Ива Ташева, CYEN: Зловредният код и човешките грешки допринасят за пандемията от рансъмуер

Ива Ташева, CYEN: Зловредният код и човешките грешки допринасят за пандемията от рансъмуер

Майя Бойчева-Манолчева
626 прочитания

Ива Ташева е съосновател на базираната в Белгия консултантска компания CYEN. Тя е член на групите по информационна сигурност и облачна сигурност на Агенцията на Европейския съюз за киберсигурност (ENISA) и основател на белгийската камара Women4Cyber. Тя е и един от десетте финалисти в конкурса "Личност на годината" за 2022 година, организиран от белгийската "Коалиция по киберсигурност".

Статията е част от тематичния доклад "Digitalk Report: Индустриална киберсигурност" на Digitalk. Цялото издание можете да намерите в дигиталната библиотека.

Вие сте сред финалистите на белгийския конкурс "Личност на годината в областта на киберсигурността". Разкажете малко повече за конкурса и как попаднахте там. Конкурсът се организира за втора поредна година от белгийската "Коалиция за киберсигурност". Инициативата цели да насочи вниманието върху талантите в сферата на киберсигурността в Белгия. Аз бях номинирана заради активното ми участие в инициативите за подобрение на киберсигурността на европейско ниво, а също и по повод на лансирането на инициативата "Жените за киберсигурността в Белгия" (Women4Cyber Belgium chapter), на която съм съучредител.

Какво е за вас тази номинация?

Тази номинация преди всичко означава, че eвропейските инициативи за киберсигурност, в които участвам, са от значение и се ценят в страните членки, включително в Белгия. В личен план това е огромно признание за работата и приноса ми към киберсигурността.

А какво е да си жена, която работи в областта на киберсигурността?

Доскоро бе самотно. През 2022 г. едва 25% от професионалистите в киберсигурността са жени, макар и този дял да расте. Случвало ми се е да съм единствената жена, единственият чужденец и единственият човек под 35 години в екип от 10 души. За мен това е отговорност да проправя път и за другите. Такава е и целта на новата инициатива в Белгия "Жените за киберсигурността". Като част от нея вече създаваме групи по интереси и ще работим, за да подобрим условията и участието на жените в сектора.

Говорим за киберсигурност, какви са последните тенденции при атаките и съответно при методите за защита?

Основните проблеми остават зловредният код и човешките грешки. Тези два фактора допринасят за пандемията от рансъмуер. Чрез заблуждаване на потребителя и подтикването му да въведе данни или да отвори заразен файл или линк нападателят може да поеме контрол над данните и системите на организацията и да изиска откуп от легитимния собственик за възстановяване на достъпа. Най-лесните мерки за предпазване от този тип атака включват предпазливост към съобщения от непознати податели и поддържане на последната версия на системите, включително антивирусен софтуер. Може да използвате сигурна връзка (VPN) за корпоративните системи и данни, за да намалите риска, свързан с несигурната Wi-Fi връзка.

Човешкият фактор продължава да е препъникамъкът на сигурността, въпреки че вече говорим за човешка защитна стена. Ще стигнем ли до момента, в който няма да говорим толкова често за човешки грешки?

С автоматизацията на процесите в организацията мисля, че в бъдеще трябва да говорим повече за добрите примери и иноваторите в киберсигурността, отколкото за човешките грешки.

Темата за киберсигурността все по-често е във фокуса на управлението на компаниите (а не само в полезрението на мениджърите по информационна сигурност). Означава ли това, че бизнесът си е научил урока?

По време на масовата дигитална трансформация, която се ускори вследствие на рестрикциите, свързани с ковид пандемията, стана ясно, че сигурността на данните и системите играе ключова роля за сигурността на бизнеса. До този момент бе трудно да определим какво е отражението на киберсигурността върху бизнеса, тъй като често можеше да продължим бизнес услугите си без наличието на дигитални системи. Дотогава говорехме само за глоби, свързани с GDPR, ако лични данни са изтекли поради липса на адекватни мерки за киберсигурност. Това вече не е така. Бизнесът не може без конфиденциалност на личните данни, както и без достъп до надеждни системи и информация.

Често говорим за превенция, но за целта трябва да има споделяне на информация между заинтересованите страни (нещо, което малко компании са склонни да направят). Как бизнесът може да бъде научен да споделя, че е бил обект на атаки?

Бизнесът трябва да намери полза и да се чувства в сигурна среда, за да споделя чувствителна информация относно киберинциденти. Първата стъпка може да бъде споделяне на информация в секторни групи, като така получената информация ще има най-голяма полза поради спецификата и релевантността ѝ за сектора (общи системи, процеси и доставчици). За да се създаде сигурна среда за споделяне, бизнесът трябва да научи каква информация, колко и кога да разкрива. Необходимо е да има сигурни канали за споделяне между заинтересованите страни при евентуални атаки, като невинаги информацията трябва да става обществено достояние. Най-накрая, да не забравяме, че GDPR въведе задължение за известяване при нарушаване на сигурността на личните данни. Критичните сектори (като енергетика, транспорт, финансови услуги) вече са задължени да известяват компетентните органи за осъществени атаки според Директива на ЕС за мрежова и информационна сигурност (NIS Directive).

Да поговорим за законодателството. Адекватно ли е то в момента на проблемите на киберсигурността?

Актуалното законодателство, основно на европейско ниво, покрива абсолютния минимум и е лимитирано в обхват (финансови услуги, критична инфраструктура, медицински изделия). В момента се разработват три основни директиви, които ще допълнят това законодателство, покривайки киберсигурността на свързаните продукти и на производителите на продукти с дигитални елементи (например за обмен на информация) и изкуствения интелект. Но, както винаги, заплахите за киберсигурността се движат със скоростта на светлината, образно казано, докато при законодателството са нужни 5-7 години от инициативата до въвеждането му. Това е сериозно предизвикателство за адекватността му.

Каква трябва да бъде ролята на държавата в тази екосистема?

Както при физическата сигурност на гражданите, държавата трябва да предоставя инфраструктурата, правилата и институциите за киберсигурност. Нейна е ролята и да гарантира сигурни обществени услуги. Тя трябва да насърчава бизнеса чрез инвестиции в киберсигурността и развитие на учебни програми, за да спомогне за намаляването на дефицита на умения.

А каква е ролята на мениджъра по информационна сигурност (CISO) в изграждането на адекватна защита и превенция и какво трябва да е неговото място в корпоративната общност?

Според новата рамка за умения в областта на киберсигурността на Агенцията на Европейския съюз за киберсигурност (ENISA) CISO управлява стратегията на организацията в тази област и нейното прилагане, за да гарантира, че цифровите системи, услуги и активи са достатъчно сигурни и защитени. Мениджърът по информационна сигурност би трябвало да подкрепя бизнес лидерите при вземане на стратегически и операционни решения с цел осъществяване на мисията на организацията и отчитайки актуалните условия на киберсигурността, и да управлява екип с многостранни таланти. На практика обаче често ролята на CISO остава недоразбрана от бизнеса.

В крайна сметка как бизнесът може да се предпази, особено на фона на засилената дигитализация, на която станахме свидетели в последно време?

В едно изречение и с три И - информираност, инициатива и инвестиции, в защитата на най-критичните процеси, продукти (данни, устройства и системи) и хора.

Ива Ташева е съосновател на базираната в Белгия консултантска компания CYEN. Тя е член на групите по информационна сигурност и облачна сигурност на Агенцията на Европейския съюз за киберсигурност (ENISA) и основател на белгийската камара Women4Cyber. Тя е и един от десетте финалисти в конкурса "Личност на годината" за 2022 година, организиран от белгийската "Коалиция по киберсигурност".

Статията е част от тематичния доклад "Digitalk Report: Индустриална киберсигурност" на Digitalk. Цялото издание можете да намерите в дигиталната библиотека.

Вие сте сред финалистите на белгийския конкурс "Личност на годината в областта на киберсигурността". Разкажете малко повече за конкурса и как попаднахте там. Конкурсът се организира за втора поредна година от белгийската "Коалиция за киберсигурност". Инициативата цели да насочи вниманието върху талантите в сферата на киберсигурността в Белгия. Аз бях номинирана заради активното ми участие в инициативите за подобрение на киберсигурността на европейско ниво, а също и по повод на лансирането на инициативата "Жените за киберсигурността в Белгия" (Women4Cyber Belgium chapter), на която съм съучредител.

Какво е за вас тази номинация?

Тази номинация преди всичко означава, че eвропейските инициативи за киберсигурност, в които участвам, са от значение и се ценят в страните членки, включително в Белгия. В личен план това е огромно признание за работата и приноса ми към киберсигурността.

А какво е да си жена, която работи в областта на киберсигурността?

Доскоро бе самотно. През 2022 г. едва 25% от професионалистите в киберсигурността са жени, макар и този дял да расте. Случвало ми се е да съм единствената жена, единственият чужденец и единственият човек под 35 години в екип от 10 души. За мен това е отговорност да проправя път и за другите. Такава е и целта на новата инициатива в Белгия "Жените за киберсигурността". Като част от нея вече създаваме групи по интереси и ще работим, за да подобрим условията и участието на жените в сектора.

Говорим за киберсигурност, какви са последните тенденции при атаките и съответно при методите за защита?

Основните проблеми остават зловредният код и човешките грешки. Тези два фактора допринасят за пандемията от рансъмуер. Чрез заблуждаване на потребителя и подтикването му да въведе данни или да отвори заразен файл или линк нападателят може да поеме контрол над данните и системите на организацията и да изиска откуп от легитимния собственик за възстановяване на достъпа. Най-лесните мерки за предпазване от този тип атака включват предпазливост към съобщения от непознати податели и поддържане на последната версия на системите, включително антивирусен софтуер. Може да използвате сигурна връзка (VPN) за корпоративните системи и данни, за да намалите риска, свързан с несигурната Wi-Fi връзка.

Човешкият фактор продължава да е препъникамъкът на сигурността, въпреки че вече говорим за човешка защитна стена. Ще стигнем ли до момента, в който няма да говорим толкова често за човешки грешки?

С автоматизацията на процесите в организацията мисля, че в бъдеще трябва да говорим повече за добрите примери и иноваторите в киберсигурността, отколкото за човешките грешки.

Темата за киберсигурността все по-често е във фокуса на управлението на компаниите (а не само в полезрението на мениджърите по информационна сигурност). Означава ли това, че бизнесът си е научил урока?

По време на масовата дигитална трансформация, която се ускори вследствие на рестрикциите, свързани с ковид пандемията, стана ясно, че сигурността на данните и системите играе ключова роля за сигурността на бизнеса. До този момент бе трудно да определим какво е отражението на киберсигурността върху бизнеса, тъй като често можеше да продължим бизнес услугите си без наличието на дигитални системи. Дотогава говорехме само за глоби, свързани с GDPR, ако лични данни са изтекли поради липса на адекватни мерки за киберсигурност. Това вече не е така. Бизнесът не може без конфиденциалност на личните данни, както и без достъп до надеждни системи и информация.

Често говорим за превенция, но за целта трябва да има споделяне на информация между заинтересованите страни (нещо, което малко компании са склонни да направят). Как бизнесът може да бъде научен да споделя, че е бил обект на атаки?

Бизнесът трябва да намери полза и да се чувства в сигурна среда, за да споделя чувствителна информация относно киберинциденти. Първата стъпка може да бъде споделяне на информация в секторни групи, като така получената информация ще има най-голяма полза поради спецификата и релевантността ѝ за сектора (общи системи, процеси и доставчици). За да се създаде сигурна среда за споделяне, бизнесът трябва да научи каква информация, колко и кога да разкрива. Необходимо е да има сигурни канали за споделяне между заинтересованите страни при евентуални атаки, като невинаги информацията трябва да става обществено достояние. Най-накрая, да не забравяме, че GDPR въведе задължение за известяване при нарушаване на сигурността на личните данни. Критичните сектори (като енергетика, транспорт, финансови услуги) вече са задължени да известяват компетентните органи за осъществени атаки според Директива на ЕС за мрежова и информационна сигурност (NIS Directive).

Да поговорим за законодателството. Адекватно ли е то в момента на проблемите на киберсигурността?

Актуалното законодателство, основно на европейско ниво, покрива абсолютния минимум и е лимитирано в обхват (финансови услуги, критична инфраструктура, медицински изделия). В момента се разработват три основни директиви, които ще допълнят това законодателство, покривайки киберсигурността на свързаните продукти и на производителите на продукти с дигитални елементи (например за обмен на информация) и изкуствения интелект. Но, както винаги, заплахите за киберсигурността се движат със скоростта на светлината, образно казано, докато при законодателството са нужни 5-7 години от инициативата до въвеждането му. Това е сериозно предизвикателство за адекватността му.

Каква трябва да бъде ролята на държавата в тази екосистема?

Както при физическата сигурност на гражданите, държавата трябва да предоставя инфраструктурата, правилата и институциите за киберсигурност. Нейна е ролята и да гарантира сигурни обществени услуги. Тя трябва да насърчава бизнеса чрез инвестиции в киберсигурността и развитие на учебни програми, за да спомогне за намаляването на дефицита на умения.

А каква е ролята на мениджъра по информационна сигурност (CISO) в изграждането на адекватна защита и превенция и какво трябва да е неговото място в корпоративната общност?

Според новата рамка за умения в областта на киберсигурността на Агенцията на Европейския съюз за киберсигурност (ENISA) CISO управлява стратегията на организацията в тази област и нейното прилагане, за да гарантира, че цифровите системи, услуги и активи са достатъчно сигурни и защитени. Мениджърът по информационна сигурност би трябвало да подкрепя бизнес лидерите при вземане на стратегически и операционни решения с цел осъществяване на мисията на организацията и отчитайки актуалните условия на киберсигурността, и да управлява екип с многостранни таланти. На практика обаче често ролята на CISO остава недоразбрана от бизнеса.

В крайна сметка как бизнесът може да се предпази, особено на фона на засилената дигитализация, на която станахме свидетели в последно време?

В едно изречение и с три И - информираност, инициатива и инвестиции, в защитата на най-критичните процеси, продукти (данни, устройства и системи) и хора.

Как да защитим работата на модерната фабрика
Съдържание от КОНТРАКС
Интелигентното видеонаблюдение влиза в умните фабрики
Съдържание от Коника Минолта Бизнес Солюшънс България
ERP системите в сърцето на умната фабрика
Съдържание от Тим ВИЖЪН България

Най-новото








ChatGPT изправя Google и Meta на нокти

ChatGPT изправя Google и Meta на нокти

  • 1
  • 178


Още от Digitalk ›
С използването на сайта вие приемате, че използваме „бисквитки" за подобряване на преживяването, персонализиране на съдържанието и рекламите, и анализиране на трафика. Вижте нашата политика за бисквитките и декларацията за поверителност. ОК