Jack Koziol, Pendiri & CEO Infosec – Wawancara Keamanan Siber

Jack Koziol, Pendiri & CEO Infosec, mereka mengkhususkan diri dalam memperkuat organisasi dan karyawannya melawan ancaman keamanan dengan pendidikan keamanan dan privasi yang memenangkan penghargaan. Mengakui bahwa keamanan siber adalah tanggung jawab semua orang, mereka menyediakan pengembangan keterampilan dan pelatihan sertifikasi untuk profesional TI dan keamanan siber sambil membangun kemampuan keamanan seluruh tenaga kerja dengan pelatihan kesadaran dan simulasi phishing. Diakui sebagai Gartner Peer Insights Customers’ Choice untuk Pelatihan Berbasis Komputer Kesadaran Keamanan Siber, Infosec juga merupakan Perusahaan Pelatihan IT “Top 20” dan Pemenang Emas Program Pelatihan dan Pendidikan Keamanan di Info Security Products Guide’s Global Excellence Awards.

Anda awalnya memulai bekerja di bidang keamanan siber di Harris Bank pada tahun 2003, apa yang Anda lakukan dan bagaimana industri ini berubah sejak saat itu?

Saya adalah satu-satunya profesional keamanan siber yang bekerja di bank pada tahun 2003. Kami memiliki peran lintas fungsional lainnya di perusahaan induk kami, BMO, tetapi saya adalah satu-satunya karyawan penuh waktu yang didedikasikan untuk keamanan siber pada saat itu. Perubahan teknologi — dan risiko yang terkait — telah secara dramatis mempengaruhi industri sejak saya bekerja di Harris Bank. Anggaran keamanan siber dan ukuran tim telah meningkat setidaknya sepuluh kali lipat untuk mengimbangi ancaman keamanan siber yang menargetkan industri jasa keuangan. Apa yang saya lakukan 15 tahun yang lalu sebagai kontributor individu sekarang kemungkinan besar dikelola oleh tim yang terdiri dari lebih dari 100 profesional keamanan siber.

Ketika Anda bekerja di bank, Anda menerbitkan “The Shellcoder’s Handbook”, salah satu buku pertama tentang peretasan etis. Apa yang Anda pikirkan saat menulis buku ini?

Ketika saya menulis buku itu, forum utama untuk berbagi informasi tentang eksploitasi adalah sebuah daftar surel yang disebut BUGTRAQ. The Shellcoder’s Handbook membuat informasi yang agak arkais ini lebih mudah diakses dengan membagikannya kepada audiens yang lebih luas dengan cara yang mudah dipahami. Banyak orang pada saat itu ingin — dan perlu — belajar tentang penulisan eksploitasi. Saya tahu saya bisa mengajar orang lain tentang menulis eksploitasi perangkat lunak dengan contoh-contoh praktis dari pengalaman saya sendiri. Saya juga ingin keluar dari pekerjaan di bank dan mengambil karir saya ke arah yang berbeda.

Bagaimana cerita asal-usul Infosec?

Semua itu dimulai setelah saya menerbitkan The Shellcoder’s Handbook. Popularitasnya menghasilkan minat dan kesadaran yang diperlukan tentang peretasan etis dan kerentanan perangkat lunak, yang menyebabkan banyak permintaan untuk mengajar boot camp tentang eksploitasi perangkat lunak yang dibahas dalam buku tersebut. Saya menggunakan waktu liburan untuk mengajar beberapa kursus, tetapi akhirnya saya kehabisan cuti, jadi saya meninggalkan pekerjaan saya di bank dan menghabiskan beberapa tahun berikutnya bepergian ke seluruh dunia untuk mengajar orang-orang dengan pekerjaan korporat tentang cara meretas. Ini sangat menyenangkan.

Selama waktu itu, industri perangkat lunak meledak. Alat dan platform baru memperkenalkan lebih banyak risiko keamanan, yang menyebabkan kebutuhan yang lebih besar akan pelatihan keamanan siber. Dan ketika penjahat siber memperluas target mereka dari perangkat lunak ke pengguna perangkat lunak, permintaan akan pelatihan keamanan siber yang berbasis peran dan dapat diskalakan meningkat pesat.

Itulah saat Infosec memperluas layanan pendidikan kami melalui perangkat lunak sebagai layanan, dan mengembangkan platform pendidikan keamanan siber terbesar di dunia, Infosec Skills dan Infosec IQ. Kedua platform ini menyediakan pelatihan tangan yang relevan dengan peran untuk seluruh perusahaan untuk memberdayakan karyawan dengan pengetahuan, keterampilan, dan kepercayaan diri untuk mengalahkan kejahatan siber. Saat ini, lebih dari 70% dari Fortune 500 telah mengandalkan Infosec Skills untuk mengembangkan bakat keamanan dan tim mereka, dan lebih dari 5 juta pembelajar di seluruh dunia lebih tangguh terhadap siber berkat pelatihan kesadaran keamanan dan simulasi phishing Infosec IQ.

Apakah Anda bisa membahas beberapa sertifikat dan kursus keamanan siber yang paling populer yang ditawarkan oleh Infosec?

Infosec menyediakan pendidikan keamanan siber berbasis peran untuk seluruh organisasi — dari departemen akuntansi hingga tim SOC. Karena Infosec adalah netral vendor, mungkin tidak mengejutkan untuk mengetahui bahwa beberapa boot camp kami yang paling populer adalah mereka yang mempersiapkan siswa untuk sertifikasi yang sangat dibutuhkan seperti CISSP, Security+, dan Certified Ethical Hacker (CEH). Apa yang membuat Infosec unik adalah cara kami mempersiapkan siswa untuk ujian mereka. Kami menggunakan kombinasi kuliah yang imersif dan laboratorium tangan di cyber range untuk membantu siswa belajar dengan melakukan dan mengajar keterampilan yang berharga yang dapat segera diterapkan dalam pekerjaan mereka. Infosec Skills cyber range adalah salah satu pengalaman belajar paling populer di platform, dan ini adalah sesuatu yang kami investasikan secara besar-besaran pada tahun ini.

Di sisi kesadaran keamanan dan pelatihan, Choose Your Own Adventure® Security Awareness Games yang baru saja kami rilis telah mengubah cara klien kami menyampaikan kesadaran keamanan dan pelatihan kepada karyawannya. Kami bermitra dengan tim di balik merek Choose Your Own Adventure® untuk membawa kegembiraan dan misteri dari seri buku permainan populer ke program kesadaran keamanan dan pelatihan di seluruh dunia. Permainan ini menempatkan pembelajar sebagai pemimpin program kesadaran keamanan mereka sendiri dengan cerita interaktif yang mendorong pemikiran kritis dan pengambilan keputusan — sambil menjaga pelatihan tetap menyenangkan.

Seberapa pentingnya membangun kesadaran karyawan tentang ancaman keamanan siber?

Membangun kesadaran karyawan tentang ancaman keamanan siber memberikan manfaat yang melampaui keamanan data perusahaan dan kepatuhan. Selain keuntungan yang jelas dalam membantu organisasi menghindari insiden keamanan yang mahal dan merusak, program pendidikan keamanan siber melindungi karyawan baik di tempat kerja maupun di rumah. Mengetahui cara menghindari serangan phishing atau mengamankan perangkat IoT dapat melindungi karyawan dari kerugian pribadi yang menghancurkan dan bahkan ancaman terhadap keluarga mereka. Memahami cara tetap aman online tidak hanya menjadi masalah kerja — ini adalah keterampilan hidup. Kami tidak bisa lebih bangga untuk membantu klien kami melindungi bisnis, klien, dan staf mereka dari ancaman keamanan siber dan aktor jahat.

Apa metode paling umum yang digunakan karyawan untuk menjadi korban eksploitasi atau peretas?

Sebagian besar peneliti keamanan siber setuju bahwa sebagian besar pelanggaran data dapat dikaitkan dengan kesalahan manusia. Studi terbaru IBM X-Force Threat Intelligence Index melaporkan ransomware, pencurian data, dan akses server sebagai tiga jenis serangan paling umum pada tahun 2020, dan scan-and-exploit, phishing, dan pencurian kredensial sebagai tiga vektor serangan awal teratas. Phishing adalah ancaman keamanan yang sangat serius dan umum, dan oleh karena itu, dilaporkan secara luas oleh media. Kenyataannya adalah bahwa banyak pelanggaran dimulai dengan phishing dan malware, tetapi sejauh mana peretas mendapatkan akses ke informasi sensitif dan sistem sering kali merupakan refleksi dari infrastruktur TI dan postur keamanan keseluruhan organisasi. Insiden SolarWinds (SWI ) baru-baru ini adalah salah satu contoh di mana sesuatu yang sederhana seperti kebijakan kata sandi yang lebih kuat atau program kesadaran keamanan yang lebih efektif mungkin telah mencegah pelanggaran besar.

Intinya: celah pengetahuan keamanan siber pada tingkat apa pun dalam organisasi merupakan risiko keamanan bagi organisasi dan harus dimitigasi dengan kesadaran keamanan dan pendidikan karyawan.

Keamanan siber selalu berkembang, seberapa seringkah majikan dan karyawan perlu memperbarui diri dengan ancaman keamanan siber yang potensial?

Sebagai profesional keamanan siber, kita tidak pernah selesai belajar. Ini adalah tanggung jawab kita untuk berkembang bersama dengan kebutuhan teknologi — dan kerentanan baru yang mungkin mereka perkenalkan — untuk tetap mendahului kejahatan siber. Kami merekomendasikan setidaknya 1-3 jam pembelajaran yang didedikasikan per minggu untuk profesional keamanan siber, dan pelatihan kesadaran bulanan dan simulasi phishing untuk staf non-teknis.

Ahli pembelajaran dewasa sering mengutip Kurva Penghapusan Ebbinghaus untuk menekankan pentingnya pelatihan karyawan yang sering. Teorinya pada dasarnya menyatakan bahwa tanpa pengulangan yang diperjarakan untuk memperkuat pengetahuan baru, karyawan akan melupakan 90% informasi baru dalam satu bulan.

Pelatihan teknis tangan melalui cyber range atau kesadaran keamanan yang digamifikasi melalui Choose Your Own Adventure® Security Awareness Game adalah beberapa cara kami membantu klien kami belajar dengan melakukan dan memaksimalkan retensi pengetahuan. Program pembelajaran berkelanjutan seperti ini menginspirasi kebiasaan yang aman sambil membantu membangun budaya keamanan di tempat kerja.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut harus mengunjungi Infosec.