查看原文
其他

ISACA Journal | 数字信任势在必行:网络安全仍至关重要

K. Brian Kelley ISACA
2024-09-16


☝☝☝点击上方链接报名参加第二届数字信任峰会


数字信任和数字信任生态系统有很多内容,但网络安全仍然是核心组成部分之一。一个组织的网络安全声誉有多好?它是否有任何已知的违规行为?这些违规行为是否极其严重,或者造成了业务影响(和产品损失)或造成了客户数据丢失?一个组织的数字可信度受到许多非网络安全因素的影响。组织应该关注他们的品牌和整体声誉。他们必须改善关系,包括与第三方和客户的关系。他们必须确保他们的执行和交付能力符合预期。然而,现实情况是,在网络安全方面表现不佳可能会影响所有这些事情。



网络安全对产业链上下游仍很重要




今年年初,信息安全领域的大新闻是GoDaddy持续多年的安全漏洞事件。GoDaddy披露的内容令人震惊:它不知道攻击者是谁;客户和员工的证书被盗,攻击者能够安装恶意软件,导致合法网站被重定向至恶意网站(又称“水坑攻击”)。在写这篇文章的时候,此次事件对GoDaddy及其现有客户的影响程度还未知。会有多少客户将离开?目前GoDaddy的客户体量约为2100万,2022年的收入约为40亿美元。


关于什么被攻破和如何被攻破的细节,以及被攻破的时间,都令人震惊。虽然GoDaddy可能有强大的网络安全资产,但这显然是不够的。此次事件不仅损害了GoDaddy的声誉,而且还可能损害依赖GoDaddy托管的客户的声誉,例如通过GoDaddy WordPress托管解决方案的客户。毕竟,如果客户进入一个组织托管在GoDaddy上的网站,并被重定向到一个恶意网站并受到感染,看起来仍然是该组织的网站造成了损害。它的客户不可能将问题一直追溯到GoDaddy身上。即使他们有足够的技术知识来这样做,他们也可能没有时间,或者他们可能并不关心它是如何发生的。


当LAPSUS$(某黑客组织)声称在2022年入侵Okta时,许多信息安全领域的人都注意到了。更重要的是,现有和潜在的客户也注意到了。事情的真相是,Okta本身没有被直接入侵。相反,一个外包呼叫中心供应商才是目标,这使得LAPSUS$可以接触到Okta客户。这个事件对Okta客户的总体影响很小,只有2.5%的客户受到影响。然而,黑客攻击的消息在行业媒体上持续了数周,很可能导致一些潜在客户被劝退使用Okta,一些现有客户选择迁移到其他供应商。到头来,即使Okta不是直接目标,这也并不重要。这是一个很好的例子,说明潜在和现有客户由于第三方的问题而对一个组织失去信任。


一个的组织的网络安全实力是很重要的。GoDaddy必然会遭受声誉上的打击,这将导致品牌信誉度降低,几乎肯定会导致客户流失。然而,面对GoDaddy遭遇的漏洞,GoDaddy自己的一些客户可能也会失去客户。Okta也很可能因为第三方呼叫中心的违规事件而失去了客户,原因是客户对其品牌的信任的降低。



云的使用及其对数字信任的影响(或缺乏影响)




这是一个值得点击的小标题,但要注意的是,如果一个组织正在使用基于云的资源,并且出现安全问题,那么与本地部署资源相比,它是基于云这一事实造成的影响似乎差别不大。


再次,值得关注的是Okta。它被曝光在2022年12月又遭遇了另一次入侵。在该事件中,托管在GitHub上的Okta代码库被攻破,Okta的一条产品线的源代码被复制了。关于入侵者是如何访问这些存储库的,目前还没有公开的细节。即使有,事实仍然是,所有的审查和责任又一次落在了Okta身上。


关于该事件的报道中没有提到Github基于云的事实,只是作为对那些了解Github的人的一个知识点。因此,Okta使用基于云的代码库似乎不是影响Okta品牌的一个因素。如今,使用基于云的资源是一种预期的做法,而且在大多数情况下,人们对其的处理与对本地资源的处理没有任何区别。实际上,Okta的服务是建立在亚马逊网络服务(AWS)提供的功能之上的,这意味着它们完全是基于云的。回到GitHub,如果GitHub的实施有缺陷,Okta的客户可能也不会关心,原因与GoDaddy的客户不关心一样。


需要明确的是,Okta不是第一个遭受云端资源入侵的组织,当然也不会是最后一个。该组织是一个有趣的案例,因为它的漏洞是最近发生的,尤其是LAPSUS$黑客事件,它的弱点可能是业界没有认真考虑过的,直到它发生在Okta身上。在使用云时,重要的是要记住有一个共享的安全模型,这意味着安全不仅仅是提供商单方面的责任。例如,人们会期望提供商处理物理安全,但提供商无法阻止客户实施糟糕的身份和访问管理(IAM)模式,这可能会导致漏洞。客户侧无疑是共享安全模型中的一个弱点。也许是由于云计算对太多的IT专业人士来说仍然是一个模糊的概念,但许多转移到云计算的组织都在试图尽力地保护资源。例如,2020年的一项研究发现,大量的AWS S3存储桶的安全防护不当。自这项研究以来,媒体持续对更多组织(包括私营部门和政府)进行定期报道。


这就引出了一个问题:云重要吗?不,它不重要。简而言之,客户和潜在合作伙伴并不关心资源的位置。他们关心的是,自己已经被入侵了。这不再是关于云或本地的问题了,它是关于一个组织的网络安全/信息安全态势是否足以覆盖其资源。



一些组织有(部分)豁免权吗?




有些组织确实对导致失去信任的事件至少享有部分豁免权。通常情况下,这些组织处于利基市场,或处于这样的位置,以至于他们的客户和合作伙伴除了与他们打交道外没有其他选择。例如,在一篇反映Colonial Pipeline勒索软件攻击的文章中,唯一引用的美元数字是支付的原始金额和追回的金额。没有关于客户损失或声誉损失的讨论。毕竟,Colonial Pipeline并没有像GoDaddy或Okta那样的竞争对手。即使失去了信任,一些组织也不会看到对其底线的影响。


然而,大多数组织都会看到数字信任越来越重要。如果我不能信任一个组织,我就不会和它做生意,除非我别无选择。作为一名合伙人,我不希望导致组织声誉不佳的因素影响我的声誉。作为一名客户,如果我可以在两个供应商之间做出选择,除非有什么令人信服的事情使我能够给不太信任的组织一个机会,否则我会选择更受信任的组织。其中一个令人信服的因素可能是巨大的成本差异。但这意味着受到质疑的组织从与我的任何交易中赚取的利润更少。因此,提高其可信度对该组织的底线很重要。



网络安全不容忽视




Colonial Pipeline可能没有失去客户,但由于其网络安全态势,仅在赎金支付方面就损失了数百万美元。所以,显然它只有部分豁免权。即使是一个不依赖数字信任的组织,也需要确保其网络安全是达到标准的。


对于大多数组织来说,网络安全态势对整体数字信任至关重要,并影响到合作伙伴和客户(以及潜在的合作伙伴和客户)对组织的看法。GoDaddy可能因为宣布漏洞而失去客户的例子,以及Okta可能将失去一些客户的预期,都是基于这种反复发生的结果。


不同组织的多项研究显示了相同的结论:数据泄露会导致信任的丧失,从而导致业务的损失。例如,普华永道(PwC)的一份报告发现, 85%的消费者如果担心某个组织的(网络)安全实践,就不会与该组织进行交易。很显然,网络安全不容忽视。虽然数字信任生态系统的其他方面也很重要,但它们都可能在一夜之间被一次数据泄露事件所破坏。网络安全并不是数字信任的全部,但它是一个不应该被忽视或低估的关键组成部分。


往期推荐:




报名开启 | 第二届数字信任峰会暨ISACA中国2023年度大会


ISACA Journal | 信息系统审计实践:技术在实现多样性方面的优势


ISACA Blog | 网络犯罪史上的AI时代已经到来

编者注:本文出自ISACA Journal 2023年第3期。尾注略。文章内容仅代表作者本人观点。


作者:K. Brian Kelley,CISA,CDPSE,CSPO,MCSE,SECURITY+,是一名作者和专栏作家,主要关注Microsoft SQL Server和Windows安全。


翻译:唐雅琪(Andrea Tang),FIP, CIPP/E, CIPM,ISO 27001 LA,ISACA微信公众号特邀通讯员小组组长,任职于安永企业咨询有限公司。


校对:王越乔(Cathy Wang),CISA,ISACA微信公众号特邀通讯员,关注数据安全和隐私保护。

继续滑动看下一个
ISACA
向上滑动看下一个

您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存