你真的知道你的网络吗?

您如何了解您的IT基础架构?谁与您的网络骨干沟通沟通?带宽是什么系统饿死?使用遗留系统,PII数据,数百个网络,复杂的数据库,混合云,数据仓库,无数移动设备和外包功能需要7x24访问,您如何确定真正的安全性?正如我们为新的东西(物联网)时代的新互联网,就在这里有一些问题现在需要答案。

by / July 19, 2015
Shutterstock / Fotovika

所以你认为你知道你的企业IT基础架构很好。真的吗?

OK – Pop quiz. Don’担心。只有三个问题, 但每个问题的多个部分:

1)您的代理商和企业网络有多少设备?

一个。您可以使用IP地址,基本功能和运行应用程序命名吗?
湾通过无线接入点连接多少个设备?
C。当您发现未知或未授权的连接或应用程序运行时,您会怎么做?
天。谁报告运营系统下降时?如何?给谁?

2)您是否有一个准确的网络图,显示所有基础架构连接?

一个。允许通过策略与其他系统通信哪些系统或功能?
湾你的政策在哪里?您培养员工遵循政策和程序吗?
C。您的政策是否强制执行?如何?
天。如何授权和管理策略的例外?

3)如何知道某人(或某事)何时获得未经授权访问数据?

一个。最敏感的数据是什么样的,它受到保护?
湾如何在不同的网络中管理身份和配置系统访问权限?
C。谁在查看日志,监控流量和管理安全警报?
天。哪些流程和程序解释了如何宣布需要调查的安全事件?谁拥有这些职能(名称一个人或两个)?
e。您可以占100%的网络流量吗?如果没有,您如何解决不计算的流量?

全部做完。那你是怎么做的?

如果您已成功回答所有这些问题,您可以休息一天。 :)

是的。你现在可以回家–但只有在整个企业中有100%的答案,只有在整个企业中的100%,而不仅仅是你的部门’S网络。哦,你需要你的管理团队以及外部和内部审计员,同意并签下一切都处于良好状态,并一直更新完美。

可怕的风险评估,电子发现和企业审核

事实是,没有大型公共或私营部门的企业可以准确地回答这些问题100%的网络,系统,人员,流程和所有数据的时间。这些问题甚至可能似乎是一个不公平的锚在全国CXOS的脖子上,只是通过问题可能会带回负面的回忆。

如果这些问题看起来很熟悉,那并不令人惊讶。我基本上总结了关键审计问题以及典型的开放清单 企业范围风险评估 CIO和Cisos在您的传统中看到了“原样,差距分析”每隔几年的课程。

在我的经验中,如果您可以准确地回答超过80%的问题,您的团队高于平均水平。这 Deloitte-Nascio网络安全研究 去年出版了关于网络和安全保护知识的主要差距,许多政府领导人在提供特定数字时感到不舒服。 (注意:通常,技术团队可以回答其特定角色或集团或网络的问题–但不是他们更广泛的企业。)

克服的另一个困难是硬件,固件和应用软件在不断发展的大型复杂网络中不断变化。答案是在时间的时刻给出的,但是获得所有移动部件的真实情况非常困难–即使是具有多年经验的最佳技术团队。

特殊网络管理需要强大 ITIL框架  这正好工作,以及真正了解他们在每个核心纪律的优势和弱点的专利。例如,您需要数据库专家,网络专家,系统管理专家,保安专家,伟大的项目经理,测试代码,安全应用程序,来自竞争供应商的工具,即所有合作的竞争乐队的程序员。

是的,有很多赌注。作为 史蒂夫莱利指出 虚拟战略杂志  几个月后,

CIO通常被迫在没有见解的情况下进行关键任务基础设施决策,涉及哪些申请’T,哪些人员正在使用它们,以及在哪条网络路上。如果他们可以收集和分析该数据,它们可以更容易地识别性能问题的原因,并更快和高效地解决它们。

此外,安全影响是巨大的。如果你不’t know “what is normal”您如何识别危险黑客,未经授权的申请或有关内部人士的行为?您的团队如何还原系统或获取数据“normal”在系统或网络中断之后 在华尔街经验丰富 几周前?挑战是巨大的,特别是当你认为黑客只需要一次性的时候。

该视频描述了技术基础设施团队面临的相关挑战之一,这些赛量队通常会揭示人们,过程和技术的基础设施弱点– 电子发现 。即使这是IBM视频–多个供应商,政府和平台面临同样的挑战。

三个红旗在2015年观看

此外,还有一些最新的警告标志,举办了额外的红旗。可悲的是,这些挑战正在增加2015年中期的网络管理股份到甚至更高的水平,而迄今为止的项目可以追溯到几十年。尽管如此,这是真的,这些物品一直和我们在一起–特别是在具有技能短缺的热门科技市场。

1)工作人员的营业额在技术人员之间变得更糟。 虽然每个组织都需要新鲜的血液和年轻人才,但经验丰富的经验技术专业的工作人数,即现在离开公司和政府或退休是一个主要问题。在这个热门的安全工作市场中,许多专家正在寻找更环保的牧场。此外,婴儿潮一代正在寻求第二个职业,并享受他们多年的经验。

提示: 确保发生交叉培训,并记录了明确的角色和职责–以及明确的政策和操作程序。

2)阴影与流氓云计算使用一起,科技团队对此知之甚少并且可能无法控制。 作为 这个 GCN. article points out:

许多组织和政府机构还没有逐步转向云,或者犹豫不决。也许他们愚弄自己在思考他们在控制下进行这种过渡,而且他们’LL能够管理安全影响。

Skyhigh Networks使用来自美国和加拿大的公共部门组织收集的匿名,实际使用数据来看这一点。在它 云采用和政府风险 今年第一季度的报告,Skyhigh在其他方面发现了政府平均低估了员工超过十倍的云服务的使用。

当他们要求政府IT官员时,他们认为员工正在使用什么服务’他说,D出现在60到80之间的任何东西。 Skyhigh学习发现,普通公共部门组织使用742个独特和独特的云服务。

提示: 解决此问题的解决方案包括使用云访问安全代理(CASB)的可见性提高。

3)政府缺乏优秀的供应商和合同管理技能。 在这些基础设施领域面临极端挑战的政府CXO经常喜欢私营部门合作伙伴作为"easy fix." Of course, there’从城外的专家来帮助或使用承包商没有任何问题。

但是,虽然与外部解决方案提供商合作肯定有所帮助,但请记住,结果和结果的问责制和责任总是与所涉及的数据所有者和CXO一起生活。简单说明:您可以外包功能但不是责任。

请记住你的 收购团队’S技能和能力是技术伙伴关系的关键。 Here’从2015年1月的文章摘录 govexec.com杂志:

政府的产品和服务的买家没有收到创新和获得当今呼吁复杂技术所需的新鲜培训或现代技能’根据周四发布的联邦收购员工的调查,S代理任务。

“收购劳动力’在商业敏锐,谈判,风险缓解和了解复杂信息技术等领域的技能差不多缺乏收购专业人士所说的,”专业服务委员会总裁兼首席执行官Stan Soloway表示。 PSC和Grant Thornton准备了 第七版两年的调查 titled “关闭窗口:我们是否错过了改变的机会?”

另一篇文章来自 企业技术杂志 指出,承包商往往没有关于基础设施的相同长期的视角,从一系列的角度写出了许多业务合同 “if the equipment isn’破碎,留下它。”这篇文章的报价是讲述:

美洲网络是最脆弱和日期的解决方案提供商’s annual 网络晴雨表报告 说过。差不多四分之三不能支持组织’扩大对移动性的依赖和79%不支持IPv6。其中,48%需要简单的软件升级成为IPv6就绪的尺寸数据。与其他国家不同,该国家看到安全漏洞下降,至少有一个漏洞的设备的百分比从今年的67%上升到美洲的67%,维度数据’s study found.

最后的想法

虽然这个博客似乎有点令人沮丧,但肯定希望未来。

最近的违规和国际重视关键基础设施保护是有助于提高技术基础设施改善的重要性。许多组织目前是 建筑“next-generation” networks 与资助的新项目。

有许多框架,清单和解决方案提供商来提供帮助。这 最近的OPM在联邦政府违反了 导致新思维和这些基本网络架构主题的更高优先级。

什么’s my main point? Don’当你有机会时,它会浪费任何机会重新发明的网络或基础设施。

而且,与此同时,更好地了解您的网络– right now.


永远不会错过每日Govtech今天的故事时事通讯。

订阅


丹洛姆曼 安全Mentor Inc.的首席安全官兼首席战略师

Daniel J. Lohrmann是一个国际公认的网络安全领导者,技术专家,主题演讲者和作者。

在他杰出的职业生涯中,他在各种行政领导能力方面担任了公共和私营部门的全球组织,接受了众多国家奖项,包括:今年的CSO,今年公共官员和计算机世界总理100 IT领导者。
Lohrmann领导密歇根政府’从2002年5月到2014年5月的C网络安全和技术基础设施团队,包括企业全社会首席安全官(CSO),首席技术官(CTO)和密歇根州的首席信息安全官员(CISO)角色。

他目前担任首席安全官(CSO)和安全Mentor Inc.的首席战略家,他正在领导安全导师的发展和实施’S业界领先的网络培训,咨询和讲习班,为公共和私营部门的最终用户,管理人员和高管。他建议了白宫,国家州长协会(NGA),国家CIOS(Nascio),美国国土安全部(DHS),联邦,州和地方政府机构,财富500强公司,小企业和非营利机构。

他在计算机行业拥有30多年的经验,从国家安全局开始他的职业生涯。他在英格兰工作了三年,作为洛克希德马丁(前任Loral Aerspace)的高级网络工程师,并四年是美国/英国军事设施中曼特国际曼特国际技术总监。

Lohrmann是两本书的作者: 虚拟诚信:忠实地导航勇敢的新网站BYOD for You:带上自己的设备的指南。 他是来自南非的全球安全和技术会议的主题演讲者,到迪拜以及来自华盛顿,D.C.,莫斯科。

他掌握了巴尔的摩约翰霍普金斯大学的计算机科学(CS)的硕士学位,以及印第安纳州瓦尔帕莱索大学的CS学士学位。

在推特上关注Lohrmann: @govcso
 

E.Republic平台& Programs