Für Unternehmen ist heute eine Sache sicher: Disruption steht immer kurz vor der Tür. Während technologische Störungen Chancen bieten können, erhöht sie auch das Risiko.
Das ist das Thema eines cleveren Panels auf der diesjährigen RSA Conference 2022: The Jetsons Are Here – Was sind jetzt die Sicherheitsimplikationen? Die Podiumsdiskussion findet 6. Junivon 14:20 bis 15:10 PT im Moscone Center in San Francisco statt.
Panelmoderatorin Lisa Lee, Chief Security Advisor und Global Lead für vertikale Branchen und Engagement bei Microsoft, und Panelistin Diana Kelley, CTO und Mitbegründerin der Cybersicherheitsberatung SecurityCurve, bot Endpoint einen kurzen Einblick in das, was sie besprechen werden, warum Sie teilnehmen sollten und was Unternehmens-CISOs tun können, um relevant zu bleiben und Risiken zu reduzieren, wenn neue Unternehmenstechnologien in Einsatz kommen.
Diejenigen von uns, die ein bestimmtes Alter hatten, erinnern sich an das Versprechen fliegender Autos, als wir Kinder waren. Aber sie sind noch nicht wirklich hier. Welche zukünftigen Technologien haben Ihrer Meinung nach in den nächsten fünf bis 10 Jahren die größten Auswirkungen?
Lee: Es ist lustig, dass Sie fliegende Autos erwähnen. Als ich vor fast zwei Jahren mit der Erkundung dieser Sitzung begann, wurde gesagt, dass fliegende Autos zwei oder drei Jahre entfernt waren. Ich dachte: „Es gibt keine Möglichkeit. Es sind mindestens fünf bis 10 Jahre.“ Wir verfügen einfach nicht über die Infrastruktur, um fliegende Autos zu bewältigen.
Heutzutage treffen fliegende Autos jeden Tag auf die Nachrichten. Unternehmen bestehen Flugtests, erhalten Zertifizierungen und regulatorische Bewertungen. Also ja, fliegende Autos sind da. Sie sind seit zwei Jahren hier, in verschiedenen Phasen. Ich habe kürzlich gelesen, dass Uber erwartet , dass sein fliegendes Auto bis 2023 in Betrieb sein wird. Und selbstverständlich wird das Fliegen von Autos – genau wie autonome Autos – mit massiven Cybersicherheitsherausforderungen in Bezug auf Sicherheit, Datenschutz und viele andere Probleme verbunden sein.
Welche Unternehmenstechnologien werden Sie bei RSA 2022 besprechen, wenn Sie keine Autos fliegen? Und was ist Ihrer Meinung nach das größte Anliegen für CISOs?
Lee: Für diese Podiumsdiskussion denken wir an Branchen oder an Bereiche, in denen die größten Störungen auftreten. Für dieses Gremium wird Diana also über alternative Welten sprechen, wie z. B. das Metaverse und
alle Cybersicherheitsimplikationen. Theresia Gouw, eine Gründungspartnerin bei Acrew Capital, wird über Web3 sprechen. Patricia Titus, Chief Privacy
and Information Security Officer bei Markel Corporation, wird über den Transport sprechen. Ich werde über den Gesundheitssektor sprechen.
„Wenn Ihr Unternehmen plant, in die Metaverse einzutauchen, muss der CISO einen großen Schritt zurücktreten und die Auswirkungen auf die Sicherheit berücksichtigen.“Diana Kelley, CTO und Mitbegründerin, SecurityCurve
Kelley: Ich kann Ihnen sagen, dass das Metaverse eine dieser disruptiven Technologien sein wird, die viele Cybersicherheitsherausforderungen mit sich bringen. Die Menschen haben heute einen Appetit auf virtuelle Welten, im Gegensatz zu vor Jahren, als wir Second Life hatten, aber es hat nicht begonnen. Menschen sind seit Jahren nicht mehr im Büro, und wir replizieren die reale Welt online. In der metaversen Version ist es viel einfacher, jemand anderes zu sein, insbesondere mit tiefen Fälschungen. Dies führt zu verstärkten Bedenken bezüglich Identitätsdiebstahl.
Menschen wurden sogar in der Metaverse angegriffen, was große emotionale Auswirkungen auf Einzelpersonen haben kann.
Stellen Sie sich dies als CISO vor. Wenn Ihr Unternehmen plant, in die Metaverse einzutauchen, einschließlich der Durchführung von Unternehmensmeetings dort, der Durchführung von Verkäufen dort usw., muss der CISO einen großen Schritt zurücktreten und die Auswirkungen all dieser Maßnahmen auf die Sicherheit berücksichtigen. In diesen Welten hat das Unternehmen sehr wenig Kontrolle über die Gesellschaft darüber, wer mit wem sprechen kann. Wie werden die Menschen in der Metaverse reagieren? Werden sie sich anders verhalten? Unternehmen haben auch wenig Kontrolle über Daten in dieser Welt. Was passiert, wenn Ihre Daten fehlen?
[Auch lesen: Sind metaverse Meetings die Antwort auf ein besseres Mitarbeiterengagement?]
Lee: Ähnliche Bedenken bestehen in Bezug auf die Robotik. Sie könnten einen Roboter haben, der in jeder Stadt sitzt, wie z. B. Tokio, und Sie müssten nie dorthin für Meetings fliegen. Der Roboter würde dort an allen Ihren Meetings teilnehmen. Sie können die Kontrolle über den Roboter übernehmen und sogar einen haptischen Anzug tragen, der es Ihnen ermöglicht, die Hände durch den Roboter zu schütteln. Es gibt viele Möglichkeiten, wie Sie interagieren können. Aber was ist zu sagen, wenn Sie widersprüchliche Meetings haben, könnten Sie niemanden haben, in dem Sie sitzen und niemand würde es wissen? Plötzlich ist es eine ganz andere Situation, insbesondere unter Berücksichtigung des Risikos von Identitätsdiebstahl.
Das Thema von RSA 2022 lautet „transformieren“. Denken Sie, dass die wachsenden Probleme für diese transformativen Technologien ähnlich denen sind, die wir im Jahr 1990s und Anfang 2000s mit dem Wachstum von PCs, lokalen Netzwerken, dem Internet und E-Commerce erlebt haben?
Kelley: Das wird ähnlich sein. Und was beunruhigend ist, wie viel wir diese Technologie in Bereichen verwenden, in denen die Auswirkungen enorm sind. Als wir mit PCs begannen, dachte ich, dass ein Virus, das jemanden davon abhielt, ein Dokument einzugeben, schrecklich war. Und dann ging es weiter zu Was, wenn Ihr Bankkonto bereinigt wurde?
Heutzutage gibt es intelligente Städte, die diese neuen Technologien nutzen. Diese Städte sind unglaublich und nutzen riesige Datenmengen, um unser Leben viel besser zu machen, wie z. B. mit einer Erleichterung des Verkehrsflusses. Diese Systeme können sicherstellen, dass der Rettungswagen rechtzeitig die Person erreicht, die Hilfe benötigt, und dass Sie einen Parkplatz finden können. Aber jetzt, wenn Sie Angreifer sehen, die damit anfangen, zu verwirren, haben Sie das Risiko von verlorenen Leben.
Mit der Einführung neuer Technologien wird die Angriffsfläche des Unternehmens wachsen. Werden wir uns weiterhin dieser technologischen Qualifikationslückenherausforderung stellen?
Lee: Ich mache mir Sorgen über die Notwendigkeit, so viele mehr Menschen in die Sicherheitsmentalität und das Sicherheitskompetenzset zu bringen. Wir alle haben die Geschichten darüber gesehen. Aber ich mache mir auch Sorgen, wie wir manchmal versuchen, es so klingen zu lassen, als wäre es nicht so schwierig, Sicherheit zu schaffen, damit die Leute ins Feld kommen. Es ist schwierig. Ich finde es super hart. Aber ich denke, das macht es interessant, weil es so herausfordernd ist.
„Es ist schwierig. Ich finde es super hart. Aber das macht es interessant, weil es so herausfordernd ist.“Lisa Lee, Chief Security Advisor und Global Lead für vertikale Branchen und Engagement, Microsoft
Kelley: Da sich die Technologien schnell ändern und verschieben, benötigen wir umfassende Experten in diesen Bereichen, um die Lösungen zu entwerfen und zu implementieren. Aber wenn jeder, der ein neues System entwickelt oder ein System einführt, zumindest eine Sicherheitseinstellung haben und Sicherheit und Datenschutz von Anfang an berücksichtigen könnte, vielleicht eine Bedrohungsmodellierung durchführen könnte, könnten wir die Sicherheit erheblich verbessern. Ansonsten werden wir am Ende immer die Sicherheit anschrauben, weil etwas Schreckliches passiert ist.
Beginnen wir also mit dem Aufbau, insbesondere jetzt, wo viele dieser neuen Technologien und ihre Auswirkungen auf die Menschheit viel bedeutender sind. Wir haben bereits kleine Teile davon gesehen, wie z. B. den Angriff auf die Colonial Pipeline und Menschen, die ihre Autos nicht auf der Ostküste betanken konnten.
Wenn sie dieses Programm pragmatisch für CISOs nach Hause bringen, welche Dinge sollten sie beachten, um ihr Sicherheitsprogramm zukunftssicher zu machen?
Lee: Ein Ansatz, über den wir während der Sitzung sprechen, und der sich auf die Art der Technologie bezieht, sind verschiedene Aspekte, die man bei neuen Technologien berücksichtigen sollte. Zum Beispiel muss man über die Daten nachdenken: Was ist die potenzielle Bedrohung für Daten in der neuesten Technologie? Wir werden über neue Technologien im Zusammenhang mit Risiken sprechen.
„Marketing wird wahrscheinlich das Metaverse übernehmen wollen, damit sie dort mit Ihren Kunden interagieren können.“Kelley
Wir müssen auch CISOs bitten, diese Art von Denken in Bezug auf neue Technologien voranzutreiben. Sie müssen sich ansehen, was sechs Monate und was drei Jahre später kommt. Und sie müssen versuchen zu bestimmen, wie schnell sich die Technologie bewegt.
Kelley: Wenn es um neue Technologien geht, anstatt zu sagen , dass wir uns noch keine Sorgen darüber machen müssen, sprechen Sie mit den Führungskräften in Ihrem Unternehmen in allen Bereichen, da Marketing wahrscheinlich das Metaverse übernehmen möchte, damit sie dort mit Ihren Kunden interagieren können. Sprechen Sie also mit den potenziellen wichtigen Stakeholdern und verstehen Sie, wie das Unternehmen davon profitieren kann, das Metaverse zu nutzen.
Zum Beispiel möchte HR vielleicht sogar dort mit der Rekrutierung beginnen. Und sobald Sie wissen, wie das Unternehmen es nutzen möchte, können Sie die potenziellen Risiken identifizieren. Betrachten Sie auch die Anwendungsfälle des Unternehmens. Wenn die Personalabteilung beispielsweise auf der Metaverse rekrutieren möchte, wird sie nur eine öffentliche Mitteilung auf vielen verschiedenen Websites veröffentlichen und vielleicht ersten Kontakt mit potenziellen Rekrutierungen aufnehmen? Und wird die Kommunikation nach dem Kontakt auf den Standardüberprüfungsprozess umgestellt? Wenn ja, ist das ein relativ geringes Risiko. Wenn Sie jedoch feststellen, dass der CEO M&A-Gespräche in der Metaverse durchführt, könnte dies ein sehr hohes Risiko sein.
Lee: Für Dianas Punkt ist es unerlässlich, mit den wichtigsten Führungskräften in Ihrer Organisation zu sprechen, die möglicherweise neue Technologien nutzen möchten. Vielleicht möchten Sie auch ein Team oder einen Ausschuss haben, das/der sich ständig mit verschiedenen Technologien beschäftigt, darüber spricht, wie die Organisation sie verwenden könnte, und die Vorteile für das Unternehmen und die Risiken für das Unternehmen untersucht. Wen haben wir im Unternehmen, der etwas darüber weiß? Sie werden vielleicht feststellen, dass einige Ihrer tiefsten Experten einige Ihrer Einstiegsleute sind. Es hängt davon ab, was die Technologie ist und wie sie verwendet wird.
[Lesen Sie auch: Die wachsende Notwendigkeit, IT und Sicherheit zu vereinheitlichen
Denken Sie an die frühen Tage des Internets zurück. Einige der jüngeren Personen in Ihrem Unternehmen [dann] haben wahrscheinlich überall auf der Welt erkundet. Das trifft wahrscheinlich auf das Metaverse heute zu. Einige der jüngeren Mitarbeiter sind wahrscheinlich gut in das Metaverse eingebunden. Es ist jedoch nicht immer eine Alterssache. Manchmal geht es nur um die Vorlieben und Abneigungen eines Menschen.
Aber das Gespräch zu führen und über diese internen Erfahrungen zu lernen, ist der Schlüssel. Was sind die schlechten Erfahrungen, die sie gemacht haben? Was sind die positiven? Wo sehen sie den Wert? Gespräche wie diese werden viel dazu beitragen, zu verstehen, wie das Unternehmen neue Technologien angehen und Einblicke in potenzielle Risiken gewinnen wird.
