Cybersikkerhedsorganisationer advarer mod trusler mod nationalstat og insider

Da det næsten er overalt, var cybersikkerhed et stort tema på Fortune Brainstorm Tech-konferencen i sidste uge. Ved en rundbords-frokost diskuterede ledere fra en række cybersikkerhedsfirmaer og organisationer nye trusler. Mens de sagde, at tingene faktisk forbedrer sig, pegede de også på større bekymringer fra nationalstaterne.

I mellemtiden talte FBIs Amy Hess på scenen om de forskellige slags trusler og hvad virksomheder skulle gøre som reaktion. På spørgsmålet, om vi skulle være bange, sagde hun "det korte svar er 'ja'."

Ved rundbordet til frokost var et af de store spørgsmål, der blev drøftet, den rolle, som nationalstater som Kina og Rusland spiller, både i eksterne krænkelser og i at forsøge at infiltrere virksomheder direkte til at gøre ting som at stjæle intellektuel ejendom.

Michael Brown, tidligere administrerende direktør for Symantec og nu direktør for forsvarsdepartementets forsvarsinnovationsenhed sagde, at i de Silicon Valley, "er de mindre virksomheder ikke så opmærksomme, som de burde være til trussel om insiderbrud og udenlandske spillere som Kina."

Han sagde, at de fleste af krænkelser og trusler i volumen er kriminelle og kommer ikke fra de forskellige regeringer, så hvad både regeringen og den private industri har brug for er at gøre indbrud i systemer både vanskeligere og dyrere. Han bemærkede, at angribere kun skal have ret én gang for at komme ind i et system, mens forsvarere skal have ret hele tiden for at holde folk ude. ”Det er et økonomispil, ” sagde han.

"Der er kun fire problemer inden for cybersikkerhed: Kina, Rusland, Nordkorea og Iran, " ifølge Dmitri Alperovitch, medstifter og CTO for CrowdStrike. Han sagde, at ikke kun disse lande selv var store hackere, men at mange kriminelle hackere også opererer ud af disse lande. Disse grupper er så opsat på at hacke, at hvis de prøver hårdt nok, vil de i sidste ende finde en svaghed i dit netværk.

Tim Junio, medstifter og CEO af Expanse, der overvåger internettet for at se efter information, der hører til kundernes firmaer, sagde, at "Det er utroligt sjældent - og sent i spillet - at virksomheder tænker på, at udenlandske skuespillere vil rekruttere folk til at trænge igennem deres netværk. " Han foreslog, at vi har brug for ækvivalent med et finansielt revisionssystem til cybersikkerhed.

Oracle's generelle rådgiver Dorian Daley var enig i, at flere virksomheder skulle fokusere på insidertrusler, men understregede, at virksomhedens øverste ledere skulle tage cybersikkerhed alvorligt. Hun talte om, hvordan Oracle havde et sikkerhedsudvalgsudvalg og talte om at lave en "virksomhedskolonoskopi" for at se efter sikkerhedsspørgsmål og derefter rette dem.

I et intervju på scenen sagde Amy Hess, administrerende assisterende direktør for FBIs kriminelle, cyber-, respons- og servicesektor (øverst), at terrorisme, spionage, IP-tyveri og enkel kriminalitet alle er en del af "cyber" -spørgsmålene.

Hun sagde, at Kinas mål er "at blive verdens dominerende supermagt", og tilføjede, at den kinesiske regering er villig til at stjæle information, intellektuel ejendomsret, personlige identificerbare oplysninger (PII), regeringshemmeligheder og F&U for at komme dertil. Derudover, sagde hun, er kineserne villige til at investere i virksomheder og blive en del af forsyningskæden for at få mere information. Hun sagde, at dette giver dem let adgang til teknologi, der tog amerikanske virksomheder år at udvikle, og tappede amerikansk opfindsomhed. ”De får det gratis, de får det hurtigt, ” sagde hun.

Rusland var anderledes, sagde Hess, for selv om det stadig var interesseret i at stjæle militære hemmeligheder, regeringshemmeligheder og F&U, var det også en "ondartet udenlandsk indflydelse." Hun sagde, at Rusland brugte vores afhængighed af sociale medier for at få folk til at stille spørgsmålstegn ved, om det, de læser, er reelt, og til at bruge disse platforme til at opdele os.

Hess sagde, at FBI koordinerer med Department of Homeland Security om, hvordan man forsvarer netværk i USA og samarbejder med Department of Defense for at se, hvad der sker offshore. Men hun sagde, at FBI's vigtigste rolle var "ansvarlighed" - for at finde ud af, hvem der hacking og holde dem ansvarlige. For eksempel sagde hun, at baseret på FBI-efterforskning anklagede Justitsministeriet flere enkeltpersoner med at stjæle information i opkaldet til præsidentvalget i 2016. FBI så forsøg på at infiltrere valgsystemer i 2016, sagde hun, men selv om der ikke var noget som helst tegn på, at stemmer blev ændret, forsøgte hackere bestemt at få information omkring valgprocessen.

Hun var ikke kun bekymret over Kina og Rusland, hvor FBI formelt har anklaget agenter fra disse regeringer, men også Iran og Nordkorea. Kriminelle var også et spørgsmål, da "penge er temmelig fænomenale." Hun sagde, at FBI's genopretningsaktivteam i de sidste 15 måneder fik 380 millioner dollars, eller 78 procent af det, der blev kaldt ind.

FBI opfordrede stærkt virksomheder til at kontakte det, når de ser noget der ser ud, sagde Hess. Hun sagde, at hun indså, at nogle virksomheder kan føle, at de er i en konkurrencemæssig ulempe, hvis de anerkender, at de muligvis er blevet hacket, men FBI kan hjælpe, hjælpe andre mennesker og hjælpe med at forhindre det næste angreb. Hun bemærkede, at FBI ikke har nogen forpligtelse til at fortælle verden om et angreb og sagde: "Vi tager det meget alvorligt."

Hun ønskede at tilskynde til samarbejde og samarbejde, at hun lettere kunne se evnen til at bevæge sig frem og tilbage mellem den private sektor og regeringen lettere. Mens regeringen ikke kan konkurrere med den private industri i lønninger til fagfolk inden for cybersikkerhed, kan den konkurrere på mission, sagde hun. I det mindste "Vi har brug for hinanden for at dele information."

Det største problem inden for cybersikkerhed forbliver mennesker, sagde hun. Dette inkluderer brugerfejl, såsom ikke at opdatere systemer eller installere programrettelser, såvel som "vedvarende klik på ting, hvor du ikke ved, hvor de fører til."

På spørgsmålet om, hvad hendes største frygt var, sagde Hess, at det var selskabets "kritiske infrastruktur", og hvordan nogen, der udtager selv en lille del af mobilnetværket, økonomi, energi eller transportnet, kunne have "alvorlige konsekvenser." Hun var bekymret for nye tilsluttede enheder og sagde, at i et hast med at få ting til at markedsføre, er sikkerhed undertiden en eftersyn.

Jeg spurgte, hvad hun syntes om virksomheder eller kommuner, der betalte ransomware, et problem, der har været i nyhederne sidst. Hun sagde, at det ikke var en god ide at betale løsepenge, da dette bare "opmuntrer andre." Derudover var der aldrig en garanti for, at det ville fungere. Hun sagde for nylig, at ransomware mere sandsynligt ville målrette mod mindre virksomheder, der er "potentielt mere modtagelige" såvel som kommuner.

"Du bliver et mål, " sagde Hess, "så tænk på dig selv på den måde."

Hun blev også spurgt om begrebet "hacking back" og sagde, at hun havde reelle bekymringer for, at den private industri begik stødende handlinger. Hun sagde, at hun var bekymret for sikkerhedsskader, sekundære og tertiære konsekvenser, som organisationerne muligvis ikke er klar over, og hvordan dette kunne være mere farligt for den kritiske infrastruktur.