道格:来自意图 & 同事工作室, 这是不合适的, 一个面向企业家的管理和金融服务播客, 获得终身职位的商业领袖和其他愿意跳出西装革履文化，寻找有意义的、可衡量的结果的人. I'm 道格豪斯. 在这个每周的播客中，思想领袖和商业专家会分解复杂和平凡的话题，给你一些你真正需要的发展业务的建议和见解. 如果你还没有订阅，请点击订阅按钮，这样你就不会错过未来的剧集了. 如果你想获得更多的信息, 显示注释和独家内容, 请访问我们的网站WWW.reacpa.登录播客注册更新. 网络攻击每天都在发生, 不幸的是, 随着虚拟依赖的兴起, 许多人表示，网络攻击是当今企业面临的最大现代威胁，这是有充分理由的. 自2003年以来, 10月被公认为网络安全意识月, 意图的网络安全专家, 泰Whittenburg, 今天很高兴和我们一起讨论网络安全的重要性以及它如何帮助保护您的业务. 欢迎回到《安全的赌博软件》，泰. 泰Whittenburg:谢谢你邀请我，道格. 我很高兴回来. 道格很高兴你能来，因为这是一个我完全搞不懂的话题. 我觉得, 25, 30年前, 我对网络环境和这类事情略知一二, 但再也不会了. 你真的需要一个像你这样的人来做这件事, 生活它, 每天呼吸它. 在我们进入网络安全意识月和需要考虑的事情之前, 告诉我们一些你的背景，你是如何来到这个环节的，以及你的旅程是什么样的. Ty这是一个很好的问题，它实际上是网络安全意识月的一部分. 这是第三周，讲的是探索和体验网络的旅程. 我一直都是一个技术人员，我的职业生涯并不是直接的IT，我有点进入了这个领域. 我做了很长一段时间的销售主管, 但总是有技术上的问题, 在CyberSix工作了很长一段时间, 在被雷亚收购之前 & 比较靠谱的赌博软件. 我专注于客户在约定中的成功, 一点项目管理的经验, 一点点的管理, 风险与合规工作. Ty我对信息安全的了解可能是从那时开始的, 现在是21年前, 我曾在一个大组织工作过. 他们非常注重合规. 当我搬到苹果的时候, 当你在修理人们的iphone、ipad或MacBook电脑时，你会这么想, 这里没有涉及到合规性, 但在幕后有很多工作在进行，以保护这些客户的信息. Ty我知道我想在这个特殊的角色上做更多的事情, 开始自学, 我开始和一些在信息安全领域工作的朋友合作, 加入了一些当地的组织，最后发现雷亚雇佣了一些多余的人, 都快一年半了. 道格:太好了. Ty:是啊. 道格太酷了. 你显然有一些不同的经历, 既为客户提供咨询，也为客户提供帮助. 谈谈那是什么感觉, 比如处理一家企业或一家公司的网络安全环境，而不是你现在所做的, 显然要和很多不同的客户合作. 给我们对比一下. Ty我想我把它比作我们的同行团体和公共会计. 每个客户都是不同的, 会计准则是一样的, 遵从性环境是相同的, 视业务而定. 每一项法规遵从都侧重于数据安全. 不管是个人健康信息, 信用卡信息, 个人身份信息, 所有的合规都以数据为核心. 这个特殊角色的不同之处在于，它不必在一个特定的公司实体中确保信息的安全, 我以不同的方式帮助不同的企业, 无论是治理风险还是遵从性, 无论是作为虚拟首席信息安全官，还是帮助实现移动设备管理. Ty每个客户都不一样，每个客户的规模也不一样，可能是5个员工，也可能是500个. 这很有趣, 我认为, 意图有一个非常好的利基市场, 阿米什人的国家, 很多时候人们认为阿米什人不利用科技, 这是一个谬论. 也, 我们有大小不等的客户, 有些在制造业规模相当大, 建设, 哪一个是你最热衷的, 我几乎在所有的水域游泳. 我能很好地踩水 道格包括明显的国际, 我知道我们也有国际客户，你和其他网络安全团队成员一起处理这些客户. Ty:是啊. 这就增加了一个完全不同的复杂性，比如GDPR之类的东西. 道格:是啊. 我们正在进行网络安全意识月. 谈谈这一点的重要性以及这到底意味着什么, 我们应该怎么做才对. Ty又一个好问题. 你总是很擅长这个. 事实是，你在网络安全方面比你在开场白中说的要好得多, 你说网络安全可能是最大的威胁之一. 你有没有想过你在20世纪20年代的电影或新闻中看到的黑手党无论是爱尔兰人还是意大利人还是其他什么人他们试图占领纽约市的部分地区. 现在用你的勒索软件让它现代化, 你的高级持续威胁演员在那里, 不仅如此, 还有民族国家, 太, 包括美国在内. Ty病媒的威胁是巨大的. 移动设备用户的激增扩大了这一空间. 网络安全, 如你所说, 你的数据, 我们的数据, 公司的数据, 知识产权在那里有很多价值. 道格嗯(肯定). Ty你需要把事情放在适当的位置，以保护这些信息，这样你才能正常工作, 15, 20年后还是遭受灾难性事件, 比如一个可能会让你破产的漏洞. 道格:是啊. Ty不仅是声誉，还有费用，法律费用，诸如此类. 网络安全是每个人的责任, 即使是在工作的时候, 但即使是你自己的个人数据以及你如何在你经常使用的应用程序中使用它. 道格:是啊. 你提得很好. 我们必须想得更远, 不只是个别黑客, 这是真正的有组织犯罪. Ty真的是这样. 道格:是啊. 这很可怕, 如你所说, 不管是一个民族国家还是一群有组织的罪犯, 这是可怕的. 这些坏人正在使用的资源, 威胁行为者, 必须是天文数字, 呈指数增长. Ty如果你出去在暗网上为自己买了微软365, 有能力出去购买恶意软件来对付勒索软件，也可以用来对付人们. 你不需要那么精通技术, 你不需要去麻省理工学院或加州理工学院，成为这个天才的电脑程序员, 你只需要购买软件. 道格:是啊. 这是可怕的. 考虑到这一点, 你怎么样?, 以及我们的团队如何帮助我们的企业主减轻这些风险? 有哪些事情是我们应该意识到并注意的? Ty第一件事是，我们总是希望专注于确定数据在组织中的位置以及它如何在组织中流动. 我认为我们也在帮助组织, 太, 帮助他们建立一个框架来帮助他们就他们使用的技术工具以及这些工具上的数据进行业务对话. Ty更重要的是, 我们专注于从商业角度进行教育，并确保就像你在谈论你的收入一样, 你说的是你的客户对未来几年的预测. 你需要把科技作为对话的一部分. 道格说得好. 我认为我们试图让人们思考的另一件事, 别把这当成一项开支, 把它看作是一种投资. 对你的企业和企业未来的投资. 正确的? Ty:正确. 我们现在都在做数据生意，意图，对吧? 道格:是啊. Ty:使用我们为客户审计的信息, 或者做税务方面的工作, 我们维护的与客户关系的信息量, 我们的客户在制造业，跟踪他们的库存和任何类型的计算机辅助设计之类的东西. 我们都是数据驱动的，假装我们不是，有点天真. 我不想对听众说，如果他们没有想过这个问题，他们就太天真了. 现实是, 谷歌的存在是有原因的, 他们通过我们免费提供给他们的数据赚了数十亿美元. 道格:是啊. 很好的观点. 说到这些实体, 离我住的地方不太远，实际上不到10英里, 谷歌, Facebook和亚马逊在数据设施上总共投资了50多亿美元. Ty:是的. 道格这对我来说简直不可思议. 我经常开车经过那里，查看正在进行的施工情况，他们在这些物理设施周围部署的安全措施对我来说简直难以置信. Ty:是啊. 这周我在听一个播客, 我在军队服役过，你会听到很多IT供应商使用军用级, 哪一个是包罗万象的营销用语. 这对点击诱饵很有用，我的营销人员呢? Ty但是，他们的设施是军用质量的，对他们有物理安全保护. 那里有安全部队，有监控材料，你必须戴上警徽. 如果你要拜访某人，你最好提前在花名册上. 没有什么突然拜访只是为了说声“你好”." 道格:对. Ty有呼叫和响应，谁去那里? 道格:对，没错. 这很有趣. 你显然谈到了个人和组织试图教育他们，提高他们的意识, 你如何让一个人更聪明，更聪明地认识和理解威胁并意识到这些事情? 道格我知道我们得到了, 例如, 在我们公司, 我们会尝试攻击，他们会测试我们，刺激我们这些事情. 您尝试使用哪些工具和技术来帮助客户组织提高这一水平? Ty内部社会工程是一个很好的工具, 虽然有时在文化上, 这对你的人来说可能有点摩擦，因为这就像在摩擦你的鼻子一样，所以你必须小心. 我一直认为，作为终端用户，你不一定要成为Microsoft 365专家, 而是给人们一些基本的工具来关注, 异常, 如果你从客户那里收到一份PDF文件，而它不在你的电子邮件的顶部标题行, 但它在身体里，你教他们如何在它上面盘旋, 它有一个链接, 就是这些简单的事情. Ty我的同行和信息安全和It部门在很长一段时间里都在指责终端用户，这很令人惊讶. 最终用户是, 市面上有很多保护工具, 但在某些特定的时刻，作为信息安全专家, 我们不能一直责怪他们. 你上学是有原因的, 你教人是有原因的, 我认为你能做的最重要的事情是与人们进行积极的对话，了解要寻找什么. 如果他们犯错了, 问问他们从中学到了什么, 不要在这件事上戳他们的鼻子, 很明显你必须注意. Ty有些公司认为这是零和游戏，你犯了一个错误，你就出局了. 我是一个坚定的信徒，我有一个导师曾经说过, “一次错误, 两次一个模式, 一个行为三次.“我认为我们的工作是确保我们教育人们，这样它就不会成为一种行为. 道格:是啊. 说得好. 我认为它类似于驾驶，当然有些是用户的错误，司机的错误. 如果我们足够到位, 比如护栏或安全设施, 无论是道路标志, 某些信号, 等等, 等等. 我们采取了足够的安全措施，这对所有人来说都是好事. 这听起来在很多方面都很相似. Ty我很喜欢说, 我可能在之前对你的采访中说过, 道格, 看到一些, 说点什么. 道格:是啊. Ty如果感觉很奇怪, 说点什么, 即使你不小心点开了, 尽早说点什么. 这对组织的影响与购买杀毒软件或反恶意软件一样大, 如果你犯了一个错误，你说出来的时间早晚. 道格:是啊. Ty我爸爸妈妈过去常说，如果你说实话，你就会自由. 如果你能迅速报告，我们就能相对迅速地作出反应，并有可能阻止很多损害. 这确实有助于确保一切的核心, 人们使用的技术, 他们可以放心地联系他们的IT或他们的信息安全团队. 道格:是啊. 说得好. 我总是想到这句话，掩盖比犯罪严重很多倍，在这种情况下，犯罪可能是偶然的, 但不要试图隐藏它. Ty:没错. 完全. 道格这会产生更多的问题. 在今天的环境中，典型的业主管理企业面临的最大威胁是什么? 这是网络钓鱼还是别的什么? Ty商业电子邮件泄露是最大的威胁载体攻击面. 每个人都在使用电子邮件. 威胁演员在模仿方面做得更好了. 事实上是这样的, 我正在处理一个客户，他遭受了所谓的欺骗事件, 我给你们举了个例子PDF链接在邮件正文中有人点击了它然后他们使用了一个类似于SurveyMonkey的调查网站看起来像微软要求你的微软证书. 是那个人放进去的, 或者是用户放进去的, 有几个人这样做了，然后它就释放了, 它将凭证提供给威胁行为者，并允许他们发送数千条实质上的, 垃圾邮件, 从客户的账户中. Ty:现在, 这个客户做了正确的事情，最终用户在那里, 这才是我真正想要的，做了正确的事, 承认他们点击了一些东西, 说有些地方感觉不对劲，管理员立刻进去把他们关了. 在10分钟内，发送了3万多封电子邮件. 道格太疯狂了. 至少就像你说的，损失被避免了. Ty:正确. 我们进行了事件响应, 我们在意图的团队做到了, 首先要做的是确保他们没有访问过任何类型的数据, 这只是一封电子邮件或获取凭证，这是他们试图做的, 这是纯粹的情况吗. 这里面有很多东西. Ty你停下来的时间要比停下来的时间要早得多. 我最后会说，是的, 网络钓鱼, 鱼叉式网络钓鱼, 你最大的威胁媒介是什么. 我可能会说，第二个是围绕你的网络的分割. 就像地球是平的理论一样, 许多小企业将会开业, 他们会去当地的百思买买一个无线路由器，或者从他们的互联网服务提供商那里买一个. 虽然这些都是可以的, 它们不一定是最安全的，如果你没有其他合适的工具, 这只会让你更容易受到伤害. 道格:是啊. 地球是平的，别像欧文那样对我. Mr. 平坦地球. Ty:是啊. 我不会那样对你的. 如果有的话，我可能会扮演德鲁叔叔的角色，就像百事可乐的广告一样. 道格非常好. Ty这是一个完整的社会工程运动. 道格就这样吧. 稍微讲一下, 你提到了事件响应, 我们已经谈了很多关于预防的事情. 谈谈你的反应，以及你和你的团队是怎么做的, 如果有什么事情发生了. Ty:是啊. 事件响应相对而言, 想想飓风和类似事件的紧急救援人员, 你必须有一定程度的准备，工具和材料. 一旦你进入一个环境，你需要能够识别发生了什么. 如果他们还没有拔掉设备的插头, 你是否允许他们与网络保持连接以便你可以获得更多的法医信息? 或者你拔掉插头? 还是从本质上保护该特定设备不受网络其他部分的影响，从而使威胁无法扩散到这些边界之外? Ty然后你就进入了整个麦吉弗，杜吉·豪瑟的取证模式 道格:对. TyHouse可能更好. 道格就这样吧. Ty试图解决问题是什么. 这是监管链的一部分你必须要做的. 你还必须考虑法律后果. 道格:好吧. Ty更重要的是，你必须确定，这只是一个事件，还是一个漏洞? 这两者是有区别的. 泄露意味着信息已经从您的业务环境泄露给了威胁参与者. 这是一个全新的表现，你可能应该, 作为一个组织, 是否应该与法律顾问合作, 公共关系, 如果你够大的话, 这取决于您拥有的信息和客户数据的大小和数量. 你也得开始看一看, 太, 围绕您采取了哪些措施来保护已暴露的个人用户信息. 道格:哇. 这是非常有趣和复杂的东西, 我很高兴我们有你和我们的团队在意图网络来帮助客户和人们度过这个难关，因为我不知道如果没有你和我们团队的其他成员的专业知识，你怎么可能做到这一点. 谢谢你. Ty:不客气. 我只想说，这绝对是一个团队的努力，而事件响应是一个专业, 我并没有声称自己是最终的事故响应者. 我可以处理商业邮件泄露问题, 我可能会在其他方面帮助一个团队, 但当你想到肖恩·理查森, 他有处理突发事件的经验. 我们的团队中还有一些其他的资产，他们可以深入到一个组织中，从法医学上提取出世界上最好的法律团队会很放心地使用的信息，如果他们不得不在法庭上使用，那么监管链就没有被违反. 道格:哇. 是的. 可怕的东西. 谢谢,泰. 感谢你们继续教育我，当然也感谢我们的听众和企业主, 请不要犹豫，联系泰和我们的网络团队. 他们对自己的工作非常出色. 再次感谢. Ty: 谢谢道格. 我很感激. 道格: 绝对. 如果你想要更多的商业技巧和见解, 或者去听以前的不合适的剧集, 请访问我们的播客页面WWW.nrs-sh.com . 播客，当你在那里的时候，注册独家内容和节目笔记. 感谢收听本周的节目. 一定要在苹果播客上订阅不合适的节目, 谷歌的播客, 不管你现在在听我们说话, 包括YouTube. 我是道格·豪瑟，下周继续讨论另一个不合适的
