דעם זומער ס גלאבאלע IT אַוטידזש, וואָס האָט אַראָפּגענומען מיליאַנז פון קאָמפּיוטערס און גראָונדעד ערליינז ווערלדווייד, דעמאַנסטרייטיד פּונקט ווי שווער עס איז צו פירן אַ מאָדערן דיגיטאַל צושטעלן קייט. קענען עפעקטיוו קונה ריזיקירן פאַרוואַלטונג העלפן צאַפּן די גאַפּס?
דעם 19טן יולי האבן אנגעהויבן ארויסקומען באריכטן וועגן א מאסיווע אויספאל אין ווינדאוס סיסטעמען וואס האט זיך פארשפרייט איבער פארשידענע אינדוסטריעס. ענדפונקטן זענען געווען אראפ און האבן נישט געקענט ריכטיג ריסטארטן, וואס האט געפירט צום באדייטנדסטן איי-טי אויספאל אין דער געשיכטע. די פראבלעם איז שטאמט פון א לאגיק טעות אין אן אפדעיט צו קראודסטרייק'ס זיכערהייט ווייכווארג, וואס האט אראפגעווארפן 8.5 מיליאן סיסטעמען, לויט מייקראסאפט . די אויפבוי איז געווען א קאמפליצירטער, מאנועלער פראצעס. צוזאמען מיט די אפגעשטעלטע פלייטס, האבן באנק קאסטומערס און געזונטהייט פאציענטן אויך געליטן, ווייל דער אויספאל האט באאיינפלוסט פינאנציעלע טראנזאקציעס און אפילו פארשפעטיקט כירורגישע פראצעדורן.
"דער לעצטער אינצידענט פארשטארקט ווי די וואקסנדיקע צוטרוי צו אינטערקאַנעקטיד עס סיסטעמען האט יקספּאַנדיד די ריזיקירן ייבערפלאַך," האט געזאגט Mark E. Green, טשער פון די הויז האָמעלאַנד סעקוריטי קאַמיטי, וואָס וועט הערן עדות פון CrowdStrike אויף 24 סעפטעמבער. עס איז האַרדער ווי אלץ צו פירן די ריזיקירן פון צושטעלן קייט, ניט בלויז די גרייס פון די קייטן, אָבער די קאַמפּלעקסיטי פון די ווייכווארג פּראָדוקטן און פּראַסעסאַז וואָס זיי צושטעלן.
"דערציילט איר אַזוי," זאגט דער GAO
די יו. עס. רעגירונג אַקאַונטאַביליטי אָפיס זאָגט נישט גערן אַז זי האָט אייך דאָס געזאָגט, אָבער זי וויל אייך אויך דערמאָנען אַז זי האָט יאָ. אין אַ בלאָג פּאָסט נאָך דעם אינצידענט, האָט זי אָנגעוויזן אויף שטאַרקע ענלעכקייטן צווישן דעם אומגעוואונטשענעם טעות און דעם סייבער אַטאַק וואָס האָט קאָמפּראָמיטירט סאָלאַרווינדס און אירע קאַסטאַמערז אין 2020.
זינט מאי 2010, האט די GAO געמאכט 1610 רעקאמענדאציעס וואס שפאנען איבער פיר סייבער-זיכערהייט פראבלעם געביטן. איינע פון די - אויפשטעלן א קאמפרעהענסיווע סייבער-זיכערהייט סטראטעגיע און דורכפירן עפעקטיווע אויפזיכט - איז דער הויפט פאקוס געביט פאר סופּליי טשיין ריזיקע. אין א יוני באריכט וועגן רעגירונגס אנשטרענגונגען צו פארמינדערן סייבער ריזיקע, האט די GAO געזאגט אז אגענטורן האבן נישט געקענט דורכפירן 43% פון די רעקאמענדאציעס אין דעם געביט.
אָנפירונג אַ קאַנסאַלאַדייטאַד צושטעלן קייט
"די פעדעראלע רעגירונג דאַרף נעמען אַקשאַנז צו דורכפירן עפעקטיוו פאַרזע, אַרייַנגערעכנט מאָניטאָרינג די גלאבאלע צושטעלן קייט," די GAO צוגעגעבן אין זיין באַריכט. אָבער ווי טאָן איר ינסטרומענט עפעקטיוו פאַרזע אויף אַ שטאַרק פירמע וואָס קאָנטראָלס די לייב ס טיילן פון די מאַרק?
דן גיר, וועלכער האט בייגעטראָגן צום X Windows סיסטעם און Kerberos און איז איצט א עלטערער מיטגליד ביי In-Q-Tel, האט באַרימט אויסגעפאָרשט ווי טעכנאָלאָגיע מאָנאָקולטורן ווירקן אויף זיכערהייט אין זיין 2003 באַריכט CyberInsecurity: The Cost of Monopoly . עס האט געטראָפן גענוג נערוון אין קאָרפּאָראַטיווע טעכנאָלאָגיע אַז ער איז געוואָרן געפֿײַערט דעם טאָג נאָך זיין פּובליקאַציע.
21 יאר שפּעטער און אַ וואָך נאָך דעם קראַודסטרייק אויספאַל, האָט ער אונדז דערמאָנט וועגן דעם פּראָבלעם:
"מיר וויסן אַז פּראַטעקטיוו יבעריקייַט טוט נישט נאָר פּאַסירן, און מיר וויסן אַז אַ דזשיליאַן דעוויסעס אַלע ענלעך אָפפערס קיין שוץ אין אַלע אָבער גאַנץ די פאַרקערט," ער האט געזאגט. "מיר וויסן אַז דער מקור פון ריזיקירן איז אָפענגיקייַט, און מיר וויסן אַז געמיינזאַם ריזיקירן איז פּראַפּאָרשאַנאַל צו געמיינזאַם אָפענגיקייַט."
ווי Geer פונט אויס, מאַרק קאַנסאַלאַדיישאַן וואָס טראגט דזשיליאַנז פון דעוויסעס אַלע ענלעך איז אַן עקאָנאָמיש גאַנג. Windows האט איבער 70% פון די דעסקטאַפּ אַס מאַרק, און צוויי קאָמפּאַניעס - מייקראָסאָפֿט און CrowdStrike - פאַרמאָגן 44% פון די ענדפּוינט שוץ מאַרק צווישן זיי.
דער גאַנג האט נישט ריווערטיד זינט 2003. עס וועט אויך נישט צוריקקומען אין דער צוקונפֿט. עס זענען פילע סיבות וואָס קאָמפּאַניעס קלייַבן די זעלבע ווייכווארג ווי זייער פּירז, ריינדזשינג פון אַוויילאַבילאַטי (די נומער פון בנימצא סאַלושאַנז קאַנסאַלאַדייץ איבער צייַט) צו ריזיקירן אַווערסיאָן (קיין איינער איז געווען פייערד פֿאַר בייינג IBM) און מאַנידזשאַביליטי (עס איז גרינגער צו פירן און שטיצן) אַ פליט פון אַ טויזנט פֿענצטער מאשינען ווי אַ פּאַנאָפּלי פון פאַרשידענע ענדפּוינט אָפּערייטינג סיסטעמען).
זיכער, גרויסע פירמעס טוען זייער בעסטע צו נאכפאלגן די בעסטע פראקטיקעס אין סייבער-זיכערהייט, אבער טעותים פאסירן. די אמעריקאנער רעגירונג'ס סייבער-זיכערהייט איבערבליק באארד האט געפונען אז מייקראסאפט'ס זיכערהייט קולטור איז געווען "נישט גענוג און פארלאנגט אן איבערהאלונג" נאכדעם וואס סייבער-קרימינאלן האבן געהעקט זייערע סיסטעמען און קאמפראמיטירט א קריפטאגראפישן שליסל וואס האט זיי געגעבן צוטריט צו די אקאונטס פון הויכראנגיקע עקזעקוטיוון. קראודסטרייק, כאטש עס איז געווען גאנץ זעלבסט-פארשעמענד אזוי לאנג ווי עס קאסט נישט צו פיל , האט ארויסגעגעבן א באגי אפדעיט וואס עס האט נישט געקענט כאפן.
מייקראָסאָפֿט און קראַודסטרייק האָבן אָפּגעהאַלטן אַ פֿאַרמאַכטע זיצונג דעם 10טן סעפּטעמבער צו דיסקוטירן ווי זיי קענען פֿאַרמייַדן אַז אַזאַ זאַך זאָל ווידער פּאַסירן. זיי האָבן דיסקוטירט מיטלען ווי למשל זיך פֿאַרלאָזן ווייניקער אויף קערנעל מאָדע, וואו באַגיגע ווייכווארג קען פֿאַראורזאַכן דעם עקסטרעמען שאָדן וואָס מען האָט געזען אין יולי. ווי קראַודסטרייק דערקלערט , דאָס פֿאָדערט עטלעכע אַרבעט פֿון מייקראָסאָפֿט'ס זייט.
CrowdStrike האָט אויך געזאָגט אז עס וועט איצט נאָכפאָלגן אנדערע מיטלען, אַזאַ ווי ניצן קאַנאַרי ריליסיז - אַ יקערדיק בעסטער פיר פֿאַר סקיילד דיפּלוימאַנט - צו באַגרענעצן שעדיקן צו אַ קלענערער נומער פון מאשינען.
כאָטש עס איז לויסאַבאַל אַז אַזאַ גרויס קאָמפּאַניעס לערנען די לעקציעס איצט, עס איז וועגן אַז זיי טאָן דאָס אויף די צענעלע פון זייער קאַסטאַמערז.
וואָס קאַסטאַמערז קענען טאָן וועגן אים
ס'איז וויכטיג צו נאכפאלגן די קאנטראלן פאר סופלייער מענעדזשמענט ווי די אין ISO 27001 אנעקס A 5.22 , אבער ווי ISMS.online זאגט, איז וויכטיג צו זיין פראגמאטיש וועגן וויפיל איינפלוס מען קען האבן אויף א גרויסן סופלייער.
דאך, ISO 27001 האט אסאך צו פאָרשלאָגן וועגן אינצידענט רעספּאָנס צוגרייטונג. עס הייבט זיך אָן מיט פּלאַנירן פֿאַר ריזיקע דורך אַ גרונטלעכע אַסעסמאַנט, ווי אויסגעשמועסט אין ISO 27001 פּונקט 6. עס גיט אויך ווערטפולע גיידאַנס אין קאָנטראָל 5.30 , וואָס צוגרייט אָרגאַניזאַציעס פֿאַר געשעפט קאַנטיניואַטי אין פאַל פון אַ פּראָבלעם.
די פּראַקטיסיז קען נישט באַשיצן אַ פירמע פון אַ הויפּט אינצידענט אַפּסטרים אין די צושטעלן קייט, אָבער זיי קענען העלפֿן צו מינאַמייז די פּראַל פון אַזאַ געשעענישן דאַונסטרים, העלפּינג צו האַלטן באַדינונגס פֿאַר קאַסטאַמערז און געשעפט פּאַרטנערס.
