Вы можете подумать, что в этой статье речь пойдет о том, что пользователи являются одной из самых больших проблем в области кибербезопасности. Ведь известно, что сотрудники переходят по непроверенным ссылкам, загружают вредоносные файлы и не меняют пароли. А есть и те, кто использует свои личные устройства в рабочих целях и подвергает сеть риску.

Да, все эти люди могут создавать проблемы для кибербезопасности. Но люди, на которых обычно возлагают вину за проблемы кибербезопасности, не имели бы такого влияния, если бы руководство организации, а не только CISO или ИТ-департамент, уделяло приоритетное внимание кибербезопасности.

Ваши сотрудники и другие руководители ценят ваше мнение и прислушиваются к нему. Если вы не уделяете приоритетного внимания безопасности своих данных, приложений и инфраструктуры, то и ваши сотрудники не будут этого делать. Даже ваши незначительные действия и решения влияют на риск атаки кибербезопасности для всей компании.

Это нелегко сделать, и трудно признать, что вы сами являетесь частью проблемы. Но вы не одиноки — практически каждый руководитель компании может в той или иной мере повысить уровень своей поддержки и приоритетности кибербезопасности.

Вот три ключевых момента для решения проблемы персонала в области кибербезопасности.

Понять ценность кибербезопасности для бизнеса

Создание культуры кибербезопасности

Следующим шагом является привитие сотрудникам менталитета кибербезопасности. Руководители создают культуру организации. Проактивное формирование культуры кибербезопасности наряду с основной культурой компании позволяет значительно снизить риск кибербезопасности.

Вместо того чтобы рассматривать кибербезопасность как работу ИТ-отдела, каждый сотрудник и команда должны чувствовать личную ответственность за кибербезопасность. Сотрудники должны понимать, что их действия — даже такие простые, как отказ от обновления программных патчей на своих телефонах, — могут стать причиной крупной атаки на кибербезопасность, которая обойдется компании в миллионы долларов.

При разработке новых процессов, продуктов и услуг команды должны уделять кибербезопасности первостепенное внимание. Специалисты по кибербезопасности и ИТ-отдел могут предоставить свои знания и опыт, но именно сотрудники, работающие на передовой, способны изменить ситуацию к лучшему.

Создание и поддержание культуры кибербезопасности не означает, что о ней нужно говорить раз в год на обязательных тренингах по кибербезопасности. Да, сотрудники нуждаются в обучении, но оно должно быть более частым и проводиться в течение года. Постоянно рассказывая о кибербезопасности, например, напоминая о необходимости соблюдения правил кибербезопасности и информируя о текущих угрозах, руководители могут помочь сотрудникам не упускать вопросы безопасности из виду.

Выделять ресурсы

Менталитет и культура создают основу для успешной программы кибербезопасности. Без наличия и того, и другого вы не сможете принять бизнес-решения, необходимые для создания эффективной системы кибербезопасности. Однако организация может защитить свои приложения, данные и инфраструктуру только при наличии необходимых ресурсов — как человеческих, так и технологических. Руководители должны полностью осознать важность кибербезопасности; только в этом случае они будут принимать бизнес-решения, необходимые для защиты организации.

Наличие необходимых технологий существенно снижает последствия любого нарушения. При использовании подхода «нулевого доверия» организации снижают как риск нарушения, так и его последствия. Организации, внедрившие систему «нулевого доверия» на ранних этапах, по сравнению с теми, кто только начал ее внедрять, сэкономили в среднем 1,51 млн. долл. Кроме того, организации, использующие технологию расширенного обнаружения и реагирования (XDR), выявляли и локализовывали нарушения в среднем на 29 дней раньше, чем те, кто не применял эту технологию.

Когда речь идет о кибербезопасности, легко сосредоточиться на технологиях и стратегиях. Но на самом деле главная проблема кибербезопасности заключается в людях. И единственный способ изменить действия и отношение тех, кто находится на передовой, — это сделать так, чтобы руководители, подобные вам, каждый день уделяли кибербезопасности первостепенное внимание.

Будущее вашего бизнеса зависит от того, насколько вы, как руководитель компании, принимаете близко к сердцу идеи кибербезопасности. Ваш образ мышления и отношение к кибербезопасности находятся на сцене и видны всем сотрудникам вашей компании. Отдавая приоритет кибербезопасности, вы можете оказать положительное влияние на всю компанию.

Источник:
https://securityintelligence.com/articles/solve-the-people-problem-cybersecurity/

Автор:
Jennifer Gregory

Перевод и дополнения:
Лебедев А.В.

Что такое SIEM
SIEM, что означает Security Information and Event Management — это решение для кибербезопасности, которое объединяет и анализирует данные из различных источников, таких как сетевые устройства, серверы и приложения, чтобы в режиме реального времени получить представление о состоянии безопасности организации. SIEM можно использовать для обнаружения, реагирования и предотвращения угроз безопасности и уязвимостей, таких как заражение вредоносным ПО, вторжение в сеть и утечка данных.
Одним из способов использования SIEM в кибербезопасности является мониторинг и анализ событий информационных систем и сетевого трафика организации в режиме реального времени. Что помогает выявить необычную или подозрительную активность, например, входящий трафик с известных вредоносных IP-адресов или попытки доступа к конфиденциальным данным.
SIEM также может использоваться для мониторинга активности пользователей, например, попыток входа в систему и доступа к файлам, для выявления потенциальных внутренних угроз или нарушений политики.
Кроме того, SIEM можно использовать для автоматизации реагирования на инциденты безопасности. Например, SIEM может быть настроена на автоматическую блокировку трафика с известных вредоносных IP-адресов или на оповещение сотрудников службы безопасности при обнаружении угрозы безопасности. Это может помочь организациям быстро и эффективно реагировать на инциденты безопасности, снижая риск потери или повреждения данных. Но для более глубоких и качественных процессов реагирования рекомендуется использовать SOAR (Security Orchestration, Automation, and Response) системы.
В целом, SIEM является мощным инструментом для повышения уровня кибербезопасности организации, обеспечивая в реальном времени видимость потенциальных угроз безопасности и уязвимостей, а также позволяя организациям быстро и эффективно реагировать на инциденты безопасности.

Возникновение SIEM-Систем
История развития SIEM началась в начале 2000-х годов, когда компании начали использовать множество различных систем безопасности, таких как фаерволы, антивирусные программы и IDS/IPS (системы обнаружения и предотвращения инцидентов), которые в основном использовались для реакции на уже произошедшие события. В то время возникла необходимость в инструменте, который позволял бы объединять информацию из различных информационных систем для организации единого хранения и удобства анализа.
Понятие «Управление событиями информационной безопасности (SIEM)», введенное Марком Николеттом и Амритом Вильямсом из компании Gartner в 2005 г., описывает функциональность сбора, анализа и представления информации от сетевых устройств и устройств безопасности, приложений идентификации (управления учетными данными) и управления доступом, инструментов поддержания политики безопасности и отслеживания уязвимостей, операционных систем, баз данных и журналов приложений, а также сведений о внешних угрозах. Основное внимание уделяется управлению привилегиями пользователей и служб, службами каталогов и другим изменениям конфигурации, а также обеспечению аудита и обзора журналов, реакциям на инциденты*.
SIEM представляет собой объединение систем управления информационной безопасностью (SIM) и управления событиями безопасности (SEM) в единую систему управления безопасностью. Сегмент SIM, в основном, отвечает за анализ исторических данных, стараясь улучшить долгосрочную эффективность системы и оптимизировать хранение исторических данных. Сегмент SEM, напротив, делает акцент на выгрузке из имеющихся данных определенного объема информации, с помощью которого могут быть немедленно выявлены инциденты безопасности. По мере роста потребностей в дополнительных возможностях непрерывно расширяется и дополняется функциональность данной категории продуктов.
В процессе развития, SIEM системы стали интегрировать более широкий набор источников данных и предоставлять более глубокий анализ и корреляцию событий. В современных SIEM системах используются машинное обучение и аналитика данных для автоматического обнаружения аномалий и угроз. Также включена возможность реагирования на события в реальном времени и интеграция с различными инструментами управления рисками.
В настоящее время SIEM системы являются неотъемлемой частью информационной безопасности в большинстве крупных организаций и используются для обеспечения защиты критической информации, комплаенса и мониторинга сети в реальном времени.
SIEM (Security Information and Event Management) объединяют информационные потоки данных о функционировании информационной инфраструктуры, критических систем и сетевых потоков организации. Интеллект современных SIEM систем в реальном времени обрабатывает и выделяет из потока событий и сетевого трафика, нарушения и инциденты информационной безопасности, предоставлять методики и инструменты для проведения расследований, аналитические механизмы, как для моделирования текущих векторов атак, так и для прогнозирования. Алгоритмы машинного обучения, встроенные в SIEM системы, должны на постоянной основе анализировать риски и поведение пользователей организации и предупреждать аналитиков о возникших аномалиях.
С растущим объемом информации, которая обрабатывается и передается между различными информационными системами (ИС), организации и отдельные пользователи все больше зависят от непрерывности и корректности выполнения данных процессов. Для реагирования на угрозы безопасности в ИС необходимо иметь инструменты, позволяющие анализировать в реальном времени происходящие события, число которых только росло. Одним из решений данной проблемы является использование SIEM-систем.
Основополагающий принцип системы SIEM заключается в том, что данные о безопасности информационной системы собираются из разных источников, и результат их обработки предоставляется в едином интерфейсе, доступном для аналитиков безопасности, что облегчает изучение характерных особенностей, соответствующих инцидентам безопасности.

Современные SIEM-Системы
Современные SIEM системы непрерывно увеличивают охват и способы интеграции с постоянно развивающимися разнообразными технологиями безопасности, такими как антивирусное ПО, фаерволы, ИБ и другие инструменты для управления и предотвращения угроз. Что позволяет идентифицировать и отслеживать угрозы в реальном времени, а также действовать быстро и эффективно для защиты информации и активов организации.
Основными задачами современных SIEM систем являются:
• Своевременное обнаружение угроз и уязвимостей в инфраструктуре Организации;
• Сбор и централизованное хранение всех поступающих событий и сетевых потоков;
• Сбор и централизованное хранение всех данных о Нарушениях ИБ;
• Контроль активности пользователей, устройств, приложений;
• Корреляция и анализ событий ИБ от различных источников и устройств;
• Формирование инцидентов информационной безопасности;
• Проведение расследований произошедших инцидентов;
• Предупреждение о потенциальных угрозах информационной безопасности;
• Оценка уязвимостей информационных систем;
•Контроль состояния служб и приложений подключенных источников событий и устройств.
Развитие технологии SIEM продолжается и в настоящее время многие компании используют современные SIEM системы, которые включают в себя машинное обучение и искусственный интеллект для автоматического обнаружения угроз, а также реакции на них. Это помогает более эффективно идентифицировать и блокировать угрозы, даже если они не известны. Также, многие системы SIEM теперь предоставляют возможность реагирования на события в реальном времени и интегрироваться с системами реагирования SOAR (Security Orchestration Automation and Response) и другими инструментами защиты информации и различными инструментами управления рисками.
В настоящее время, многие компании используют облачные SIEM системы и платформы, которые позволяют им быстро и эффективно обеспечить защиту информации и активов организации без необходимости в капитальных затратах на инфраструктуру и поддержку. Они могут быть легко интегрированы с другими системами информационной безопасности и предоставляют гибкость и масштабируемость для компаний разных размеров.

Будущее SIEM-Систем
В будущем, SIEM-системы возможно будут еще более развиты и способны обрабатывать больше данных из различных источников, включая социальные сети и Интернет вещей (IoT). Они смогут быть более интеллектуальными и автоматизированными, что позволит быстрее и точнее обнаруживать и блокировать угрозы. Также, в будущем мы можем ожидать более глубокой интеграции SIEM с другими системами информационной безопасности, такими как Платформы противодействия распространению вредоносного ПО (EDR), системы контроля доступа (PAM) и Системы управления рисками (RMM) для более эффективной защиты информации и активов компании.
В процессе развития, SIEM-системы будут использовать методы блокчейн для обеспечения дополнительной защиты и Целостности данных, которые собираются и анализируются. Также, появиться больше возможностей для совместной работы между различными SIEM-системами и обмена информацией между ними, что позволит более эффективно обнаруживать и блокировать угрозы на глобальном уровне. Постепенно SIEM-системы будут становиться еще более развитыми и интеллектуальными, что позволит более эффективно обеспечить информационную безопасность в компаниях. Они будут использовать новые технологии, такие как машинное обучение и блокчейн, и будут интегрированы с другими системами информационной безопасности. Они также могут быть более доступными для малых и средних компаний, что позволит им защищать свою информацию и активы на более высоком уровне.
Кроме того, в будущем, SIEM-системы будут использовать более продвинутые методы аналитики данных, такие как глубокое обучение и нейронные сети, для более точного обнаружения угроз и предсказания будущих угроз. Это поможет компаниям быстрее и эффективнее реагировать на угрозы и защищать свою информацию и активы. Также, можно ожидать, что SIEM-системы будут включать более широкий набор функциональности, включая анализ репутации, мониторинг социальных сетей и обнаружение инцидентов комплаенса. Это поможет компаниям бороться с новыми формами угроз и соответствовать свои обязательства по защите информации и комплаенсу. Наконец, SIEM-системы станут более интегрированными с технологиями идентификации и доступа, что поможет компаниям более эффективно контролировать доступ к конфиденциальной информации и защищать ее от несанкционированного доступа.
Можно ожидать, что SIEM-системы будут использоваться в сочетании с другими технологиями безопасности, такими как управление контекстом и безопасность контента, для более эффективной защиты информации и активов компании.
В будущем мы можем ожидать развития SIEM-систем в сторону более интеллектуальных и автоматизированных решений, использования новых технологий и интеграции с другими системами безопасности и с минимизацией человеческого фактора.

Заключение
В настоящий момент мы уже наблюдаем, как происходит становление современных технологий и инноваций, таких как искусственный интеллект и машинное обучение, которые будут использоваться для автоматизации и улучшения функциональности SIEM-систем. Что позволит компаниям более эффективно обнаруживать и реагировать на угрозы информационной безопасности, а также улучшит их способность предотвращать их.
SIEM-системы играют все более важную роль в обеспечении информационной безопасности и защите конфиденциальности данных в компаниях и организациях различных размеров и отраслей.
Но всегда важно помнить, что эффективность SIEM-систем зависит от их правильной настройки и управления, а также исполнения других мер безопасности в сочетании с SIEM-системами, чтобы обеспечить комплексную защиту информации и активов компании.
И в заключение, необходимо повторить, что SIEM-системы играют важнейшую роль в обеспечении информационной безопасности современных компаний и организаций, путем объединения данных из различных источников и использования инструментов анализа для обнаружения и предотвращения угроз.

Источник:
https://ru.wikipedia.org/wiki/SIEM

Автор:
Лебедев А.В.