Krebs: karamihan sa mga kumpanya ay nabibigo na gumawa ng mga simpleng hakbang sa cybersecurity

Ang kilalang mananaliksik ng seguridad na si Brian Krebs ay nagbigay ng isang kamangha-manghang ngunit nakakatakot na pag-uusap tungkol sa kasalukuyang estado ng cybercrime, sa isang pagtatanghal kahapon bago ang pagbubukas ng Gartner Symposium sa Orlando.

Ang pakikipag-usap sa isang pangkat ng CIO at iba pang mga executive ng IT, ang may-akda ng website ng Krebs on Security at ang aklat na Spam Nation ay sinabi na mayroong isang malaking "puwang ng PR" sa pagitan ng pagdama at katotohanan ng cybercrime. "Ang ilaw sa dulo ng tunel ay hindi isang paraan, " sabi niya. "Ito ay isang paparating na tren."

Sa partikular, sinabi niya na ang mga masasamang tao ay nakagawa ng isang mas mahusay na trabaho ng pagbabahagi ng impormasyon kaysa sa mga CIO; kahit na ang mga mas lumang bersyon ng mga ulat tulad ng Ulat sa Pagsisiyasat ng Paglabas ng Data ng Verizon ay madalas na gumagawa ng isang mahusay na trabaho sa pagpapaliwanag kung paano nasira ang mga system, na may impormasyon na mananatiling may kaugnayan. Sa karamihan ng mga kamakailan-lamang na hack, sinabi niya, isang simpleng pagtanggi sa mga tala ng seguridad ay maialerto ang mga kumpanya na mayroon silang problema.

Ginugol ni Krebs ang karamihan sa kanyang oras na pinag-uusapan ang mga pag-atake sa impormasyon sa credit card, na karamihan ay nakatuon sa mga malware na naglalayong mga sistema ng Point-of-Sale (POS). Pinag-uusapan niya kung paano sa nakaraang dalawang taon, ang mga masasamang tao ay hindi lamang napabuti ang kanilang mga pag-atake sa mga naturang sistema, ngunit ginawa ang mga merkado sa ilalim ng lupa para sa pagbili at pagbebenta ng impormasyon sa credit card na mas sopistikado at "friendly na customer."

Sa maraming mga kaso, ang mga gang sa kalye ay bumabaling sa pandaraya sa credit card bilang isang mabilis na paraan ng pag-on ng isang $ 10 hanggang $ 20 na pamumuhunan sa $ 800 hanggang $ 1, 000. Hindi lamang ito kapaki-pakinabang, aniya, ngunit likas na hindi gaanong mapanganib at mapanganib kaysa sa pagharap sa mga gamot, at madalas na nakikita bilang isang "walang biktima" na krimen sapagkat ang mga may-hawak ng account ay karaniwang hindi mananagot para sa mga singil.

Nabanggit ni Krebs ang mga problema tulad ng bilang ng mga system ng POS sa mga browser ng Web, at kung paano ito isang napaka-karaniwang vector ng pag-atake. Sinabi niya na ang paglipat sa mga chip-and-pin credit card ay hindi upang malutas ang problema, na binabanggit kung paano sa ibang mga bansa, ang paglipat na ito ay humantong sa pagtaas ng pandaraya sa e-commerce, mga bagong account sa pandaraya, at mga takeovers ng account.

Karamihan sa mga ito ay bumababa sa pagkakakilanlan at privacy, at nabanggit niya na maraming nagbabago ng personal na impormasyon (tulad ng mga address at numero ng Social Security) ang magagamit na ngayon. Sinabi niya na pagdating sa mga computer system, maaari silang maging ligtas, mabilis, o madaling gamitin: pumili ng dalawa. Karamihan sa mga tao ay pinili na hindi tumuon sa seguridad, aniya. Bilang isang resulta, maraming mga lugar sa Web upang malaman ang personal na impormasyon sa mga tao, at tinawag niya ang gobyerno na magpatibay ng mas mahigpit na mga patakaran sa privacy, tulad ng ginamit sa karamihan ng ibang mga bansa.

Sa huli, binanggit ni Krebs ang limang lugar kung saan inisip niya na mas makakaya ang mga kumpanya sa pakikipaglaban sa cybercrime. Siya ay isang malaking mananampalataya sa segmentasyon ng network, na sinasabi ang seguridad sa karamihan ng mga kumpanya ay tulad ng isang kendi bar: "mahirap at malutong sa labas, malambot at gooey sa loob."

Sa halip, iminungkahi niya na gawin ang mga pinaka sensitibong bahagi ng iyong network ma-access lamang sa mga nasa loob ng samahan na may isang partikular na pangangailangan. Ang mga kumpanya ay dapat magtakda ng isang nakalaang koponan ng pagtugon sa insidente, suriin ang balita ng iba pang mga paglabag upang makita kung ano ang mga aralin na matututunan nila, gawin ang paulit-ulit na drills sa gagawin kung sakaling may paglabag, at isama ang kanilang mga kasosyo sa pagpaplano ng seguridad.

Mahusay na payo, ngunit ang mga bagay na madalas na hindi mapapansin sa pang-araw-araw na pagtulak upang gawin ang mga bagong proyekto sa IT. Ang pagbalanse ng mga priyoridad na ito ay isang pangunahing isyu para sa marami sa mga IT executive na nakausap ko sa kumperensya.