Konferenční místnost působila jako past. Isabel Cross přisunula výpovědní dokumenty přes leštěný stůl, její upravené prsty už sahající po telefonu. „Váš přístup k síťové bezpečnosti nás brzdí, Vincente. Přecházíme na cloud-first architekturu a váš obranný způsob myšlení neodpovídá našim cílům digitální transformace.
”
Jmenuji se Vincent Morrison a je mi 48 let. Dvaadvacet let jsem budoval firemní síť od základů, začínal jsem, když měla společnost padesát zaměstnanců v přestavěném skladu nedaleko Clevelandu. Tehdy jsem byl čerstvě po službě u námořnictva, šest let disciplíny ve mně zanechalo trvalou stopu. Firma mezitím narostla na dva tisíce lidí ve dvanácti pobočkách a každý datový tok procházel bezpečnostními protokoly, které jsem navrhl, otestoval a vylepšoval po dvě dekády.
Hudson Walsh, náš čtyřiatřicetiletý generální ředitel, ani nezvedl oči od tabletu. Jeho zázemí z Goldman Sachs prosvítalo z každého dokonale vyžehleného kusu oblečení i z naprostého nepochopení toho, jak technologie skutečně fungují. „Isabelin tým představil přesvědčivou migrační strategii. Musíme se v dnešním trhu pohybovat rychle.
” Konečně ke mně vzhlédl těma studenýma modrýma očima. „Není to osobní, Vince. Je to jen vývoj byznysu. ”
Vývoj.
To slovo zasáhlo jako facka. Hlas jsem udržel klidný, sáhl jsem do starého vojenského výcviku. „A co výsledky penetračních testů z minulého čtvrtletí? Bezpečnostní rámec toho cloudového dodavatele má tři kritické zranitelnosti, které jsem zdokumentoval ve své zprávě.
”
Isabel mávla rukou. Prsten z jejího MBA ze Stanfordu zachytil zářivkové světlo. „To jsou teoretické obavy, Vincente. Musíme přestat být paralyzovaní hypotetickými scénáři a začít přijímat inovace.
Představenstvo očekává modernizaci infrastruktury, ne lpění na starých systémech. ”
Staré systémy. Mluvila o síti, která za dvaadvacet let nezažila jediný úspěšný průnik. O systému, který jen za posledních pět let ušetřil firmě 2,3 milionu dolarů a odrazil útoky.
Ale čísla nezajímala lidi, kteří žili v powerpointových prezentacích. Teoretické? Naklonil jsem se dopředu a cítil známé napětí v ramenou. „SQL injekce, která obchází jejich autentizační vrstvu, je teoretická?
Systém ověřování záloh, který spoléhá na šifrování jediným bodem, je teoretický? ”
Hudsonův tón nesl tu korporátní definitivnost, kterou jsem za posledního půl roku slyšel příliš často. Od té doby, co přišla Isabel se svým poradenským pozadím a sliby digitální transformace. „Rozhodnutí padlo.
Ten přechod proběhne, ať s tím souhlasíte nebo ne. A vzhledem k vašemu trvalému odporu ke změně jsme usoudili, že se nehodíte pro naše budoucí směřování. ”
Ticho trvalo třicet vteřin. Přes skleněné stěny jsem viděl zaměstnance u stolů, jak asi přemýšlejí, co se v konferenční místnosti děje.
Někteří tu byli skoro tak dlouho jako já. Znali mou práci, důvěřovali mému úsudku, ale důvěra nic neznamenala, když čtvrtletní hovory o výsledcích vyžadovaly buzzwordy o inovacích. „Nějaké otázky? ” zeptala se Isabel a už vstávala, sbírala si kožený diář.
„Jen jednu. ” Nechal jsem ruce položené na stole, starý zvyk z námořních briefingů, když chcete působit klidně a sebejistě. „Kdo bude řešit bezpečnostní protokoly během migrace? ”
„Cloud Secure Solutions má komplexní přechodový tým,” řekla s tím sebevědomým úsměvem.
„Jejich specialisté zvládli migrace pro firmy z Fortune 500. Vědí, co dělají. ”
Pomalu jsem přikývl. „A systémy detekce průniku, které jsem postavil a které monitorují převody finančních dat, nahradí AI detekce hrozeb od Cloud Secure.
Mnohem pokročilejší než váš přístup založený na pravidlech. ”
Přístup založený na pravidlech. Dvaadvacet let naučeného rozpoznávání vzorců a vlastních obranných algoritmů nazvala primitivním, zastaralým. Způsob myšlení lidí, kteří nikdy neodrazili skutečný útok.
Nikdy netrávili třetí hodinu ranní řešením, proč je legitimní provoz označován jako podezřelý. Nikdy nemuseli představenstvu vysvětlovat, proč jejich přístup funguje, když všechno ostatní selhalo. „Chápu. ” Vstal jsem a narovnal si sako.
„Tak vám přeju hodně štěstí s přechodem. ”
Hudson konečně vzhlédl od tabletu. „Bezpečnost vás doprovodí k vašemu stolu, Vincente. Firemní politika pro IT výpovědi.
”
Když jsem procházel chodbami, které jsem hlídal přes dvě dekády, zaměstnanci se vyhýbali očnímu kontaktu. Zprávy se šíří rychle, zvlášť když vyhození IT člověka znamená, že nikdo neví, jak se kávovar připojí k Wi-Fi, natož jak zůstane finanční systém v bezpečí. Pete, ostraha, čekal u mého stolu. Byl tu osm let, od té doby, co jeho vojenský důchod nestačil na manželčiny zdravotní účty.
„Pane Morrisone,” řekl tiše a přešlapoval, „slyšel jsem, že to není správné. ”
„Je to byznys, Pete. ” Otevíral jsem zásuvky metodicky, stejně jako jsem organizoval serverové racky a vedení kabelů. Hrnek z konference o kybernetické bezpečnosti v Las Vegas 2018.
Fotky Rachel a dvojčat, oba začínali druhý ročník na Ohio State. Malý multitool na krimpování síťových kabelů. „Pomohl jste mi nastavit domácí síť, když dcera dělala distanční výuku za covidu,” pokračoval Pete. „Strávil jste tři hodiny v sobotu, vysvětloval mi konfiguraci routeru.
”
„Dělal jsem svou práci. ” Zavřel jsem krabici s dvaadvaceti lety vzpomínek z pracovního stolu. „Opatruj se, Pete. ”
Nesmazal jsem žádné soubory.
Nezměnil jsem hesla. Neupravil jediné pravidlo firewallu ani monitorovací protokol. Všechno, co jsem za dvaadvacet let postavil, zůstalo přesně tak, jak jsem to nechal, zdokumentované a zorganizované s přesností, kterou jsem se naučil u námořnictva. Cesta domů trvala pětačtyřicet minut přes průmyslový koridor Clevelandu, kolem oceláren, kde můj otec pracoval pětatřicet let, než přišly propouštění v devadesátých letech.
Naučil mě, že práce něco znamená, že stavět věci vlastníma rukama, v mém případě kódem a kabely, je poctivá práce, která si zaslouží respekt. Teď jsem nesl kartonovou krabici jako on a přemýšlel, co bude dál. Rachelino auto už stálo na příjezdové cestě, když jsem dorazil k našemu domu v Parma Heights. Pracovala jako dentální hygienistka, stabilní příjem, který nám pomohl přečkat hubenější roky.
Přes kuchyňské okno jsem viděl, jak připravuje večeři, a asi přemýšlí, proč jsem doma o dvě hodiny dřív. „Jak je to zlé? ” zeptala se, když jsem vešel s krabicí. „Odpravné na dva týdny.
V pondělí spouštějí nový cloudový systém. ” Položil jsem krabici na linku a povolil si kravatu. „Vypnuli detekční protokoly, které jsem stavěl šest let. ”
Rachel si osušila ruce utěrkou a studovala mou tvář, jako to dělala třiadvacet let manželství.
„Co to znamená pro nás finančně? ”
„Mám nějaké konzultační kontakty. Hypotéku zvládneme, když něco seženu do měsíce. ” Nezmínil jsem školné, které mělo přijít v srpnu.
Sarah a Michael oba studovali na Ohio State inženýrství jako jejich starý. Jejich budoucnost by neměla trpět kvůli tomu, že korporátní politika rozhodla, že zkušenost je přítěž. Ten večer jsem strávil tři hodiny v garáži u motorky, Hondy Shadow z roku 1984. Byla po otci, zdědil jsem ji, když před pěti lety zemřel.
Mechanické problémy dávaly smysl. Dalo se je diagnostikovat, opravit, otestovat. Na rozdíl od korporátní politiky, kde kompetence byla druhořadá vůči vztahům a divadlu inovací. „Tati?
” Sarahin hlas přišel ze dveří garáže. Byla doma na letní prázdniny, pracovala na částečný úvazek v komunitním centru a online studovala pokročilou matematiku. „Ahoj, zlatíčko. ” Vzhlédl jsem od motoru a otíral si mastné ruce.
„Myslel jsem, že studuješ. ”
„Studovala. Máma mi řekla o práci. ” Přišla blíž a vyhýbala se olejovým skvrnám na betonu.
„Budeme v pořádku? ”
Ta otázka zasáhla víc než Isabelina korporátní mluva. Ve dvaceti měla Sarah matčinu praktičnost a mou technickou zvědavost. Vybrala si elektrotechniku, chtěla navrhovat systémy obnovitelné energie.
Její budoucnost by neměla být omezena mým kariérním nezdarem. „Budeme v pořádku,” řekl jsem a myslel to vážně. „Dělám tuhle práci dvaadvacet let. Firmy vždycky potřebují zkušené lidi, i když si to hned neuvědomí.
”
„A co když ne? ”
„Tak si založím vlastní konzultační praxi. Budu pomáhat menším firmám, které si nemůžou dovolit velké agentury, ale pořád potřebují skutečné zabezpečení. ” Ta myšlenka se formovala v hlavě celou cestu domů.
„Tvůj starý ví pár věcí o tom, jak udržet síť v bezpečí. ”
Usmála se a část starostí jí spadla z tváře. „Naučíš mě letos něco o zabezpečení? Na podzim mám volitelný předmět o kybernetické bezpečnosti.
”
„Naprosto. Začneme základy sítí. Jak se datové pakety pohybují systémy. Co je činí zranitelnými.
Jak postavit obranu, která skutečně funguje, místo aby jen vypadala působivě v prezentacích. ”
V neděli ráno jsem si ze zvyku zkontroloval domácí monitorovací systém. Externí IP rozsahy firmy byly stále v mém skeneru z legitimní konzultační práce pro jejich pobočku v Clevelandu před třemi měsíci. Pingovat veřejné adresy není nezákonné, jen profesionální zvědavost ohledně systémů, které jsem pomáhal navrhovat.
Síťový provoz vypadal normálně, mírně vyšší než obvyklá víkendová aktivita, pravděpodobně tým Cloud Secure dělal finální testy před pondělní migrací. Jejich harmonogram byl agresivní, čtyřicet osm hodin na přechod dvaadvaceti let vlastní bezpečnostní architektury na jejich standardizovanou platformu. U námořnictva jsme říkávali: „Pomalu je hladce, hladce je rychle. ” Uspíchané kritické postupy vedou k chybám a chyby v zabezpečení znamenají zranitelnosti.
Ale korporátní termíny nedovolovaly pečlivé přechody. Čtvrtletní hovory o výsledcích vyžadovaly viditelný pokrok, ne neviditelnou ochranu. Večer jsem se přistihl, že kontroluji stav firemní sítě častěji. Staré zvyky z dvaadvaceti let zodpovědnosti za systémy, na kterých lidé záviseli.
Víkendový provoz ukazoval přípravné práce Cloud Secure, migrace databází, aktualizace bezpečnostních protokolů, úpravy autentizačních systémů. Do nedělní noci vypnuli většinu mých vlastních monitorovacích systémů v rámci příprav na nasazení své platformy. Síť běžela nahá, chráněná jen jejich standardizovanými šablonami. Za dvanáct hodin budou ty šablony jedinou věcí mezi firemními daty a všemi hrozbami, které skenují nové zranitelnosti.
Zavřel jsem laptop a šel dovnitř. Rachel četla v posteli, její dentální časopisy rozložené přes přikrývku. „Kontroluješ jejich systémy celý den,” řekla, aniž by vzhlédla. „Jen mě zajímá jejich přístup.
”
„Máš obavy. ”
„Měl. ” Ale teď jsem s tím nemohl nic dělat. „Už to není moje síť.
”
V pondělí ve 2:47 ráno mi telefon explodoval upozorněními. Monitorovací software, který jsem měl nainstalovaný na domácím systému pro osobní projekty, detekoval masivní ztráty paketů z firemních externích IP rozsahů. Takový provoz znamenal buď katastrofální selhání hardwaru, nebo koordinovaný útok. Posadil jsem se v posteli, Rachel se vedle mě probrala, když telefon nepřestával bzučet.
Grafy síťového provozu na obrazovce vypadaly jako infarkt. Normální vzorce se náhle zhroutily do chaosu, pak klesly téměř k nule, když systémy odcházely offline. „Vince? ” Rachelin hlas byl těžký spánkem.
„Co se děje? ”
„Firemní síť dostává zabrat. ” Už jsem si natahoval džíny a tričko. „Tohle není jen jejich migrace, která se pokazila.
Tohle je útok na plné čáře. ”
První hovor přišel v 3:52. Hudsonův hlas byl napjatý sotva potlačovanou panikou. „Vince, máme problém.
Někdo nás zamkl z našich vlastních systémů. Jaký je tvůj aktuální status? ”
Už jsem seděl u domácího počítače a vytahoval monitorovací nástroje a skenery, které jsem používal pro legitimní penetrační testování. „Všechno je dole.
Zákaznický portál, interní e-maily, finanční systémy, dokonce i telefony. Isabel zkoušela volat nouzovou linku Cloud Secure, ale přepojují nás přes tři úrovně podpory. Nikdo neví, co se děje. ”
Stáhl jsem si veřejné servery firmy a spustil základní testy připojení.
Odpovědi ukazovaly obraz, který jsem viděl předtím, ale nikdy v takovém rozsahu. „Hudsone, tohle není jen útok denial-of-service. Ten záplavový provoz používají jako krytí pro něco mnohem horšího. ”
„Co tím myslíš?
”
„Zkontrolujte databázi plateb zákazníků. Hned. ”
Ticho trvalo pětačtyřicet vteřin, než Hudson pravděpodobně běžel k jinému počítači nebo někomu volal. Když se vrátil, jeho hlas byl dutý.
„Je pryč. Celá databáze finančních údajů zákazníků, historie plateb, tokeny kreditních karet, bankovní čísla. Všechno. ”
„Kolik dat?
”
„Sto osmdesát tisíc záznamů zákazníků. Všechno, co jsme za posledních pět let nasbírali. ”
Hudsonovo dýchání bylo rychlé, druh hyperventilace, která nastává, když si manažeři uvědomí, že se dívají na katastrofu končící kariéru. „Vince, potřebujeme tě tady.
Za každou cenu. ”
Podíval jsem se na Rachel, která seděla v posteli a byla úplně vzhůru. Lehce přikývla. Oba jsme věděli, co to znamená, finanční tlak, platby za školu, nejistota posledních tří dnů se náhle mění v něco jiného, páku.
„Moje konzultační sazba je čtyři sta dolarů za hodinu, minimálně dvanáctihodinová spolupráce, platba předem. ”
„Hotovo. Jen se sem dostaň. ”
Kancelář ve 4:30 ráno vypadala jako místo činu.
Nouzové osvětlení vrhalo ostré stíny přes obvykle rušný pracovní prostor. Hudson mě přivítal v hale, jeho jinak dokonalý vzhled byl rozcuchaný. Košile pomačkaná, kravata povolená, pečlivě upravené vlasy vypadaly, jako by si jimi hodiny protahoval ruce. „Kolik lidí o tom ví?
” zeptal jsem se, když jsme šli k serverovně. „Jen výkonný tým a dva lidé z Cloud Secure. Zákazníky jsme ještě neinformovali. ”
„Musíte začít připravovat ta oznámení.
GDPR vyžaduje zveřejnění do sedmdesáti dvou hodin. Většina státních zákonů je ještě přísnější. ”
Došli jsme k serverovně, kde stála Isabel se dvěma techniky z Cloud Secure, všichni vypadali, jako by je probudila studená realita. „Hlášení o stavu,” řekl jsem bez zbytečných zdvořilostí.
Mladší technik z Cloud Secure, kterému nemohlo být víc než sedmadvacet, začal chrlit technický žargon. „Implementovali jsme distribuované vyvažování zátěže s auto-scaling mikroslužbami, abychom zvládli nápor provozu, a spouštíme pokročilou AI detekci hrozeb na všech vstupních bodech. ”
„Česky. ” Sedl jsem si k hlavní konzoli a prsty automaticky našly klávesové zkratky, které jsem používal dvě dekády.
„Kolik zákaznických dat je kompromitováno a jak se k nim dostali? ”
Isabel vystoupila vpřed, její obvyklé sebevědomí nahradila sotva zadržovaná panika. „Pořád vyhodnocujeme rozsah, ale naší okamžitou prioritou je vrátit systémy online kvůli kontinuitě byznysu. ”
„Špatná priorita.
” Vyvolal jsem, co zbylo z logů sítě, a procházel šest hodin útočného provozu. Vzorce byly sofistikované, jasně naplánované a provedené se znalostí naší konkrétní infrastruktury. „Vaší okamžitou prioritou je zjistit, jak útočníci věděli přesně, které systémy budete migrovat a kdy. ”
Podpis útoku byl učebnicový pokročilý trvalý hrozba, více vstupních vektorů, trpělivý průzkum, cílené zneužití nově nainstalovaných systémů.
Ale načasování bylo příliš přesné na náhodu. Někdo poskytl detailní zpravodajské informace o zranitelnostech, které by existovaly jen během úzkého migračního okna. „Zmapovali celou naši síťovou architekturu, než udeřili,” pokračoval jsem a projížděl pokusy o průnik za posledních sedmdesát dva hodin. „Podívejte se na tyhle sondy.
Testují konkrétní porty a služby, které byly vystaveny teprve pot, když jste v pátek odpoledne vypnuli mé monitorovací systémy. ”
Hudson se naklonil přes mé rameno. „Co to znamená? ”
„Že někdo s administrátorským přístupem poskytl průzkumná data.
Tihle útočníci nemuseli objevovat naše zranitelnosti. Už přesně věděli, kam udeřit a kdy budou naše obrany nejslabší. ”
Patricia, vedoucí technička Cloud Secure, žena kolem čtyřicítky, se ozvala. „To je vážné obvinění.
Naše bezpečnostní protokoly jsou certifikované ISO 27001. ”
„Vaše protokoly předpokládají, že síť, kterou chráníte, nebyla zmapována někým s legitimním administrátorským přístupem. ” Ukázal jsem na konkrétní záznamy v logu ukazující neúspěšné pokusy o autentizaci z interních IP rozsahů. „Tyhle pokusy přicházejí zevnitř vašeho chráněného perimetru.
”
Isabelina tvář zbledla. „To je nemožné. K migračnímu harmonogramu a specifikacím systému mělo přístup jen pár lidí. ”
„Tak musíme identifikovat těch pár lidí a zjistit, který z nich mluvil s nesprávnými lidmi.
” Otočil jsem se zpět ke konzoli a vytáhl logy přístupu uživatelů za poslední dva týdny. „Ale nejdřív musíme zastavit ten průnik a posoudit plný rozsah škod. ”
Následujících osm hodin splynulo v jeden zamlžený celek. Systematicky jsem procházel kompromitované systémy, dokumentoval útočné vektory, přestavoval autentizační protokoly a zaváděl nouzová zadržovací opatření.
Neopravoval jsem to, co postavil Cloud Secure, ale vytvářel paralelní bezpečnostní infrastrukturu s hardwarem a protokoly, které přehlédli ve svém spěchu modernizovat. Do poledne jsme obnovili základní funkčnost. Přístup k zákaznickým datům fungoval, ale hodnocení škod bylo zničující. Sto osmdesát tisíc zákaznických záznamů kompromitováno, finanční data ukradena, proprietární klientské informace zkopírovány.
Ten druh průniku, který ničí firmy a končí kariéry. Ale když jsem se hlouběji prokopal do foreních logů, vynořil se vzoreec, který byl ještě škodlivější než ukradená data. Načasování, cíle, konkrétní zneužité zranitelnosti, všechno ukazovalo na někoho, k nejen poskytl průzkum, ale aktivně útok usnadnil. Ve středu ráno přišly důkazy, které jsem se obával najít.
Ve forenzích logách, pohřbených pod vrstvami útočného provoz a selhání systému, byl důkaz toho, co jsem tušil, ale doufal, že není pravda. Metadata e-mailů ukazující komunikaci mezi Isabel a Piercem Donovanem z Cloud Secure, která šla daleko za rámec běžného dodavatelského vztahu. Vytiskl jsem důkazy v šest ráno, než se kancelář naplnila týmy na škody a krizovými manažery. Časová razítka vyprávěla příběh koordinace trvající čtyři měsíce.
Technické specifikace sdílené týdny před oficiálním hodnocením dodavatele. Migrační harmonogramy probírané do detailu dávno před podpisem smluv. A nejničivější ze všeho, platební záznamy ukazující osmdesát pět tisíc dolarů převedených na Isabelino osobní konzultační LLC za poslední čtvrtletí. Hudson dorazil v 7:30 a vypadal, jako by nespal osmačtyřicet hodin.
„Jaké je nejnovější hodnocení? ”
„Útok byl práce zevnitř. ” Podal jsem mu vytištěné důkazy. „Isabel měsíce předávala informace Cloud Secure.
Ne jen technické detaily, ale strategické zpravodajství o tom, kdy budou naše obrany nejslabší. ”
Pomalu procházel dokumenty, jeho tvář procházela zmatením, vztekem a nakonec pochmurným pochopením. „Ona to zosnovala, vlastní firmu. Poskytla zpravodajství.
Cloud Secure to pravděpodobně prodal skutečným útočníkům, nebo útočníci pracují přímo s někým tam. ”
Vytáhl jsem na obrazovku detailní forenzní analýzu. „Podívejte se na tyhle útočné vektory. Neztráceli čas sondováním zranitelností.
Přesně věděli, které systémy budou vystavené a kdy. ”
„Proboha. ” Hudson klesl do židle. „Představenstvo zasedá za dvě hodiny na mimořádném jednání.
Co jim mám říct? ”
„Pravdu. Že vaše iniciativa digitální transformace byla kompromitována od začátku někým, kdo bral úplatky od dodavatele, a že výslednému průniku se dalo předejít, kdybyste poslouchali člověka, který vaší infrastruktuře skutečně rozuměl. ”
V deset dopoledne jsem seděl ve stejné zasedací místnosti, kde mě před pěti dny propustili, ale tentokrát před úplně jiným publikem.
Maxwell Sterling, jednasedmdesátiletý předseda představenstva, přiletěl přes noc z Detroitu. Ostatní členové představenstva vypadali, jako by za posledních sedmdesát dva hodin zestárli o roky. „Pane Morrisone,” řekl Sterling, „proveďte nás tím, co se stalo, a tím, jak tomu zabránit, aby se to opakovalo. ”
Metodicky jsem vyložil časovou osu.
Zranitelnosti, které jsem v platformě Cloud Secure identifikoval před měsíci, varování, která jsem zdokumentoval ohledně uspěchané migrace, důkazy Isabelina finančního vztahu s dodavatelem, koordinovaný útok, který využil přesně ty slabiny, které jsem předpověděl. Když jsem skončil, místnost byla tichá kromě hučení klimatizace a vzdáleného zvuku krizových týmů pracujících v konferenčních místnostech o patro níž. „Jaká je naše expozice? ” zeptala se členka představenstva Patricia Wellsová, bývalá bankovní manažerka, která rozuměla hodnocení rizik.
„Jen porušení GDPR může stát padesát milionů. Sankce podle státních zákonů o ochraně soukromí dalších dvacet milionů. Už se podávají hromadné žaloby. Díváme se na potenciální celkové škody sto padesát milionů plus náklady na přestavbu celé bezpečnostní infrastruktury.
”
Sterling se naklonil dopředu. „Co by stálo pořádné zabezpečení, kdyby se všechno přestavělo správně? ”
„Osm milionů za hardware a software plus osmnáct měsíců implementace. Ale to jen pokud to chcete udělat pořádně, tentokrát se správnou redundancí a testováním.
”
„A kdo by to vedl? ”
Přemýšlel jsem o tom okamžiku tři dny, od Hudsonova panického telefonátu. „Pozice Chief Information Security Officer. Hlásit se přímo představenstvu, ne přes IT management.
Plná pravomoc nad bezpečnostními protokoly, vztahy s dodavateli a rozpočtem. Základní plat dvě stě dvacet tisíc, podíl na společnosti a garantovaná pětiletá smlouva, kde bezpečnostní rozhodnutí nemohou být přehlasována bez jednomyslného souhlasu představenstva. ”
Sterling mě studoval. „To je značná pravomoc pro někoho, kdo byl minulý týden propuštěn.
”
„Je to odpovídající pravomoc pro zabránění další katastrofě za sto padesát milionů. ” Otevřel jsem laptop a zobrazil časovou osu útoku. „Tohle se stalo, protože bezpečnost byla podřízena rozvoji byznysu a vztahům s dodavateli. Pokud to chcete trvale opravit, bezpečnost musí být nezávislá a konečná.
”
Představenstvo deliberovalo pětačtyřicet minut, zatímco jsem čekal v Hudsonově kanceláři a sledoval, jak cena akcií pokračuje ve volném pádu na finančních zpravodajských webech. Pokles o jednatřicet procent od té doby, co unikla zpráva o průniku. Žaloby akcionářů se množily každou hodinu. Když mě zavolali zpět, Sterling měl připravenou smlouvu k podpisu.
Toho odpoledne Hudson oznámil Isabelino okamžité propuštění a probíhající trestní vyšetřování. Do pátku čelil Pierce Donovan federálním obviněním ze spiknutí za účelem počítačového podvodu a podvodu s drátovými převody. Ostatní klienti Cloud Secure začali klást tvrdé otázky ohledně vlastních bezpečnostních implementací. Následujících šest měsíců byl rozmazaný shluk kongresových svědectví, regulačních vyšetřování a přestavby systémů.
Najal jsem tým bezpečnostních inženýrů, kteří chápali, že okázalé inovace nic neznamenají, pokud základy nejsou pevné. Postavili jsme obrany, které předpokládaly, že útoky jsou nevyhnutelné, a připravily se na ně odpovídajícím způsobem. Nová bezpečnostní infrastruktura zablokovala sedmdesát tři pokusů o průnik za prvních devadesát dní. Ne proto, že by útočníci byli méně sofistikovaní, ale protože jsme navrhli systémy, které očekávaly nepřátelství a reagovaly odpovídajícím způsobem.
O osm měsíců později jsem stál na pódiu Národní konference o kybernetické bezpečnosti a přebíral cenu za vedení v krizovém řízení. Potlesk byl potěšující, ale ne tak uspokojující jako vědomí, že firemní data byla poprvé po letech skutečně v bezpečí. Ve své děkovné řeči jsem to udržel přímočaré. „Efektivní bezpečnost není o nejnovějších AI algoritmech nebo nejpůsobivějších prezentacích dodavatelů.
Je o pochopení, že každý systém má nepřátele, každá síť má zranitelnosti a každá zkratka, kterou někdo udělá dnes, se zítra stane krizí, kterou musí řešit někdo jiný. Zkušenosti záleží, dokumentace záleží a někdy být nazýván paranoidním prostě znamená, že děláte svou práci správně. ”
Po ceremoniálu ke mně přistoupil mladý inženýr. „Pane Morrisone, příští týden nastupuji jako CISO do výrobní společnosti.
Máte nějakou radu? ”
Pomyslel jsem na Isabelino odmítavé sebevědomí, Hudsonovu víru v divadlo inovací a dvaadvacet let, které jsem strávil budováním něčeho, co bylo málem zničeno za jeden víkend korporátní politiky. „Důvěřujte svému technickému úsudku víc než prodejním řečem dodavatelů. Dokumentujte všechno, hlavně svá varování o zkratkách, a pamatujte, že bezpečnost není o zabránění všem útokům.
Je o tom, aby vaše organizace přežila útoky, které projdou. ”
Když mi řekli, že mě můj obranný způsob myšlení brzdí, vytvořili dokonalé podmínky pro katastrofu. Když nazvali mé metody zastaralými, otevřeli dveře útočníkům, kteří přesně chápali, jak moderní systémy selhávají. Někdy ten starý chlap v rohové kanceláři skutečně ví, o čem mluví, a někdy je korporátní inovace jen drahé selhání, které čeká na svůj okamžik.
Dnes, když se mě manažeři ptají na vyvážení bezpečnosti a agilnosti byznysu, říkám jim, co jsem se naučil toho pondělního rána ve 2:47. V kybernetické bezpečnosti jste buď připraveni, nebo kompromitováni. Neexistuje žádná střední cesta, bez ohledu na to, co slibují konzultanti.
Já raději budu připraven.
