Bienvenido al Rincón CISO. Este es un resumen semanal de artículos diseñados específicamente para los lectores y líderes de seguridad de operaciones de seguridad de Dark Reading. Cada semana, le traemos historias extraídas de nuestras operaciones de noticias, The Edge, DR Technology, DR Global y nuestras secciones de comentarios. Estamos comprometidos a brindar diversas perspectivas para respaldar el trabajo de poner en práctica estrategias de ciberseguridad para líderes en organizaciones de todas las formas y tamaños.
En esta edición de CISO Corner, cubriremos:
Los servicios de inteligencia artificial de Apple tienen grandes expectativas en cuanto a protección de la privacidad
Se producen numerosos errores de autenticación biométrica, lo que pone de relieve los riesgos de autenticación
DR Global: Gobiernos y empresas fortalecen la ciberseguridad para la temporada del Hajj
Por qué la colaboración entre CIO y CISO es clave para la resiliencia organizacional
La directiva ICS de Rockwell llega cuando los riesgos de infraestructura crítica alcanzan su punto máximo
4 formas de fomentar una cultura de seguridad
No se pierda el evento virtual gratuito Dark Reading el 20 de junio, “Análisis de una filtración de datos: ¡qué hacer si le sucede a usted!”. Los oradores incluyen a Alex Pinto de Verizon, Snowflake, ejecutivos de los gigantes farmacéuticos GSK, Salesforce y más. . Regístrate ahora.
Los servicios de inteligencia artificial de Apple tienen grandes expectativas en cuanto a protección de la privacidad
Agam Shah (escritor colaborador de Dark Reading)
Los analistas dicen que los esfuerzos de Apple para garantizar la privacidad en todas las transacciones de IA, ya sea en el dispositivo o en la nube, son ambiciosos y podrían afectar la adopción de IA confiable en dispositivos y en la nube.
Apple anunció Apple Intelligence y sus planes para integrar IA en sus dispositivos y aplicaciones, y se comprometió a garantizar la privacidad de todas las transacciones de IA. Esto eleva el listón de la infraestructura de confianza cero y puede desafiar a los competidores a ponerse al día.
Debido al modelo de jardín amurallado de Apple, los proveedores rivales no tienen el mismo nivel de control sobre su infraestructura de IA que Apple. A diferencia de Apple, no se puede bloquear la seguridad ya que las consultas pasan a través de varias capas de hardware y software. Por ejemplo, OpenAI y Microsoft procesan consultas a través de las GPU de Nvidia, que manejan la detección y parcheo de vulnerabilidades.
“Si Apple establece un estándar, dirás: ‘Si no te importa la privacidad, ¿por qué deberías comprar Android?'”, dijo Alex Matrosov, director ejecutivo de la empresa de seguridad Binarly.io. “El siguiente paso es que Google haga lo mismo y tal vez intente implementar o hacer algo similar”.
Leer más: Los servicios de inteligencia artificial de Apple son muy prometedores para la protección de la privacidad
Relacionado: OpenAI forma un nuevo comité de seguridad después de disolver el equipo anterior
Se producen numerosos errores de autenticación biométrica, lo que pone de relieve los riesgos de autenticación
Nate Nelson, escritor colaborador de Dark Reading
Los escaneos faciales que se almacenan como contraseñas están inevitablemente en riesgo, al igual que las contraseñas. Pero existen diferencias importantes entre los dos en las que las organizaciones pueden confiar cuando un fabricante falla.
La seguridad biométrica prevalece hoy más que nunca y se adopta ampliamente en sectores públicos como los organismos encargados de hacer cumplir la ley y los sistemas nacionales de identificación, así como en industrias comerciales como las de viajes y la informática personal. En Japón, los pasajeros del metro pueden “pagar con la cara” y el sistema de inmigración de Singapur utiliza escáneres faciales y huellas dactilares para permitir la entrada de los viajeros al país. El hecho de que incluso las hamburgueserías estén experimentando con el escaneo facial sugiere que algo está en marcha aquí.
Sin embargo, los investigadores han descubierto 24 vulnerabilidades en terminales biométricos utilizados en instalaciones sensibles en todo el mundo. Las vulnerabilidades podrían permitir a los piratas informáticos obtener acceso no autorizado, manipular dispositivos, implementar malware y robar datos biométricos, lo que pone de relieve los riesgos asociados con la implementación de dichos sistemas.
Los entornos en los que se implementan con frecuencia estos sistemas son críticos y las organizaciones deben hacer todo lo que esté a su alcance para garantizar su integridad. Y ese trabajo requiere más que corregir vulnerabilidades recién descubiertas.
Leer más: Se producen numerosos errores de autenticación biométrica, lo que destaca los riesgos de autenticación
Relacionado: Bypass biométrico: BrutePrint rompe la seguridad de las huellas dactilares en poco tiempo
Mundo: Gobiernos y empresas refuerzan la ciberseguridad para la temporada del Hajj
Robert Lemos, colaborador de lectura oscura
Si bien hay una ligera disminución de los ciberataques durante la semana de peregrinación islámica, las organizaciones en Arabia Saudita y otros países con grandes poblaciones musulmanas han visto un aumento de los ataques.
Dhul-Hijjah, el último mes del calendario islámico, comienza el 7 de junio, marcando la cuenta regresiva para la peregrinación Hajj de millones de musulmanes. También es un momento oportuno para los ciberdelincuentes y los actores del ciberespionaje, ya que se reduce la vigilancia y se reduce el personal.
Los expertos dicen que, si bien muchos ataques cibernéticos tienen como objetivo a los peregrinos como consumidores de servicios de viajes, empresas que van desde bancos hasta sitios de comercio electrónico corren el riesgo de sufrir robo de datos y ataques de denegación de servicio. Por ejemplo, el 3 de junio, un actor de amenazas cibernéticas anunció una violación de datos en un foro clandestino que incluía datos de 168 millones de usuarios de la organización iraní Hajj, según la firma de ciberseguridad Kaspersky. Se cree que contenía información personal.
El ataque resalta los aspectos duales de cómo los ciberatacantes ven la temporada del Hajj como una oportunidad para aprovecharse de los peregrinos, al mismo tiempo que la ven como un momento en el que los recursos de los equipos de seguridad están disminuyendo y las empresas y agencias gubernamentales son vulnerables.
Leer más: Gobiernos y empresas refuerzan la ciberseguridad para la temporada del Hajj
Relacionado: ‘DuneQuixote’ muestra cómo están evolucionando las técnicas de ciberataque sigiloso. ¿Puede responder la defensa?
El siguiente es el director general.
Comentario de Joe Sullivan (CEO de Ukraine Friends, CEO de Joe Sullivan Security LLC)
Si los directores ejecutivos quieren evitar ser blanco de acciones gubernamentales, deberían interesarse personalmente en garantizar que sus empresas inviertan en ciberseguridad.
En el futuro cercano, es probable que las agencias gubernamentales busquen públicamente responsabilizar a los directores ejecutivos individuales de las empresas por no invertir adecuadamente en ciberseguridad. Lo sorprendente no es que suceda, sino cuántas de las personas que trabajan para el CEO y lo respetan se alegran cuando sucede.
Estamos experimentando un movimiento hacia la regulación a través de la coerción. Una mirada a la Estrategia Nacional de Ciberseguridad revela que, en esencia, exige que las empresas hagan más para proteger al público de los ciberataques. También hay acciones por parte de la Comisión de Bolsa y Valores (SEC) contra la empresa de software SolarWinds y su jefe de seguridad. El incidente llamó la atención porque el jefe de seguridad fue considerado personalmente responsable.
Pero con muy pocas excepciones, los CISO y la mayoría de los líderes de seguridad de alto nivel no son simplemente “funcionarios corporativos responsables”. El director general es el responsable. Los líderes de seguridad rara vez obtienen el presupuesto que necesitan para hacer su trabajo. Los directores ejecutivos y las juntas directivas a cargo de los presupuestos corporativos rara vez dedican tiempo a comprender los riesgos cibernéticos y, en cambio, asignan recursos en otras direcciones.
Leer más: El siguiente es el CEO
RELACIONADO: La Casa Blanca publica detalles de la Estrategia Nacional de Ciberseguridad
Por qué la colaboración entre CIO y CISO es clave para la resiliencia organizacional
Comentarios de Robert Grazioli, director de información de Ivanti
La coordinación entre estos ámbitos se está convirtiendo rápidamente en un imperativo estratégico.
Gartner predice que el mundo gastará 215 mil millones de dólares en gestión de riesgos y ciberseguridad en 2024. Este es un aumento del 14% con respecto a 2023. Pero con más datos y puntos finales que nunca, y una falta de talento calificado, muchos empleados se sienten al límite. Es hora de romper finalmente los silos entre TI y seguridad.
Comienza fomentando la colaboración entre el CIO y el director de seguridad de la información (CISO).
Los CISO y CIO son individuos individualmente poderosos que enfrentan muchos desafíos y asumen muchos riesgos. Si trabajamos juntos, podemos llegar a ser imparables. Sin embargo, históricamente las estructuras organizacionales han relegado a los CISO y a los CIO a esferas separadas con objetivos diferentes (y a veces contradictorios).
Cómo fomentar la alineación: por qué la alineación de CIO y CISO es clave para la resiliencia organizacional
Relacionado: Combinando CISO y CIO: listo o no, ahora es el momento
La directiva ICS de Rockwell llega cuando los riesgos de infraestructura crítica alcanzan su punto máximo
Tara Shields, lectura oscura, editora de noticias
La infraestructura crítica enfrenta amenazas cada vez más destructivas a los procesos físicos, con miles de dispositivos conectados con autenticación débil y llenos de errores explotables.
La reciente directiva del gigante de los sistemas de control industrial (ICS), Rockwell Automation, a los clientes para que desconecten los equipos de Internet no solo aumenta los riesgos cibernéticos para la infraestructura crítica, sino que también resalta los desafíos únicos que enfrentan los equipos de seguridad en este sector. Los expertos señalan que esto indica un problema.
CISA ha identificado un número cada vez mayor de amenazas, incluidos ataques de denegación de servicio (DoS) que derriban las redes eléctricas, escalada de privilegios y movimiento lateral que penetran más profundamente en los entornos de tecnología operativa (OT) para obtener el control y cambios en los umbrales de seguridad de los generadores. Una variedad de devastaciones, incluido el cambio de configuraciones, comprometer de forma remota los controladores lógicos programables (PLC) y cerrar las operaciones del departamento de agua, e incluso lanzar ataques devastadores estilo Stuxnet que pueden eliminar permanentemente la capacidad de funcionamiento de un sitio. ataques.
Sin embargo, miles de dispositivos están expuestos en línea con una autenticación débil y llenos de errores explotables, y la falta de participación del equipo de seguridad en el diseño del sitio y la gestión de activos/infraestructura es un problema generalizado en Masu. Considerándolo todo, no es una situación ideal.
Leer más: La directiva ICS de Rockwell llega cuando los riesgos de infraestructura crítica alcanzan su punto máximo
Relacionado: Bolt Typhoon golpea a varias compañías eléctricas y aumenta la actividad cibernética
4 formas de fomentar una cultura de seguridad
Tecnología DR explicada por Ken Deitz, CSO/CISO de Secureworks
Construir y fomentar un entorno corporativo de ciberseguridad proactivo significa anteponer las necesidades, los puntos débiles y las habilidades de las personas.
Una buena cultura de ciberseguridad confía en los compañeros de equipo y les ayuda a tomar buenas decisiones. Como resultado, esa confianza fomenta una relación más productiva entre la ciberseguridad y las empresas. La cultura es una entidad viva y debe ser nutrida continuamente. Dale a tu cultura la dedicación que necesita y como resultado tu negocio estará más seguro.
Los pilares fundamentales para establecer una cultura de seguridad eficaz son:
1. Establezca la mentalidad adecuada: céntrese en acciones positivas que las personas pueden y deben realizar.
2. Trabajar con empatía: una cultura de seguridad productiva e inclusiva es aquella que evita la culpa. En su lugar, concéntrese en lo que pueden aprender colectivamente del incidente para enriquecer su futura estrategia cibernética.
3. Comunicación, comunicación, comunicación: Cuando se trata de ciberseguridad, nunca existe demasiada comunicación. La gente tiene mucho que hacer en el trabajo y en la vida. Obtendrás mejores resultados si conoces a las personas donde están.
4. Manténgase alerta: las tecnologías nuevas y emergentes traen oportunidades y desafíos. Por ejemplo, la inteligencia artificial (IA) generativa puede mejorar la productividad de sus compañeros de equipo, pero también debe ser consciente de los riesgos.
Leer más: 4 formas de fomentar una cultura de seguridad
Relacionado: Cómo convertir la conciencia de seguridad en una cultura de seguridad
Fuente: https://www.darkreading.com/cloud-security/ciso-apple-ai-privacy-promises-ceos-hot-seat
