Обеспечение киберустойчивости сводится не к защите системы от проникновения противника, а к тому, чтобы предположить ее успешный взлом и разработать план действий, позволяющий продолжить выполнение своей миссии после него.
При выявлении новых уязвимостей и эксплойтов сделайте следующее.
• Определите, подвергается ли ваша организация соответствующей опасности.
• Оцените вероятность того, что какой-нибудь злоумышленник воспользуется этой уязвимостью.
• Оцените вероятность того, что в случае такой атаки ущерб будет существенным.
• Выясните, существует ли исправление или другой обходной путь, позволяющий устранить проблему.
• Решите, какие действия необходимо предпринять для снижения риска (в зависимости от вашего прогноза это может быть множество действий или ни одного).
После выполнения перечисленных действий необходимо реализовать принятое решение, то есть план мероприятий по снижению рисков.
В процессе работы помните: проекты нулевого доверия проваливаются из-за того, что покупка новых инструментов для реализации той или иной тактики не сопровождается соответствующим увеличением численности сотрудников.
стандарт SPDX (Software Package Data Exchange), также известный как ISO/IEC 5962 и разработанный по инициативе Linux Foundation в 2010-м, стал международным открытым стандартом безопасности, соблюдения лицензионных требований и других параметров цепочки поставок ПО [250]. Другими словами, он превратился в официальный орган по стандартизации SBOM.
спецификации программного обеспечения (SBOM) — формальной записи, содержащей сведения о различных компонентах, применяемых при создании ПО, и взаимосвязях между ними в цепочке поставок.
Когда речь заходит об актуальности применения стратегии нулевого доверия, в первую очередь, как правило, вспоминают об инсайдерских угрозах, которые исходят не от какой-то продвинутой хакерской группировки национального масштаба, а изнутри. Их источником являются ваши сотрудники и подрядчики, которым вы доверяете управление бизнесом или взаимодействие с государственными органами. Некоторые из тех, кто имеет доступ к конфиденциальной информации, по разным причинам иногда решают причинить вред организации, в которой работают.
Неважно, насколько надежны ваши реализации стратегий нулевого доверия, защиты от убийственной цепочки вторжения и обеспечения устойчивости. Если вашей организации требуются дни или недели на то, чтобы модифицировать свою инфраструктуру, основанную на базовом принципе кибербезопасности, при изменении ландшафта угроз, потому что приходится делать все вручную, то вероятность нанесения вам существенного ущерба все равно будет довольно высока. Мы знаем, что противники автоматизировали свою инфраструктуру.
Специалистам по безопасности не нужны точные ответы для принятия решений о выделении таких ресурсов, как люди, процессы и технологии. Нам нужны довольно точные, но приблизительные ответы, позволяющие быстро принимать решения, практически мгновенно оценивать текущую ситуацию и доносить информацию о ней до высшего руководства.
Если мы не можем измерить сиюминутную вероятность существенного ущерба в результате какого-либо киберинцидента в ближайшем будущем, то определенно не сможем измерить степень снижения этой вероятности в результате реализации одной или нескольких стратегий, базирующихся на первичном принципе.
Мы также на собственном опыте убедились в том, что киберпротивники не разрабатывают совершенно новые кампании для каждой отдельной жертвы. Они используют одни и те же последовательности действий снова и снова до тех пор, пока какой-нибудь защитник сети их не остановит. Но даже в этом случае они не отказываются от всей кампании — просто заменяют конкретный ее этап, который был заблокирован. Учитывая то, что нам известно большинство последовательностей шагов злоумышленников, вполне логичными являются разработка и внедрение средств их предотвращения и обнаружения для любого стека безопасности, развернутого на основе этих разведданных.
