Џек Козиол, основач и извршен директор на Infosec – Интервјуа за сајбер-безбедност

Џек Козиол, основач и извршен директор на Инфосек, тие се специјализирани за зајакнување на организациите и нивните вработени против безбедносни закани со наградувано образование за безбедност и приватност. Препознавањето на сајбер-безбедноста е работа на секого, тие обезбедуваат обука за развој на вештини и сертификација за ИТ и безбедносните професионалци додека ја градат целата безбедносна способност на работната сила со обука за подигање на свеста и симулации за фишинг. Препознаен како а Избор на клиенти на Gartner Peer Insights за обука за компјутерска свесност за безбедноста, Infosec е, исто така, индустрија за обука „Топ 20 ИТ-компанија за обука“ и златен добитник на Програмата за обука и едукација за безбедноста во глобалните награди за извонредност на Водичот за информации за безбедност.

Првично почнавте да работите со сајбер-безбедност во банката Харис во 2003 година, што вклучуваше вашата работа и како индустријата се промени оттогаш?

Јас бев единствениот професионалец за сајбер безбедност што работеше во банката во 2003 година. Имавме други вкрстено функционални улоги во нашиот корпоративен родител, БМО, но јас бев единствениот вработен со полно работно време посветен на сајбер-безбедноста во тоа време. Промените во технологијата - и нивните поврзани ризици - драматично влијаеја на индустријата уште од моето време во банката Харис. Буџетите за сајбер безбедноста и големината на тимовите се зголемија за најмалку десет пати за да бидат во чекор со заканите за сајбер-безбедноста насочени кон индустријата за финансиски услуги. Она што ми беше доделено пред 15 години како индивидуален соработник сега веројатно е управувано од тим од над 100 професионалци за сајбер безбедност.

Додека работевте во банката, го објавивте „The Shellcoder's Handbook“, една од првите книги за етичко хакирање. Каков беше вашиот начин на размислување за време на пишувањето на оваа книга?

Кога ја напишав книгата, примарниот форум за споделување информации поврзани со експлоатација беше мејлинг листа наречена BUGTRAQ. Прирачникот на Shellcoder ги направи овие малку таинствени информации подостапни така што ги сподели со многу поширока публика на лесно разбирлив начин. Толку многу луѓе во тоа време сакаа - и требаше - да научат за пишувањето експлоатирано. Знаев дека можам да ги научам другите како да пишуваат софтверски експлоатации со практични примери од моето искуство. Себично, сакав и да се тргнам од работа во банка и да ја одведам кариерата во друга насока.

Можете ли да ја споделите приказната за генезата зад Infosec?

Сè започна откако го објавив Прирачникот на Shellcoder. Неговата популарност го поттикна потребниот интерес и свесност за етичкото хакирање и пропустите на софтверот, што доведе до повеќекратни барања да се подучуваат камповите за подигање на софтверските експлоатации опфатени во книгата. Го искористив времето за одмор за да предавам неколку курсеви, но на крајот остана без PTO, па ја напуштив мојата дневна работа во банка и ги поминав следните неколку години патувајќи низ светот учејќи луѓе со корпоративни работни места како да хакираат. Беше доста забавно.

За тоа време, софтверската индустрија експлодираше. Новите алатки и платформи воведоа повеќе безбедносни ризици, што доведува до уште поголема потреба за обука за сајбер-безбедност. И како што сајбер-криминалците ги проширија целите од софтвер за да ги вклучат корисниците на софтвер, побарувачката за скалабилно образование за сајбер-безбедност заснована на улоги вртоглаво порасна.

Токму во тој момент Infosec ги зголеми нашите образовни услуги преку софтвер како услуга и ги разви најголемите светски платформи за едукација за сајбер безбедност, Инфосек вештини   IQ на Инфосек. Двете платформи обезбедуваат практична обука релевантна за улогата на целото претпријатие за да ги поттикне вработените со знаење, вештини и доверба да го надмудри сајбер криминалот. Денес, повеќе од 70% од Fortune 500 се потпираат на Infosec Skills за да ги развијат своите безбедносни таленти и тимови, а повеќе од 5 милиони ученици ширум светот се поотпорни на сајбер од безбедноста на свеста и обуката за фишинг на Infosec IQ.

Дали би можеле да разговарате за некои од најпопуларните сертификати и курсеви за сајбер-безбедност што ги нуди Infosec?

Infosec обезбедува едукација за сајбер-безбедност базирана на улоги за целата организација - од одделот за сметководство до тимот на SOC. Бидејќи Infosec е неутрален добавувач, веројатно не е изненадувачки да научиме дека некои од нашите најпопуларни кампови за подигање се оние што ги подготвуваат студентите за бараните сертификати како CISSP, Security+ и Certified Ethical Hacker (CEH). Она што го прави Infosec уникатен е начинот на кој ги подготвуваме студентите за нивните испити. Ние користиме комбинација од извонредни предавања и практични лаборатории во сајбер опсегот за да им помогнеме на студентите да учат со правење и да учат вредни вештини кои можат веднаш да се применат на нивните работни места. На Сајбер опсег на Infosec Skills е едно од најпопуларните искуства за учење на платформата и нешто во што многу инвестираме оваа година.

На страната на безбедносната свест и обуката, нашата новоиздадена Изберете ги вашите сопствени игри за безбедност Adventure® целосно го сменија начинот на кој нашите клиенти обезбедуваат безбедносна свест и обука на своите вработени. Соработувавме со тимот зад брендот Choose Your Own Adventure® за да ја пренесеме возбудата и мистеријата на популарната серија книги за игри до програмите за безбедност и обука низ целиот свет. Игрите ги ставаат учениците одговорни за сопствената програма за обука за свесност за безбедноста со интерактивни приказни кои поттикнуваат критичко размислување и донесување одлуки - додека го одржуваат тренингот забавен.

Колку е важно градењето на свеста на вработените за заканите по сајбер безбедноста?

Градењето на свеста на вработените за заканите по сајбер-безбедноста обезбедува придобивки надвор од безбедноста и усогласеноста на корпоративните податоци. Надвор од очигледните предности за помагање на организациите да избегнат скапи, често штетни, безбедносни инциденти, програмите за едукација за сајбер безбедност ги штитат вработените и на работа и дома. Знаејќи како да избегнете напад на фишинг или да обезбедите IoT уред може да ги заштитите вработените од катастрофални лични загуби, па дури и закани за нивните семејства. Разбирањето како да останете безбедни на интернет веќе не е само работа - тоа е животна вештина. Не би можеле да бидеме повеќе горди што им помагаме на нашите клиенти да ги заштитат своите бизниси, клиенти и персонал од сајбер закани и лоши актери.

Кој е најчестиот метод што вработените стануваат жртви на експлоатирања или хакери?

Повеќето истражувачи за сајбер безбедност се согласуваат дека поголемиот дел од прекршувањата на податоците може да се припишат на човечка грешка. На најновата студија на IBM X-Force Threat Intelligence Index пријавува откуп, кражба на податоци и пристап до серверот како три најчести типови напади во 2020 година и скенирање и експлоатација, фишинг и кражба на акредитиви како првите 3 вектори за почетни напади. Фишингот е многу сериозна и честа закана за безбедноста и затоа е опширно покриен од медиумите. Реалноста е додека многу прекршувања започнуваат со фишинг и малициозен софтвер, степенот до кој хакерите добиваат пристап до чувствителни информации и системи често е одраз на ИТ инфраструктурата на организацијата и целокупната безбедносна положба. Неодамнешниот инцидент на SolarWinds е само еден од многуте примери каде што нешто толку едноставно како посилна политика за лозинка или поефикасна програма за подигање на свеста за безбедноста можеби спречило големо прекршување.

Крајна линија: празнините во знаењето за сајбер-безбедноста на кое било ниво на организацијата претставуваат безбедносни ризици за организацијата и треба да се ублажат со свесност и едукација за безбедноста на вработените.

Сајбер-безбедноста секогаш се развива, колку често работодавачите и вработените треба повторно да се запознаат со потенцијалните сајбер закани?

Како безбедносни професионалци, никогаш не сме завршиле со учењето. Наша одговорност е да се развиваме заедно со потребите на технологијата - и новите пропусти што тие можат да ги воведат - за да останеме понапред од сајбер криминалот. Препорачуваме најмалку 1-3 часа посветено учење неделно за професионалци за сајбер-безбедност и месечни обуки за подигање на свеста и симулации за фишинг за нетехнички персонал.

Експертите за учење на возрасни често цитираат Заборавена крива на Ебингхаус да се врати дома важноста на честите обуки на вработените. Теоријата суштински вели дека без распоредено повторување за зајакнување на новото знаење, вработените ќе заборават 90% од новите информации во рок од еден месец.

Рачна техничка обука преку сајбер опсег или гејмифицирана безбедносна свест преку a Изберете ја вашата сопствена игра за свесност за безбедноста Adventure® се само неколку начини на кои им помагаме на нашите клиенти да учат преку правење и максимизирање на задржувањето на знаењето. Програмите за континуирано учење како овие инспирираат сигурни навики додека помагаат да се изгради култура на безбедност на работното место.

Ви благодариме за одличното интервју, читателите кои сакаат да дознаат повеќе треба да го посетат Инфосек.