Riepilogo
In qualità di studioso di fama mondiale e uno degli architetti della politica nazionale statunitense sulla sicurezza informatica, Richard J. Harknett fornisce regolarmente consigli ai leader governativi, sia qui che all'estero, sulle minacce informatiche che le nazioni devono prioritizzare maggiormente. Nel nostro episodio precedente, ha spiegato il nuovo approccio proattivo odierno alla sicurezza informatica e come le aziende possono trarne vantaggio.
Quella conversazione continua qui con consigli specifici per i leader aziendali su alcune delle minacce informatiche più urgenti di oggi. Quello che segue è una discussione franca su ciò su cui i brand devono davvero concentrarsi – e quali problemi non sono così preoccupanti come potrebbero pensare. La sua prospettiva sulle notizie informatiche che fanno notizia oggi potrebbe sorprenderti.
Host: Mike Curran, VP del talento globale, Tanium Ospite: Richard J. Harknett, direttore del Center for Cyber Strategy and Policy e co-direttore dell'Ohio Cyber Range Institute, Università di Cincinnati
Note dello show
Per ulteriori informazioni sulle politiche di sicurezza informatica degli Stati Uniti e su come la gestione autonoma degli endpoint può mantenerti attivo, non reattivo, consulta i nostri articoli su Focal Point, la pluripremiata rivista online di notizie informatiche di Tanium, e queste altre risorse utili.
- Cosa devono sapere le aziende sulla nuova strategia di sicurezza informatica degli Stati Uniti | Focal Point
- Cosa molti fraintendono sull'impegno persistente e perché è importante per le aziende | Focal Point
- Gli avvertimenti del Chirurgo Generale sui social media accendono la controversia – e un'opportunità per i leader aziendali | Focal Point
- Come prepararsi all'AI Act dell'UE: inizia dal tuo livello di rischio | Focal Point
- Come l'automazione e l'IA difendono la tua catena di fornitura software | Focal Point
- Questi consigli del Mese della sicurezza informatica sono preziosi in qualsiasi periodo dell'anno | Tanium
- La Prossima Evoluzione della Gestione degli Endpoint è Autonoma | Tanium
- I Vantaggi della Gestione Continua degli Endpoint (e Come Si Differenzia dal Software Antivirus) | Tanium
- Presentazione di Tanium Automate: Orchestrazione e Automazione Facili da Creare su Larga Scala | Tanium
La seguente intervista è stata modificata per maggiore chiarezza.
"La maggior parte degli americani è disposta a essere oggetto di marketing, giusto? Ma non ci piace essere manipolati e non ci piace essere controllati. Nel cyberspazio, c'è una linea molto sottile, Mike, tra essere oggetto di marketing, essere manipolati ed essere controllati."Richard J. Harknett, direttore del Center for Cyber Strategy and Policy e co-direttore dell'Ohio Cyber Range Institute, Università di Cincinnati
Mike Curran: Salve, sono Mike Curran, vicepresidente del talento globale qui a Tanium, e oggi su Let's Converge, parliamo di "difendere il proprio business in avanti."
È la seconda parte della nostra conversazione in due parti con Richard Harknett, che ha contribuito a progettare la strategia nazionale di sicurezza informatica degli Stati Uniti.
La nostra politica informatica nazionale di "difesa in avanti" segue la dottrina dell'impegno persistente, una postura proattiva che non è solo per gli stati nazionali. Anche le aziende possono essere persistenti e proattive.
Nel nostro primo episodio, Richard ed io abbiamo discusso di come le aziende possano adottare questa strategia e usarla come biglietto da visita nelle trattative contrattuali e nel prendere decisioni riguardo ai fornitori terzi. Richard è direttore del Center for Cyber Strategy and Policy e co-direttore dell'Ohio Cyber Range Institute presso l'Università di Cincinnati. È stato il primo studioso in residenza presso il U.S. Cyber Command e la National Security Agency, e ha co-scritto un libro che vale la pena leggere, intitolato Cyber Persistence Theory: Redefining National Security in Cyberspace, pubblicato da Oxford University Press.
Riprendiamo da dove eravamo rimasti. Quando ci siamo interrotti, Richard stava spiegando come la sicurezza informatica sia, beh, molto simile ad allenare il calcio femminile giovanile, cosa che conosce direttamente.
Richard J. Harknett: Alleno una squadra di calcio femminile al liceo, e anni fa ho avuto la fortuna di contribuire a facilitare la vittoria di un campionato statale. Se avessi dato loro un libro dicendo, ecco un libro su come giocare a calcio. Ritroviamoci al momento del torneo e vediamo se riusciamo a vincere il titolo statale. Non sarebbe mai successo. Vero?
Curran: Esatto.
Harknett: Viene dall'imparare il gioco praticandolo, giocandoci. E il cyber riguarda tutto il fare. E quindi se nella tua organizzazione non hai un protocollo di sicurezza continuo che spinga le persone a prestare attenzione a come potrebbero essere sfruttate, verranno sconfitte in questo gioco dall'avversario che trascorre il cento percento del proprio tempo a pensare allo sfruttamento.
Quindi uno dei miei obiettivi nella vita, Mike, è eliminare il mese della cybersicurezza. E tu diresti, da esperto di cybersicurezza, perché vorresti eliminare quell'attenzione? Abbiamo bisogno dell'ora della cybersicurezza. Voglio dire, se accetti la mia teoria che si tratta di persistenza, non puoi ritagliare un mese all'anno e chiedere ai dipendenti di guardare un video di 20 minuti che hanno già visto un anno fa e dire, okay, siamo a posto.
Curran: Immagino che con la superficie di attacco che continua ad aumentare, probabilmente gli stati nazionali e i malintenzionati stiano prendendo di mira le aziende con la stessa furia di anni fa. Come divide il governo le risorse per affrontare questi due fronti?
Harknett: Quindi sarò cauto proprio su questo. Non lavoro per il governo degli Stati Uniti. Li aiuto come consulente. Aiuto quando arriva il segnale di emergenza. Quindi voglio essere cauto. Non sono uno di loro, non parlo a nome di nessuna agenzia del governo degli Stati Uniti. Quindi, ascoltate, c'è un flusso e riflusso in questo. Non voglio mettere i nostri avversari su un piedistallo. Tutti hanno limitazioni nelle risorse. Quindi certo, coloro che vogliono influenzare le elezioni si preparano nei periodi elettorali e poi si ritirano.
Una delle cose che molti, sono sicuro che i vostri ascoltatori penserebbero inizialmente dal punto di vista della sicurezza elettorale, è: possono entrare e cambiare il voto? Possono manipolare il voto? Potremmo dedicare un intero podcast a questo, ma la risposta rapida è no, e non in modo sostanziale. Ci sono tutta una serie di ragioni per cui ciò non sta accadendo. E abbiamo fatto cose davvero buone da 2020 e da 2016 anche per migliorare ulteriormente la situazione.
I nostri avversari lo sanno. E quindi dove stanno concentrando il loro tempo è in quello che chiamiamo campagne di informazione divisiva abilitate informaticamente. Si parla molto nei media di disinformazione e informazione errata. La cosa reale che i nostri avversari stanno facendo è quella che chiamiamo informazione divisiva. Stanno trovando ciò che ci divide.
Purtroppo, al giorno d'oggi, la maggior parte di noi trascorre il tempo sui social media e sui media tradizionali solo con persone con cui siamo d'accordo. Non fanno altro che amplificare quella divisione.
Come me e te, se fossimo nella stessa famiglia, fratelli, potremmo essere in disaccordo su qualcosa di davvero importante, ma se qualcuno venisse dall'esterno e iniziasse a intromettersi nel nostro dibattito, entrambi lo guarderemmo e diremmo: "Ehi, vattene al diavolo. Possiamo essere in disaccordo, ma siamo una famiglia. Tu non c'entri niente."
E quindi l'argomento che ho sostenuto è che dobbiamo effettivamente difenderci da queste campagne con la stessa mentalità.
Si tratta di attori davvero sofisticati, e c'è una corrente sotterranea di cose che l'utente medio dei social media non percepisce. Ecco perché siamo preoccupati per TikTok. Perché si allinea con un particolare attore statale, la Cina, che ha un tipo di governo molto diverso e guarda alla propria popolazione in modo molto diverso. Non si tratta di empowerment individuale, ma di come l'individuo serve lo stato, e non condividono davvero il nostro modo di vivere. E quindi avere un megafono puntato su di noi….
Alcuni dei vostri ascoltatori più anziani potrebbero ricordare la Voice of America durante la Guerra Fredda. Trasmettevamo via radio oltre la Cortina di Ferro convincendoli che, ehi, la democrazia è un'idea migliore di quello che avete voi. E per 70 anni lo abbiamo fatto, e i russi e i sovietici cercavano di bloccare quei segnali. Confiscavano le radio e tutto il resto, rendendo le cose più difficili, ma noi continuavamo a lanciare quelle informazioni dalla loro parte. Quando ha fatto la differenza? Ha fatto la differenza nel momento in cui l'Unione Sovietica è crollata, perché le persone non sono finite nel vuoto. Hanno effettivamente detto, oh, esiste un'alternativa, tipo questa cosa della democrazia. Perché non proviamo?
Se fossi il presidente Xi [Jinping], se fossi a capo del Partito Comunista Cinese, e qualcuno venisse da me e dicesse, ehi, presidente, siamo in 150 milioni di tasche degli americani su un dispositivo su cui trascorrono complessivamente, alcuni di loro trascorrono oltre 10 ore al giorno. Sarebbe il colmo dell'irresponsabilità come leader non utilizzare quel dispositivo, se penso davvero che il modo di vivere americano non sia nell'interesse cinese. Quindi è un dispositivo bidirezionale in grado di rilevare quanto a lungo mi soffermo su un video, non se clicco su un video, ma se mi soffermo su un video, e un algoritmo che poi personalizza ciò che mi viene inviato e inizia a plasmare ciò che io…guardo.
La maggior parte degli americani è a proprio agio con il fatto di essere oggetto di marketing, giusto? Ma non ci piace essere manipolati e non ci piace essere controllati. Nel cyberspazio, c'è una linea molto sottile, Mike, tra essere oggetto di marketing, essere manipolati ed essere controllati.
Curran: Nessuno ammetterà di essere manipolato anche se lo è. Quindi immagino che questo porti alla grande discussione su se dovrebbe essere vietato, se TikTok dovrebbe essere vietato. Voglio dire, qual è la tua opinione in merito?
Harknett: Sì, quindi ricorda che ti ho detto che alleno ragazze delle scuole superiori. Quindi questa non è una visione molto popolare da parte loro. Ci sono troppe prove che suggeriscono che questo è un dispositivo simile a un dispositivo di propaganda come Voice of America, ma non abbiamo il modo di interferire semplicemente con esso. Non andremo a confiscare i telefoni delle persone. Non faremo tutto questo. Non è che vogliamo negare agli americani, a quelli di noi che sono in questo campo che dicono, sì, sai cosa, questa cosa deve essere ristrutturata. Stiamo cedendo troppi dati a qualcuno che non apprezza davvero il modo in cui organizziamo la nostra società.
Sono sicuro che là fuori ci sia un imprenditore davvero brillante che potrebbe sviluppare un'app che fa qualcosa di abbastanza simile, catturando brevi video e comunicando tipi di cose che sarebbero più trasparenti riguardo al codice che utilizzano, [e] più trasparenti riguardo alla protezione delle libertà civili rispetto a questo dispositivo.
Quindi ciò che è passato al Congresso è dire, ascoltate, il governo degli Stati Uniti è d'accordo se TikTok cambia certe cose, come la trasparenza sul suo codice, dove vengono conservati questi dati, chi può vederli, eccetera, eccetera. Quindi la palla è stata rilanciata a ByteDance, la società madre. Sembra davvero eccessivo e un tipo di intervento super-governativo. Ma sì, esiste una cosa chiamata politica mondiale, e purtroppo i paesi vanno in guerra tra loro per varie ragioni, e bisogna proteggere il pubblico americano da ciò che si vede accadere.
Quindi sì, potrebbe essere una transizione dolorosa per alcuni quattordicenni, ma penso che potremmo superarla con lo spirito imprenditoriale.
Curran: Capito. Passando ad altro, volevo pensare che sarebbe una mancanza se non menzionassimo l'IA. Ovviamente è diventata molto diffusa negli ultimi 18 mesi. Come ha influenzato la strategia, la strategia di difesa proattiva?
Harknett: C'è una cosa su cui sono d'accordo con il presidente Putin. Ha detto che chiunque dominerà l'intelligenza artificiale dominerà la seconda metà del XXI secolo, e penso che abbia ragione.
La mia opinione è che dobbiamo smettere di pensarci come codice e strumenti e considerarla dal punto di vista di un modello decisionale. Quindi dal punto di vista aziendale, come la implemento nel contesto della mia organizzazione?
Quindi quale ruolo e quali responsabilità le assegnerò? Si limiterà a raccogliere dati per me? Raccoglierà dati e analizzerà quei dati per me? Raccoglierà, analizzerà e organizzerà quei dati in modo che io possa prendere una decisione, oppure gli darò la capacità di prendere la decisione? Queste sono opzioni che hai se lo comprendi dal punto di vista dei ruoli e delle responsabilità piuttosto che dal punto di vista del codice [e] degli strumenti tecnici. Quindi penso che, per quanto spero che il lavoro a cui ho contribuito abbia creato un cambiamento di paradigma dalla deterrenza alla cybersicurezza proattiva, questo è il mio prossimo mulino a vento contro cui mi sto scagliando, Mike: dobbiamo smettere di pensare all'IA dal punto di vista degli strumenti e comprenderla dal punto di vista dei ruoli e delle responsabilità nel processo decisionale.
Curran: Sì, sarei d'accordo. Penso che possiate tutti concordare che dobbiamo vincere la guerra. E penso sempre, guardando la situazione ora, che non possiamo regolamentare eccessivamente l'IA, anche se non conosciamo i potenziali risultati; non possiamo regolamentare possibili esiti. Dobbiamo quasi lasciare che l'IA cresca e poi dire, okay, forse dobbiamo ridimensionarla qui, ridimensionarla lì, invece di cercare di regolamentarla in anticipo.
Harknett: Sì, voglio dire, due rapide riflessioni su questo: la prima è che avremo un problema energetico abbastanza presto con l'adozione dilagante dell'IA. In realtà non abbiamo la rete elettrica per supportare l'elaborazione. Quindi è un problema su cui dobbiamo effettivamente riflettere e su cui il governo e le imprese devono intervenire abbastanza rapidamente.
E la mia preoccupazione riguardo all'argomento "Lascia correre i cavalli" è che ci sono alcuni ambienti di addestramento che andranno troppo oltre. E una volta che sono andati troppo oltre, come li si riporta indietro?
Faccio parte di un gruppo in questo momento. Dovrei essere una sorta di elemento di disturbo nella stanza, a livello di VP, aziende di social media, aziende di telecomunicazioni, e continuo a cercare di spingerli a uscire da quella mentalità biforcata secondo cui la regolamentazione è ipso facto un vincolo. Le regolamentazioni sono semplicemente parametri. Sono le regole della strada. Nella mia vecchia metafora calcistica, voglio dire, sono il modo in cui si gioca la partita.
Ora, capisco che l'argomento sia: beh, guarda, i cinesi giocheranno una partita diversa con un diverso insieme di regole. I russi giocheranno con un diverso insieme di regole, eccetera. Dico, ottimo – la nostra svolta è chiunque trovi il punto di equilibrio tra la protezione delle libertà civili e la massimizzazione delle opportunità economiche, quello è l'AI che dobbiamo sviluppare. Non abbiamo bisogno di sviluppare l'IA per gli autoritari. Dobbiamo sviluppare l'IA per gli stati liberal-democratici in tutto [il mondo], perché è lì che si trovano le economie di mercato e quelle economie di mercato che vogliono esserlo. E quindi perché non ottenere il meglio? Gli autoritari non svilupperanno quello.
Quindi non competiamo con loro su questa versione sbagliata della cosa. Quindi tutti hanno la matematica, tutti hanno una sorta di supercalcolo, o la maggior parte delle persone che saranno i leader in questo ce l'hanno. È la qualità dei dati e ciò che si vuole che i dati facciano nell'ambiente di addestramento. Il loro vantaggio è che stanno assorbendo tutto, perché non hanno parametri sulle libertà civili. Ma questo darà loro un particolare algoritmo addestrato che sarà comunque tutto incentrato sulla protezione del potere statale, non sull'empowerment individuale.
Quindi per me si tratta di modellare l'addestramento in modo diverso. In un'economia di mercato, come si posizionano e si valorizzano gli individui all'interno della società? Questo è un algoritmo diverso da quello che sarà l'algoritmo autoritario. E questo ci richiederà di vivere e lavorare entro certi parametri. Ci sono determinati livelli di dati a cui non riusciremo ad accedere. È semplicemente una sfida tecnica di formazione. E penso che dovremmo semplicemente affrontarla e dire: "Ehi, possiamo effettivamente avere agenti algoritmici davvero efficaci che proteggono effettivamente le libertà civili e tracciano un confine in termini di libertà civili."
E abbiamo un esempio di questo. Abbiamo fatto l'HIPAA [l'Health Insurance Portability and Accountability Act], la legge sanitaria, che sostanzialmente affermava che non avremmo permesso alle persone di monetizzare i dati medici. Tutti sono arrivati a un accordo, sì, non è una buona [idea], non vogliamo che le pillole che prendo per la malattia che ho vengano poi vendute agli inserzionisti e cose del genere. Quindi abbiamo stabilito—il governo è intervenuto con una regolamentazione moderata che ha definito una protezione per gli individui sul fronte dei dati medici. E il mondo non è finito.
Penso che possiamo avere la botte piena e la moglie ubriaca. Penso che possiamo essere estremamente innovativi nel campo dell'IA, portando allo stesso tempo sicurezza e protezione al suo interno.
Curran: Sarebbe l'ideale, come si suol dire. Ma…
Harknett: Sì. Beh, sono mezzo ottimista su gran parte di tutto questo.
Curran: Sì, mi piace molto. Mi piace molto. Ehi, per concludere oggi, Richard, hai guidato gli stati nazionali, i nostri alleati e il governo degli Stati Uniti sulla strategia informatica. Se dovessi parlare a un'azienda – ora nello specifico, non parliamo delle grandi aziende che hanno tutte le risorse. Diciamo che si tratta di un rivenditore regionale di medie dimensioni, non qualcuno grande come Target.
Quali sarebbero i passi iniziali in una strategia proattiva che potrebbero adottare per fare semplicemente il primo passo, compiere quel passo o due in avanti?
Harknett: Direi di rendere il vostro CIO e il vostro responsabile della sicurezza delle informazioni importanti quanto il vostro VP per il marketing e lo sviluppo del prodotto. Voglio dire, devono essere al tavolo, e non possono essere i ragazzi e le ragazze in fondo al corridoio che dovrebbero farvi risparmiare denaro attraverso l'efficienza, per poi non dargli le risorse per proteggere tutto, tutta la vostra proprietà intellettuale. Quindi penso di potervi fornire un lungo elenco di cose tecniche che potreste fare, ma dal punto di vista della pianificazione aziendale organizzativa, si tratta di assicurarsi che coloro ai quali state affidando il portafoglio della cybersecurity come responsabili facciano parte integrante delle vostre pratiche aziendali.
E poi riconoscere a livello esecutivo e manageriale che non si tratta di un problema informatico.
La cybersecurity è una sfida comportamentale organizzativa economica in un ambiente tecnicamente fluido. Questo è il mio slogan. Non riesco a metterlo su un adesivo da paraurti, è troppo lungo. Ma se lo trattate come un problema tecnico, state perdendo il punto. Si tratta di organizzazione, si tratta di comportamento. E quindi dovete riorganizzare i vostri flussi organizzativi.
E se voi come CEO non sapete qual è il vostro piano di anticipazione e resilienza di fronte a un attacco ransomware, allora dovete andare a scoprire di cosa si tratta.
Curran: Vai avanti, almeno abbastanza. Sì. Ottimi consigli, Richard. Ho davvero apprezzato la conversazione…
Harknett: Sì, anch'io.
Curran: Ho parlato con Richard Harknett, direttore del Center for Cyber Strategy and Policy e co-direttore dell'Ohio Cyber Range Institute presso l'Università di Cincinnati.
Se desiderate saperne di più sulle strategie di sicurezza informatica proattiva, consultate Focal Point, il pluripremiato magazine online di notizie sulla sicurezza informatica di Tanium. Abbiamo inserito i link agli articoli nelle note dello show, oppure visitate tanium.com/p per le pubblicazioni.
Per ascoltare altre conversazioni con i principali leader aziendali ed esperti di sicurezza di oggi, assicurati di iscriverti a Let's Converge sulla tua app podcast preferita. E se vi è piaciuto questo episodio, lasciateci una valutazione a cinque stelle.
Grazie per aver ascoltato. Non vediamo l'ora di condividere altri approfondimenti informatici nel prossimo episodio di Let's Converge.
