记录黑客技术中优秀的内容,传播黑客文化,分享黑客技术精华2021年CISO应关注的五个工作目标
面对紧张的预算和资源，可供企业组织使用的安全措施有限。因此，企业组织需要根据战略目标对安全措施进行优先级排序。但现实中，由于诸多原因，企业组织的总体安全目标并不明确，在这种情况下，企业组织可以尝试“日拱一卒”，制定阶段性的局部目标。2021年CISO（首席信息安全官）应该重点关注的五个工作目标：创建网络钓鱼防范计划无线通信公司Verizon在其DBIR 2021数据泄露报告中指出，网络钓鱼仍然是网络攻击最常用的手段，在2020年甚至更为流行，占攻击事件的36%。远高于一年前的25%，这一增长反映了2020年上半年与新冠肺炎疫情相关网络钓鱼诱饵的涌入。
CISO对威胁情报使用满意率不足10%
近日，Cyber sixgill对全球150家大型企业CISO（首席信息安全官）展开一项调查，数据显示，超过90%的CISO表示，他们依赖过时、基于报告的威胁情报，这些情报通常无法为决策提供有价值的信息。CISO们清晰地意识到这一不足，因为董事会和首席执行官对他们的评判，主要考虑与事件响应效率和响应瓶颈相关的指标，以及是否提供更好的可见性工具。
超六成CISO来自外聘，安全人才“内生”成难题
根据Marlin Hawk的最新研究报告，企业从另一家公司聘用（挖角）CISO（首席信息安全官）的比例高达64%；超过一半的受访者(53%) 担任当前职位两年或更短时间，这意味着他们在新冠肺炎大流行期间才开始新工作。据了解，2020年，伴随全球新冠肺炎的大流行，几乎所有公司都在适应远程办公的竞赛中面临多种安全挑战。面对这些挑战和不断增加的财政压力，强大的网络安全功能变得越来越重要，CISO也随之成为最高管理层中最具弹性和活力的成员之一。尽管CISO的角色发生了巨大变化，但大多数人在其所在公司董事会中没有席位。研究显示，企业普遍缺乏让当前CISO满意的好计划，没有继任计划，而且似乎缺乏内部招聘。
医疗行业CISO面临的挑战与对策
点击蓝字 关注我们医疗行业向来是网络攻击者的“青睐对象”。过去，攻击者的目标是医疗机构存储的患者个人健康和财务数据，但勒索软件的出现极大地改变了医疗行业的威胁格局。医疗行业网络安全态势相关数据显示，受新冠疫情影响，医疗行业网络安全威胁持续加剧，2020 年，针对医疗行业的网络攻击增加了50%以上。在记录的599起医疗行业网络安全事件中，403起 (67.3%)是由黑客和IT事件引起的，通过部署勒索软件和加密关键数据的攻击手段极为常见。“许多遭受勒索软件攻击的医疗企业，都会权衡收入损失与赎金成本以及后续攻击的可能性。”医患支付技术公司Patientco的CTO肖恩·乔伊斯说道。
发布时间:2021-09-08 16:22 |
阅读:27201 | 评论:0 |
标签:CISO
顶流CISO谈职场天花板和“提权”路径
近日，Zoom的CISO Jason Lee和Thycotic的首席安全科学家兼CISO Joe Carson接受了媒体采访，就远程办公时代企业CISO职业发展道路和策略进行了深入探讨，内容如下：CISO不是网络安全的天花板“CISO不是网络安全事业的终点站，”Carson指出：“您在业务的某个方面已经达到了支柱的顶端，但这并不是CISO可以占据的唯一位置。CIO通常被认为是比CISO更高级别的董事会或执行团队成员。”CIO/CISO的联合职位将使CISO对公司的全部信息负责，而不仅仅是其安全性——但不能完全确定CISO是否会将其视为职场的“横向活动”还是“权限提升”。
数字转型安全为先，CSA CISO Summit@ISC 2021高峰论坛即将举办
当今数字时代，信息安全对于保护业务数据的可用性、隐私性和完整性至关重要。首席信息安全官(CISO)伴随整个信息安全行业的发展，在组织中也扮演起更具战略意义的角色。7月28日，由云安全联盟大中华区主办、ISC互联网安全大会承办的CSA CISO Summit@ISC 2021（云安全联盟CISO高峰论坛）将在ISC 2021上正式举办。高峰会上，云安全联盟大中华区主席李雨航将与国内IT高管、安全负责人一起，围绕“数字转型，安全为先”主题，聚焦企业数字化转型、数字业务安全等问题展开研讨，助力企业CISO们从战略到战术全面提升安全能力。
新的SaaS安全报告深入探讨CISO在2021年的重点和计划
多年来，安全专业人员已经认识到增强SaaS安全性的必要性。然而，随着2020年软件即服务(Software-as-a-Service)应用程序在2020年的指数级采用，情况又发生了较大的变化。组织管理着从35到100不等的多个应用程序。从Slack和Microsoft Teams等协作工具到SAP和Salesforce等关键任务应用程序，SaaS应用程序充当现代企业的基础。2020年迫切需要能够缓解SaaS错误配置风险的安全解决方案。
CISO们到底需要从安全厂商处获得什么？
#CISO 1 #信息安全负责人 1 Terry Grogan一度发现自己处在一个和许多安全管理人员一样的境地中：她所在的组织正经历关键的技术革新中，而同时要依靠一个人员不足的部门来解决大量的安全隐患。因此，Grogan需要部署新的、更先进的网络监测能力。这时，她发现了一个非常突出的合作伙伴：一个供应商提出一个免费试用三个月解决方案的计划；在这三个月中，通过试用发现医院最大的安全缺口，以及解决方案究竟能否解决。Grogan事后表示，通过三个月的试用，他们不仅能够看到该产品如何能够解决他们已知的问题，还发现产品能够带来一些他们之前未曾想到的效率。
2021年CISO之声：千位CISO预计未来一年出现破坏性网络攻击
Proofpoint调查了全球1400位CISO，了解他们关于当前网络安全形势的看法。根据安全公司Proofpoint的最新调查，全球1000多位CISO对新冠肺炎疫情开始以来大规模转向远程工作的安全影响表示担忧。Proofpoint《2021年CISO之声》调查于2021年第一季度进行，针对14个国家不同行业中雇员规模超200人的企业，主要呈现了来自这些企业的1400名CISO的观点。来自美国、加拿大、英国、法国、德国、意大利、西班牙、瑞典、荷兰、阿拉伯联合酋长国、沙特阿拉伯、澳大利亚、日本和新加坡的各100名CISO接受了采访，许多受访者强调了当前网络安全状态中的重大问题。
[调查]2021年CISO之声：千位CISO预计未来一年出现破坏性网络攻击
Proofpoint调查了全球1400位CISO，了解他们关于当前网络安全形势的看法。根据安全公司Proofpoint的最新调查，全球1000多位CISO对新冠肺炎疫情开始以来大规模转向远程工作的安全影响表示担忧。Proofpoint《2021年CISO之声》调查于2021年第一季度进行，针对14个国家不同行业中雇员规模超200人的企业，主要呈现了来自这些企业的1400名CISO的观点。
CISO向谁汇报重要吗？
安排专职高管负责安全问题的重要性越来越明显。这也是IDG《2020年安全重点研究》的主要发现之一：61%的受访公司有安全专家身居高管位置，大企业在高管层给安全专家留一席之地的比例更是高达80%。这些安全高管在公司中发挥着重要作用：同一研究发现，相比设置了安全高管的公司，缺乏CISO、CSO或其他高层安全管理人员的公司更容易反馈称其雇员安全培训不足，安全策略不够主动。但不是所有的安全高管在公司组织架构图上的位置都是一样的，而其间差异会影响组织文化和安全结果。
发布时间:2021-04-04 01:26 |
阅读:69845 | 评论:0 |
标签:CISO
CISO常犯的五个风险管理错误
新冠疫情导致全球经济衰退，企业裁员、预算紧缩接踵而至，但网络攻击和数字风险也创下历史新高。新冠疫情期间，勒索软件、重大数据泄露和隐私?
高效CISO需要关注的七个安全指标
当企业安全预算的增长面临“不可持续”风险，CISO应该开始重视哪些安全指标？CISO最具挑战性的工作之一就是选择正确的指标来量化企业网络安全体系的能力和价值，这是企业网络安全策略和效率的基础。如果说KPI是一种病，那么，没有什么比选择错误的KPI指标更加可怕的事情了，尤其是企业安全预算开始吃紧的黑天鹅时期。网络安全预算“无厘头”增长已经不可持续零信任需要钱、威胁情报需要钱、漏洞管理需要钱、下一代防火墙需要钱、下一代SOC/SOAR/SIEM需要钱、数据防泄漏需要钱、勒索软件需要钱、等保合规需要钱、安全意识培训需要钱……这些还都是肉眼可见的、优先级很高的“烧钱项”。
网络安全二十年关键词统计，CISO的第二次角色转变
当我们谈论安全，我们在谈论什么？下一个十年，CISO的新角色和定位是什么？安全转型研究基金会（Security Transformation Research Foundation）近日发布的网络安全内容关键词分析突显了网络安全语境在过去20年中的发展轨迹和重大趋势。
由于压力和倦怠，CISO的平均任期仅为26个月
绝大多数受访的CISO高管（88％）表示压力很大，其中三分之一由于压力引发了身体健康问题，一半导致精神健康问题。
整个行业的首席信息安全官（CISO或CSO）都称压力很大。
许多人表示，压力问题已经引发了精神和身体健康问题、人际关系问题、甚至导致药物和酒精的滥用，而在某些情况下最终导致职业倦怠，平均在26个月的任期之后选择新工作。
这些来自Nominet报告中的数字显示了一个日益普遍的问题（压力和倦怠），但这个问题在整个信息安全行业中却一直被忽略，只是随着CISO角色在内部的重要性日益凸显，这个问题才开始被企业重视。
调查结果
现在，许多公司都在采用CISO角色。
网络安全可以从巴菲特身上学到什么？
安全最佳实践与金融最佳实践之间存在相通之处。事实上，安全主管们可以从股神巴菲特保护自身金融投资的方法上学到很多。历史经验告诉我们，人类从来不会汲取历史教训。——巴菲特2017年，公司企业在数据防护技术上的投资总额高达864亿美元，是5年前的2倍。同时，似乎每隔一周就会爆出一起重大安全事件。于是，安全主管们纷纷自问：我的安全投资真的有用吗？面对越来越危险的威胁态势，大多数安全团队在传统安全技术和管理两方面都加倍投入。但这一策略并没有什么效果。因为随着IT基础设施的发展，网络攻击也在不断演进，10年前效果很好的安全工具在今天这个分散而动态的世界里不再有效。
2018：首席安全官的新年规划
大多数人都会有几个新年计划，减肥、锻炼、多陪陪家人等等，从企业战略集团(ESG)的调查研究和网络安全从业者的反馈来看，安全主管必须更贴近公司业务，提升员工生产力，现代化安全技术基础设施。以下5点是企业CISO们的新年规划：1. 让网络安全成为企业文化的一部分ESG/ISSA(信息系统安全协会)研究表明，24%的企业，其业务经理依然不能正确认识/支持网络安全。2018年，CISO必须扭转对网络安全的这种无知和漠然。那么，该怎样扭转呢？齐心协力争取CEO的支持。与所有业务经理建立经常性联系。以业务经理能理解并据此行动的方式，更好地量化风险。在软件开发人员开始写代码之前，参与到业务过程计划中来。
能让CISO丢掉工作的5个“小问题”
大型数据泄露事件，可导致CISO甚至是CEO失去工作。但千里之堤毁于蚁穴，一些不甚明显的纰漏，也能带来严重后果。以下5种情况，CISO需要关注并小心。1. 重点工作只放在防护上正如最近的Equifax和雅虎数据泄露呈现的，数据泄露可为公司企业带来严重的信誉伤害。在这种情况下，如果能证明CISO疏于安装最新补丁，或没在数据中心、远程办公室及网络边界上安装恰当的防火墙，没能更新企业的数据环境以应对最新威胁，那么，CISO被炒基本是注定的。遭遇历史性安全事件，导致重大经济损失和大量负面宣传，这时候炒掉CISO很大程度上是出于公关考虑，公司必须向公众表明他们在采取行动。
CISO应该进入董事会
不要等到发生安全事件的时候，再去邀请CISO加入董事会。最近在伦敦举行的IPSec大会上，F-Secure首席研究官米科·西博能称，公司企业应将首席信息安全官(CISO)与CIO一起，列入董事席位中。西博能提到了信用参考机构Equifax泄露1.45亿美国人记录的黑客事件，他指出，随着软件应用的盛行，CISO如今在几乎每家大型企业的管理和监督中都占据了关键地位。F-Secure首席研究官米科·西博能在董事会的讨论内容中，网络安全工作非常被动，公司董事会根本不考虑这个问题。他们不是计算机专家，也不是网络安全专家，对网络安全提不起兴趣。但每当大事件发生，网络安全就变成了董事会级的问题。
把这三个问题回答好才能算一个合格的CISO
IoT带来的风险，检测潜在恶意数据传输的困难，以及对用户和设备活动可见性的整体缺乏，这些问题，很大程度上是今天复杂庞大的网络基础设施所造成的结果。臃肿的网络基础设施，令监视用户和设备行为中微小恶意转变的工作，变得十分复杂。今天的网络延伸到了云端，有可能接入到工业控制系统中，还可能托管着大量的设备，而且往往遍布全球。高级网络攻击和内部人威胁注定隐身在繁杂噪音中。再加上IoT设备、虚拟机和智慧城市，简直不可能保持领先不断发展的威胁态势一步。因此，CISO及其安全团队面临一个根本性问题。他们有太多盲点，且缺乏区分威胁和合法活动的能力。
一位首席分析师对 Black Hat 2017 的吐槽
黑帽2017是场大秀，展现了健康的网络安全行业风貌。但炒作、误解和专有议程还是太多。作为全程参与了本次黑帽安全大会的分析师，有几条想法想跟大家分享一下：1. 这是第20届黑帽大会，人气爆棚是肯定的。听说参加人数比去年还多，而我知道2016的参会人数就已经破纪录了。不想显得粗俗，但会议间隙真的不得不花10分钟排队才轮得到上个厕所。2. Facebook首席安全官阿列克斯·斯塔莫斯的主题演讲很成功。他的主要观点是：广大网络安全社区（例如网络安全专业人士和网络安全技术产业），必须拓展其在多个领域的角色职能。首先，他谈到要对用户有更多的同理心。其次，要专注在伤害而非技术复杂性上。
赛门铁克发布新CISO调研报告 ：云成为网络犯罪的下一个着手点
绝大数的中国CISO 认为，确保云应用符合合规要求是面临的最大工作压力之一 。近日，全球网络安全领导厂商赛门铁克公司发布一项针对企业数据安全现状的全新调研报告。该报告覆盖全球11个市场，共邀请1,100 名首席信息安全官参与调研。报告结果显示，云安全是中国首席信息安全官(CISO)最担忧的挑战。不仅如此，中国首席信息安全官更关注自身企业是否拥有快速应对网络攻击的能力。毫无疑问，云计算拥有诸多优势，吸引越来越多行业的关注，例如卓越的可扩展性、更短的上市时间、更低的成本费用，以及出色的工作效率。但这一领域同样吸引着网络罪犯的目光。这个全新的无边界基础架构在网络攻击者眼中成为一座潜在的金矿。
董事会应当如何加强与CISO的关系？
“安全和风险管理必须成为企业决策的一部分，首席信息安全官（CISO）是倡导这些问题的最佳人选。”———Fast Company报道
过去几年中，有关CISO与董事会之间关系的话题讨论，越来越广泛的进入到大众的视野。在美国企业董事联合会（National Association of Corporate Directors，NACD）出版的2017年网络风险监督手册里，罗列了有关“CISO与董事会”关系的见解，并且为董事会管理层人员提供了最新的网络风险监管建议。
CISO如何回答CEO提出的高难度问题？
CEO完全信任首席安全官(CSO)，将保护公司安全，不让公司登上媒体头条出丑的重责大任交托到CISO身上。但随着互联网攻击数量的急速上升，该信任已逐渐被稀释，至少，是越来越受到质疑了。
CEO讨厌被打个措手不及，所以他们总会问些尖锐的问题，来确保自己知晓采取了哪些安全预警措施。
下面就是假想中的CEO或董事会成员与CISO的问答。卢卡斯·穆迪，Palo Alto Networks 副总裁兼CISO，多蒂·辛德林格，Diligent监管技术推动者，给出了有关这些互动的见解。
一名心理学与哲学专业毕业生的首席信息安全官之路
首席信息安全官(CISO)通常具备技术性信息安全或IT风险背景。但条条道路通罗马，想成为CISO也未必一定要是谢耳朵那样的纯技术宅，兴趣、恒心、冲劲、终身学习等等素养也可助推非技术出身的人才成为优秀的CISO。不信可以看看心理学与哲学专业出身的杰夫·福尔兹是如何实现华丽转身的。
杰夫·福尔兹一开始并没有想要从事信息安全职业。他通过抓住一系列机会不断充实自己的技术集，终是走到了现下富达国民金融公司CISO的职位上。他的心理学与哲学学位也比人们想象中对其CISO工作的助力要大。
一名优秀的安全主管需要“见人说人话，见鬼说鬼话”
想要沟通，就需要用听众听得懂的语言说话。
关于CISO角色，如何清晰地向上沟通(对高管和董事会)，向下交流(公司安全部门人员)，平级互通(其他主要利益相关者)，是其长期职业生涯中的一个重要工作。
经常旅游的人就知道，总会有那么一些场景需要用当地语言交流。如果学过多国语言，那在很多国家都可以在较高层次上跟上对话。若丝毫不通当地语言，即便对话题知之甚深，在交流中也只能干瞪眼。
作为安全主管，从上述旅游经验中就可学到重要一课：要用交流对象的语言来说话。风险、报告、度量，是信息安全领域3大主要话题，对不同受众具有完全不同的意义。我们可以从不同受众围绕各个话题所用的语言，来阐述这一点。
F-Secure：终端安全才是新性感
现代公司必须尽快在其终端上挡住多种威胁
——F-Secure首席执行官萨姆·康提能
F-Secure CEO 萨姆·康提能
2017年终将上升的数据泄露和网络攻击，注定要给安全人员带来更多的不眠之夜。面对公司的IT基础设施现状，CSO们在网络与终端这两个安全领域的空白填补上大多十分困惑。萨姆·康提能，F-Secure总裁兼CEO，近期接受媒体采访，回答了关于威胁态势、竞争厂商，以及网络安全的未来等问题：
问题1. 作为F-Secure的首席执行官，什么是您在这个职位上最关注的事？
答：F-Secure不是初创公司，但与赛门铁克这样的行业巨头相比，我们还很弱小。
【RSA 2017专题】成为高水平CISO的5大秘密，将在RSA揭晓
高水平的CISO具备什么样的能力？他们的能力如何评估？IANS Research开发的CISO影响力（CISO Impact）模型，也许可以揭示成功的CISO背后的秘密。
CISO影响力模型简介
CISO影响力模型，是IANS在2014年开发的一个研究框架，用以调查研究高效的信息安全团队。IANS基于CISO影响力模型的上万个数据点，在2015年推出了CISO影响力模型2.0。
这个模型聚焦CISO的两大基本能力：技术能力和组织参与度。
十大特征定义2017年的信息安全行业什么样
安全专家认为，小型IT公司将会外包部分安全业务。
很多报告跟风追捧网络安全技术岗位没有足够适格员工的论调。佛瑞斯特研究公司建议，找寻外部专家和利用自动化来填充1/4的网络安全岗位。然而，企业面对的这一复杂度曲线尚未达到其顶点。安全部门穷于利用手头有限的资源来解决容量和能力问题，安全资源已被太多技术、太多警报和太多待做事项压得毫无喘息之力。总的安全开销将包括安全外包、托管安全服务、安全顾问和调查员，以及安全自动化技术。
明年，厂商和专家们眼中的信息安全职业是什么样的呢？看下去就知道了。
机构或企业中谁是网络安全最有力的推动者？
这取决于公司规模，在驱动安全发展上最具影响力的人可能是高管，也可能是董事会成员，但非高管级管理人员，有时甚至是直接负责IT/安全的人，也会成为强劲的推动力。
无论是谁，每家公司都需要那么一个人，让安全不仅仅是预算清单上一个条目，还是公司整体文化中的一个部分。然而，更多的情况是，公司因两种原因之一而将安全摆上重要位置。重视安全的公司，要么有着相信安全非常重要的进取型领导团队，要么就是经历过重大事件的公司。”
这也正是为什么很多情况下人员没有事件有影响力的原因。虽然大多数管理人员都希望潮流能改变一下，但现状更能说明问题。
公告
❤永久免费、持续更新、精选优质黑客技术文章的Hackdig，帮你成为掌握黑客技术的英雄❤