Embora a segurança da corrente de fonte do cyber melhore um tanto sobre os últimos cinco anos, há um motivo de preocupação imóvel. E os profissionais da segurança da informação em organizações críticas do infrastructure acreditam que a paisagem da ameaça está começando mais má e que a segurança da corrente de fonte do cyber está crescendo mais difícil. Além disso, mais de dois terços de organizações críticas do infrastructure experimentaram um multitude dos tipos de incidents da segurança, including aquelas que emanating dos vulnerabilities no software que desenvolveram in-house. Finalmente, muitas organizações críticas do infrastructure estão perseguindo tipos novos dELE iniciativas como computar da nuvem, aplicações móveis, e projetos de IoT. Estas tecnologias são em sua fase do genesis e podem ser fraught com os vulnerabilities. Entrementes, as mais melhores práticas do cybersecurity e habilidades em torno dELE inovação retardam-se também atrás.

Todos estes fatores adicionam até complexidades continuando da segurança da corrente de fonte do cyber. Baseado nos dados da pesquisa apresentou-se nisto, ofertas de ESG as seguintes recomendações para organizações críticas do infrastructure, ELE vendedores da tecnologia, e os ESTADOS UNIDOS. Governo federal.

Para organizações críticas do Infrastructure

A pesquisa de ESG indica que é não somente organizações críticas do infrastructure preparadas inadequada para a paisagem atual da ameaça, mas a maioria estão combinando este problema não fazendo bastantes para mitigate  os riscos associaram com a segurança da corrente de fonte do cyber. Para dirigir-se a estes shortcomings, as organizações críticas do infrastructure devem:

Avalie o risco da corrente de fonte do cyber através da organização. Desde que a corrente de fonte do cyber inclui uma escala larga dos participants, including ELA vendedores, dos fornecedores, dos sócios de negócio, e dos contratantes, muitas organizações críticas do infrastructure delegam a gerência da segurança da corrente de fonte do cyber a uma variedade de grupos e de indivíduos internos. Quando este fizer o sentido em um nível operacional, faz impossível começar um perspective detalhado da segurança da corrente de fonte do cyber ou medir exatamente o risco da corrente de fonte do cyber. Para aliviar esta situação inaceitável, os oficiais de CISOs e de risco devem fazer exame do momento de traçar para fora sua fonte inteira do cyber corrente-cada sócio, ELE vendedor do equipamento, fornecedor de SaaS, fornecedor, etc. Claramente, isto fará exame do tempo e requererá recursos amplos, mas um mapa end-to-end e moderno da corrente de fonte do cyber é uma fundação essencial para a consciência situational e a gerência de risco proactive.

Integre a segurança da corrente de fonte do cyber em novo ELE iniciativas. Quando perguntado porque a segurança da corrente de fonte do cyber se tornou mais difícil, 44% de profissionais do cybersecurity a responsabilizou novo as iniciativas que aumentaram cyber-atacam a superfície. Isto não está surpreendendo o adoption maciço dado das tecnologias como computar da nuvem, IoT, e o excesso móvel das aplicações o passado poucos anos. Infelizmente, novo iniciativas dá prioridade frequentemente a objetivos de negócio à custa do cybersecurity forte. A paisagem de hoje dada da ameaça, este tipo de aproximação do laissez-faire ao cybersecurity deve expunged da organização. Para dirigir-se e mitigate ao risco da corrente de fonte do cyber, CEOs deve conduzir pelo exemplo com o objetivo de construir uma cultura incorporada que inculcates o cybersecurity forte em todos os processos, em programas, e em o suportar do negócio iniciativas.

Integre inteiramente a segurança nELA obtenção. Os dados de ESG demonstram que os processos e os procedimentos que governam OS exames da segurança do vendedor faltam a consistência e a utilidade. Como práticas mencionados, mais melhores para ELE os exames da segurança do vendedor devem incluir as seguintes etapas:

Examine todo o estratégico ELE vendedores (fornecedores de serviço including, fornecedores de serviço da nuvem, e distribuidores).

Siga um processo padrão para todos os exames do vendedor.

Execute uma política incorporada onde metrics do exame da segurança do vendedor tenha um impacto significativo para todas as decisões da obtenção.

Um processo estrito do exame deve pagar por se abaixando o risco da corrente de fonte do cyber sobre o tempo. Emitirá também a uma mensagem desobstruída a ELE vendedores: Adira às políticas e aos procedimentos fortes do cybersecurity ou hawk seus produtos e serviços insecure em outra parte.

Dirija-se a todos os aspectos da garantia do software. Como em outros findings neste relatório, as organizações críticas do infrastructure fizeram o progresso na garantia do software desde 2010, mas estas melhorias são baseadas em ações táticas adicionais melhor que em uma aproximação estratégica end-to-end. A garantia do software deve ser escorada por um ciclo de vida seguro do desenvolvimento do software e pela habilidade direita ajustados para o desenvolvimento seguro do software. Além disso, práticas da garantia do software as mais melhores devem ser seguidas com nenhumas exceções. Isto exige um programa da empresa para o software internamente desenvolvido as well as controles estritos no desenvolvimento, na manutenção, e em testar third-party do software. As companhias principais imporã0 também padrões testar e de qualidade em todo o software comercial.

Formalize externo O segurança. Quando vem à segurança da corrente de fonte do cyber, o risco associado com trabalhar com sócios third-party deve ser controlado e mitigated com o mesmo cuidado que atividades internas como a exploração do vulnerability e a gerência do remendo. No fato, a segurança forte da corrente de fonte do cyber transformou-se um mandato do segundo e encontrará provavelmente sua maneira a outras indústrias além dos serviços financeiros. Uma vez que, isto exige uma aproximação consistente, outra vez documentada, e measurable para os terceiros partidos que a fornecem presta serviços de manutenção a ou consuma-os de uma organização. Com exceção dos contratos, das estruturas do governance, e das certificações legais, CISOs deve explorar os tipos novos de inteligência do cyber projetados monitorando o risco third-party dos vendedores como BitSight e SecurityScorecard.

Empurre para mais ajuda de Washington. Como muitas outras edições críticas, o cybersecurity relegated em programas partisan do tambor da política e da carne de porco. As organizações críticas do infrastructure devem trabalhar junto, vêm acima com recomendações legislativas, lobby para a ação, e certificam-se manter o público ciente de todo o comportamento ou stalling partisan em Washington.

Para ELE indústria

Fornecedores do produto e de serviço deve ver este relatório como um harbinger das coisas para vir. As organizações críticas do infrastructure têm muito trabalho adiante, mas os dados de ESG indicam claramente progridem desde 2010. É conseqüentemente sábio reconhecer que as organizações críticas do infrastructure estão fazendo lentamente mas certamente a cybersecurity forte uma exigência para tudo ELE vendedores. Para preparar-se para esta transição da segurança, o inteiro indústria deve:

Programas internos detalhados do cybersecurity da configuração. Diversos grandes vendedores including Cisco, IBM, Microsoft, Oracle, e VMware criou não somente programas fortes do cybersecurity internamente, mas detalhes também publicados sobre estes programas para a revisão do cliente. Tipicamente, estes programas incluem características como a gerência da segurança da corrente de fonte do cyber, projeto de produto seguro, testar da segurança, treinamento de empregado, ELE segurança, e serviços e sustentação da segurança. Tudo que vendedores deve estudar e emular estes programas ao mais melhor de suas abilidades.

Faça exame de um foco das soluções à segurança da corrente de fonte do cyber. Tão seguro quanto produtos e processos de todo o um vendedor são, as aplicações de negócio e infrastructure é composto de uma miríade das únicas peças conectadas que trabalham junto. Isto significa que vendedores deve fazer exame de uma aproximação proactive a acoplar com produto e presta serviços de manutenção a sócios e participa inteiramente em testar, em distribuição, e em operações do cybersecurity para o complexo ELE soluções.

Inclua a segurança forte como parte dos acoplamentos do cliente. Mesmo os clientes os mais diligent não podem estar cientes dos intricacies do cybersecurity do indivíduo ELE produtos. Os vendedores espertos trabalharão com clientes para responder a perguntas, recomendar arquiteturas da referência, para ajudar-lhes endurecer seus produtos, e para manter um córrego constante das comunicações.

Para os ESTADOS UNIDOS. Governo federal

Quando o cybersecurity continuar a ser tópico nos salões do Congress, este e a outra pesquisa de ESG revelam uma abertura crescente entre profissionais do cybersecurity e Washington. Para aliviar esta disconexão e para acoplá-la verdadeiramente com a comunidade do cybersecurity, os ESTADOS UNIDOS. O governo federal deve:

Comece com comunicações desobstruídas e concisas. A pesquisa de ESG indica que somente 22% dos profissionais do cybersecurity que trabalham em organizações críticas do infrastructure têm uma compreensão desobstruída da agenda do cybersecurity do governo. Isto pode ser porque há vozes demais do cybersecurity em agências diferentes, uma abundância de programas com acrônimos confundindo, e distante mais rhetoric do que a ação. Os ESTADOS UNIDOS. o governo pode somente retificar esta situação desenvolvendo uma estratégia detalhada para o cybersecurity para indústrias críticas do infrastructure. Naturalmente, não há nenhuma falta dos originais e programas que reivindicam fazer esta, mas a comunidade do cybersecurity em grande está procurando um programa, sustentação bipartisan, uma comunicação forte e cogent, e um líder visível do governo que realmente “possua” o cybersecurity. Sadly, muitos profissionais do cybersecurity vêem Washington como parte do problema melhor que parte da solução. Os oficiais de governo não inverterão este cynicism sem um diálogo em dois sentidos honesto, uma parceria mutuamente benéfica, e uma estratégia a longo prazo desobstruída.

Trate o cybersecurity como uma segurança nacional melhor que uma edição política. Após anos de wrangling político, o ato de Cybersecurity de 2012 recebeu a sustentação bipartisan na segurança do Homeland do Senate e no comitê governamental dos casos. Infelizmente, a conta nunca proseguiu ao assoalho do senate para um voto. Por que? Era um ano presidencial da eleição, assim que apontar do dedo fêz exame da precedência sobre a colaboração. O remains da legislação do cybersecurity. Em agosto 2015, o senate saiu de Washington para o rebaixo sem passar uma conta pendente do cybersecurity compartilhar público/confidencial da inteligência da ameaça. Quando os políticos continuarem a dar discursos do stump sobre rupturas dos dados, cyber-adversários, e interesses da segurança nacional, a legislação do cybersecurity continua a languish. Frustrado por este inactivity, o presidente Obama emitiu diversas ordens executivas nesta área. Um destes conduziu à adição boa da estrutura-um prometedora do cybersecurity do NIST mas a mais de uma sugestão do que qualquer outra coisa. Os ESTADOS UNIDOS. enfrentou uma onda unprecedented do excesso do cybercrime e do cyber-espionage o passado poucos anos com nenhuma extremidade na vista. É hora para o presidente e o congress:

Programas da instrução do cybersecurity do fundo.

Expanda o programa do corpo de Cyber como uma maneira trocar o treinamento e a taxa de matrícula do cybersecurity que financíam pelo serviço público.

Melhore o processo e a estrutura empregando da compensação para profissionais federais do cybersecurity.

Críe incentives para investimentos do cybersecurity.

Trabalhe como um sócio igual com a comunidade do cybersecurity em grande. Certifique-se de que os programas federais do cybersecurity nesta área são ingualmente acessíveis a todos os profissionais do cybersecurity em todas as indústrias e posições-não apenas dentro de algumas cem milhas da C.C. de Washington

Críe e promova padrões como STIX e TAXII para compartilhar da inteligência da ameaça.

Inteligência da ameaça da parte e as mais melhores práticas.

Limite responsabilidades às organizações que cometem verdadeiramente à segurança forte da corrente de fonte do cyber.

Imponha penalidades nas organizações que continuam a minimizar o cybersecurity.