Ο σύγχρονος οργανισμός οφείλει να θέτει διαρκώς ένα δύσκολο αλλά απολύτως αναγκαίο ερώτημα: πόσο ασφαλής είναι πραγματικά; Και ο πρώτος που καλείται να μετατρέψει αυτό το ερώτημα σε στρατηγική, προτεραιότητες και πράξη είναι ο CISO.
ΘΑΝΑΣΗΣ ΚΑΡΠΟΥΖΑΣ
Founder & CEO, Principal Penetration Tester
Logisek, www.logisek.com
ΓΙΩΡΓΟΣ ΚΑΡΠΟΥΖΑΣ
Founder & CEO, Principal Penetration Tester
Logisek, www.logisek.com
Σε ένα περιβάλλον όπου οι επιθέσεις είναι στοχευμένες, οι τεχνολογίες εξελίσσονται διαρκώς και οι επιτιθέμενοι κινούνται με ταχύτητα, η απουσία θορύβου δεν αποτελεί πάντα καλό σημάδι. Ένα ήσυχο SOC, χωρίς alerts και εμφανή περιστατικά, μπορεί να σημαίνει ότι όλα λειτουργούν σωστά. Μπορεί όμως να σημαίνει και κάτι πολύ πιο ανησυχητικό: ότι ο οργανισμός δεν βλέπει αυτό που ήδη συμβαίνει.
Από τη συμμόρφωση στην πραγματική ετοιμότητα
Για πολλά χρόνια, η κυβερνοασφάλεια αποτιμούνταν κυρίως μέσα από πολιτικές, ελέγχους, audits και compliance reports. Όλα αυτά παραμένουν απαραίτητα, όμως πλέον δεν αρκούν. Ένας οργανισμός μπορεί να είναι τυπικά compliant και ταυτόχρονα ευάλωτος σε μια πραγματική επίθεση. Ο ρόλος του CISO είναι να μεταφέρει τη συζήτηση από το «έχουμε καλύψει τις απαιτήσεις;» στο «μπορούμε να αντέξουμε ένα ρεαλιστικό σενάριο επίθεσης;». Αυτή η μετατόπιση είναι ουσιαστική, γιατί μετατρέπει την ασφάλεια από άσκηση τεκμηρίωσης σε άσκηση ανθεκτικότητας.
Η αξία των hands-on προσομοιώσεων
Σε αυτό το πλαίσιο, οι υπηρεσίες offensive security αποκτούν κομβικό ρόλο. Penetration testing, red teaming, adversary simulation, phishing simulations και purple teaming δεν αποτελούν απλώς τεχνικές δοκιμές. Είναι μηχανισμοί που αποκαλύπτουν την πραγματική εικόνα του οργανισμού. Μπορεί ένας επιτιθέμενος να αποκτήσει αρχική πρόσβαση; Μπορεί να φτάσει σε κρίσιμα δεδομένα χωρίς να γίνει αντιληπτός; Οι απαντήσεις προκύπτουν μέσα από ελεγχόμενες, ρεαλιστικές προσομοιώσεις επίθεσης.
Όταν το SOC παραμένει ήσυχο
Ένα από τα πιο επικίνδυνα σημεία για έναν οργανισμό είναι η λανθασμένη ερμηνεία της ηρεμίας. Το γεγονός ότι το SOC δεν παράγει alerts δεν σημαίνει απαραίτητα ότι δεν υπάρχει απειλή. Μπορεί να σημαίνει ότι οι κανόνες ανίχνευσης δεν επαρκούν, ότι η τηλεμετρία είναι ελλιπής, ότι οι επιτιθέμενοι χρησιμοποιούν τεχνικές εκτός κάλυψης ή ότι η ομάδα δεν διαθέτει τα κατάλληλα σενάρια για να εντοπίσει ύποπτη συμπεριφορά. Ο CISO οφείλει να αμφισβητεί τη σιωπή. Να ρωτά όχι μόνο «τι είδαμε;», αλλά και «τι θα έπρεπε να έχουμε δει και δεν είδαμε;».
Η σχέση με τους offensive security vendors
Οι εξωτερικοί vendors που παρέχουν offensive security services αποτελούν πλέον κρίσιμους συνεργάτες του CISO. Η αξία τους δεν βρίσκεται μόνο στο να εντοπίζουν ευπάθειες ή να παραδίδουν ένα εντυπωσιακό report. Βρίσκεται στο να βοηθούν τον οργανισμό να κατανοεί πώς σκέφτεται και κινείται ένας πραγματικός επιτιθέμενος. Ο κατάλληλος συνεργάτης σχεδιάζει ρεαλιστικά σενάρια, λαμβάνει υπόψη το επιχειρησιακό περιβάλλον, σέβεται τους λειτουργικούς περιορισμούς και παραδίδει ευρήματα που μπορούν να μετατραπούν σε συγκεκριμένες ενέργειες βελτίωσης.
Οι προκλήσεις της συνεργασίας
Η σχέση αυτή, όμως, κρύβει προκλήσεις. Πολλοί οργανισμοί ζητούν ρεαλιστικές ασκήσεις, αλλά διστάζουν να ορίσουν ρεαλιστικό scope. Άλλοι περιορίζουν υπερβολικά το testing, φοβούμενοι διατάραξη της λειτουργίας. Συχνά, τα reports παραμένουν σε τεχνικό επίπεδο και δεν μεταφράζονται σε επιχειρησιακό κίνδυνο. Άλλοτε δεν υπάρχει σαφής owner για το remediation ή μηχανισμός παρακολούθησης μετά το engagement. Έτσι, πολύτιμη γνώση μένει αναξιοποίητη. Ο CISO οφείλει να διασφαλίζει ότι κάθε άσκηση offensive security δεν τελειώνει με την παράδοση ενός αρχείου, αλλά με ένα εφαρμόσιμο σχέδιο δράσης.
Η υπερπληροφορία ως νέο εμπόδιο
Ο CISO βρίσκεται πλέον στο κέντρο πολλαπλών πηγών πληροφορίας: compliance platforms, vulnerability scanners, SIEM, EDR, risk registers, audit findings και offensive security reports. Το πρόβλημα δεν είναι πια η έλλειψη δεδομένων, αλλά η υπερπληροφορία. Μέσα σε εκατοντάδες ευρήματα, alerts και βαθμολογίες, ο CISO οφείλει να ξεχωρίζει τι είναι κρίσιμο, τι είναι θόρυβος και τι μπορεί να περιμένει. Αυτό απαιτεί κρίση, εμπειρία και βαθιά κατανόηση του οργανισμού.
Τι έπρεπε να διορθωθεί ήδη χθες
Η προτεραιοποίηση είναι ίσως η πιο απαιτητική ευθύνη. Δεν αρκεί ένα υψηλό CVSS score για να αποφασιστεί τι προηγείται. Ο CISO οφείλει να αξιολογεί ποιο asset επηρεάζεται, πόσο κρίσιμο είναι, αν η αδυναμία είναι εκμεταλλεύσιμη στην πράξη, αν συνδέεται με ρεαλιστική αλυσίδα επίθεσης, αν υπάρχει έκθεση στο διαδίκτυο και αν οι αμυντικοί μηχανισμοί μπορούν να την εντοπίσουν. Μια φαινομενικά μικρή αδυναμία μπορεί να αποτελέσει το πρώτο βήμα προς ένα κρίσιμο breach. Εκεί κρίνεται τι έπρεπε να διορθωθεί ήδη χθες και τι μπορεί να προγραμματιστεί για αύριο.
Από την ασφάλεια στην ανθεκτικότητα
Ο σύγχρονος CISO δεν κρίνεται από το αν μπορεί να μηδενίσει τον κίνδυνο. Αυτό είναι αδύνατο. Κρίνεται από το αν μπορεί να διαμορφώσει έναν οργανισμό που αμφισβητεί την επιφανειακή ηρεμία, δοκιμάζει ρεαλιστικά τις άμυνές του, αξιοποιεί σωστά τους offensive security vendors και μετατρέπει τα ευρήματα σε αποφάσεις. Σε έναν κόσμο πραγματικών επιθέσεων, η ασφάλεια δεν αποδεικνύεται από τη σιωπή των συστημάτων. Αποδεικνύεται από την ικανότητα του οργανισμού να βλέπει, να κατανοεί, να αντιδρά και να βελτιώνεται διαρκώς.
