Jack Koziol, Fondatore e Amministratore Delegato di Infosec – Interviste sulla Sicurezza Informatica

Jack Koziol, Fondatore e Amministratore Delegato di Infosec, si specializza nel rafforzare le organizzazioni e i loro dipendenti contro le minacce di sicurezza con formazione e istruzione sulla sicurezza e sulla privacy di alta qualità. Riconoscendo che la sicurezza informatica è un compito di tutti, fornisce sviluppo delle competenze e formazione per la certificazione per professionisti IT e di sicurezza, mentre costruisce la sicurezza dell’intera forza lavoro con la formazione sulla consapevolezza e le simulazioni di phishing. Riconosciuto come Gartner Peer Insights Customers’ Choice per la formazione sulla consapevolezza della sicurezza basata su computer, Infosec è anche una società di formazione IT “Top 20” e il vincitore del premio per il programma di formazione e istruzione sulla sicurezza Gold Winner nella guida ai prodotti di sicurezza Info Security Products Guide’s Global Excellence Awards.

Hai iniziato a lavorare nella sicurezza informatica alla Harris Bank nel 2003, cosa comportava il tuo lavoro e come è cambiata l’industria da allora?

Ero l’unico professionista della sicurezza informatica che lavorava alla banca nel 2003. Avevamo altri ruoli cross-funzionali nel nostro genitore aziendale, BMO, ma ero l’unico dipendente a tempo pieno dedicato alla sicurezza informatica in quel momento. I cambiamenti nella tecnologia – e i rischi associati – hanno avuto un impatto drammatico sull’industria dal mio tempo alla Harris Bank. I budget e le dimensioni dei team di sicurezza informatica sono aumentati di almeno dieci volte per tenere il passo con le minacce di sicurezza informatica che colpiscono l’industria dei servizi finanziari. Ciò che mi era stato assegnato 15 anni fa come contributore individuale è ora probabilmente gestito da un team di oltre 100 professionisti della sicurezza informatica.

Mentre lavoravi alla banca, hai pubblicato “The Shellcoder’s Handbook”, uno dei primi libri sull’hacking etico. Qual era la tua mentalità al momento della stesura di questo libro?

Quando ho scritto il libro, il principale forum per la condivisione di informazioni relative agli exploit era una mailing list chiamata BUGTRAQ. The Shellcoder’s Handbook ha reso queste informazioni più accessibili condividendole con un pubblico più ampio in modo facile da capire. Molte persone a quel tempo volevano – e avevano bisogno – di imparare a scrivere exploit. Sapevo di poter insegnare ad altri come scrivere exploit software con esempi pratici tratti dalla mia esperienza. Egoisticamente, volevo anche uscire dal lavoro alla banca e cambiare direzione nella mia carriera.

Potresti condividere la storia di genesi di Infosec?

Tutto è iniziato dopo che ho pubblicato The Shellcoder’s Handbook. La sua popolarità ha generato interesse e consapevolezza sull’hacking etico e le vulnerabilità del software, portando a numerose richieste di insegnare corsi di formazione sui exploit software trattati nel libro. Ho utilizzato il tempo di vacanza per insegnare alcuni corsi, ma alla fine ho esaurito le ferie, quindi ho lasciato il mio lavoro di giorno alla banca e ho trascorso i due anni successivi viaggiando in tutto il mondo per insegnare a persone con lavori aziendali come hacker. È stato molto divertente.

Durante quel periodo, l’industria del software è esplosa. Nuovi strumenti e piattaforme hanno introdotto maggiori rischi di sicurezza, portando a una maggiore necessità di formazione sulla sicurezza informatica. E poiché i cybercriminali hanno esteso i loro bersagli dal software agli utenti del software, la domanda di formazione sulla sicurezza informatica basata su ruoli e scalabile è aumentata.

È stato a quel punto che Infosec ha ampliato i nostri servizi educativi attraverso il software come servizio e ha sviluppato le più grandi piattaforme di formazione sulla sicurezza informatica del mondo, Infosec Skills e Infosec IQ. Entrambe le piattaforme forniscono formazione pratica e basata sui ruoli all’intera azienda per potenziare i dipendenti con le conoscenze, le competenze e la fiducia per superare la cybercriminalità. Oggi, più del 70% delle aziende Fortune 500 si sono affidate a Infosec Skills per sviluppare il loro talento e i loro team di sicurezza, e più di 5 milioni di apprendisti in tutto il mondo sono più resilienti ai cyber-attacchi grazie alla formazione sulla consapevolezza della sicurezza e alle simulazioni di phishing di Infosec IQ.

Potresti discutere alcuni dei certificati e corsi di sicurezza informatica più popolari offerti da Infosec?

Infosec fornisce formazione sulla sicurezza informatica basata su ruoli per l’intera organizzazione – dal dipartimento di contabilità al team SOC. Poiché Infosec è neutrale rispetto ai vendor, probabilmente non sorprende scoprire che alcuni dei nostri corsi di formazione più popolari sono quelli che preparano gli studenti per le certificazioni più richieste come CISSP, Security+ e Certified Ethical Hacker (CEH). Ciò che rende Infosec unico è il modo in cui prepariamo gli studenti per gli esami. Utilizziamo una combinazione di lezioni immersive e laboratori pratici nel cyber range per aiutare gli studenti a imparare facendo e insegnare competenze preziose che possono essere applicate immediatamente ai loro lavori. Il Infosec Skills cyber range è una delle esperienze di apprendimento più popolari nella piattaforma e qualcosa in cui stiamo investendo molto quest’anno.

Sul lato della consapevolezza e della formazione sulla sicurezza, i nostri nuovi Choose Your Own Adventure® Security Awareness Games hanno completamente cambiato il modo in cui i nostri clienti forniscono la formazione sulla consapevolezza della sicurezza e la formazione ai loro dipendenti. Abbiamo collaborato con il team dietro il marchio Choose Your Own Adventure® per portare l’eccitazione e il mistero della serie di libri di giochi di avventura alla formazione sulla consapevolezza della sicurezza e ai programmi di formazione in tutto il mondo. I giochi mettono gli apprendisti al comando del loro programma di formazione sulla consapevolezza della sicurezza con trame interattive che incoraggiano il pensiero critico e la presa di decisioni – mantenendo la formazione divertente.

Quanto è importante costruire la consapevolezza dei dipendenti sulle minacce di sicurezza informatica?

Costruire la consapevolezza dei dipendenti sulle minacce di sicurezza informatica fornisce vantaggi oltre la sicurezza dei dati aziendali e la conformità. Oltre ai vantaggi ovvi di aiutare le organizzazioni a evitare incidenti di sicurezza costosi e spesso devastanti, i programmi di formazione sulla sicurezza informatica proteggono i dipendenti sia sul lavoro che a casa. Sapere come evitare un attacco di phishing o proteggere un dispositivo IoT può proteggere i dipendenti da perdite personali devastanti e persino minacce alle loro famiglie. Capire come rimanere al sicuro online non è più solo una questione di lavoro – è una competenza di vita. Non potremmo essere più orgogliosi di aiutare i nostri clienti a proteggere le loro aziende, clienti e personale da minacce informatiche e attori malintenzionati.

Qual è il metodo più comune con cui i dipendenti cadono vittime di exploit o hacker?

La maggior parte dei ricercatori di sicurezza informatica concorda che la maggior parte delle violazioni dei dati può essere attribuita all’errore umano. Lo ultimo studio dell’IBM X-Force Threat Intelligence Index riporta che il ransomware, il furto di dati e l’accesso al server sono i tre tipi di attacco più comuni nel 2020, e scan-and-exploit, phishing e furto di credenziali sono i tre vettori di attacco iniziali principali. Il phishing è una minaccia di sicurezza molto seria e comune e quindi è trattato ampiamente dai media. La realtà è che molte violazioni iniziano con il phishing e il malware, ma l’estensione a cui gli hacker accedono a informazioni e sistemi sensibili è spesso una riflessione della postura di sicurezza generale dell’organizzazione. L’incidente recente di SolarWinds (SWI ) è solo uno degli esempi in cui qualcosa di semplice come una politica di password più forte o un programma di consapevolezza della sicurezza più efficace avrebbe potuto prevenire una violazione importante.

In sintesi: le lacune nella conoscenza della sicurezza informatica a qualsiasi livello dell’organizzazione rappresentano rischi di sicurezza per l’organizzazione e dovrebbero essere mitigate con la formazione sulla consapevolezza della sicurezza dei dipendenti.

La sicurezza informatica è sempre in evoluzione, con quale frequenza i datori di lavoro e i dipendenti devono ri-familiarizzare con le potenziali minacce informatiche?

Come professionisti della sicurezza informatica, non finiamo mai di imparare. È nostra responsabilità evolvere insieme alle esigenze della tecnologia – e alle nuove vulnerabilità che potrebbero introdurre – per stare al passo con la cybercriminalità. Consigliamo almeno 1-3 ore di apprendimento dedicato alla settimana per i professionisti della sicurezza informatica e formazione sulla consapevolezza mensile e simulazioni di phishing per il personale non tecnico.

Gli esperti dell’apprendimento degli adulti spesso citano Ebbinghaus’ Forgetting Curve per sottolineare l’importanza della formazione frequente per i dipendenti. La teoria sostanzialmente afferma che senza ripetizione spaziata per rafforzare le nuove conoscenze, i dipendenti dimenticheranno il 90% delle nuove informazioni entro un mese.

La formazione tecnica pratica attraverso un cyber range o la formazione sulla consapevolezza della sicurezza tramite un Choose Your Own Adventure® Security Awareness Game sono solo alcuni dei modi in cui aiutiamo i nostri clienti a imparare facendo e a massimizzare la conservazione delle conoscenze. I programmi di apprendimento continuo come questi ispirano abitudini sicure mentre aiutano a costruire una cultura della sicurezza sul posto di lavoro.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Infosec.