Tre tips till CISOer: säkra ansvarstagande med en säker data lake

[KRÖNIKA] Det första steget en CISO behöver göra, innan en säkerhetsanalys inleds, är att ställa sig dessa fyra frågor:

• Finns det en risk för falsk flagg när en säkerhetsleverantör varnar för ett hot?

• Hur introduceras de flesta sårbarheter i produktionsmiljön?
• Hur lång tid tar det för leverantören att rulla ut viktiga patchar?
• Hur varierar detta mellan olika moln?

Dessa insikter bidrar till att främja ansvarstagande, vilket har varit bristfälligt inom säkerhetsbranschen. CISO:er har därför sällan en enhetlig överblick över vad som händer, eftersom informationen är spridd över olika system och verktyg, samtidigt som data inte sparas tillräckligt länge för att kunna identifiera värdefulla mönster och insikter. Denna informationsbrist är anledningen till att CISO:er ofta misslyckas med att hålla leverantörer, avdelningar och/eller processer ansvariga för sin del av säkerhetsarbetet.

Därför kan en data lake användas för att tackla dessa utmaningar, genom att bygga upp en arkitektur som underlättar arbetet med att förstärka säkerhetsdata, oavsett mängd och variation. Data lakes gör det möjligt för säkerhetsansvariga att driva på ansvarstagandet inom organisationer på två sätt. För det första separerar de lagring från beräkning, för att göra det kostnadseffektivt att lagra säkerhetsdata i storskalig omfattning under längre tid. För det andra integrerar en data lake säkerhetsdata som en del av ett företags allmänna analysplattform, vilket ger ett djupare sammanhang och levererar insikter genom standardiserade rapporteringsverktyg.

Här kommer därför tre tips för att driva på ansvarstagande för säkerhet via säkra data lakes.

1. Använd data för att utvärdera leverantörer

   De flesta företagen väljer och utvärderar sina säkerhetsleverantörer baserat på väldigt enkla kriterier, exempelvis på huruvida de stödjer specifika datakällor och applikationer. Bristen på information förhindrar beslutsfattare från att utvärdera leverantörerna på mer värdefulla faktorer, så som hotdetekteringens prestanda eller hur träffsäkra deras säkerhetsprioriteringar visat sig vara.

En säker data lake gör det möjligt att identifiera skillnaderna mellan de insikter leverantören presenterar och vad organisationen faktiskt upplever. Genom att till exempel analysera data från ett system för ärendehantering kan du se hur många hot som upptäckts av en leverantör som faktiskt påverkat er, och hur många hot som flaggats för men visat sig vara irrelevanta.

En säkerhetslösning kan mycket väl fungera utmärkt i ett företags miljöer, men det är inte en garanti för att det fungerar lika bra i ett annat företag med en annan miljö. Om man därför mäter prestandan utifrån de mätvärden som är viktiga för er organisation, kan man arbeta tillsammans med leverantörerna för att förbättra dem – eller konstatera att ni behöver en bättre säkerhetslösning.

2. Justera arbetssättet

   Om säkerhetsavdelningen inte åtgärdar sårbarheter tillräckligt snabbt och konsekvent kan tillgång till historiska data hjälpa till att avslöja dessa problem och identifiera vilka processer som kan behöva uppdateras för att arbetet ska optimeras och bli mer effektivt. Det kan vara så att arbetsflöden behöver justeras, eller att avdelningen behöver omstruktureras för att uppfylla sina serviceavtal.

Snowflakes Nordenchef Dan Öhlander

En säker data lake gör det möjligt att använda data från olika system när man utför förfrågningar från icke-säkerhetskällor. Till exempel kan man kombinera och jämföra data för när och vilka som har slutat på företaget, med säkerhetspolicyer för att se när en tidigare anställd har en aktiv användar-ID efter att de har lämnat företaget. Man kan också korrelera data om säkerhetsutbildningar, nätfiskeövningar och faktiska fall av skadlig programvara, för att visa på hur avdelningar som inte slutför sina säkerhetsutbildningar löper större risk för att råka ut för en lyckad nätfiskeattack.

3. Enhetliga och transparenta data

   När nya komponenter implementeras i din infrastruktur kan en säker data lake hjälpa till att spåra när sårbarheter konsekvent kommer från samma grupper — vare sig det är utvecklare, SREer (tillförlitlighetsteknik för IT-system) eller någon annan enhet. Den här typen av insikter är svåra att uppnå när data är utspritt över olika verktyg och lagras under korta tidsperioder. Men med kvantifierade mått stödda av data kan säkerhetsavdelningar uppfylla sin roll i en delad ansvarsmodell.

Påvisa ansvar för att förbättra prestanda och säkerhet

Målet med att påvisa ansvarsskyldighet är att stödja säkerhetsavdelningarna för att bättre kunna utföra sina arbetsuppgifter och höja företagens totala säkerhetsprofil – och inte för att anklaga, namnge och skuldbelägga enskilda personer som flera säkert kan misstänka. En säkerhetsavdelning kan bara hantera och utgå från den data som mäts. Det uppstår ständigt alltmer komplexa hot som CISOer måste tackla, samtidigt som det finns högre krav från styrelser, regleringar och kunder att anpassa sig efter. Att säkra ansvarsskyldighet är därför ett sätt att hjälpa hela avdelningen att lyckas.

Dan Öhlander, Nordenchef på Snowflake