Riepilogo
Se c'è qualcuno che può trarre vantaggio dall'automazione, sono i team di sicurezza informatica, che sono stati a corto di personale e sovraccarichi di lavoro nell'ultimo decennio. Finalmente, si intravede una soluzione. Un numero crescente di strumenti di automazione sta alleggerendo la pressione sui professionisti della sicurezza, gestendo attività ripetitive, noiose e di basso livello. Allora perché così tante organizzazioni non le hanno ancora utilizzate?
HOST: Doug Thompson, direttore delle soluzioni di ingegneria tecnica e responsabile dell'architettura educativa, Tanium
GUEST: Steven Blankenship, direttore IT, Salisbury University
Note dello show
Dai un'occhiata a questi articoli di Focal Point, il nuovo magazine online di notizie informatiche di Tanium, e a un video ricco di informazioni dal nostro webcast To The Point con Renee Murphy di Forrester.
- Un playbook sull'automazione della sicurezza per 2023
- I responsabili informatici del settore sanitario devono coniugare l’automazione con la sicurezza
- Il futuro della gestione del rischio riguarda tutto l'automazione (webcast)
Trascrizione
La seguente intervista è stata modificata per maggiore chiarezza.
Steven Blankenship: Numeri di previdenza sociale, carte di credito, patenti di guida, passaporti. Abbiamo l'obbligo di proteggere quei dati. E vi dico, quelli sono i nostri gioielli della corona. Sono le cose che, se le perdiamo, se vengono rubate, se vengono violate—è questo che sta rovinando la vita delle persone.
Doug Thompson L'automazione è ovunque oggi. Sa, non si può depositare un assegno sul proprio conto bancario senza fotografarlo. Non si può prendere il proprio hamburger preferito in un fast-food in aeroporto senza imbattersi in qualche forma di chiosco automatico. Questa tecnologia automatizzata è così diffusa che persino i responsabili IT stanno iniziando a chiedersi se gli algoritmi potrebbero presto togliere loro il lavoro. Ma c'è un gruppo all'interno dell'IT che sta effettivamente abbracciando questa nuova tendenza. E se non lo stai facendo, probabilmente dovresti.
Ciao, sono Doug Thompson. E oggi su Let's Converge, parliamo di automazione e sicurezza informatica.
Se c'è qualcuno che potrebbe trarre vantaggio dall'automazione, sono i team di sicurezza che sono stati a corto di personale e sovraccarichi di lavoro nell'ultimo decennio. Le fila della sicurezza informatica sono cresciute un po' negli ultimi anni, ma quasi 3 milioni di posti di lavoro nel settore della sicurezza informatica rimangono ancora vacanti. Il rapporto sulla forza lavoro dell'anno scorso di (ISC)² ha rivelato che il numero di lavoratori della sicurezza informatica deve crescere del 65% per difendere adeguatamente le imprese.
Thompson: Nel frattempo, gli attacchi informatici sono alle stelle. Ma c'è una soluzione in vista: un numero crescente di strumenti di automazione della sicurezza sta alleggerendo la pressione su questi professionisti della sicurezza, gestendo attività ripetitive, noiose e di basso livello. Ma un numero sorprendente di organizzazioni non li ha ancora utilizzati. Come mai? Ho la mia teoria: penso che sia semplicemente la natura umana, le persone non vogliono cambiare.
Oggi ci raggiunge Stephen Blankenship, direttore IT della Salisbury University nel Maryland, che è qui per condividere un caso di studio su strumenti e trasformazione digitale. Stephen ha fatto carriera a Salisbury, iniziando come studente universitario, conseguendo una laurea triennale in informatica, poi una laurea magistrale, e poi salendo di grado attraverso il supporto desktop, il networking e l'amministrazione di sistema. Steven, come stai?
Blankenship: Bene, bene. Felice di essere qui.
Thompson: Sembra che tu sia arrivato a Salisbury come matricola e abbia apprezzato così tanto la vita universitaria da non riuscire a staccartene.
Blankenship: Sono qui da circa 23 anni. Siamo un college regionale di arti liberali tradizionali sulla costa orientale del Maryland, a poche ore a est di Washington D.C. Ho trascorso tutta la mia carriera nell'istruzione superiore. Adoro supportare ambienti di apprendimento educativo e creare opportunità in cui gli studenti possano avere successo.
Thompson: Quindi, hai conseguito la tua laurea e ti sei buttato subito in questo?
Blankenship: Sì, mi hanno intrappolato, fin dai tirocini. Ho fatto carriera in tutto il dipartimento dalla fine degli anni ‘90s fino ad oggi. Quindi hanno esaurito i posti dove mettermi,
Thompson: Stavamo parlando prima di iniziare a registrare: avevo lavorato in Microsoft prima di questo e stavamo parlando della storia di ciò che è stato utilizzato [per la gestione della rete]. Eri nei primissimi giorni in cui era possibile gestire i PC. Voglio dire, prima di allora, era una specie di incubo gestire il proprio ambiente.
Blankenship: Oh, sì. Sai, tornando ai giorni di Novell e NetWare Application [Manager].
Thompson: Ah, sì. Novell. Per coloro che non sono appassionati di storia o non l'hanno vissuta come noi, Novell è stata una pioniera nel networking aziendale negli 1990s. Il loro prodotto principale, NetWare, era un leader nel software di networking. Poi Microsoft, il mio ex datore di lavoro, è intervenuta, realizzando che poteva integrare il networking nel proprio sistema operativo. E così finì Novell. SMS 2003 deve essere stato un vero punto di svolta anche per voi. SMS, o System Management Server, era stato tradizionalmente uno strumento di gestione desktop di riferimento, ma questa versione si concentrava sulla sicurezza informatica in un modo completamente nuovo: individuare le vulnerabilità di sicurezza e fornire aggiornamenti critici.
Blankenship: Sa, inizialmente, SMS 2003 è stato il nostro primo vero approfondimento nel tentativo di gestire il nostro ambiente desktop. Abbiamo utilizzato molti strumenti, molte soluzioni puntuali nel corso degli anni per cercare di risolvere i problemi nel nostro ambiente desktop.
Thompson: Ed è quello che in un certo senso dovevate fare. Era, ok, ecco il problema del momento, per così dire, e non avevano davvero una buona piattaforma, che vi desse questo tipo di approccio end-to-end per poter fare le cose in modo olistico.
Blankenship: Sì. Sono soluzioni; non sono piattaforme. E questa è tutta la nostra esperienza, l'intera mia carriera qui. E può essere incredibilmente frustrante.
Thompson: Sì, lo so! Ho parlato con persone che dicevano, sai, questo ha risolto un problema, ma ne ha creati altri quattro. Quindi è un gioco del martelletto, probabilmente è la descrizione migliore.
Blankenship: Oh, sì.
Thompson: Di recente sei diventato uno dei nostri clienti qui. Quindi raccontaci come si è evoluto. Ne parlo dal punto di vista narrativo: bisogna coinvolgere persone che pensano al di là dei compartimenti stagni. È una visione più ampia di ciò che deve accadere e una sorta di prospettiva olistica di come potrebbe essere la vita. E ancora, è più come: sei stato lì abbastanza a lungo da sapere che la vita deve essere migliore. Giusto? . Hai vissuto questo Giorno della Marmotta, rivivendo la stessa situazione, per troppo tempo.
Blankenship: Esatto. E vi dico che le esigenze operative, come la gestione dei desktop e la risoluzione di alcune di queste sfide, non sono una cosa attraente e non sono qualcosa in cui l'amministrazione vuole investire. È una cosa molto difficile da inserire nel budget. E a Salisbury, il modo in cui siamo riusciti a introdurre Tanium è stato grazie a una specifica esigenza di sicurezza che dovevamo affrontare per soddisfare i requisiti del nostro audit legislativo.
Quindi un po' su come è avvenuto: i nostri revisori legislativi ci hanno comunicato che dovevamo identificare tutte le fonti di PII su tutti gli endpoint dei nostri server—vale a dire, condivisioni di file, archiviazione cloud, e così via. E quando dico PII, intendo "informazioni di identificazione personale," come numeri di previdenza sociale, carte di credito, patenti di guida, passaporti. Abbiamo l'obbligo di proteggere quei dati. E vi dico, quelli sono i nostri gioielli della corona. Sono le cose che, se le perdiamo, se vengono rubate, se vengono violate—è questo che sta rovinando la vita delle persone.
E sapete, anche al di fuori dei nostri requisiti legislativi, questi sono ciò che ci preoccupa di più e che vogliamo proteggere maggiormente. Quindi dobbiamo rimuovere le PII da qualsiasi cosa che non sia un archivio crittografato approvato. E nel corso degli anni avevamo provato diverse soluzioni puntuali, davvero ingestibili per il numero di ore-uomo e per l'efficacia di quegli strumenti.
Thompson: Questo è un problema serio e comune, e uno che la maggior parte dei leader aziendali non si rende nemmeno conto che esista.
Blankenship: È più di quanto avessimo mai immaginato. Tutti quanti vogliono conservare tutti i contratti fin dall'inizio ‘80s sui loro computer. Quindi abbiamo effettivamente acquistato lo strumento di sicurezza in grado di esaminare tutti i file all'interno degli archivi e di eseguire la corrispondenza di pattern al loro interno per identificare e confermare i riscontri legittimi di PII. E poi estrarrà automaticamente le PII dagli endpoint, lascerà un piccolo avviso che dice: Hey, abbiamo preso il tuo file, chiama l'help desk se ne hai bisogno, e poi lo sposterà in un archivio NAS [network attached storage] centrale crittografato per il quale disponiamo di ACL [access control list] completamente separate e autorizzazioni e processi separati affinché le persone possano riottenere l'accesso. E questo ha soddisfatto i nostri requisiti di audit e ha davvero ripulito milioni di record dagli endpoint delle persone, molto di più di quanto avremmo mai immaginato.
Thompson: Sì. L'istruzione superiore, ho scoperto, è un posto per accumulatori di dati, tipo, avevamo un ricercatore in un ruolo precedente che aveva conservato ogni domanda per un finanziamento che aveva presentato. E la dimensione della sua casella di posta era nell'ordine dei terabyte. Voglio dire, ho scoperto che in ambito educativo nessuno butta mai via niente.
Blankenship: No, nessuno vuole buttare via niente. E non sono sempre le persone che sospettavamo, non sono sempre le persone delle risorse umane o i responsabili delle segreterie o le persone con cui hai un motivo legittimo per lavorare. PII. Sì. Ognuno di loro ha scaricato un report e lo ha lasciato sul proprio desktop. Sì. Poi hanno copiato la cartella dei documenti dalle loro ultime quattro o cinque macchine. Abbiamo PII che risalgono al ‘80s. Ma sono anche tutti i dipendenti dei reparti che hanno eseguito il loro TurboTax e salvato il file delle tasse sul desktop. Ci sono i contratti, gli ordini di approvvigionamento, le carte di credito, i PDF scansionati che stiamo trovando. È molto di più di quanto avessimo mai immaginato e più di quanto qualsiasi altro strumento precedentemente utilizzato fosse in grado di trovare.
Thompson: Nessuno, dal top management in giù, riconosce la portata di questo problema. Diamine, questo sorprende persino noi che lavoriamo nella sicurezza. Finché non vai a cercarlo, non hai idea di quanti dati personali vulnerabili si trovino sui tuoi endpoint e server. E anche se pensi di avere un'idea di quanti dati originali raccoglie la tua organizzazione, non hai davvero idea di quante volte siano stati duplicati e dove risiedano quelle copie all'interno del tuo sistema e chi vi abbia accesso.
Blankenship: E il problema per noi era che non abbiamo il personale sufficiente per esaminarli. Non abbiamo il personale sufficiente per andare a rimuovere manualmente le PII.
Thompson: Non passa giorno che non parli con un'azienda di come ha risolto questo o quel problema, e dico: Ehi, ho uno strumento per questo. E mi ricorda un po' di quando ero al college, lavoravo come meccanico notturno, e parlavo con questi meccanici esperti. Ne vidi uno che aveva uno stetoscopio nella sua cassetta degli attrezzi e pensai, cosa ci fai con quello? Disse: 'Lo uso per determinare se c'è un ticchettio o qualcosa è fuori sincronizzazione nella macchina.' Lo avvicinava effettivamente al motore. Sai, oggi hanno queste porte sulla macchina a cui colleghi effettivamente un computer e ti fornisce tutte le diagnostiche su tutto ciò che accade in quel motore. Quello che stai descrivendo è più o meno lo stesso processo. Abbiamo bisogno di un unico strumento che ci dia completa visibilità su tutti gli endpoint su base regolare.
Blankenship: Uno dei nostri requisiti principali era che doveva essere autosufficiente. Quindi non è sufficiente per noi trovare i PII; dovevamo eliminarli, una volta confermata la situazione o lo scenario. Quindi siamo in grado di esaminare quei risultati e dire, sì, questo schema è legittimamente PII—tutto il resto che gli assomiglia, vai avanti e prendilo. Quindi abbiamo solo alcune cure e alimentazioni che abbiamo nella formazione, perché i nostri moduli di richiesta hanno tutti lo stesso aspetto, i nostri contratti hanno tutti lo stesso aspetto. In realtà è abbastanza semplice, una volta che conosci i tipi di PII che esistono nel tuo ambiente, per curare, alimentare e addestrare lo strumento a prenderlo automaticamente. E politicamente siamo riusciti a farlo passare, e i nostri utenti hanno capito come funziona tutto.
Thompson: Come ci sei riuscito? Ottenere il consenso degli utenti?
Blankenship: Nel momento in cui i finanziamenti statali verranno ritirati se non si soddisfano i requisiti legali, gli ultimi residui di esitazione [scompaiono] poiché il nostro presidente non vuole finire sui giornali. Fortunatamente, altre persone intorno a noi hanno avuto brutte esperienze al punto che ora siamo creduti. Non credo che alcune delle spiegazioni politiche e culturali siano ancora necessarie al giorno d'oggi. Non è che non sapessimo di dover fare questo nell'ultimo decennio, ma finalmente abbiamo gli strumenti, la capacità di farlo, e la forza di volontà, il riconoscimento nell'attuale ambiente della cybersecurity che dobbiamo farlo. Quindi è così che si è concretizzato.
Thompson: È una sorta di equilibrio delicato, perché in passato avresti potuto farlo, ma non sarebbe stata una grande esperienza per il cliente. La tecnologia fatta bene svanisce in secondo piano. Non sai nemmeno cosa c'è. Funziona e basta. È come l'interruttore della luce quando accendi la luce. E sembra che tu sia riuscito a trovare quella soluzione per renderla trasparente all'utente—se elimini quell'attrito, allora è molto più probabile che accettino.
Blankenship: Esatto. E la cosa importante è che qualsiasi cosa avremmo potuto fare in passato avrebbe avuto un tale sovraccarico manuale sull'IT e sugli utenti che sarebbe stato insostenibile per noi supportarla e mantenerla. Quindi è stato davvero così che l'abbiamo introdotto qui. Una volta che l'abbiamo fatto entrare e abbiamo questo potente strumento su tutti i nostri endpoint e su tutti i nostri server, è il momento del bambino nel negozio di dolci.
Thompson: Beh, essere in grado di automatizzare queste cose è molto potente in quanto ti aiuta a scalare. Mi è capitato di incontrare persone [che] pensano che tu stia cercando di eliminare il loro lavoro. E in realtà stai cercando di liberarle per fare qualcosa di maggior valore che, in sostanza, rende il loro lavoro più importante e più affidabile. … Nessuno produce più ghiacciaie. Quando è arrivato il frigorifero, sai, nessuno…. [si interrompe.] Le videocassette VCR, non ne hai più molte. Sai, tutto è digitale. E così via.
Blankenship: Avevo queste conversazioni con le persone tutto il tempo. Qualsiasi aspetto del tuo lavoro che posso automatizzare con PowerShell o con uno script o con uno strumento, dovresti essere felice, perché deve essere una miseria farlo ripetutamente. Troviamoti qualcosa di molto più interessante, molto più prezioso, molto più spendibile sul mercato. Sai, non è che stia cercando di automatizzarti fuori dal lavoro e licenziarti.
Thompson: Esatto.
Blankenship: Specialmente in questo stato, siamo molto stabili. La permanenza media delle persone nel mio dipartimento varia tra 10 e 30 anni. Non abbiamo molti cambi di lavoro. Siamo abbastanza isolati qui sulla costa orientale del Maryland. Abbiamo le spiagge, però. Questo è il principale punto di forza. Ma sono le persone il vero valore nel nostro dipartimento, e più riesco a indirizzarle verso progetti di gran lunga più preziosi rispetto a compiti ripetitivi e banali, meglio è: automatizziamo tutto quello, togliamolo di mezzo.
Thompson: E riduce anche gli errori e simili. Perché a volte lo fai più e più e più volte. È facile trascurare qualcosa, o hai un caso anomalo che emerge e, beh, questo ha sempre funzionato prima. C'era una cosa diversa. Automatizzando tutte queste cose, puoi mettere in atto dei controlli per renderle più affidabili, liberando così le persone per svolgere attività più personalizzate e di maggior valore.
Blankenship: L'automazione ha anche una naturale tendenza ad auto-documentare i processi. Quindi, se riesci ad automatizzare un processo, hai documentato a fondo quel processo aziendale. Così è facile per chiunque altro intervenire in seguito per mantenerlo, aggiornarlo e capire cosa sta accadendo. Mentre quando si tratta di processi manuali, tutto è nella testa di una sola persona che potrebbe essersi appena ritirata.
Thompson: È un fattore importante di cui parlo con molte persone. Hanno quella singola persona su cui fanno affidamento, ma le cose diventano molto più difficili quando se ne va. O, Dio non voglia, accade qualcosa di tragico che non avresti potuto prevedere in alcun modo. So che sono pessimo nel documentare le cose perché semplicemente ci passo attraverso e vado avanti—con grande disappunto di mia moglie. Mi sgrida di tanto in tanto. "Ma perché non l'hai scritto?" "Ho solo, uh, è così." Ma questo riguarda solo me e la mia famiglia. Non ha ripercussioni su un'intera organizzazione.
Blankenship: Quindi, una volta ottenuta la visibilità e iniziato a vedere la potenza dello strumento, quando lo abbiamo introdotto qui, le persone hanno cominciato a rendersi conto che potevamo porre domande in tempo reale e ottenere risposte sulla nostra situazione. Quindi, ad esempio, ci è stato chiesto di un software, se dovessimo continuare a pagare per questo software—stiamo pagando $60.000 per una licenza di sito. Perché lo stiamo facendo? E posso semplicemente fare una domanda sul nostro ambiente e chiedere dove si trova, [o] quali computer ce l'hanno? E poi posso sapere dove si trovano quei computer e chi li sta usando. Posso conoscere le versioni. Ricevo quelle risposte e tutto è molto più veloce e in un unico pannello di controllo.
Posso poi prendere la stessa risposta che ho ottenuto e inviarla direttamente a un deployment. Quindi, trasformandolo in un esempio di sicurezza: abbiamo una vulnerabilità rilasciata per un prodotto Adobe o qualsiasi altro, e non so nemmeno quanti computer abbiano quella versione. Prima, ottenere quella risposta sarebbe stato incredibilmente difficile.
Ora è una frase che mi aiuta a completare automaticamente il resto della frase per dirmi esattamente quanti si trovano in quella situazione e poi prendere quell'elenco esatto di computer, inviarlo direttamente a un deployment, per aggiornarli.
Thompson: Quindi questo chiaramente ti fa risparmiare un sacco di tempo.
Blankenship: Assolutamente. E una delle grandi cose su cui veniamo anche pressati è il patching e la conformità delle patch. Abbiamo molte metriche di conformità che dobbiamo rispettare: fondamentalmente configurazioni di base che devono essere mantenute, nonché il tempo medio di mitigazione delle patch per le vulnerabilità, oltre all'applicazione delle patch entro un determinato periodo di tempo dal rilascio da parte del produttore. Dobbiamo farle applicare. E vi dico che è una cosa esasperante da mettere insieme.
Thompson: Fare tutto ciò manualmente, patch per patch, immagino che farebbe impazzire chiunque. Quindi avere il giusto strumento automatizzato non solo ti fa risparmiare tempo, ma preserva anche la tua sanità mentale. È come avere il proprio agente speciale su ogni endpoint, che ti fornisce dati reali sull'endpoint in tempo reale. Non è più necessario affidarsi a strumenti di terze parti, scansioni remote o una chiave inglese per questo e un socket per quello.
Blankenship: E so che l'agente lì, quando gli comunico l'aggiornamento, otterrà quegli aggiornamenti e mi fornirà un feedback su come è andata.
Thompson: E deve farti dormire meglio sapere che puoi rispondere a quelle domande. Non c'è niente di peggio che avere il tuo capo che entra e sai che ti farà una di quelle domande. Posso darti quella risposta, ma potrebbe volerci una settimana.
Blankenship: Esatto. E sei sicuro solo quanto i tuoi anelli più deboli in questo. E sì, abbiamo molti altri livelli di sicurezza, abbiamo firewall e altri elementi di questo puzzle. Ma per molto tempo, i nostri endpoint sono stati la nostra principale preoccupazione e i punti di compromissione.
Perché i nostri server sono blindati. Sono altamente, altamente ottimizzati. La nostra rete, sapete, ha molti vincoli e controlli al suo interno. Ma quegli endpoint e quegli fastidiosi utenti sono il problema principale in un ambiente. Quindi, assicurandosi che possano fare il minor danno possibile—danno reputazionale, perdita di dati—avendo quegli endpoint senza PII su di essi? Già lì, ho già vinto metà della partita. Quindi anche se quell'endpoint viene rubato, quell'endpoint viene compromesso, non otterrete nulla localmente da noi. Poi ho quegli altri livelli in atto tra quell'endpoint e gli ulteriori punti in cui farete più danni.
Ma sì, dormo meglio la notte sapendo che ho l'AV funzionante correttamente, sapendo che ho il firewall abilitato localmente. Sapendo che non hai diritti di amministratore localmente su quella macchina, sapendo che tutte le nostre piccole impostazioni e policy di gruppo, e tutte le modifiche e i livelli che applichiamo a quegli endpoint sono ancora abilitati, funzionano ancora. E sei aggiornato con le patch. L'altra cosa è che, operativamente, se il tuo ambiente assomiglia a quello che ho appena descritto, ricevi molte meno chiamate.
Thompson: Esatto.
Blankenship.: Hai molti meno problemi. I tuoi utenti sono effettivamente più soddisfatti in quell'ambiente perché il loro desktop funziona.
Thompson: Si torna a quel punto in cui la tecnologia si dissolve nello sfondo e sarai in grado di fare quello che devi fare.
Blankenship: Funziona tutto e basta.
Thompson: Quindi sembra che tu abbia apportato alcuni miglioramenti, dormi meglio la notte, hai dei clienti soddisfatti. Apprezzo davvero che tu abbia trascorso del tempo con noi raccontando la tua storia su come ha trasformato il modo in cui fai affari.
Blankenship: Assolutamente. Sì. Grazie per avermi ospitato.
Thompson: Ho parlato con Steven Blankenship, direttore IT della Salisbury University.
Se desideri leggere di più sulla sicurezza e l'automazione, consulta il nuovo magazine online di notizie informatiche di Tanium su Tanium.com. Per ascoltare altre conversazioni con i principali leader aziendali ed esperti di sicurezza di oggi, assicurati di iscriverti a Let's Converge sulla tua app podcast preferita come Apple Podcast e Spotify. E se ti è piaciuto questo episodio, cosa che so per certo, ti preghiamo di darci una valutazione a cinque stelle.
Grazie per aver ascoltato. Non vediamo l'ora di condividere altri approfondimenti sulla sicurezza informatica nel prossimo episodio di Let's Converge.
