Välkommen till CISO Corner, Dark Readings veckosammanfattning av artiklar som är skräddarsydda specifikt för läsare av säkerhetsoperationer och säkerhetsledare. Varje vecka kommer vi att erbjuda artiklar från hela vår nyhetsverksamhet, The Edge, DR Technology, DR Global och vår kommentarsektion. Vi är fast beslutna att ge dig en mångsidig uppsättning perspektiv för att stödja arbetet med att operationalisera cybersäkerhetsstrategier, för ledare i organisationer av alla former och storlekar.

I det här numret av CISO Corner:

Hur CISOs kan göra cybersäkerhetsmedvetenhet till en långsiktig prioritet för styrelser

Kommentar av Shaun McAlmont, VD, NINJIO Cybersecurity Awareness Training

Cybersäkerhet är mycket mer än en check-the-box-övning. För att skapa företagsomfattande buy-in måste CISO:er säkra styrelsestöd, förbättra sitt kommunikationsspel och erbjuda utbildningsprogram för att bekämpa social ingenjörskonst och hjälpa anställda att tillämpa det de har lärt sig.

CISO:er spelar en viktig roll i att bygga intressentstöd för cybersäkerhet i hela företaget – inklusive när det gäller att få långsiktigt stöd för medvetenhetsträning från sina styrelser. Vinnande strategier inkluderar att kommunicera cybersäkerhetskoncept på ett engagerande och icke-tekniskt sätt och att visa styrelseledamöter att cybersäkerhetsprogram erbjuder betydande ROI.

Den här kolumnen beskriver fem sätt som CISO:er kan visa styrelser att det är dags att prioritera cybersäkerhet:

Läs mer: Hur CISOs kan göra cybersäkerhet till en långsiktig prioritet för styrelser

Relaterat: CISO:er kämpar för C-Suite-status även när förväntningarna skjuter i höjden

Cybersäkerhetshoten intensifieras i Mellanöstern under Ramadan

Av Alicia Buller, bidragande skribent, Dark Reading

Hur säkerhetsteam i regionen stärker sina försvar med kort bemanning – och ökade DDoS-, nätfiske- och ransomware-kampanjer – under den muslimska heliga månaden.

Den nionde månaden i den muslimska kalendern observeras runt om i världen, eftersom anhängare tar sig tid att reflektera och träna fasta, och cybersäkerhetsteam arbetar ofta med skelettpersonal. Ramadan är också en period då muslimska shoppare tenderar att öka sina utgifter för specialmat, presenter och specialerbjudanden.

Allt detta skapar också en perfekt storm för dåliga skådespelare att utföra bedrägliga aktiviteter och bedrägerier. Endpoint-skyddsföretaget Resecurity har observerat en betydande ökning av cyberondska under Ramadan, som började den 10 mars. Företaget uppskattar att den totala ekonomiska effekten av dessa cyberattacker och cyberbedrägerier mot Mellanöstern har nått upp till 100 miljoner dollar hittills under årets ramadan .

Mellanösternbaserade företag kan öka cybersäkerheten med extra vaksamhet och outsourcad support mitt i förkortad arbetstid och ökad e-handelsaktivitet.

"Många organisationer förbättrar proaktivt sina utkontrakterade kontrakt under den här perioden, särskilt med fokus på att stärka säkerhetsoperationer dygnet runt", säger Shilpi Handa, biträdande forskningschef för säkerhet, Mellanöstern, Turkiet och Afrika (META) vid IDC, och tillägger att man använder en Avlägsen och mångsidig arbetsstyrka är särskilt fördelaktigt under Ramadan eftersom säkerhetsskiften dygnet runt kan täckas helt av en blandning av muslimska snabbare och icke-muslimsk personal.

Läs mer: Cybersäkerhetshoten intensifieras i Mellanöstern under Ramadan

Relaterat: Mellanöstern leder i implementeringen av DMARC Email Security

Finansiering av organisationer som säkrar internet

Av Jennifer Lawinski, bidragande skribent, Dark Reading

Common Good Cyber ​​är ett globalt konsortium som kopplar samman ideella organisationer, privat sektor och statliga organisationer för att finansiera organisationer som fokuserar på att säkra internetinfrastruktur.

Det finns ingen enskild enhet ansvarig för underhålla och säkra Internet. Istället faller den uppgiften på en mångfaldig grupp av organisationer och individer som bevarar denna allmännytta med lite finansiering, eller genom att livnära sig på snäva budgetar. Insatserna är otroligt höga, men mängden tillgängliga resurser för att hålla den här infrastrukturen säker är kort.

"Internets nyckelkomponenter underhålls av volontärer, ideella organisationer och icke-statliga organisationer och andra som arbetar med knivskarpa budgetar och resurser", säger Kemba Walden, president för Paladin Global Institute och tidigare tillförordnad nationell cyberchef i USA. "Tänk på detta: Grunden för vår digitala infrastruktur, infrastrukturen som gör det möjligt för civilsamhället att frodas i vår ekonomi idag och växa, vilar på ett nätverk av frivilliga, ideella organisationer, icke-statliga organisationer och andra."

Ett initiativ kallat Common Good Cyber ​​är att hitta nya sätt att bygga in adekvat finansiering i lagar och policy, affärspolitik och myndigheter, och andra finansieringsmedel som är tillräckliga för att möta det gemensamma behovet av cybersäkerhet. Idéer inkluderar att skapa gemensamma finansieringsorganisationer; federerad insamling för ideella organisationer; inventera vem som gör vad för att stödja Internets infrastruktur; och ett nav eller accelerator för att tillhandahålla resurser till grupperna som säkrar Internet.

Läs mer: Finansiering av organisationer som säkrar internet

Relaterat: Att försumma utvecklare med öppen källkod sätter Internet i fara

Hur fotbolls-VM 2022 i Qatar nästan hackades

Av Jai Vijayan, bidragande skribent, Dark Reading

En hotaktör som är kopplad till Kina hade tillgång till en routerkonfigurationsdatabas som helt kunde ha stört täckningen, säger en säkerhetsleverantör.

Ungefär sex månader före fotbolls-VM 2022 i Qatar, bröt en hotaktör – senare identifierad som Kina-länkad BlackTech – tyst in i nätverket för en stor kommunikationsleverantör för spelen och planterade skadlig programvara på ett kritiskt system som lagrar nätverksenhetskonfigurationer.

Intrånget förblev oupptäckt till sex månader efter spelen, under vilka cyberspionagegruppen samlade in en okänd mängd data från riktade kunder hos telekommunikationsleverantören - inklusive de som är associerade med VM och leverantörer som tillhandahåller tjänster för det.

Men det är "vad annat som kunde ha hänt" som är den riktigt skrämmande delen: åtkomsten som BlackTech hade på telekomleverantörens system skulle ha gjort det möjligt för hotaktören att fullständigt störa viktig kommunikation – inklusive alla streamingtjänster som är associerade med spelet. Nedfallet från en sådan störning skulle ha varit betydande i termer av geopolitiska konsekvenser, varumärkesskador, nationellt rykte och potentiellt hundratals miljoner dollar i förluster från licensrättigheterna och annonserna som förhandlats fram före VM.

Läs mer: Hur fotbolls-VM 2022 i Qatar nästan hackades

Relaterat: NFL, CISA Se till att avlyssna cyberhot mot Super Bowl LVIII

Microsoft förbättrar försvaret i Azure AI

Av Jai Vijayan, bidragande skribent, Dark Reading

Microsoft lägger till verktyg för att skydda Azure AI från hot som snabb injektion, samt för att ge utvecklare möjligheter att säkerställa att generativa AI-appar är mer motståndskraftiga mot modell- och innehållsattacker.

Mitt i växande oro för hot aktörer som använder snabba injektionsattacker för att få generativa AI-system (GenAI) för att bete sig på farliga och oväntade sätt, Microsofts AI Studio rullar ut resurser för utvecklare för att bygga GenAI-appar som är mer motståndskraftiga mot dessa hot.

Azure AI Studio är en värdbaserad plattform som organisationer kan använda för att bygga anpassade AI-assistenter, copiloter, botar, sökverktyg och andra applikationer, grundade i sin egen data.

De fem nya funktionerna som Microsoft har lagt till – eller snart kommer att lägga till – är Prompt Shields, jordningsdetektering, säkerhetssystemmeddelanden, säkerhetsutvärderingar och risk- och säkerhetsövervakning. Funktionerna är utformade för att ta itu med några betydande utmaningar som forskare har avslöjat nyligen - och fortsätter att avslöja rutinmässigt - med avseende på användningen av stora språkmodeller (LLM) och GenAI-verktyg.

"Generativ AI kan vara en kraftmultiplikator för varje avdelning, företag och bransch", säger Microsofts produktchef för ansvarig AI, Sarah Bird. "Samtidigt introducerar grundmodeller nya utmaningar för säkerhet och säkerhet som kräver nya begränsningar och kontinuerligt lärande."

Läs mer: Microsoft förbättrar försvaret i Azure AI

Relaterat: Glöm Deepfakes eller Phishing: Snabb injektion är GenAI:s största problem

Ivanti lovar säkerhetsöversyn dagen efter att ytterligare 4 vulner avslöjats

Av Jai Vijayan, bidragande skribent, Dark Reading

Hittills i år har Ivanti avslöjat totalt 10 brister – många av dem kritiska – i sina produkter för fjärråtkomst, och en i sin ITSM-produkt.

Ivantis vd Jeff Abbott sa denna vecka att hans företag kommer att helt förnya sina säkerhetspraxis även när leverantören avslöjade ytterligare en ny uppsättning buggar i sin Ivanti Connect Secure med sårbarheter och Policy Secure fjärråtkomstprodukter.

I ett öppet brev till kunderna har Abbott åtagit sig en rad förändringar som företaget kommer att göra under de kommande månaderna för att omvandla sin säkerhetsoperativa modell efter en obeveklig störtflod av buggavslöjanden sedan januari. De utlovade korrigeringarna inkluderar en komplett övergång av Ivantis ingenjörs-, säkerhets- och sårbarhetshanteringsprocesser och implementering av ett nytt säkert-by-design-initiativ för produktutveckling.

Hur mycket dessa åtaganden kommer att hjälpa till att hejda den växande kundernas besvikelse över Ivanti är fortfarande oklart med tanke på företagets senaste säkerhetshistorik. Faktum är att Abbots kommentarer kom en dag efter att Ivanti avslöjade fyra nya buggar i sina Connect Secure och Policy Secure gateway-teknologier och utfärdade patchar för var och en av dem.

Läs mer: Ivanti lovar säkerhetsöversyn dagen efter att ytterligare 4 vulner avslöjats

Relaterat: Feds till Microsoft: Rensa upp din molnsäkerhet, agera nu

Varför cybersäkerhet är ett problem för hela samhället

Kommentar av Adam Maruyama, Field CTO, Garrison Technology

Att arbeta tillsammans och integrera cybersäkerhet som en del av vårt företags- och individuella tänkande kan göra livet svårare för hackare och säkrare för oss själva.

Vi drunknar i sårbarheter: Jen Easterly, chef för Cybersecurity and Infrastructure Security Agency (CISA), vid en nyligen genomförd kongressutfrågning om kinesiska cyberoperationer, sa helt enkelt att "vi har gjort det lätt för" angripare genom dålig mjukvarudesign. Men det kommer att krävas en ansträngning från hela samhället för att omforma marknaden för cybersäkerhet för att skapa teknologier som är både högpresterande och säkra.

Som CISA uttryckte i sitt Secure by Design-initiativ, säker kodning av leverantörer är det första steget för att skapa teknologier som är både säkra och användbara. Men företag måste inse, som Easterly uttryckte det, att "cyberrisk är affärsrisk" genom att införliva cybersäkerhet i alla sina affärsmetoder. I synnerhet genom att öka CISO:s ställning och ge dem holistisk cybersäkerhetsöversikt över hela verksamheten, särskilt upphandlingsbeslut, kan företag införliva cybersäkerhet som ett organiskt steg i affärsprocesser.

Samtidigt måste cybersäkerhets- och IT-proffs – två nära besläktade men ofta sammandrabbade grupper – gå samman för att bygga nätverk som är både säkra och funktionella för sina användare. Och den sista biten av en helhetssyn på cybersäkerhet är både den svåraste och mest kritiska: att integrera cybersäkerhet i medborgarnas vardag genom saker som multifaktorautentisering.

Läs mer: Varför cybersäkerhet är ett problem för hela samhället

Relaterat: NIST vill ha hjälp med att gräva ur sin NVD-backlog

• SEO-drivet innehåll och PR-distribution. Bli förstärkt idag.
• PlatoData.Network Vertical Generative Ai. Styrka dig själv. Tillgång här.
• PlatoAiStream. Web3 Intelligence. Kunskap förstärkt. Tillgång här.
• Platoesg. Kol, CleanTech, Energi, Miljö, Sol, Avfallshantering. Tillgång här.
• PlatoHealth. Biotech och kliniska prövningar Intelligence. Tillgång här.
• Källa: https://www.darkreading.com/remote-workforce/ciso-corner-ivanti-mea-culpa-world-cup-hack-cyber-awareness