CISO コーナー: CIO コンバージェンス、10 の重要なセキュリティ指標、および Ivanti Fallout

CISO コーナーへようこそ。Dark Reading の毎週の記事のダイジェストは、特にセキュリティ運用の読者とセキュリティリーダー向けに調整されています。ニュース業務、ザエッジ、DR テクノロジー、DR グローバル、および解説セクション全体から収集した記事を毎週提供します。私たちは、あらゆる形態や規模の組織のリーダー向けに、サイバーセキュリティ戦略の運用をサポートするための多様な視点を提供することに尽力しています。

この問題では：

CISO が取締役会に提示すべき 10 のセキュリティ指標カテゴリ
CISO と CIO の融合: 準備ができてもできなくても、いよいよ始まります
FCC、通信プロバイダーと VoIP プロバイダーに PII 侵害の報告を義務付ける
DR Global: 中東とアフリカの CISO は 2024 年の予算を 10% 増額する計画
GenAI ツールは企業のあらゆる領域に浸透します
CISO は当面 Ivanti をスキップすべきでしょうか?

CISO が取締役会に提示すべき 10 のセキュリティ指標カテゴリ

Ericka Chickowski、寄稿ライター、Dark Reading

取締役会は、セキュリティプログラムの技術的な詳細を気にしません。彼らは、重要業績評価指標がどのように追跡され、使用されるかを確認したいと考えています。

米国証券取引委員会のサイバーセキュリティに関する新しい規則現在、セキュリティチームは、主要業績評価指標 (KPI) と主要リスク指標 (KRI) を追跡する方法、およびそれらの指標を使用して取締役会に助言し、報告する方法をより厳密にする必要があります。

「これらの主要業績評価指標は、取締役会のリスク委員会または監査委員会と共有されると、組織のサイバーセキュリティ能力とサイバー制御の効率性を明らかにすると同時に、取締役会がテクノロジーと人材への投資の適切性を評価するのにも役立ちます。」 AKnowledge Partners の CEO、Homaira Akbari 氏と Netskope のクラウド戦略責任者である Shamla Naidoo 氏は次のように書いています。サイバーに精通した役員室.

Dark Reading は、本書の推奨事項からヒントを得て、取締役会にリスクレベルとセキュリティパフォーマンスに関する包括的なレポートを提供するために、CISO とサイバーリーダーが精通する必要があるセキュリティ運用の主要な指標を分析し、データの作成方法について議論します。組織のプログラムの有効性を判断し、保護のギャップを特定するための裏付けられたモデル。

続きを読む： CISO が取締役会に提示すべき 10 のセキュリティ指標カテゴリ

関連する CISO が取締役会に対してより良い説明を作成する方法

CISO と CIO の融合: 準備ができてもできなくても、いよいよ始まります

Oomnitza CEO 兼共同創設者 Arthur Lozinski によるコメント

最近の変化は、デジタル変革を成功させるためには、この 2 人の IT リーダー間のコラボレーションと連携の重要性を浮き彫りにしています。

デジタルリスクを管理する CISO の管理は、デジタルトランスフォーメーションを成功させるために非常に重要であるため、CISO の役割はますます CIO と重複しており、サーバールームから役員室までサイバーセキュリティの継続的な軌跡が強調されています。

この 20 つの役割は XNUMX 年間連携してきましたが、現在、CIO は主にビジネスイノベーションをサポートするテクノロジーの調達と活用を任務としており、その役割は以前に比べて著しく機能しにくくなっています。

一方、CISO は現在、中核となる運用上のステークホルダーとなり、コンプライアンス義務に直面し、データ侵害による運用の中断を防ぎ、リスクスコアを割り当てています。新たなサイバーセキュリティの脅威.

結果？ CIO と CISO はますます歩調を合わせて歩むようになり、この 2 つの役割がどのように進化するかに関係なく、この変化は、デジタル変革の成功とその後の成功のために、この 2 人の IT リーダー間のコラボレーションと連携の重要性を浮き彫りにしています。

CIO/CISO の統合の詳細: CISO と CIO の融合: 準備ができてもできなくても、いよいよ始まります

FCC、通信プロバイダーと VoIP プロバイダーに PII 侵害の報告を義務付ける

タラ・シールズ、ニュース、ダークリーディング担当編集長

音声および無線プロバイダーに対する委員会の違反規則は、2017 年以来変更されていませんでしたが、ついに現代に合わせて更新されました。

SEC さん、そこに移りましょう: 街では新たなコンプライアンス義務が課せられています。

来月から、通信プロバイダーと VoIP プロバイダーは次のことを行う必要があります。データ侵害を FCC に報告する、FBI、およびシークレットサービスは発見から 7 日以内に通報します。

また、サイバーインシデントに巻き込まれた個人を特定できる情報 (PII) がある場合は常に、顧客にデータ侵害の通知を発行する必要があります。

FCCは今週最終規則を発表し、通信事業者とサービスプロバイダーに対し、PIIが公開された場合の透明性を高めるよう義務付けた。同委員会による PII の定義は幅広く、名前、連絡先情報、生年月日、社会保障番号だけでなく、生体認証やその他多数のデータも含まれます。

以前、FCC は、顧客固有のネットワーク情報 (CPNI) データ、つまり、加入プランデータ、使用料、通話先またはメッセージの番号などの電話料金情報に影響がある場合にのみ、顧客への通知を要求していました。

FCC の違反報告要件が最後に更新されたのは 16 年前です。

続きを読む： FCC、通信プロバイダーと VoIP プロバイダーに PII 侵害の報告を義務付ける

関連するプルデンシャル、SECに自主違反通知を提出

中東とアフリカのCISOは2024年の予算を10%増額する計画

DRグローバル

Robert Lemos、寄稿ライター、Dark Reading

新しいデータは、AI およびその他の要因のおかげで、中東、トルコ、アフリカ地域でのサイバーセキュリティの予想を上回る成長を示しています。

サイバーセキュリティ市場は中東、トルコ、アフリカ（META）地域で急速に成長すると予想されており、支出額は6.5年には2024億ドルに達すると予想されています。

IDC によると、この地域の CISO の 10 分の XNUMX 以上が、今年の予算を少なくとも XNUMX% 増やす計画を立てています。これは主に地政学的脅威、生成型 AI の成長、地域全体でのデータ保護規制の強化によって促進されています。。

IDC South Africa および META で IT セキュリティデータのリサーチアナリストを務める Yotasha Taver 氏は、「サイバー犯罪の成功例の増加により、中核国に比べて認知度がそれほど高くない非中核国でのコンサルティングサービスの需要が高まっています」と述べています。「特に中東の政府からも、サイバーセキュリティの向上を求める声が上がっています。」

もちろん支出は国によって異なります。たとえば、サウジアラビアとアラブ首長国連邦（UAE）の両国は、国家戦略への積極的な投資 IDC の調査によると、ネットワークとテクノロジーのセキュリティを確保するために支出を増やしている企業は、同業他社よりも高い支出軌道にあることがわかりました。

続きを読む：中東とアフリカのCISOは2024年の予算を10%増額する計画

関連する UAEの銀行がサイバー戦争ゲーム演習を実施

GenAI ツールは企業のあらゆる領域に浸透します

深読み: DR 研究レポート

多くの部門やグループは、生成 AI ツールを使用する利点を認識していますが、これにより、データ漏洩やコンプライアンス、プライバシー侵害から企業を保護するというセキュリティチームの仕事が複雑になります。

組織間では使用に大きな関心が寄せられています。生成 AI (GenAI) ツール Dark Reading による GenAI に関する初の調査によると、幅広いユースケースに対応しています。企業内のさまざまなグループがこのテクノロジーを使用できますが、これらのツールはデータ分析、サイバーセキュリティ、研究、マーケティングのチームが最も一般的に使用しているようです。

回答者のほぼ 29 分の 22 は、組織がパイロットプログラムを実施しているか、GenAI ツールの使用を検討していると回答していますが、17% はこれらのツールを使用するかどうかまだ検討中であると回答しています。組織が GenAI ツールを積極的に使用していると回答したのはわずか XNUMX%、導入の過程にあると回答したのは XNUMX% でした。

セキュリティチームは、これらのアクティビティを日常業務、特にコードの作成、特定の脅威指標や問題に関連する参考情報の検索、調査タスクの自動化にどのように組み込むことができるかを検討しています。

一方、マーケティングおよび営業グループは、テキストドキュメントの初稿を作成したり、パーソナライズされたマーケティングメッセージを作成してテキストドキュメントを要約したりするために AI ジェネレーターを使用することがほとんどです。製品およびサービスグループは、顧客ニーズの傾向を特定し、新しいデザインを作成するために GenAI に頼り始めています。一方、サービスグループは、傾向を予測し、チャットボットなどの顧客向けアプリケーションにテクノロジーを統合することに重点を置いています。

Dark Reading の読者が企業内での生成 AI の使用をどのように期待しているかについて詳しくは、こちらをご覧ください。無料でダウンロードできるレポート。

続きを読む： GenAI ツールは企業のあらゆる領域に浸透します

CISO は当面 Ivanti をスキップすべきでしょうか?

著者: Becky Bracken、編集者、Dark Reading

カスケード状の重要な CVE、サイバー攻撃、パッチ適用の遅れが Ivanti VPN を悩ませており、サイバーセキュリティチームは解決策の確保に追われています。研究者らは感心していない。

Ivanti は 2024 年現在までに XNUMX つの VPN の欠陥を明らかにしています。ゼロデイとして最も悪用される — そのうちの 2 つはパッチが利用可能になる数週間前に公表されました。サイバーセキュリティ研究者のジェイク・ウィリアムズ氏のような一部の批評家は、Ivantiの脆弱性の過剰と同社のインシデント対応の遅さを、ビジネスに対する存続の脅威とみなしている。

Williams 氏は、Ivanti の現在の問題は、安全なコーディングとセキュリティテストが長年にわたって無視されてきたことにあると非難しています。ウィリアムズ氏によると、Ivanti が立ち直るには、顧客との信頼を何とか取り戻しながら、その技術的負債を克服する必要があるという。ウィリアムズ氏は、それがイヴァンティにやり遂げられるかどうか疑わしいと付け加えた。

「Ivanti がエンタープライズファイアウォールブランドとしてどうやって生き残っていくのか、私にはわかりません」と Williams 氏は Dark Reading に語り、ソーシャルメディアで広く同じ意見を繰り返してきました。

最終的に、Ivanti の苦境は企業のサイバーチームに降りかかり、選択を迫られることになる。サイバーチームは CISA のアドバイスに従い、Ivanti VPN アプライアンスを切断し、再接続する前にアップデートできます。または、パッチ適用のためにすでにオフラインになっている間に、Ivanti アプライアンスを完全に更新された機器に完全に置き換えることもできます。

しかし、Ivanti に固執するのは無駄かもしれないと言う人もいます。「これらのデバイスには、この脅威が要求するのと同じ真剣さでソフトウェアが設計されている必要があります」と、バンベネックコンサルティングの社長、ジョンバンベネックは述べています。「私が CISO なら、Ivanti が再び実力を証明するまで、数年間は見送るでしょう。」

続きを読む： Ivanti、サイバーインシデント対応で悪い評価を受ける

関連するボルト台風が複数の電力会社を襲い、サイバー活動が拡大