Jack Koziol, Themelues dhe CEO i Infosec – Intervista për Sigurinë Kibernetike

Jack Koziol, Themelues dhe CEO i Infosec, ata specializohen në forcimin e organizatave dhe punonjësve të tyre kundër kërcënimeve të sigurisë me edukimin e vlerësuar të sigurisë dhe privatësisë. Njohja e sigurisë kibernetike është puna e të gjithëve, ato ofrojnë trajnime për zhvillimin e aftësive dhe certifikimin për profesionistët e IT-së dhe sigurisë, ndërkohë që ndërtojnë të gjithë aftësinë e sigurisë së fuqisë punëtore me trajnime ndërgjegjësuese dhe simulime phishing. Njihet si a Zgjedhja e klientëve të Gartner Peer Insights për Trajnimin e Bazuar në Kompjuter për Ndërgjegjësimin e Sigurisë, Infosec është gjithashtu një industri trajnimi "Top 20 kompanitë e trajnimit të IT" dhe Programi i Trajnimit dhe Edukimit të Sigurisë Fitues i Artë në Çmimet Globale të Ekselencës të Udhëzuesit të Informacionit për Produktet e Sigurisë.

Fillimisht keni filluar të punoni për sigurinë kibernetike në Harris Bank në vitin 2003, çfarë përfshinte puna juaj dhe si ka ndryshuar industria që atëherë?

Unë isha i vetmi profesionist i sigurisë kibernetike që punoja në bankë në vitin 2003. Ne kishim role të tjera ndërfunksionale në prindin tonë të korporatës, BMO, por unë isha i vetmi punonjës me kohë të plotë i përkushtuar ndaj sigurisë kibernetike në atë kohë. Ndryshimet në teknologji - dhe rreziqet që lidhen me to - kanë ndikuar në mënyrë dramatike në industri që nga koha ime në Harris Bank. Buxhetet e sigurisë kibernetike dhe madhësitë e ekipeve janë rritur me të paktën dhjetëfish për të vazhduar me kërcënimet e sigurisë kibernetike që synojnë industrinë e shërbimeve financiare. Ajo që më caktuan 15 vjet më parë si një kontribues individual, tani ka të ngjarë të menaxhohet nga një ekip prej mbi 100 profesionistësh të sigurisë kibernetike.

Ndërsa punonit në bankë ju botuat “The Shellcoder's Handbook”, një nga librat e parë mbi hakimin etik. Cila ishte mendësia juaj në kohën e shkrimit të këtij libri?

Kur shkrova librin, forumi kryesor për shkëmbimin e informacionit të lidhur me shfrytëzimin ishte një listë postimesh e quajtur BUGTRAQ. Manuali i Shellcoder-it e bëri këtë informacion disi misterioz më të aksesueshëm duke e ndarë atë me një audiencë shumë më të gjerë në një mënyrë të lehtë për t'u kuptuar. Kaq shumë njerëz në atë kohë donin - dhe kishin nevojë - të mësonin rreth shkrimit të shfrytëzimit. E dija se mund t'u mësoja të tjerëve se si të shkruanin shfrytëzime të softuerit me shembuj praktik nga përvoja ime. Me egoizëm, gjithashtu doja të largohesha nga puna në bankë dhe ta çoja karrierën time në një drejtim tjetër.

A mund të ndani historinë e gjenezës pas Infosec?

Gjithçka filloi pasi botova Manualin e Shellcoder-it. Popullariteti i tij nxiti interesin dhe ndërgjegjësimin e nevojshëm për hakerimin etik dhe dobësitë e softuerit, duke çuar në kërkesa të shumta për të mësuar kampet e nisjes mbi shfrytëzimet e softuerit të mbuluar në libër. Kam përdorur kohën e pushimeve për të dhënë disa kurse, por përfundimisht mbarova PTO, kështu që lashë punën time ditore në bankë dhe kalova dy vitet e ardhshme duke udhëtuar nëpër botë duke u mësuar njerëzve me punë korporative se si të hakojnë. Ishte mjaft argëtuese.

Gjatë asaj kohe, industria e softuerit shpërtheu. Mjetet dhe platformat e reja prezantuan më shumë rreziqe sigurie, të cilat çojnë në një nevojë edhe më të madhe për trajnime për sigurinë kibernetike. Dhe ndërsa kriminelët kibernetikë zgjeruan objektivat nga softueri për të përfshirë përdoruesit e softuerit, kërkesa për edukim të bazuar në role dhe të shkallëzuar të sigurisë kibernetike u rrit në qiell.

Pikërisht në atë moment Infosec zgjeroi shërbimet tona arsimore nëpërmjet softuerit si shërbim dhe zhvilloi platformat më të mëdha të edukimit në botë për sigurinë kibernetike, Aftësitë e Infosec   IQ Infosec. Të dyja platformat ofrojnë trajnime praktike dhe relevante për rolet për të gjithë ndërmarrjen për të fuqizuar punonjësit me njohuri, aftësi dhe besim për të mposhtur krimin kibernetik. Sot, më shumë se 70% e Fortune 500 janë mbështetur në Infosec Skills për të zhvilluar talentin dhe ekipet e tyre të sigurisë, dhe më shumë se 5 milionë nxënës në mbarë botën janë më rezistent ndaj kibernetikës nga trajnimi i ndërgjegjësimit të sigurisë dhe phishing i Infosec IQ.

A mund të diskutoni disa nga certifikatat dhe kurset më të njohura të sigurisë kibernetike që ofrohen nga Infosec?

Infosec ofron edukim mbi sigurinë kibernetike të bazuar në role për të gjithë organizatën — nga departamenti i kontabilitetit deri te ekipi i SOC. Meqenëse Infosec është neutral ndaj shitësve, ndoshta nuk është për t'u habitur të mësosh se disa nga kampet tona më të njohura të nisjes janë ato që i përgatisin studentët për çertifikime të kërkuara si CISSP, Security+ dhe Certified Ethical Hacker (CEH). Ajo që e bën Infosec unik është mënyra se si ne i përgatisim studentët për provimet e tyre. Ne përdorim një kombinim të leksioneve gjithëpërfshirëse dhe laboratorëve praktik në gamën kibernetike për t'i ndihmuar studentët të mësojnë duke bërë dhe të mësojnë aftësi të vlefshme që mund të zbatohen menjëherë në punët e tyre. Të Gama kibernetike e Infosec Skills është një nga përvojat më të njohura të të mësuarit në platformë, dhe diçka në të cilën po investojmë shumë këtë vit.

Nga ana e ndërgjegjësimit dhe trajnimit për sigurinë, i sapodalësuari ynë Zgjidhni lojërat tuaja të ndërgjegjësimit për sigurinë Adventure® kanë ndryshuar plotësisht mënyrën se si klientët tanë ofrojnë ndërgjegjësimin dhe trajnimin e sigurisë për punonjësit e tyre. Ne bashkëpunuam me ekipin që qëndron pas markës Choose Your Own Adventure® për të sjellë eksitimin dhe misterin e serisë popullore të librave të lojërave në ndërgjegjësimin për sigurinë dhe programet e trajnimit në të gjithë botën. Lojërat i vendosin nxënësit në krye të programit të tyre të trajnimit të ndërgjegjësimit për sigurinë me histori ndërvepruese që inkurajojnë të menduarit kritik dhe vendimmarrjen – duke e mbajtur trajnimin argëtues.

Sa e rëndësishme është ndërgjegjësimi i punonjësve për kërcënimet e sigurisë kibernetike?

Ndërtimi i ndërgjegjësimit të punonjësve për kërcënimet e sigurisë kibernetike ofron përfitime përtej sigurisë dhe pajtueshmërisë së të dhënave të korporatës. Përtej avantazheve të dukshme të ndihmës së organizatave për të shmangur incidentet e shtrenjta, shpesh të dëmshme, të sigurisë, programet e edukimit të sigurisë kibernetike mbrojnë punonjësit si në punë ashtu edhe në shtëpi. Të dish se si të shmangësh një sulm phishing ose të sigurosh një pajisje IoT mund t'i mbrojë punonjësit nga humbjet shkatërruese personale dhe madje edhe kërcënimet ndaj familjeve të tyre. Të kuptuarit se si të qëndroni të sigurt në internet nuk është më vetëm një punë - është një aftësi jetësore. Ne nuk mund të jemi më krenarë për të ndihmuar klientët tanë të mbrojnë bizneset, klientët dhe stafin e tyre nga kërcënimet kibernetike dhe aktorët e këqij.

Cila është metoda më e zakonshme që punonjësit bien viktimë e shfrytëzimeve apo hakerëve?

Shumica e studiuesve të sigurisë kibernetike pajtohen se shumica e shkeljeve të të dhënave mund t'i atribuohen gabimeve njerëzore. Të Studimi i fundit i IBM X-Force Threat Index Index raporton ransomware, vjedhjen e të dhënave dhe aksesin e serverit si tre llojet më të zakonshme të sulmeve në vitin 2020, dhe skanoni dhe shfrytëzoni, phishing dhe vjedhjet e kredencialeve si 3 vektorët kryesorë të sulmit fillestar. Phishing është një kërcënim shumë serioz dhe i zakonshëm i sigurisë dhe për këtë arsye, mbulohet gjerësisht nga media. Realiteti është ndërkohë që shumë shkelje fillojnë me phishing dhe malware, shkalla në të cilën hakerët fitojnë akses në informacione dhe sisteme të ndjeshme është shpesh një reflektim i infrastrukturës së IT të organizatës dhe qëndrimit të përgjithshëm të sigurisë. Incidenti i fundit i SolarWinds është vetëm një nga shembujt e shumtë ku diçka e thjeshtë si një politikë më e fortë fjalëkalimi ose një program më efektiv i ndërgjegjësimit të sigurisë mund të ketë parandaluar një shkelje të madhe.

Përfundimi: boshllëqet e njohurive për sigurinë kibernetike në çdo nivel të organizatës paraqesin rreziqe sigurie për organizatën dhe duhet të zbuten me ndërgjegjësimin dhe edukimin e punonjësve për sigurinë.

Siguria kibernetike është gjithmonë në zhvillim, sa shpesh duhet që punëdhënësit dhe punonjësit të ri-familjarizohen me kërcënimet e mundshme kibernetike?

Si profesionistë të sigurisë, ne kurrë nuk kemi mbaruar së mësuari. Është përgjegjësia jonë të evoluojmë krahas nevojave të teknologjisë – dhe dobësive të reja që mund të prezantojnë – për të qëndruar përpara krimit kibernetik. Ne rekomandojmë të paktën 1-3 orë mësim të dedikuar në javë për profesionistët e sigurisë kibernetike dhe trajnime mujore të ndërgjegjësimit dhe simulime phishing për stafin jo-teknik.

Ekspertët e të mësuarit për të rritur shpesh citojnë Kurba e harresës së Ebbinghaus për të nxitur rëndësinë e trajnimit të shpeshtë të punonjësve. Teoria në thelb pohon se pa përsëritje të hapësirës për të përforcuar njohuritë e reja, punonjësit do të harrojnë 90% të informacionit të ri brenda një muaji.

Trajnim teknik praktik përmes një game kibernetike ose ndërgjegjësim të gamifikuar të sigurisë përmes a Zgjidhni lojën tuaj të ndërgjegjësimit për sigurinë Adventure® janë vetëm disa mënyra se si i ndihmojmë klientët tanë të mësojnë duke bërë dhe maksimizuar ruajtjen e njohurive. Programet e të mësuarit të vazhdueshëm si këto frymëzojnë zakone të sigurta ndërkohë që ndihmojnë në ndërtimin e një kulture sigurie në vendin e punës.

Faleminderit për intervistën e mrekullueshme, lexuesit që dëshirojnë të mësojnë më shumë duhet ta vizitojnë Infosec.