Bortom teknik: Hantering av nya hot med inbyggd säkerhet

I dagens digitala miljö räcker det inte med enbart tekniska säkerhetsåtgärder. Nya hot som deepfakes och social ingenjörskonst riktar in sig på våra processer och utnyttjar mänskliga sårbarheter. Ett färskt exempel understryker hur brådskande denna fråga är:

Enligt Hongkongpolisen lurades en finansanställd på ett multinationellt företag att överföra 25 miljoner dollar till bedragare som använde deepfake-teknik för att utge sig för att vara företagets ekonomichef under en videokonferens. Det sofistikerade upplägget gick ut på att den anställde gick med i ett videosamtal och trodde att han interagerade med flera kollegor, som alla i själva verket var deepfake-skapelser, sade Hongkongpolisen i en briefing.

Den här incidenten visar att säkerheten måste gå utöver tekniken. Det är tydligt: Security by Design måste tillämpas på processer, inte bara system.

Delat ansvar

Som CISO:er ses vi ofta som de primära ansvariga parterna för säkerhetsfrågor. Detta ansvar måste dock delas med processägare. Security by Design är inte bara IT-avdelningens ansvar. Varje chef har en roll att spela. Att bygga in säkerhet i varje affärsprocess är viktigt för att skydda våra organisationer från sofistikerade hot. Detta innebär att utforma säkra arbetsflöden, kontinuerligt utbilda våra team och implementera policyer som stärker vårt försvar.

Utmaningen med osäker teknik

Så länge vi förlitar oss på osäker teknik som e-post och videomöten måste vi implementera icke-tekniska åtgärder för att minska denna risk. E-post- och videomöten är i sig osäkra på grund av att de är mottagliga för nätfiske, spoofing och man-in-the-middle-attacker. Dessa tekniker har inte utformats med robust säkerhet i åtanke och kan inte enkelt åtgärdas på grund av deras utbredda användning och komplexiteten i att integrera förbättrade säkerhetsåtgärder utan att störa affärsverksamheten.

Ny AI-teknik ökar den risk som är förknippad med denna osäkra teknik och kommer att fortsätta att göra det, vilket gör det ännu viktigare att anta omfattande säkerhetsåtgärder. Därför är det viktigt att implementera icke-tekniska åtgärder som tydliga verifieringsprotokoll, regelbunden utbildning i att identifiera nätfiskeförsök och upprätta starka policyer för att bekräfta identiteter via flera kanaler för att minska de risker som är förknippade med dessa tekniker.

Undvika falskt förtroende

En snabb teknisk lösning som ofta implementeras är att använda e-postfiltreringsprogram för att blockera phishing-e-postmeddelanden. Även om detta kan minska mängden nätfiskeförsök som når anställda kan det skapa en falsk känsla av säkerhet. Anställda kan tro att alla skadliga e-postmeddelanden fångas upp, vilket kan leda till självbelåtenhet. I verkligheten kan sofistikerade nätfiskeförsök fortfarande kringgå filter, och utan ordentliga utbildnings- och verifieringsprotokoll förblir de anställda sårbara.

Att förlita sig på sådana snabba tekniska lösningar för varje problem som orsakas av teknik kan leda till falskt förtroende, eftersom det skapar en illusion av säkerhet utan att ta itu med de underliggande sårbarheterna. Den här metoden tar inte hänsyn till de mänskliga faktorer och processsvagheter som sofistikerade angripare utnyttjar.

Praktiska steg för ökad säkerhet

En enkel policy kunde ha förhindrat den här incidenten. Till exempel att implementera ett verifieringsprotokoll för stora transaktioner, till exempel att kräva sekundär bekräftelse via en annan kommunikationskanal (som ett telefonsamtal eller en säker meddelandeapp), kunde ha avslöjat bedrägeriet innan överföringen ägde rum. Den här typen av policy säkerställer att kritiska åtgärder dubbelkollas, vilket lägger till ett extra säkerhetslager.

Ökat säkerhetsansvar

I takt med att riskerna utvecklas måste även vårt sätt att hantera dem utvecklas. Säkerhet är ett ansvar som måste lyftas upp till den allmänna affärsnivån. Chefer på alla nivåer har nyckeln till att bädda in säkerhet i vår verksamhet. Genom att proaktivt arbeta med säkerhet i processdesign kan vi minimera risker och bygga motståndskraftiga, framtidssäkra organisationer.

Låt oss driva den här förändringen tillsammans. Security by Design måste vara ett delat ansvar på alla ledningsnivåer, med ett tydligt ansvar.

#SecurityByDesign