Cybersecurity-organisasjoner advarer mot nasjonalstat og insidertrusler

Som det er omtrent overalt, var cybersikkerhet et stort tema på Fortune Brainstorm Tech-konferansen forrige uke. På en rundbordslunsj diskuterte ledere fra en rekke cybersecurity-selskaper og organisasjoner nye trusler. Mens de sa at ting faktisk kan forbedre seg, pekte de også på større bekymringer fra nasjonalstater.

I mellomtiden snakket FBIs Amy Hess på scenen om de forskjellige truslene og hva selskapene bør gjøre som svar. På spørsmål om vi skulle være redde, sa hun "det korte svaret er 'ja.'"

På lunsjrundtabellen var en av de store sakene som ble diskutert rollen som nasjonalstater som Kina og Russland spiller, både i eksterne brudd og i å prøve å infiltrere selskaper direkte for å gjøre ting som å stjele intellektuell eiendom.

Michael Brown, tidligere administrerende direktør i Symantec og nå direktør for Forsvarsdepartementets forsvarsinnovasjonsenhet, sa at i Silicon Valley, "er de mindre selskapene ikke så bevisste som de burde være til trusselen om innsideinnbrudd og utenlandske aktører som Kina."

Han sa at de fleste brudd og trusler etter volum er kriminelle, ikke kommer fra de forskjellige regjeringene, så det både myndigheter og privat industri trenger å gjøre er å gjøre innbrudd i systemer både vanskeligere og dyrere. Han bemerket at angripere bare må ha rett en gang for å komme inn i et system, mens forsvarere må ha rett hele tiden for å holde folk ute. "Det er et økonomispill, " sa han.

"Det er bare fire problemer innen cybersikkerhet: Kina, Russland, Nord-Korea og Iran, " ifølge Dmitri Alperovitch, medgründer og CTO for CrowdStrike. Han sa ikke bare at disse landene selv var store hackere, men at mange kriminelle hackere også opererer ut av disse landene. Disse gruppene er så innstilt på å hacke at hvis de prøver hardt nok, vil de til slutt finne en svakhet i nettverket ditt.

Tim Junio, medgründer og administrerende direktør i Expanse, som overvåker internett for å se etter informasjon som tilhører kundenes firmaer, sa at "Det er utrolig sjeldent - og sent i spillet - at selskaper tenker på det faktum at utenlandske aktører kommer til å rekruttere folk til å trenge gjennom nettverkene sine. " Han foreslo at vi trenger tilsvarende et finansiell revisjonssystem for netsikkerhet.

Oracle-generaldirektør Dorian Daley var enig i at flere selskaper måtte fokusere på insidertrusler, men understreket at toppledere i selskapet måtte ta cybersecurity på alvor. Hun snakket om hvordan Oracle hadde en komité for sikkerhetstilsyn og snakket om å gjøre en "bedriftskoloskopi" for å se etter sikkerhetsproblemer, og deretter rette dem.

I et intervju på scenen sa Amy Hess, administrerende assisterende direktør for FBIs kriminelle, cyber, respons og tjenester (øverst) at terrorisme, spionasje, IP-tyveri og enkel kriminalitet alt er en del av "cyber" -spørsmålene..

Hun sa at Kinas mål er "å bli verdens dominerende supermakt, " og la til at den kinesiske regjeringen er villig til å stjele informasjon, åndsverk, personlig identifiserbar informasjon (PII), regjeringshemmeligheter og FoU for å komme dit. I tillegg, sa hun, er kineserne villige til å investere i selskaper og bli en del av forsyningskjeden for å få mer informasjon. Hun sa at dette gir dem enkel tilgang til teknologi som tok amerikanske selskaper år å utvikle, og utnyttet amerikansk oppfinnsomhet. "De får det gratis, de får det raskt, " sa hun.

Russland var annerledes, sa Hess, for selv om det fortsatt var interessert i å stjele militære hemmeligheter, regjeringshemmeligheter og FoU, var det også en "ondartet utenlandsk innflytelse." Hun sa at Russland brukte vår avhengighet av sosiale medier for å få folk til å stille spørsmål om det de leser er reelt, og for å bruke disse plattformene for å dele oss.

Hess sa at FBI koordinerer med Department of Homeland Security om hvordan de skal forsvare nettverk i USA og samarbeider med Department of Defense for å se hva som skjer offshore. Men hun sa at FBIs viktigste rolle var "ansvarlighet" - for å finne ut hvem som hacker og holde dem ansvarlige. For eksempel sa hun at basert på FBI-etterforskning, ankalte Justisdepartementet flere individer for å stjele informasjon i forkant av presidentvalget i 2016. FBI så forsøk på å infiltrere valgsystemer i 2016, sa hun, men at selv om det ikke var noen indikasjon på at stemmer ble endret, prøvde hackere absolutt å få informasjon rundt valgprosessen.

Hun var ikke bare bekymret for Kina og Russland, der FBI formelt har tiltalt agenter fra disse regjeringene, men også Iran og Nord-Korea. Kriminelle var også et spørsmål, da "pengene er ganske fenomenale." Hun sa at de siste 15 månedene utvinnet FBIs utvinningsformue-team 380 millioner dollar, eller 78 prosent av det som ble kalt inn.

FBI oppfordret selskapene til å kontakte det når de ser noe som ser ut, sa Hess. Hun sa at hun innså at noen selskaper kan føle at de har en konkurransemessig ulempe hvis de erkjenner at de kan ha blitt hacket, men FBI kan hjelpe, hjelpe andre mennesker og hjelpe til med å forhindre neste angrep. Hun bemerket at FBI ikke har noen forpliktelse til å fortelle verden om et angrep, og sa: "Vi tar det veldig alvorlig."

Hun ønsket å oppmuntre til samarbeid og samarbeid, at hun gjerne vil se evnen til å bevege seg frem og tilbake mellom privat sektor og myndigheter lettere. Mens regjeringen ikke kan konkurrere med privat industri i lønn for fagpersoner innen cybersikkerhet, kan den konkurrere på oppdraget, sa hun. I det minste: "Vi trenger hverandre for å dele informasjon."

Det største problemet innen cybersecurity er fortsatt mennesker, sa hun. Dette inkluderer brukerfeil, for eksempel ikke å oppdatere systemer eller installere oppdateringer, samt "evig å klikke på ting der du ikke vet hvor de fører til."

På spørsmål om hennes største frykt, sa Hess at det var selskapets "kritiske infrastruktur", og hvordan noen som tar ut til og med en liten del av mobilnettet, økonomi, energi eller transportnett kan ha "alvorlige konsekvenser." Hun var bekymret for nye tilkoblede enheter, og sa at i et rush for å få ting til å markedsføre, er sikkerhet noen ganger en ettertanke.

Jeg spurte hva hun mente om selskaper eller kommuner som betalte ransomware, et spørsmål som har vært i nyhetene i det siste. Hun sa at det ikke var en god ide å betale løsepenger, da dette bare "oppmuntrer andre." I tillegg var det aldri noen garanti for at det ville fungere. Hun sa at det siste tiden var mer sannsynlig at ransomware målretter seg mot mindre virksomheter som er "potensielt mer mottakelige", så vel som kommuner.

"Du kommer til å være et mål, " sa Hess, "så tenk på deg selv på den måten."

Hun ble også spurt om konseptet "hacking", og sa at hun hadde reelle bekymringer for at privat industri skulle ta krenkende handlinger. Hun sa at hun var bekymret for sikkerhetsskader, sekundære og tertiære konsekvenser organisasjonene kanskje ikke er klar over, og hvordan dette kan være farligere for den kritiske infrastrukturen.