Entrevista com Nick Godfrey, CISO do Google Cloud: Como os CISOs podem alocar recursos de segurança cibernética

Como os CISOs podem alocar recursos de acordo com as ameaças mais prováveis à segurança cibernética

Megan Crouse: Como os CISOs podem avaliar as ameaças mais prováveis à segurança cibernética sua organização pode enfrentar, além de considerar o orçamento e os recursos?

Nick Godfrey: Uma das coisas mais importantes a se pensar ao determinar a melhor forma de alocar os recursos finitos que qualquer CISO possui ou qualquer organização possui é o equilíbrio entre comprar produtos de segurança e serviços de segurança puros versus pensar sobre o tipo de riscos tecnológicos subjacentes que a organização tem. Em particular, no caso da organização ter tecnologia legada, a capacidade de tornar a tecnologia legada defensável, mesmo com produtos de segurança no topo, está a tornar-se cada vez mais difícil.

E, assim, o desafio e a compensação são pensar: compramos mais produtos de segurança? Investimos em mais pessoas de segurança? Compramos mais serviços de segurança? Versus: Investimos em infraestruturas modernas, que são inerentemente mais defensáveis?

Resposta e recuperação são fundamentais para responder às ameaças cibernéticas

Megan Crouse: Em termos de priorização de gastos com um orçamento de TI, o ransomware e o roubo de dados são frequentemente discutidos. Você diria que é bom focar nisso, ou os CISOs deveriam se concentrar em outro lugar, ou isso depende muito do que você viu em sua própria organização?

Nick Godfrey: Roubo de dados e ataques de ransomware são muito comuns; portanto, os CISOs, equipe de segurança e CPO devem focar nesse tipo de coisa. O ransomware, em particular, é um risco interessante para tentar gerenciar e, na verdade, pode ser bastante útil em termos de estruturar a maneira de pensar sobre o programa de segurança de ponta a ponta. Exige que pense numa abordagem abrangente aos aspectos de resposta e recuperação do programa de segurança e, em particular, à sua capacidade de reconstruir infraestruturas críticas para restaurar dados e, em última análise, serviços.

Concentrar-se nessas coisas não apenas melhorará a capacidade de responder especificamente a esses problemas, mas também melhorará a capacidade de gerenciar a TI e a infraestrutura, mudando o foco para um lugar onde há a capacidade de reconstruir a TI. Se houver a capacidade de reconstruir a TI e restaurar dados regularmente, será muito mais fácil gerenciar agressivamente as vulnerabilidades e corrigir a infraestrutura subjacente.

Os CISOs precisam da adesão de outros tomadores de decisão orçamentárias

Megan Crouse: Como os profissionais e executivos tecnológicos devem educar outros decisores orçamentários sobre as prioridades de segurança?

Nick Godfrey: A primeira coisa é fazer isso de forma holística. Se houver uma conversa desconectada sobre um orçamento de segurança versus um orçamento de tecnologia, a oportunidade de ter uma conversa conjunta pode ser perdida. É possível criar condições em que a segurança seja considerada uma percentagem do orçamento tecnológico. Ter o CISO e o CPO trabalhando juntos e apresentando juntos ao conselho como o portfólio combinado de projetos de tecnologia e segurança está melhorando o perfil de risco tecnológico, além de atingir outras metas comerciais e de negócios.

Quanto mais pudermos incorporar a conversa sobre segurança, segurança cibernética e risco tecnológico em outras conversas que sempre acontecem no conselho, mais poderemos torná-lo uma consideração dominante, da mesma forma que os conselhos pensam sobre finanças e riscos operacionais.

Considerações de segurança em torno da IA generativa

Megan Crouse: Uma das grandes mudanças tecnológicas globais é a IA generativa. Quais considerações de segurança em torno da IA generativa as empresas devem ficar atentas hoje?

Nick Godfrey: Dividimos a interseção entre segurança e IA em três grupos. O primeiro é o uso da IA para defesa, incorporando-a em ferramentas e serviços de segurança cibernética. O segundo é o uso de IA pelos invasores para melhorar sua capacidade de atacar. O terceiro é como as organizações pensam no problema de proteger a IA.

Quando conversamos com nossos clientes, percebemos que os fornecedores de produtos de segurança devem explorar o uso da IA para defesa. O uso de IA pelos atores da ameaça é algo que nossos clientes estão de olho há bastante tempo. Pensar sobre o uso de IA generativa dentro da empresa está causando muitas conversas profundas.

Ameaças e tendências cibernéticas internacionais e do Reino Unido

Megan Crouse: Em termos do Reino Unido, quais são as ameaças à segurança mais prováveis que as organizações enfrentam? E há algum conselho específico que você daria a eles em relação ao orçamento e planejamento de segurança?

Nick Godfrey: As ameaças cibernéticas no Reino Unido são semelhantes às de outros países. Elas são direcionadas por linhas políticas, mas muitas são oportunistas. As organizações devem concentrar seus esforços na proteção de suas infraestruturas e, ao mesmo tempo, procurar maneiras de incorporar a segurança cibernética em todas as conversas de negócios e tecnologia.