Federal Siber Son Teslim Tarihleri ​​Yaklaşıyor; Özel Chatbot Tehlikesi

Dark Reading’in özellikle güvenlik operasyonları okuyucuları ve güvenlik liderleri için hazırlanmış haftalık makale özeti olan CISO Corner’a hoş geldiniz. Her hafta haber operasyonumuz The Edge, DR Technology, DR Global ve Yorum bölümümüzden derlenen makaleleri sunuyoruz. Her şekil ve büyüklükteki kuruluştaki liderler için siber güvenlik stratejilerini operasyonel hale getirme işini desteklemek üzere size çeşitli bakış açıları sunmaya kararlıyız.

CISO Corner’ın bu sayısında:

‘Makul’ Siber Güvenlik Durumunu Yaratmak

Yazan: Stephen Lawton, Katkıda Bulunan Yazar, Dark Reading

Makul siber güvenlik oldukça özneldir. Kuruluşların siber riski ölçmek ve güvenlik kontrollerini uygulamak için dikkatli bir şekilde plan yapması gerekir.

Kurumsal siber güvenlik uygulamalarını denetleyen düzenleyiciler için kanıt standardı, “makul siber güvenlik” veya makul derecede basiretli bir kişinin benzer durumlarda yapacağı şeye dayalı olarak verileri korumak için önlemler almaktır.

Ancak “makul siber güvenlik” kasıtlı olarak belirsizdir ve büyük ölçüde bağlama bağlıdır. Bir siber sigorta şirketi sıklıkla çeşitli güvenlik kontrollerinin mevcut olup olmadığını soran bir anket kullanır ve sigortacılar bir poliçeyi onaylayabilir veya onaylamayabilir. Ama eğer bir İhlal daha sonra meydana gelirse, sigortacı talebe itiraz edebilirTıpkı 2022’de Travellers Insurance’ın yanlış beyan edilen güvenlik kontrolleri nedeniyle Uluslararası Kontrol Hizmetleri’ne karşı açtığı davada olduğu gibi.

Karışıklığın çoğunu ortadan kaldırmak için, NIST Siber Güvenlik Çerçevesi (CSF), CIS’in kendi Kritik Güvenlik Kontrolleri (CIS Kontrolleri) ve diğerleri gibi güvenlik çerçeveleri, kuruluşlara makullük yasal gerekliliklerini karşılamak için ihtiyaç duydukları kontrolleri sağlar. Ancak diğer adımlar da önemlidir.

Devamını oku: ‘Makul’ Siber Güvenlik Durumunu Yaratmak

İlgili: Veri İhlalinin Anatomisi: Başınıza Gelirse Ne Yapmalısınız?20 Haziran’da yapılması planlanan ücretsiz bir Karanlık Okuma sanal etkinliği. Verizon’dan Alex Pinto, DBIR bulgularını ve daha fazlasını ayrıntılarıyla anlatan Yakın Çekim: Gerçek Dünya Veri İhlalleri başlıklı bir açılış konuşması yapacak.

Kusurlu Yapay Zeka Araçları Özel LLM’ler ve Chatbot’lar için Endişe Yaratıyor

Yazan: Robert Lemos, Katkıda Bulunan Yazar, Dark Reading

Şirketler, çalışanlarının yapılandırılmamış verilerden bilgi toplamasına yardımcı olmak için büyük dil modelleri arıyor ancak güvenlik açıkları dezenformasyona ve potansiyel olarak veri sızıntılarına yol açabilir.

Bu hafta Synopsys, yapay zeka sağlayıcısı SamurAI tarafından oluşturulan EmbedAI bileşenini temel alan uygulamaları etkileyen siteler arası istek sahteciliği (CSRF) kusurunu açıkladı; saldırganların kullanıcıları zehirli verileri kendi dil modellerine yüklemeleri konusunda kandırmasına ve saldırganın özel bir Yüksek Lisans örneğini veya sohbet robotunu bile etkilemesine olanak tanıyabilir.

Bulgular, acele edilmesinin altını çiziyor üretken yapay zeka sohbet robotlarını entegre edin İş süreçlerine müdahale, özellikle yüksek lisans ve diğer üretken yapay zeka uygulamalarına büyük veri havuzlarına erişim sağlayan şirketler için risk teşkil ediyor.

“LLM’nin dev bir veri yığınına erişmesine izin verip ‘Tamam, herkes buna erişebilir’ diyemezsiniz, çünkü bu, içindeki tüm verilerin bulunduğu bir veritabanına herkese erişim hakkı vermekle eşdeğerdir, değil mi?” AI tehdit araştırmacısını koruyun Dan McInerney diyor. “Yani verileri temizlemelisin.”

Devamını oku: Kusurlu Yapay Zeka Araçları Özel LLM’ler ve Chatbot’lar için Endişe Yaratıyor

İlgili: Hugging Face Yapay Zeka Platformu, 100 Kötü Amaçlı Kod Yürütme Modeli İle Delinmiş

SEC’in Siber Güvenlik Risk Yönetimine Yeni Bakışı

Dr. Sean Costigan’ın yorumu, Genel Müdür, Dayanıklılık Stratejisi, Red Sift

Yakın zamanda yeni ifşa düzenlemeleri kapsamında ihlal bildiren üç şirketten bilgiler.

SEC’in yeni açıklama kurallarına göre, kayıt yaptıranların “maddi etkisi” olduğunu belirledikleri herhangi bir siber güvenlik olayını dört gün içinde bildirmeleri gerekiyor; bu da şirketin operasyonlarını veya mali durumunu önemli ölçüde etkileyebileceği anlamına geliyor.

Kısa zaman dilimi, birçok şirketin gereksinimleri karşılama konusunda sıkıntı yaşamasına neden oluyor, ancak neyse ki, ihlalleri bildiren ve açıklamalarda bulunan birçok büyük kuruluşun deneyimlerinden derlenecek önemli bilgiler zaten mevcut.

Bunlar arasında Clorox, İhtiyatlı Finansve UnitedHealth, hepsi kurumsal risk yönetimi için erken dersler sunuyor: Şirketler artık ihlallerin ayrıntılarını açıklamalı ve tüm dijital varlıklarına ilişkin sürekli görünürlüğe sahip olmalıdır; Şeffaflığı korumak ve temelleri doğru yapmak çok önemlidir; bilgi paylaşımı ise tüm sektörler için değerini kanıtlamıştır.

Devamını oku: SEC’in Siber Güvenlik Risk Yönetimine Yeni Bakışı

İlgili: SEC kural değişiklikleri konusunda endişeli misiniz? Yeni podcastimizin 1. Bölümünü kaçırmayın, Karanlık Okuma Gizliliği“CISO ve SEC“, siperlerden görüşler içeriyor: Reddit’in CISO’su Frederick “Flee” Lee, avukat Beth Burgin Waller ve Reddit’in baş hukuk sorumlusu Ben Lee, samimi bir tartışma için DR personeline katılıyor.

BlackSuit, Dikkatle Seçilmiş Fidye Yazılımıyla Düzinelerce Kurban Edildiğini İddia Ediyor

Yazan Elizabeth Montalbano, Katkıda Bulunan Yazar, Dark Reading

Araştırmacılar, özellikle finansal kazancı en üst düzeye çıkarmak amacıyla, çoğunlukla eğitim ve endüstriyel ürünler sektörlerindeki ABD şirketlerini hedef alan tehdit grubunun saldırısını derinlemesine inceledi.

BlackSuit fidye yazılımı çetesi, 53 kuruluşa yönelik saldırılardan çalınan verileri sızdırdı; grup Mayıs 2023’ten beri aktiftir.

BlackSuit – olduğuna inanılıyor Royal fidye yazılımı çetesinden ayrıldı — öncelikle eğitim ve endüstriyel ürünler gibi kritik sektörlerdeki ABD merkezli şirketleri hedef alıyor ve finansal kazancı en üst düzeye çıkaracak şekilde hedefleri dikkatle seçiyor.

Reliaquest Tehdit Araştırma Ekibi’ne göre, “Bu hedefleme modeli, siber güvenlik bütçeleri daha küçük olan veya kesinti süresine karşı düşük toleransa sahip olan kritik sektörlere odaklanan bir finansal motivasyona güçlü bir şekilde işaret ediyor, bu da başarılı bir saldırı veya hızlı bir fidye ödemesi olasılığını artırıyor.” postalamak.

Devamını oku: BlackSuit, Dikkatle Seçilmiş Fidye Yazılımıyla Düzinelerce Kurban Edildiğini İddia Ediyor

İlgili: Saldırganlar Kurumsal Ağlara Erişmek İçin Check Point VPN’lerini Hedefliyor

Siber Güvenlikte Tükenmişliği Önlemek için 9 İpucu

Yazan: Joan Goodchild, Katkıda Bulunan Yazar, Dark Reading

Güvenlik profesyonelleri işin sonuna geldiğinde, hem zihinsel hem de fiziksel olarak yorgun hissediyorlarsa, bunun nedeni genellikle tükenmişliktir. İşte bununla mücadele etmenin yolları.

Siber güvenlik, yüksek stresli ortamı, neredeyse kesintisiz çalışma döngüleri ve zorlu doğasıyla bilinir. Bu, kişinin zihinsel sağlığına, özellikle de tükenmişlik şeklinde zarar verir.

Kanıt bulmak zor değil güvenlik uzmanları arasında yaygın tükenmişlik. Yakın zamanda yapılan bir Gartner Akran Topluluğu araştırması, BT ve güvenlik liderlerinin %62’sinin tükenmişlik yaşadığını ve birçok CISO’nun, Gartner’ın “benzersiz stres etkenleri” olarak adlandırdığı şeyler nedeniyle işlerini veya kariyerlerini bırakmayı planladığını ortaya çıkardı. Mimecast tarafından yapılan bir anket, siber güvenlik çalışanlarının %56’sının her yıl artan iş stresi yaşadığını ortaya çıkardı.

Peki ne yapılabilir? Bu slayt gösterisinde stresinizi yönetmek ve tükenmişliği önlemek için dokuz ipucunu inceliyoruz.

Devamını oku: Siber Güvenlikte Tükenmişliği Önlemek için 9 İpucu

İlgili: Kalıcı Tükenmişlik Siber Güvenlikte Hala Bir Krizdir

Küresel: Çin APT Orta Doğu, Afrika ve Asya’nın Jeopolitik Sırlarını Çaldı

Yazan: Nate Nelson, Katkıda Bulunan Yazar, Dark Reading

Çin’in en büyük casusluk operasyonlarından biri, başarısını uzun süredir devam eden Microsoft Exchange hatalarına, açık kaynak araçlarına ve eski kötü amaçlı yazılımlara borçludur.

Çin devletine bağlı bir tehdit grubu, 2022’nin sonlarından bu yana günlük olarak Orta Doğu, Afrika ve Güneydoğu Asya’daki üst düzey hükümet ve askeri hedeflerden e-posta ve dosya sızdırıyor.

Palo Alto Networks’ün Birim 42’si tarafından hazırlanan yeni bir raporda tanımlanan küstah bir casusluk kampanyası olan Diplomatik Hayalet Operasyonu, üç kıtada en az yedi ülkedeki dışişleri bakanlıklarını, askeri birimleri, elçilikleri ve daha fazlasını hedef alıyor. Amacı, jeopolitik çatışmalar, diplomatik ve ekonomik misyonlar, askeri operasyonlar, siyasi toplantılar ve zirveler, üst düzey politikacılar ve askeri personel ve hepsinden önemlisi büyükelçilikler ve dışişleri bakanlıkları hakkında gizli ve hassas bilgiler elde etmektir.

Harekât devam ediyor ve saldırganlar zaten bir gösteri sergiledi. casusluğa devam etme isteğigüvenliği ihlal edilmiş ağlardan açığa çıktıktan ve önyüklendikten sonra bile.

Devamını oku: Çin APT Orta Doğu, Afrika ve Asya’nın Jeopolitik Sırlarını Çaldı

İlgili: Çin Destekli APT, ProxyLogon ile Bina-Otomasyon Sistemlerini Geliştiriyor

Kuruluşunuzu Yaklaşan Siber Güvenlik Son Tarihlerine Hazırlamak

Noname Security Saha CISO’su Karl Mattson’un yorumu

Federal ve eyalet düzenleyicileri, siber güvenlik söz konusu olduğunda kuruluşları sorumlu tutmayı amaçlayan yeni kurallar ve zorunluluklar getirdi. İşte nasıl hazırlanacağınız.

Tehdit ortamı hızla genişliyor ve şirketlerin verilerinden Kritik altyapı risk altında. ABD’deki hem federal hem de eyalet düzenleyicileri, söz konusu siber güvenlik olduğunda kuruluşları sorumlu tutmayı amaçlayan yeni kurallar ve zorunluluklar getirdi ve bunlara uymak için son tarihler hızla yaklaşıyor.

Örneğin, daha küçük raporlama şirketlerinin, SEC’in yeni ihlal açıklama kurallarına uyması gerekmektedir (son tarih: 15 Haziran), yani “halka açıklığı 250 milyon dolardan az olanların yanı sıra, önceki yıl için yıllık geliri 100 milyon dolardan az olan kayıt yaptıranlar” yıl ve ya halka arz yok ya da 700 milyon dolardan az halka arz.”

Ve federal kurumların sıfır güven hedeflerini karşılaması gerekiyor (son tarih: 30 Eylül). Ajansların, Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın Sıfır Güven Olgunluk Modelinin beş sütunu (Kimlik, Cihazlar, Ağlar, Uygulamalar ve İş Yükleri ve Veriler) ile uyumlu 19 spesifik görevi tamamlaması gerekmektedir.

Bu yeni gereksinimler önemli sonuçlar doğurmaktadır ve doğru yönde atılmış bir adımdır; ancak gerçekten etkili olabilmesi için güvenlikle ilgili felsefede daha büyük bir değişimin gerçekleşmesi gerekmektedir.

Devamını oku: Kuruluşunuzu Yaklaşan Siber Güvenlik Son Tarihlerine Hazırlamak

İlgili: OMB, Federal Kurumlar için Sıfır Güven Stratejisini Yayınladı