ยินดีต้อนรับสู่ CISO Corner บทความสรุปรายสัปดาห์ของ Dark Reading ซึ่งจัดทำขึ้นโดยเฉพาะสำหรับผู้อ่านปฏิบัติการด้านความปลอดภัยและผู้นำด้านความปลอดภัย ทุกสัปดาห์ เราจะนำเสนอบทความที่รวบรวมมาจากการดำเนินงานข่าวของเรา, The Edge, เทคโนโลยี DR, DR Global และส่วนความเห็นของเรา เรามุ่งมั่นที่จะนำเสนอชุดมุมมองที่หลากหลายให้กับคุณเพื่อสนับสนุนงานในการดำเนินกลยุทธ์ความปลอดภัยทางไซเบอร์สำหรับผู้นำในองค์กรทุกรูปแบบและขนาด

ใน CISO Corner ฉบับนี้:

ความจริง 5 ข้อเกี่ยวกับสถานะของความปลอดภัยบนคลาวด์ปี 2024

โดย Ericka Chickowski นักเขียนร่วม Dark Reading

Dark Reading พูดคุยเรื่องความปลอดภัยของระบบคลาวด์กับ John Kindervag เจ้าพ่อแห่งการไว้วางใจเป็นศูนย์

องค์กรส่วนใหญ่ไม่ได้ทำงานร่วมกันอย่างเต็มที่ แนวทางปฏิบัติด้านความปลอดภัยบนคลาวด์ที่ครบถ้วนแม้ว่าเกือบครึ่งหนึ่งของการละเมิดจะเกิดขึ้นในระบบคลาวด์และสูญเสียเงินจำนวนเกือบ 4.1 ล้านเหรียญสหรัฐจากการละเมิดระบบคลาวด์ในปีที่ผ่านมา

John Kindervag เจ้าพ่อแห่งการรักษาความปลอดภัยแบบ Zero Trust กล่าวว่านั่นเป็นปัญหาใหญ่ ผู้ซึ่งวางแนวความคิดและสร้างความนิยมให้กับโมเดลการรักษาความปลอดภัยแบบ Zero Trust ในฐานะนักวิเคราะห์ของ Forrester เขาบอกกับ Dark Reading ว่ามีความจริงที่ยากลำบากที่ต้องเผชิญเพื่อที่จะพลิกสถานการณ์

1. คุณไม่ปลอดภัยมากขึ้นเพียงแค่ไปที่คลาวด์: ระบบคลาวด์ไม่ได้ปลอดภัยโดยกำเนิดมากกว่าสภาพแวดล้อมภายในองค์กรส่วนใหญ่: ผู้ให้บริการคลาวด์ระดับไฮเปอร์สเกลอาจเก่งในการปกป้องโครงสร้างพื้นฐาน แต่การควบคุมและความรับผิดชอบที่พวกเขามีต่อมาตรการรักษาความปลอดภัยของลูกค้านั้นมีจำกัดมาก และรูปแบบความรับผิดชอบร่วมกันไม่ได้ผลจริงๆ

2. การควบคุมความปลอดภัยแบบเนทีฟนั้นจัดการได้ยากในโลกไฮบริด: คุณภาพไม่สอดคล้องกันเมื่อต้องให้ลูกค้าควบคุมปริมาณงาน ข้อมูลประจำตัว และการมองเห็นของตนได้มากขึ้น แต่การควบคุมความปลอดภัยที่สามารถจัดการบนระบบคลาวด์ทั้งหมดนั้นยังเป็นเรื่องที่เข้าใจยาก

3. ข้อมูลประจำตัวจะไม่บันทึกระบบคลาวด์ของคุณ: ด้วยการให้ความสำคัญอย่างมากกับการจัดการข้อมูลประจำตัวบนคลาวด์และการให้ความสนใจอย่างไม่สมสัดส่วนกับองค์ประกอบข้อมูลประจำตัวแบบ Zero Trust จึงเป็นสิ่งสำคัญสำหรับองค์กรที่จะเข้าใจว่าข้อมูลประจำตัวเป็นเพียงส่วนหนึ่งของอาหารเช้าที่มีความสมดุลสำหรับ Zero Trust ในระบบคลาวด์

4. มีบริษัทจำนวนมากเกินไปไม่รู้ว่าตนกำลังพยายามปกป้องอะไร: แต่ละสินทรัพย์หรือระบบหรือกระบวนการจะมีความเสี่ยงเฉพาะตัว แต่องค์กรขาดความคิดที่ชัดเจนว่ามีอะไรอยู่ในคลาวด์หรืออะไรเชื่อมต่อกับคลาวด์ ไม่ต้องพูดถึงอะไรที่ต้องการการปกป้อง

5. แรงจูงใจในการพัฒนาแบบ Cloud-native นั้นเกินเลย: องค์กรจำนวนมากเกินไปไม่มีโครงสร้างแรงจูงใจที่เหมาะสมสำหรับนักพัฒนาในการรักษาความปลอดภัยในขณะที่ดำเนินการ - และในความเป็นจริง หลายแห่งมีแรงจูงใจที่แปลกประหลาดซึ่งจบลงด้วยการสนับสนุนการปฏิบัติที่ไม่ปลอดภัย “ฉันชอบพูดว่าคนในแอป DevOps คือ Ricky Bobby แห่งไอที พวกเขาแค่อยากไปอย่างรวดเร็ว” Kindervag กล่าว

อ่านเพิ่มเติม: ความจริง 5 ข้อเกี่ยวกับสถานะของความปลอดภัยบนคลาวด์ปี 2024

ที่เกี่ยวข้อง Zero Trust เข้ามาแทนที่: 63% ขององค์กรที่นำไปใช้ทั่วโลก

MITER ATT&CKED: ชื่อที่น่าเชื่อถือที่สุดของ InfoSec ตกเป็นของ Ivanti Bugs

โดย Nate Nelson นักเขียนร่วม Dark Reading

การประชดหายไปในไม่กี่คน เนื่องจากผู้แสดงภัยคุกคามระดับรัฐใช้เทคนิค MITER แปดเทคนิคเพื่อละเมิด MITER เอง - รวมถึงการใช้ประโยชน์จากข้อบกพร่องของ Ivanti ที่ผู้โจมตีจับกลุ่มมาเป็นเวลาหลายเดือน

แฮกเกอร์ของรัฐต่างประเทศได้ใช้ อุปกรณ์ Ivanti Edge ที่มีช่องโหว่ เพื่อรับสิทธิ์ในการเข้าถึง "เชิงลึก" เป็นเวลาสามเดือนไปยังหนึ่งในเครือข่ายที่ไม่เป็นความลับของ MITER Corp.

MITRE ผู้ดูแลอภิธานศัพท์ ATT&CK ที่แพร่หลายเกี่ยวกับเทคนิคการโจมตีทางไซเบอร์ที่รู้จักกันทั่วไป ก่อนหน้านี้ใช้เวลา 15 ปีโดยไม่มีเหตุการณ์สำคัญใดๆ กระแสดังกล่าวลดลงในเดือนมกราคม เมื่ออุปกรณ์เกตเวย์ Ivanti ของตนถูกโจมตี เช่นเดียวกับองค์กรอื่นๆ มากมาย

การละเมิดดังกล่าวส่งผลกระทบต่อ Networked Experimentation, Research และ Virtualization Environment (NERVE) ซึ่งเป็นเครือข่ายความร่วมมือที่ไม่จำแนกประเภทที่องค์กรใช้สำหรับการวิจัย การพัฒนา และการสร้างต้นแบบ ขอบเขตของความเสียหายของเส้นประสาท (ตั้งใจเล่นสำนวน) กำลังได้รับการประเมิน

ไม่ว่าเป้าหมายของพวกเขาจะเป็นเช่นไร แฮกเกอร์ก็มีเวลาเหลือเฟือในการดำเนินการตามนั้น แม้ว่าการประนีประนอมจะเกิดขึ้นในเดือนมกราคม แต่ MITER ก็ตรวจพบได้ในเดือนเมษายนเท่านั้น ทำให้เกิดช่องว่างระหว่างไตรมาสต่อปี

อ่านเพิ่มเติม: MITER ATT&CKED: ชื่อที่น่าเชื่อถือที่สุดของ InfoSec ตกเป็นของ Ivanti Bugs

ที่เกี่ยวข้อง เทคนิค MITER ATT&CK ยอดนิยม & วิธีป้องกันพวกเขา

บทเรียนสำหรับ CISO จาก LLM 10 อันดับแรกของ OWASP

ความเห็นโดย Kevin Bocek ประธานเจ้าหน้าที่ฝ่ายนวัตกรรมของ Venafi

ถึงเวลาที่จะเริ่มควบคุม LLM เพื่อให้แน่ใจว่าพวกเขาได้รับการฝึกอบรมอย่างถูกต้องและพร้อมที่จะจัดการกับข้อตกลงทางธุรกิจที่อาจส่งผลกระทบต่อผลกำไร

OWASP เพิ่งเปิดตัวรายชื่อ 10 อันดับแรกสำหรับแอปพลิเคชันโมเดลภาษาขนาดใหญ่ (LLM) ดังนั้นนักพัฒนา นักออกแบบ สถาปนิก และผู้จัดการจึงมี 10 หัวข้อที่ต้องมุ่งเน้นอย่างชัดเจนเมื่อพูดถึงข้อกังวลด้านความปลอดภัย

เกือบทั้งหมด ภัยคุกคาม LLM 10 อันดับแรก มุ่งเน้นไปที่การประนีประนอมในการรับรองความถูกต้องสำหรับข้อมูลประจำตัวที่ใช้ในแบบจำลอง วิธีการโจมตีที่แตกต่างกันจะใช้ขอบเขต ซึ่งไม่เพียงส่งผลต่อข้อมูลประจำตัวของอินพุตโมเดลเท่านั้น แต่ยังรวมถึงข้อมูลประจำตัวของโมเดลด้วย เช่นเดียวกับผลลัพธ์และการดำเนินการของโมเดลเหล่านั้น สิ่งนี้มีผลกระทบแบบน็อคออนและเรียกร้องให้มีการรับรองความถูกต้องในการลงนามโค้ดและการสร้างกระบวนการเพื่อหยุดช่องโหว่ที่แหล่งที่มา

ในขณะที่มากกว่าครึ่งหนึ่งของความเสี่ยง 10 อันดับแรกเป็นความเสี่ยงที่ได้รับการบรรเทาลงและเรียกร้องให้มี Kill Switch สำหรับ AI บริษัทต่างๆ จะต้องประเมินทางเลือกของตนเมื่อปรับใช้ LLM ใหม่ หากมีเครื่องมือที่เหมาะสมในการตรวจสอบอินพุตและโมเดล ตลอดจนการดำเนินการของโมเดล บริษัทต่างๆ ก็จะมีความพร้อมมากขึ้นในการใช้ประโยชน์จากแนวคิด Kill-Switch ของ AI และป้องกันการถูกทำลายเพิ่มเติม

อ่านเพิ่มเติม: บทเรียนสำหรับ CISO จาก LLM 10 อันดับแรกของ OWASP

ที่เกี่ยวข้อง Bugcrowd ประกาศการจัดอันดับช่องโหว่สำหรับ LLM

Cyberattack Gold: SBOM เสนอการสำรวจสำมะโนประชากรซอฟต์แวร์ที่มีช่องโหว่อย่างง่ายดาย

โดย Rob Lemos นักเขียนร่วม Dark Reading

ผู้โจมตีมักจะใช้ซอฟต์แวร์ Bill-of-Material (SBOMs) เพื่อค้นหาซอฟต์แวร์ที่อาจเสี่ยงต่อข้อบกพร่องเฉพาะของซอฟต์แวร์

ภาครัฐและบริษัทที่ให้ความสำคัญกับความปลอดภัยกำลังเรียกร้องให้ผู้ผลิตซอฟต์แวร์จัดเตรียมรายการวัสดุซอฟต์แวร์ (SBOM) มากขึ้นเรื่อยๆ เพื่อจัดการกับความเสี่ยงในห่วงโซ่อุปทาน แต่นี่กำลังสร้างความกังวลประเภทใหม่

โดยสรุป: ผู้โจมตีที่กำหนดว่าซอฟต์แวร์ใดที่บริษัทเป้าหมายกำลังทำงานอยู่ สามารถดึง SBOM ที่เกี่ยวข้องและวิเคราะห์ส่วนประกอบของแอปพลิเคชันเพื่อหาจุดอ่อน ทั้งหมดนี้โดยไม่ต้องส่งแพ็กเก็ตแม้แต่ชุดเดียว Larry Pesce ผู้อำนวยการฝ่ายวิจัยและวิเคราะห์ความปลอดภัยของผลิตภัณฑ์ของซอฟต์แวร์กล่าว บริษัทรักษาความปลอดภัยด้านซัพพลายเชน ไฟไนต์ สเตท

เขาเคยเป็นอดีตผู้ทดสอบการเจาะระบบมา 20 ปี โดยวางแผนจะเตือนเกี่ยวกับความเสี่ยงในการนำเสนอเรื่อง "Evil SBOMs" ในการประชุม RSA ในเดือนพฤษภาคม เขาจะแสดงให้เห็นว่า SBOM มีข้อมูลเพียงพอที่จะอนุญาตให้ผู้โจมตีทำได้ ค้นหา CVE เฉพาะในฐานข้อมูลของ SBOM และค้นหาแอปพลิเคชันที่อาจมีความเสี่ยง ยิ่งไปกว่านั้นสำหรับผู้โจมตี SBOM ยังจะแสดงรายการส่วนประกอบและยูทิลิตี้อื่นๆ บนอุปกรณ์ที่ผู้โจมตีสามารถใช้เพื่อ "ใช้ชีวิตนอกพื้นที่" หลังการประนีประนอม เขากล่าว

อ่านเพิ่มเติม: Cyberattack Gold: SBOM เสนอการสำรวจสำมะโนประชากรซอฟต์แวร์ที่มีช่องโหว่อย่างง่ายดาย

ที่เกี่ยวข้อง บริษัท ภาคใต้สร้าง SBOM สำหรับสถานีไฟฟ้าย่อย

ทั่วโลก: ได้รับอนุญาตให้ Bill? การรับรองอาณัติของสหประชาชาติและการออกใบอนุญาตของผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์

โดย Robert Lemos นักเขียนร่วม Dark Reading

มาเลเซีย สิงคโปร์ และกานาเป็นหนึ่งในประเทศแรกๆ ที่จะผ่านกฎหมายที่จำเป็นต้องมีความปลอดภัยทางไซเบอร์ บริษัทต่างๆ — และในบางกรณี ที่ปรึกษาส่วนบุคคล — เพื่อรับใบอนุญาตในการดำเนินธุรกิจ แต่ยังคงมีข้อกังวลอยู่

มาเลเซียได้เข้าร่วมกับอีกอย่างน้อยสองประเทศ — สิงคโปร์ และกานา — ในการผ่านกฎหมายที่กำหนดให้ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์หรือบริษัทของพวกเขาต้องได้รับการรับรองและใบอนุญาตในการให้บริการด้านความปลอดภัยทางไซเบอร์ในประเทศของตน

ในขณะที่ยังไม่มีการกำหนดข้อบังคับของกฎหมาย “สิ่งนี้น่าจะนำไปใช้กับผู้ให้บริการที่ให้บริการเพื่อปกป้องข้อมูลและอุปกรณ์เทคโนโลยีการสื่อสารของบุคคลอื่น — [ตัวอย่าง] ผู้ให้บริการทดสอบการเจาะระบบและศูนย์ปฏิบัติการด้านความปลอดภัย” ตามข้อมูลของมาเลเซีย สำนักงานกฎหมาย คริสโตเฟอร์ แอนด์ ลี ออง

ประเทศเพื่อนบ้านในเอเชียแปซิฟิกอย่างสิงคโปร์ได้กำหนดให้ต้องมีใบอนุญาตของผู้ให้บริการความปลอดภัยทางไซเบอร์ (CSP) ในช่วงสองปีที่ผ่านมา และประเทศกานาในแอฟริกาตะวันตก ซึ่งจำเป็นต้องมีใบอนุญาตและการรับรองจากผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ ในวงกว้างยิ่งขึ้น รัฐบาล เช่น สหภาพยุโรป ได้ทำให้การรับรองความปลอดภัยทางไซเบอร์เป็นมาตรฐาน ในขณะที่หน่วยงานอื่นๆ เช่น รัฐนิวยอร์กของสหรัฐอเมริกา ต้องการการรับรองและใบอนุญาตสำหรับความสามารถด้านความปลอดภัยทางไซเบอร์ในอุตสาหกรรมเฉพาะ

อย่างไรก็ตาม ผู้เชี่ยวชาญบางคนมองเห็นผลที่ตามมาที่อาจเป็นอันตรายจากการเคลื่อนไหวเหล่านี้

อ่านเพิ่มเติม: ได้รับอนุญาตให้บิล? การรับรองอาณัติของสหประชาชาติและการออกใบอนุญาตของผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์

ที่เกี่ยวข้อง สิงคโปร์กำหนดมาตรฐานระดับสูงในการเตรียมพร้อมด้านความปลอดภัยทางไซเบอร์

J&J Spin-Off CISO ในการเพิ่มความปลอดภัยทางไซเบอร์ให้สูงสุด

โดย Karen D. Schwartz นักเขียนร่วม Dark Reading

วิธีที่ CISO ของ Kenvue ซึ่งเป็นบริษัทด้านการดูแลสุขภาพผู้บริโภคแยกตัวออกมาจาก Johnson & Johnson ผสมผสานเครื่องมือและแนวคิดใหม่ๆ เพื่อสร้างโปรแกรมรักษาความปลอดภัย

Mike Wagner จาก Johnson & Johnson ช่วยสร้างแนวทางการรักษาความปลอดภัยและกลุ่มการรักษาความปลอดภัยของบริษัทที่ติดอันดับ Fortune 100; ปัจจุบัน เขาเป็น CISO คนแรกของ Kenvue ซึ่งเป็นบริษัทแยกด้านการดูแลสุขภาพผู้บริโภคที่มีอายุหนึ่งปีของ J&J ซึ่งได้รับมอบหมายให้สร้างสถาปัตยกรรมที่มีความคล่องตัวและคุ้มค่าพร้อมความปลอดภัยสูงสุด

บทความนี้จะแจกแจงขั้นตอนต่างๆ ที่วากเนอร์และทีมงานของเขาดำเนินการ ซึ่งรวมถึง:

กำหนดบทบาทสำคัญ: สถาปนิกและวิศวกรในการใช้เครื่องมือ ผู้เชี่ยวชาญด้านการจัดการข้อมูลประจำตัวและการเข้าถึง (IAM) เพื่อเปิดใช้งานการรับรองความถูกต้องที่ปลอดภัย ผู้นำการบริหารความเสี่ยง เพื่อจัดแนวความปลอดภัยให้สอดคล้องกับลำดับความสำคัญทางธุรกิจ เจ้าหน้าที่ปฏิบัติการรักษาความปลอดภัยเพื่อตอบสนองต่อเหตุการณ์ และพนักงานที่ทุ่มเทให้กับงานไซเบอร์แต่ละงาน

ฝังการเรียนรู้ของเครื่องและ AI: งานต่างๆ รวมถึงการทำให้ IAM เป็นอัตโนมัติ ปรับปรุงการตรวจสอบซัพพลายเออร์; การวิเคราะห์พฤติกรรม และปรับปรุงการตรวจจับภัยคุกคาม

เลือกเครื่องมือและกระบวนการที่จะเก็บรักษา และเครื่องมือใดที่จะเปลี่ยน: ในขณะที่สถาปัตยกรรมความปลอดภัยทางไซเบอร์ของ J&J เป็นระบบที่ปะติดปะต่อกันซึ่งเกิดจากการเข้าซื้อกิจการมานานหลายทศวรรษ งานที่นี่รวมถึงการจัดทำเครื่องมือของ J&J; แมปพวกมันกับรูปแบบการทำงานของ Kenvue และระบุความสามารถใหม่ๆ ที่จำเป็น

วากเนอร์กล่าวว่ายังมีอะไรให้ทำอีกมาก ถัดไป เขาวางแผนที่จะใช้กลยุทธ์การรักษาความปลอดภัยสมัยใหม่ รวมถึงการใช้ Zero Trust และการปรับปรุงการควบคุมทางเทคนิค

อ่านเพิ่มเติม: J&J Spin-Off CISO ในการเพิ่มความปลอดภัยทางไซเบอร์ให้สูงสุด

ที่เกี่ยวข้อง เจาะลึกเครื่องมือ AI ของ Visa เพื่อต่อต้านการฉ้อโกง

SolarWinds 2024: การเปิดเผยข้อมูลทางไซเบอร์ไปจากที่นี่ที่ไหน?

ความเห็นโดย Tom Tovar, CEO และผู้ร่วมสร้าง Appdome

รับคำแนะนำที่อัปเดตเกี่ยวกับวิธีการ เวลา และสถานที่ที่เราควรเปิดเผยเหตุการณ์ความปลอดภัยทางไซเบอร์ภายใต้กฎสี่วันของ SEC หลังจาก SolarWinds และเข้าร่วมการโทรเพื่อปรับปรุงกฎเพื่อแก้ไขก่อน

ในโลกหลัง SolarWinds เราควรย้ายไปยังพื้นที่ปลอดภัยในการแก้ไขสำหรับความเสี่ยงและเหตุการณ์ด้านความปลอดภัยทางไซเบอร์ โดยเฉพาะอย่างยิ่ง หากบริษัทใดๆ แก้ไขข้อบกพร่องหรือการโจมตีภายในกรอบเวลาสี่วัน บริษัทควรจะสามารถ (a) หลีกเลี่ยงการเรียกร้องการฉ้อโกง (เช่น ไม่มีอะไรจะพูดถึง) หรือ (b) ใช้กระบวนการ 10Q และ 10K มาตรฐาน รวมถึงส่วนคำอธิบายและการวิเคราะห์ของฝ่ายจัดการเพื่อเปิดเผยเหตุการณ์ดังกล่าว

เมื่อวันที่ 30 ต.ค. ก.ล.ต. ได้ยื่นคำร้องต่อ การร้องเรียนการฉ้อโกงต่อ SolarWinds และหัวหน้าเจ้าหน้าที่รักษาความปลอดภัยข้อมูลโดยกล่าวหาว่าแม้ว่าพนักงานและผู้บริหารของ SolarWinds จะรู้เกี่ยวกับความเสี่ยงที่เพิ่มขึ้น ช่องโหว่ และการโจมตีต่อผลิตภัณฑ์ของ SolarWinds เมื่อเวลาผ่านไป “การเปิดเผยความเสี่ยงด้านความปลอดภัยทางไซเบอร์ของ SolarWinds ไม่ได้เปิดเผยข้อมูลเหล่านี้ในทางใดทางหนึ่ง”

เพื่อช่วยป้องกันปัญหาความรับผิดในสถานการณ์เหล่านี้ ท่าเรือที่ปลอดภัยในการแก้ไขจะช่วยให้บริษัทต่างๆ มีกรอบเวลาสี่วันเต็มในการประเมินและตอบสนองต่อเหตุการณ์ จากนั้นหากได้รับการแก้ไขก็ใช้เวลาในการเปิดเผยเหตุการณ์ดังกล่าวอย่างเหมาะสม ผลลัพธ์ที่ได้คือการให้ความสำคัญกับการตอบสนองทางไซเบอร์มากขึ้น และส่งผลกระทบต่อหุ้นสาธารณะของบริษัทน้อยลง 8K ยังคงสามารถใช้เพื่อเหตุการณ์ความปลอดภัยทางไซเบอร์ที่ไม่ได้รับการแก้ไข

อ่านเพิ่มเติม: SolarWinds 2024: การเปิดเผยข้อมูลทางไซเบอร์ไปจากที่นี่ที่ไหน?

ที่เกี่ยวข้อง SolarWinds หมายถึงอะไรสำหรับ DevSecOps

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• PlatoData.Network Vertical Generative Ai เพิ่มพลังให้กับตัวเอง เข้าถึงได้ที่นี่.
• เพลโตไอสตรีม. Web3 อัจฉริยะ ขยายความรู้ เข้าถึงได้ที่นี่.
• เพลโตESG. คาร์บอน, คลีนเทค, พลังงาน, สิ่งแวดล้อม แสงอาทิตย์, การจัดการของเสีย. เข้าถึงได้ที่นี่.
• เพลโตสุขภาพ เทคโนโลยีชีวภาพและข่าวกรองการทดลองทางคลินิก เข้าถึงได้ที่นี่.
• ที่มา: https://www.darkreading.com/cybersecurity-operations/ciso-corner-evil-sboms-zero-trust-cloud-security-mitre-ivanti