Jack Koziol, osnivač i izvršni direktor tvrtke Infosec – Intervjui o kibernetičkoj sigurnosti

Jack Koziol, osnivač i izvršni direktor tvrtke Infosec, specijalizirani su za zaštitu organizacija i njihovih zaposlenika od sigurnosnih prijetnji nagrađivanim obrazovanjem o sigurnosti i privatnosti. Prepoznajući da je kibernetička sigurnost svačiji posao, oni pružaju obuku za razvoj vještina i certifikaciju za IT i sigurnosne stručnjake dok istovremeno izgrađuju sigurnosne sposobnosti cjelokupne radne snage uz obuku za podizanje svijesti i simulacije krađe identiteta. Prepoznat kao a Gartner Peer Insights Customers' Choice za informatičku obuku temeljenu na računalu, Infosec je također industrija obuke “20 najboljih IT tvrtki za obuku” i Zlatni pobjednik Programa sigurnosne obuke i obrazovanja u Global Excellence Awards Vodiča za informacijsku sigurnost proizvoda.

U početku ste 2003. godine počeli raditi na kibernetičkoj sigurnosti u Harris banci, što je uključivao vaš posao i kako se industrija od tada promijenila?

Bio sam jedini stručnjak za kibernetičku sigurnost koji je radio u banci 2003. Imali smo druge međufunkcionalne uloge u našoj matičnoj kompaniji, BMO, ali sam u to vrijeme bio jedini zaposlenik s punim radnim vremenom posvećen kibersigurnosti. Promjene u tehnologiji - i s njima povezani rizici - dramatično su utjecali na industriju od mog vremena u Harris banci. Proračuni za kibernetičku sigurnost i veličina timova povećali su se najmanje deseterostruko kako bi išli u korak s prijetnjama kibernetičke sigurnosti usmjerene na industriju financijskih usluga. Ono što mi je dodijeljeno prije 15 godina kao pojedinačnom suradniku sada vjerojatno upravlja tim od preko 100 stručnjaka za kibersigurnost.

Dok ste radili u banci objavili ste “The Shellcoder's Handbook”, jednu od prvih knjiga o etičkom hakiranju. Kako ste razmišljali u vrijeme pisanja ove knjige?

Kad sam napisao knjigu, primarni forum za razmjenu informacija o iskorištavanju bila je lista za slanje e-pošte pod nazivom BUGTRAQ. Shellcoder's Handbook učinio je ove pomalo tajanstvene informacije pristupačnijim podijelivši ih s mnogo širom publikom na lako razumljiv način. Toliko je ljudi u to vrijeme željelo - i trebalo - naučiti o pisanju iskorištavanja. Znao sam da mogu podučiti druge kako pisati softverske eksploatacije s praktičnim primjerima iz vlastitog iskustva. Sebično sam također želio napustiti rad u banci i pokrenuti svoju karijeru u drugom smjeru.

Možete li podijeliti priču o nastanku iza Infoseca?

Sve je počelo nakon što sam objavio The Shellcoder's Handbook. Njegova popularnost potaknula je potrebno zanimanje i svijest o etičkom hakiranju i ranjivostima softvera, što je dovelo do brojnih zahtjeva za podučavanje polaznika na tečajevima o softverskim eksploatacijama obuhvaćenim u knjizi. Iskoristio sam vrijeme odmora da predajem nekoliko kolegija, ali na kraju sam ostao bez PTO-a, pa sam napustio svoj dnevni posao u banci i proveo sljedećih nekoliko godina putujući po svijetu podučavajući ljude s korporativnim poslovima kako hakirati. Bilo je jako zabavno.

U to je vrijeme softverska industrija eksplodirala. Novi alati i platforme uveli su više sigurnosnih rizika, što je dovelo do još veće potrebe za obukom o kibersigurnosti. A kako su kibernetički kriminalci proširili mete sa softvera na korisnike softvera, potražnja za skalabilnim obrazovanjem o kibernetičkoj sigurnosti temeljenom na ulogama naglo je porasla.

U tom je trenutku Infosec povećao naše obrazovne usluge putem softvera kao usluge i razvio najveće svjetske obrazovne platforme o kibersigurnosti, Infosec vještine i Infosec IQ. Obje platforme pružaju praktičnu obuku relevantnu za ulogu za cijelo poduzeće kako bi zaposlenike osnažili znanjem, vještinama i samopouzdanjem da nadmudre kibernetički kriminal. Danas se više od 70% Fortune 500 oslanja na Infosec Skills kako bi razvili svoje sigurnosne talente i timove, a više od 5 milijuna učenika diljem svijeta je otpornije na cyber-otpornost zahvaljujući Infosec IQ-ovoj obuci o svijesti o sigurnosti i krađi identiteta.

Možete li razgovarati o nekim od popularnijih certifikata i tečajeva o kibernetičkoj sigurnosti koje nudi Infosec?

Infosec pruža obrazovanje o kibernetičkoj sigurnosti temeljeno na ulogama za cijelu organizaciju — od odjela računovodstva do SOC tima. Budući da je Infosec neutralan prema dobavljačima, vjerojatno nije iznenađujuće saznati da su neki od naših najpopularnijih kampova za obuku oni koji pripremaju studente za tražene certifikate kao što su CISSP, Security+ i Certified Ethical Hacker (CEH). Ono što Infosec čini jedinstvenim je način na koji pripremamo studente za njihove ispite. Koristimo kombinaciju sveobuhvatnih predavanja i praktičnih laboratorija u kibernetičkom rasponu kako bismo studentima pomogli u učenju kroz rad i poučavali ih vrijednim vještinama koje se odmah mogu primijeniti na njihovim poslovima. The Cyber ​​raspon Infosec Skills jedno je od najpopularnijih iskustava učenja na platformi i nešto u što ove godine intenzivno ulažemo.

Što se tiče svijesti o sigurnosti i obuke, naše novo izdanje Odaberite svoje vlastite Adventure® igre za podizanje svijesti o sigurnosti potpuno su promijenili način na koji naši klijenti svojim zaposlenicima pružaju svijest o sigurnosti i obuku. Udružili smo se s timom koji stoji iza brenda Choose Your Own Adventure® kako bismo uzbuđenje i misterij popularne serije knjiga igrica prenijeli na sigurnosne programe i programe obuke diljem svijeta. Igre stavljaju učenike na odgovornost za vlastiti program obuke za podizanje svijesti o sigurnosti s interaktivnim pričama koje potiču kritičko razmišljanje i donošenje odluka — dok je obuka zabavna.

Koliko je važna izgradnja svijesti zaposlenika o prijetnjama kibernetičkoj sigurnosti?

Izgradnja svijesti zaposlenika o prijetnjama kibernetičkoj sigurnosti pruža prednosti izvan korporativne sigurnosti podataka i usklađenosti. Osim očitih prednosti pomaganja organizacijama u izbjegavanju skupih, često štetnih sigurnosnih incidenata, obrazovni programi o kibersigurnosti štite zaposlenike i na poslu i kod kuće. Znanje kako izbjeći phishing napad ili osigurati IoT uređaj može zaštititi zaposlenike od razornih osobnih gubitaka, pa čak i prijetnji njihovim obiteljima. Razumijevanje kako ostati siguran na internetu više nije samo radna stvar – to je životna vještina. Ne možemo biti ponosniji što pomažemo našim klijentima da zaštite svoje tvrtke, klijente i osoblje od cyber prijetnji i loših aktera.

Koji je najčešći način na koji zaposlenici postaju žrtve iskorištavanja ili hakera?

Većina istraživača kibernetičke sigurnosti slaže se da se većina povreda podataka može pripisati ljudskoj pogrešci. The najnovija studija IBM X-Force Threat Intelligence Index navodi ransomware, krađu podataka i pristup poslužitelju kao tri najčešća tipa napada u 2020., te skeniranje i iskorištavanje, krađu identiteta i krađu vjerodajnica kao prva 3 početna vektora napada. Phishing je vrlo ozbiljna i česta sigurnosna prijetnja i stoga je opširno pokriven u medijima. Stvarnost je takva da, dok mnoga kršenja započinju krađom identiteta i zlonamjernim softverom, opseg do kojeg hakeri dobivaju pristup osjetljivim informacijama i sustavima često je odraz IT infrastrukture organizacije i ukupnog sigurnosnog stanja. Nedavni incident sa SolarWinds samo je jedan od mnogih primjera gdje je nešto tako jednostavno kao što je jača politika lozinki ili učinkovitiji program podizanja svijesti o sigurnosti spriječilo veliki proboj.

Zaključak: praznine u znanju o kibersigurnosti na bilo kojoj razini organizacije predstavljaju sigurnosne rizike za organizaciju i treba ih ublažiti podizanjem svijesti i obrazovanjem zaposlenika o sigurnosti.

Kibernetička sigurnost stalno se razvija, koliko često se poslodavci i zaposlenici moraju ponovno upoznati s potencijalnim kibernetičkim prijetnjama?

Kao stručnjaci za sigurnost, nikad nismo završili s učenjem. Naša je odgovornost razvijati se u skladu s potrebama tehnologije — i novim ranjivostima koje one mogu uvesti — kako bismo bili ispred kibernetičkog kriminala. Preporučamo najmanje 1-3 sata posvećenog učenja tjedno za stručnjake za kibersigurnost i mjesečnu obuku za podizanje svijesti i simulacije krađe identiteta za netehničko osoblje.

Stručnjaci za obrazovanje odraslih često citiraju Ebbinghausova krivulja zaborava ukazati na važnost česte obuke zaposlenika. Teorija u suštini tvrdi da će zaposlenici zaboraviti 90% novih informacija u roku od jednog mjeseca bez ponavljanja u razmacima za učvršćivanje novog znanja.

Praktična tehnička obuka kroz cyber raspon ili svijest o igrificiranoj sigurnosti kroz a Odaberite svoju Adventure® igru ​​za podizanje svijesti o sigurnosti samo su neki od načina na koje pomažemo našim klijentima da uče kroz rad i maksimiziraju zadržavanje znanja. Programi kontinuiranog učenja poput ovih potiču sigurne navike dok pomažu u izgradnji kulture sigurnosti na radnom mjestu.

Hvala vam na sjajnom intervjuu, čitatelji koji žele saznati više neka ga posjete Infosec.