оценки безопасности, упражнения red teaming и сотрудничество с консультантами по безопасности позволяют CISO отстаивать надежные меры безопасности, не препятствуя инновациям.

Однако по-настоящему кардинальным фактором, меняющим правила игры в этом сценарии, является MDR. Он действует как фактор, усиливающий CISO в диалоге DevOps. Обеспечивая мониторинг 24/7, упреждающее обнаружение угроз и раннее предупреждение о пробелах в системе безопасности, MDR позволяет CISO перейти от реактивного пожаротушения к упреждающему поиску угроз. Это не только защищает организацию, но и способствует формированию культуры "безопасности по замыслу" в рамках конвейера DevOps.

По сути, решение дилеммы DevOps заключается в мощной комбинации: растущей роли CISO, обладающей расширенным механизмом влияния, и увеличивающих возможности MDR. UnderDefense предлагает ультрасовременное решение MDR, которое позволяет в режиме реального времени отслеживать состояние вашей системы безопасности, позволяя вам активно обнаруживать инциденты безопасности и реагировать на них и, в конечном итоге, обеспечивать безопасность вашей организации.

Благодаря сотрудничеству и использованию этих инструментов CISOs может обеспечить плавную интеграцию системы безопасности с DevOps, позволяя инновациям ускоряться, не сталкиваясь с препятствиями безопасности.