Żyjemy w erze „incydentów” cybernetycznych Chcę płakać Do PRZESUŃ to. Jednakże niezaprzeczalnie rzadko zdarza się, aby sprzedawca znalazł się w centrum takiego zdarzenia w tak znaczący sposób. Wpisz CrowdStrike. Chociaż należy zauważyć, iż awaria IT w CrowdStrike nie była incydentem cybernetycznym, postawiła ona CrowdStrike w centrum uwagi na całym świecie i zmusiła świat do zadania sobie pytania: czy jesteśmy zbyt zależni od niektórych organizacji? Co by się stało, gdyby coś takiego zrobił stało się w wyniku cyberataku?
Bezpośrednio po zdarzeniu tego rodzaju (i skali) ludzie domagają się odpowiedzi, odpowiedzialności i odpowiedzialności. To bardzo ludzka reakcja w chwilach kryzysu. Zrozumienie pierwotnych przyczyn niepowodzeń jest niezbędne do zbudowania bardziej odpornej społeczności. Dla specjalistów zajmujących się bezpieczeństwem cybernetycznym po jakimkolwiek incydencie cybernetycznym, informatycznym lub szerzej związanym z technologią następuje okres refleksji i potrzeba zrozumienia pierwotnych przyczyn. Wiedza o tym pomaga nam zaplanować wszelkie trwałe skutki i wdrożyć plany zapobiegania i reagowania.
Niedawna awaria systemów informatycznych nie jest wprawdzie tradycyjnym naruszeniem bezpieczeństwa cybernetycznego, ale podkreśla wagę tworzenia bezpiecznego oprogramowania. Poleganie na kilku firmach w zakresie podstawowej infrastruktury powoduje powstawanie pojedynczych punktów awarii i podatności na ryzyko stron trzecich, co jest wyjątkowo ryzykowne.
Zobowiązanie CISA Secure By Design to krok we adekwatnym kierunku w zakresie bezpiecznego rozwoju oprogramowania, zachęcający organizacje do priorytetowego traktowania bezpieczeństwa w swoich procesach rozwoju. Jednak przyjęcie w całej branży wymaga połączenia przepisów, wytycznych rządowych i wspólnych wysiłków. Budowanie bezpieczeństwa już od samego początku jest niezbędne, zwłaszcza ze względu na wyzwania związane z modernizacją istniejących systemów. Chociaż bezpieczne budowanie może na pierwszy rzut oka nie wydawać się najszybsze i najtańsze w produkcji, jest to odpowiedzialność, której nie można zignorować, zwłaszcza iż w dłuższej perspektywie zwykle oszczędza to koszty i czas.
Chociaż zrozumienie takiego zdarzenia z pewnością wiąże się z względami bezpieczeństwa, istnieje również strona komunikacji kryzysowej, która zapewnia kontrolę nad szkodami w przypadku klientów, partnerów i interesariuszy. Sposób radzenia sobie z kryzysem w oczach opinii publicznej i poza nim może zadecydować o przyszłości firmy lub ją złamać.
Myślę, iż CrowdStrike dobrze poradził sobie z tym incydentem. Dlaczego? Ponieważ firma była przejrzysta. CrowdStrike skupił się na posuwaniu się do przodu, zamiast na wytykaniu palcami. Wypuszczając regularne wypowiedzi oraz szczegółowy raport z dochodzenia po incydencie, CrowdStrike informował także szerszą społeczność, a także klientów i partnerów. W sprawozdaniu potwierdzono również, iż sytuacja się utrzymuje, nie przekazując nadmiernych informacji, jednocześnie wyjaśniając, dlaczego podjęto określone decyzje. W cyberbezpieczeństwie zbyt wiele dzieje się pod płaszczykiem tajemnicy, dlatego przejrzystość jest w takich sytuacjach niezbędna.
Z drugiej strony wydaje się, iż po incydencie CrowdStrike nawiązuje kontakt ze społecznością w skromniejszy sposób. Odbiór nagrody Pwnie za „Najbardziej epicką porażkę”. na tegorocznym DEF CON to jeden ze sposobów przyjęcia jajka na twarz, choć dość nowatorski. Chociaż nie neguje to powagi sytuacji, pokazuje jednak, ze strategicznego punktu widzenia, podejście CrowdStrike do odbudowy swojej reputacji w społeczności.
Jedno jest pewne, jako branża musimy zrezygnować z przejrzystości (i to nie tylko w czasach kryzysu). Otwartość ma najważniejsze znaczenie dla bezpieczeństwa, zadowolenia interesariuszy i odporności.
Elliott Wilkes jest dyrektorem technicznym w firmie Zaawansowane systemy cyberobrony. Wilkes, doświadczony lider transformacji cyfrowej i menedżer produktu, ma ponad dziesięcioletnie doświadczenie w pracy zarówno z rządami amerykańskimi, jak i brytyjskimi, ostatnio jako konsultant ds. bezpieczeństwa cybernetycznego w służbie cywilnej.
