Dan Lohrmann: Quiero decir, siempre se trata de la comunicación y de cómo te comunicas. ¿Quién va a hablar con quién? ¿Cuando? ¿Qué haces primero? ¿En qué orden? ¿Cómo lo haces? ¿Estás preparado? ¿Cómo funcionan tus libros de jugadas? Llevas a esos ejercicios, esas mesas, esos ejercicios a gran escala, tus libros de jugadas para que la práctica sea perfecta, ¿verdad?
Dan Lohrmann: Y así, al igual que un equipo de bomberos practicaría apagar incendios, no quieres que alguien que se pone el traje por primera vez venga a tu casa cuando tu casa se está quemando, quieres que sepan lo que están haciendo y sepan a dónde ir, y qué hacer, y cómo hacerlo en función de diferentes situaciones.
Ponente 2: Hola y bienvenidos a Security Visionaries organizados por Jason Clark, CSO de Netskope. Acabas de escuchar al invitado de hoy, Dan Lohrmann, director de seguridad de la información de campo de Presidio.
Disertante 2: La idea de estar listo para lo que sea no sucede mágicamente de la noche a la mañana, requiere práctica, repetición y diligencia. Y los malos actores siempre estarán ahí, con nuevas formas de probar qué tan preparado estás. Como líderes de seguridad, nuestro trabajo es estar preparados incluso para los desafíos más inesperados. Al igual que un bombero no se encontraría con un edificio en llamas sin la preparación adecuada, los líderes de seguridad deben ver los incendios digitales de la misma manera. Ponerse en la mente del hacker requiere entrenamiento y juego de roles, apunta a estar varios pasos por delante en todo momento, porque ninguna empresa quiere quedar atrapada en su primer incendio sin tener nunca Intentar en el traje. Entonces, antes de sumergirnos en la entrevista de Dan, aquí hay unas breves palabras de nuestro patrocinador.
Ponente 3: El podcast Security Visionaries está impulsado por el equipo de Netskope. Netskope es el líder SASE , que ofrece todo lo que necesita para brindar una experiencia de usuario rápida e inteligente en la nube y centrada en los datos a la velocidad de los negocios de hoy, obtenga más información en Netskope.com.
Disertante 2: Sin más preámbulos, disfrute del episodio de seis visionarios de seguridad con Dan Lohrmann, director de seguridad de la información de campo de Presidio, y su anfitrión, Jason Clark.
Jason Clark: Bienvenidos a Security Visionaries. Soy su anfitrión, Jason Clark, director de estrategia y seguridad de Netskope. Hoy me acompaña un invitado muy especial, Dan Lohrmann. Dan, ¿cómo estás?
Dan Lohrmann: Lo estoy haciendo de maravilla. Gracias, Jason.
Jason Clark: Creo que tú y yo probablemente nos conocemos desde hace unos 15 años.
Dan Lohrmann: Exactamente. Recuerdo haberte conocido por primera vez en los días de Websense. Y cuando yo era director de seguridad de la información de Michigan, y usted era un gran ejecutivo centrado en el cliente en ese entonces, sé que todavía lo es hoy, así que es genial estar con usted.
Jason Clark: Eso es algo que me encanta de hacer todos estos podcasts, es simplemente reconectarme con todos. Y especialmente durante los tiempos locos de la pandemia. Y entonces, vamos a Inicio con una especie de, ¿cuál fue tu primer trabajo en ciberseguridad, Dan?
Dan Lohrmann: Así que salí de la universidad en la Universidad de Valparaíso, obtuve un título en ciencias de la computación e inicio en la Agencia de Seguridad Nacional. El viejo cliché que usamos es que si te digo lo que hice, tendría que matarte. Pero estaba en redes informáticas y esto no está clasificado, pero mi primer trabajo a fines de los 80 fue realmente trabajar con una variedad de proveedores diferentes, interoperabilidad.
Dan Lohrmann: Entonces, en esos días, no todo era TCP / IP o IP versión cuatro, IP versión seis y todo el galimatías. Pero era como S & A, y teníamos DECnet, y teníamos todos esos diferentes. Básicamente, llevar las redes entre sí desde IBM a DEC, a lo digital, a las estaciones Sun SPARC y todo ese tipo de cosas. Y yo estaba dirigiendo ese laboratorio. Y estábamos implementando redes en todo el mundo realmente antes de que existiera Internet, lo cual fue genial.
Jason Clark: Eso se parece mucho a mi trabajo cuando estoy en el ejército. Se trataba de hacer que las cadenas hablaran. Era un pesado árbol baniano. Y luego nos estábamos convirtiendo a NT 4.O y Active Directory. Y fue muy divertido. Es muy diferente cuando administras la tecnología de ser un CSO. Hay días en los que probablemente te lo pierdas, estoy seguro. Le dices qué hacer y no lo hace.
Dan Lohrmann: Estoy de acuerdo. Y una pieza práctica, me perdí eso. Pero fuimos a Inglaterra después de eso, no contaré toda la historia allí, sino cómo todas las manos en las redes y algunas historias locas sobre cómo casi derribamos un satélite. Y eso fue algo bastante aterrador, pero todo estuvo bien. Y también me encantan las cosas prácticas, extraño algo de eso.
Jason Clark: Vi las noticias sobre el papel de Nuevo en Presidio. Entonces, definitivamente me encantaría escuchar sobre eso.
Dan Lohrmann: Sí. Gracias. Soy el director de seguridad de la información de campo que realmente se enfoca en el sector público. Entonces, como saben, he desempeñado muchos roles diferentes en roles de CSO en el gobierno de Michigan y CTO en el gobierno de Michigan. Los últimos seis, siete años estuve con Security Mentor como jefe de seguridad.
Dan Lohrmann: Así que este puesto realmente Presidio se asocia con Netskope y una variedad de otras empresas que brindan orientación a la alta dirección centrada principalmente en la educación SLED, estatal, local y gubernamental, pero también tuve algunos trabajos con otros gobiernos. Y realmente solo escuchar cuáles son sus problemas y brindar soluciones, trabajar con socios para brindar una solución integral a sus necesidades cibernéticas.
Dan Lohrmann: Y entonces, estoy muy emocionado. Estoy bebiendo de una manguera contra incendios ahora mismo. Solo he estado aquí durante unas cinco semanas, pero me encanta el trabajo, amo a la gente y ya he aprendido mucho. Entonces, sí. Es genial.
Jason Clark: Históricamente, los gobiernos, especialmente SLED, siempre han sido conocidos por moverse mucho más lentamente en la adopción de tecnología y transformación. ¿Cómo se ve eso ahora? ¿Cómo está cambiando eso, especialmente con algunas de las órdenes ejecutivas de Nuevo en torno a la ciberseguridad, en general, me encantaría conocer su perspectiva?
Dan Lohrmann: Sí. Quiero decir, al igual que todos los demás que están recibiendo, en primer lugar, el panorama de amenazas se está volviendo loco. Entonces, simplemente me golpean mucho con Ransomware y otras cosas por el estilo, y ataques cibernéticos. Y es emocionante, las buenas noticias. Quiero decir, no recibimos muchas buenas noticias en cibernética. Pero la buena noticia es que acabamos de recibir las subvenciones cibernéticas dedicadas a los gobiernos estatales y locales, fueron mil millones de dólares en cinco años. Creo que eso realmente ayudará a muchos gobiernos estatales y locales.
Dan Lohrmann: Honestamente, ahora, el mayor problema que lo mata es este sangrante gobierno estatal y local, no pueden mantener el talento de la gente. Y ahí es donde cruzan el tablero. También estamos viendo eso en el sector privado. Pero escucho a CSO decir: "Dan, simplemente no podemos".
Dan Lohrmann: Quiero decir, un equipo que conozco, el gran estado, perdió a la mitad de su gente en el equipo cibernético desde principios de este año. Así que eso es un gran desafío. Creo que lo están entendiendo, realmente deben entenderlo porque con Colonial Pipeline, todas las cosas diferentes han estado sucediendo este año, está tan al frente y al centro y la transformación digital que hemos visto durante COVID ha sido tan enorme.
Dan Lohrmann: Entonces, la necesidad está ahí, el cambio para trabajar desde casa está ahí, todo eso está ahí, todavía es un desafío muy, muy difícil en este momento.
Jason Clark: Entonces, cuando hablamos de los mil millones de dólares, ¿verdad? Cuando miras a SLED y al gobierno federal en general, ¿cuál crees que es la mayor vulnerabilidad que tienen y de la que no son conscientes ahora? Es una especie de pregunta de dos partes, o no son conscientes o ¿dónde deberían poner la mayor parte de esos dólares?
Dan Lohrmann: Creo que la visibilidad. El viejo cliché que usamos para decir en la NSA todo el tiempo, no sabes lo que no sabes. Y así, sabiendo que ha habido un gran movimiento hacia la nube, lo cual ha sido genial, y todo va a la nube Ahora.
Dan Lohrmann: Quiero decir, la resistencia a la nube no se parece en nada a lo que era hace una década. Quiero decir, todo va a la nube y eso es genial. Es solo que creo que los desafíos son no saber dónde están todos sus datos. Entonces, la visibilidad en los Datos, sin conocer todos los diferentes tipos de piezas de extremo a extremo de ese viaje. Y creo que la gente quiere hacer confianza cero. Quieren hacer SASE. Quieren hacer eso. Y puedo decir que creo que los desafíos que enfrentan en este momento tienen que ver con las personas. Siempre es tecnología de procesamiento de personas. Es siempre eso.
Dan Lohrmann: Pero como sabes muy bien por lo que haces, simplemente dices: "Vamos a meterlo en la nube y se lo vamos a entregar a Microsoft. Vamos a dárselo a AWS". No resuelve el problema. Es como, escucho eso mucho. Bueno, conozco AWS o Microsoft, y estas son buenas empresas. No estoy golpeando a nadie. Sólo digo. Piensan, bueno, son más grandes y son más potentes, por lo que pueden hacerlo mejor que nosotros, y tal vez puedan, pero realmente tienes que pensar en las configuraciones. Realmente tienes que pensar de extremo a extremo. Realmente tienes que pensar en el todo, los puntos finales y, por supuesto, la gestión de identidades, toda la pieza de extremo a extremo. Y creo que ahí es donde realmente están los desafíos. Y algunos lo están haciendo bien, siempre hay una especie de líderes, seguidores y rezagados. Hay tres grupos. Hay algunas personas que lo están haciendo muy bien, y hay algunas personas que realmente están luchando.
Jason Clark: Sí. Quiero decir, como acabas de decir, acabas de hablar de las grandes empresas a medida que avanzamos hacia la nube. Existe esta extraña, como a veces obtienes el CIO es lo que yo llamo. Bueno, solo asumimos que obtuvieron la seguridad, ¿verdad? Versus, no, tú eres el responsable de tus Datos. No se responsabilizan de la seguridad de sus Datos, por ejemplo, de sus configuraciones.
Jason Clark: Y creo que hay mucha más conciencia que debe impulsarse en torno a eso. Así que espero que gran parte de, como dijiste, sea visibilidad. Está obteniendo la visibilidad completa, especialmente a medida que las cosas se mueven a la nube.
Jason Clark: Sin embargo, ¿cuánto del esfuerzo se centra en las personas? De esos mil millones de dólares, ¿hay algo dirigido a, bueno, pague más a la gente o ayudemos a subcontratar más? Quiero decir, como dijiste, es el problema número uno. Entonces, ¿cómo se destinan los mil millones de dólares a eso?
Dan Lohrmann: Bueno, y creo que la orientación está llegando. Lo único que dice la ley, la ley que fue firmada por el presidente es que tienes que tener un plan. Lo cual es bueno. Mucha gente no tiene planes. Entonces, no está claro si todos los estados tienen que tener un plan y luego los municipales pueden alimentar el plan estatal, o cada ciudad, cada condado, cada municipio tiene que tener su propio plan. Eso aún no está claro por parte del DHS y la CSA, eso todavía está bajando.
Dan Lohrmann: Creo que se basará en los resultados. Y creo que parte de esto se dividirá por población, y habrá listas de cosas en las que puede gastar el dinero, y cosas que son elegibles y cosas que no lo son. Y habrá partes competitivas de esto para decir: "Está bien, el estado que tiene el mejor plan para hacer X, Y, Z, puede obtener más efectivo".
Dan Lohrmann: Entonces, creo que muchos de esos detalles van a llegar. Lo aplaudo. Porque está dedicado a la cibernética. Y sé que en el pasado otras subvenciones a lo largo de los años podrían ser Usar para cibernética, pero muchos estados no pudieron obtener ese dinero. Era Usar para otras cosas. También creo que es realmente un pago inicial, Jason, porque creo que esto va a ser, diré que durará una década, probablemente el resto de nuestras vidas, es el Problema. Va a estar ahí fuera, y los estados y los locales también tendrán que contribuir con parte de eso. Van a tener 90, 10, 80, 20 partidos cada año. Sube un 10% lo que los lugareños tienen que ceder.
Dan Lohrmann: Pero tampoco va a hacer una parte operativa para pagar eso después de que se instale el material de Nuevo. Así que creo que va a ayudar. Creo que va a mover el balón por el campo de fútbol. Probablemente no va a ser todo.
Jason Clark: Cambiando un poco de tema, Dan. Quiero hablar de algo que es emocionante para ti, y ese es tu libro Nuevo. Y eso salió en noviembre con Wiley. Y se llama Cyber Mayday and the Day After. Me encanta el nombre. Definitivamente voy a leerlo. Todavía no lo he hecho. Voy a hacer una versión audible, como hablamos. Pero solo quiero obtener su perspectiva sobre de qué se trata y por qué todos deberían leerlo.
Dan Lohrmann: Sí. Muchas gracias. Y estoy tan emocionado por esto. Es Cyber Mayday and the Day After, y luego la segunda parte, el título en letra pequeña, Una guía para líderes para prepararse, administrar y recuperarse de interrupciones comerciales inevitables.
Dan Lohrmann: Y muy rápido Antecedentes del libro. Soy coautor con Shamane Tan. Shamane está en realidad en Sydney, Australia. Ella es realmente la estrella de la Mujer Cibernética del Año. Acaba de ganar de nuevo, otro premio en Australia por liderazgo cibernético. E inicia reuniones cibernéticas en toda Australia, Japón y Singapur. Así que ella es realmente grande en Asia. Y escribió su primer libro. Contribuí a eso, un montón de historias de mis días de CSO. Y ella dijo: "Dan, trabajemos juntos en algo".
Dan Lohrmann: Hace aproximadamente un año, en realidad fue el 20 de agosto, justo en medio de COVID. Ella se acercó. Hablamos, pero esto fue antes de que llegara SolarWinds, esto fue antes de que llegara Colonial Pipeline, antes de JBS Meats. ¿Sobre qué queremos escribir? Y lo que pensamos que realmente faltaba incluso en ese momento con todos los ataques de ransomware, los ataques cibernéticos, son historias reales de lo que realmente sucede, no solo a los CSO, los ejecutivos de seguridad o CTO, los ejecutivos de tecnología, sino también a los líderes empresariales C-suite. ¿Qué sucede cuando te golpea el ransomware, cuando tienes un ataque cibernético, cuando estás en el medio?
Dan Lohrmann: Así que hay muchas listas de verificación por ahí. Hay muchos recursos gratuitos. De hecho, hacemos referencia a todos ellos al final del libro. No todos. No puedo decirlo todo. Muchos de los grandes que están ahí fuera, así que recursos gratuitos. Y hay muchas listas de verificación, guías y libros blancos excelentes. Intentamos y hacemos referencia a tantos de ellos como podamos y le indicamos la dirección correcta.
Dan Lohrmann: Pero pensamos que realmente la idea aquí es casar tres partes antes, durante y después de un incidente. Entonces, ¿qué puedes hacer antes? Cuatro capítulos del libro tratan sobre la preparación, y todo, desde tener libros de jugadas y hacer ejercicios, ejercicios de mesa e historias reales reales. Lo que la gente aprendió y lo bueno, lo malo feo.
Dan Lohrmann: Luego, durante los incidentes, en el medio, historias reales sobre eso. Y luego, al final, ¿qué pasa después? Como si el último capítulo estuviera convirtiendo los limones cibernéticos en limonada organizacional. Entonces, realmente, la idea de, ¿cómo podemos tomar lo que aprendimos y luego volver a incluirlo en nuestro plan, en nuestros libros de jugadas, en nuestros escenarios, y mejorar y mejorar? Y el objetivo era realmente ayudar a las personas a aprender de lo que otras personas han experimentado 35 historias reales de todo el mundo, aproximadamente la mitad de ellas son gubernamentales, la mitad de ellas son del sector privado, pequeñas, medianas, grandes organizaciones. Y realmente el objetivo es ayudar a las personas a caminar una milla en los zapatos de otra persona, por así decirlo, pero ¿realmente pequeños fragmentos de lo que sucedió cuando te golpearon?
Jason Clark: Eso es increíble. Bueno, de toda la Organización que hay, ¿verdad? Llamémoslo cualquiera que sea grande. ¿Qué porcentaje, si solo dispararas desde la cadera, qué porcentaje de ellos crees que están bien preparados?
Dan Lohrmann: Bien preparado. Uau. Es un evento realmente difícil... ¿Y esta es una gran Organización, o es todo?
Jason Clark: Yo diría que cualquier Organización de más de 5,000 personas.
Dan Lohrmann: Solo voy a decir la mitad, disparando desde la cadera.
Jason Clark: Creo que es menos. De hecho, probablemente creo que es incluso menos que eso.
Dan Lohrmann: Bueno, también depende de lo que quieras decir con bien preparado, porque crees que estás listo, pero nunca estás listo para lo que sucede exactamente. Y hay tantas historias de... Incluso cuento la historia, un par de historias son mías personalmente. Como si me remontara mucho tiempo atrás y la mayoría de ellos son más recientes. Pero incluso volviendo al apagón de 2003, y lo que sucedió cuando estaba en el gobierno de Michigan, creo que usted y yo hemos hablado de eso en el pasado.
Dan Lohrmann: Pero en el noreste perdió todo su poder y eso no fue un ataque cibernético. Aunque había muchos componentes cibernéticos en eso. Y a dónde fuimos, lo que hicimos, teníamos nuestros planes Y2K, teníamos este plan, habíamos hecho algunos ejercicios de mesa. Entonces, al final, terminamos saliendo bastante bien, eso no fue como si nos hubiera golpeado el ransomware. Eso fue diferente. Pero hubo bueno, malo y feo. Así que creo que algunas organizaciones están más preparadas que otras. Así que tal vez sea menos del 50%.
Jason Clark: Tal vez dé otro ejemplo de una de sus historias favoritas.
Dan Lohrmann: Déjame leerte una. Porque solo quiero leerte una sección. Y esto es del capítulo cinco, solo te leeré dos páginas muy rápido. Intentaré y Lea rápido. Pero el título del capítulo es, ¿Dónde estabas cuando sonaron las sirenas? Pero esto es de una historia real.
Dan Lohrmann: "Su red ha sido bloqueada. ¡Tienes que pagar 30 millones de dólares estadounidenses Ahora!" La siguiente fue una negociación de la vida real entre la pandilla de Ransomware y una empresa víctima de 15 mil millones de dólares estadounidenses que recibió una demanda de rescate de 28,75 millones de dólares en enero de 2021.
Dan Lohrmann: Después de algunas rondas, la empresa víctima contó con 2,25 millones, lo que fue recibido con un desprecio por la respuesta de los delincuentes de ransomware. Parafrasea aquí, y es muy divertido ver a algunos de tus administradores tratando de instalar el servidor Ms Exchange en tres días y no pueden hacerlo. Tenemos Cifrar 5,000 de los 6,000 de sus servidores, si hacemos algunos de los cálculos simples, su gasto es como, digamos, $ 50 por hora, o tal vez incluso es generoso $ 65 por hora. Entonces, 24 horas dedicadas a restaurar un servidor multiplicado por la cantidad de servidores que cifrar por nosotros, eso es como 10 millones de dólares solo en gastos de mano de obra.
Dan Lohrmann: Es interesante observar cómo estas bandas de ransomware han encontrado una forma efectiva de comunicar el impacto financiero de la interrupción del negocio causada por los ataques cibernéticos y demostrar cómo sus víctimas reducirán sus pérdidas al cumplir con sus demandas. Continuaron, pero no olvide que pasó todo el tiempo en la instalación. Vaya, ni siquiera puedes restaurar ninguno de tus Datos. ¿Puedes? Porque se ha ido por los próximos mil años. Agregaron la presión del factor tiempo al final del mensaje, pero también mostraron algo de misericordia al mismo tiempo.
Dan Lohrmann: El temporizador está corriendo, y en las próximas ocho horas, su precio subirá a 60 millones de dólares. Entonces, o acepta nuestra generosa oferta y nos paga 28.75 mil millones, o invierte en computación cuántica para acelerar el proceso de descifrado. Cuando la compañía pidió tiempo adicional, los ladrones contaron por corredor, no lo creo, no eras pobre y no eres niños. Si estás agotado, tendrás que enfrentar las consecuencias.
Dan Lohrmann: Un día después, cuando la empresa finalmente logró obtener la autoridad para pagar 4,75 millones, el extorsionista acordó reducir su demanda a 12 millones. La condición de que el importe restante se pague en un plazo de 72 horas. Después de algunos mensajes adicionales, llegaron a un acuerdo en el que los delincuentes prometieron cuatro cosas rápidas. Los piratas informáticos no lanzaron ningún ataque nuevo. La compañía obtendría las herramientas para descifrar completamente los Datos. Los piratas informáticos abandonarían por completo la red y nunca volverían a atacarlos. Los piratas informáticos le darían a la empresa acceso a Datos para que se eliminen a sí mismos. Datos nunca se publicaría ni se revendería. Y los hackers proporcionarían un informe completo sobre sus acciones, cómo entraron en la red, cómo se llevó a cabo el ataque Ahora, incluyendo consejos para mejorar la seguridad de la Organización y contra la penetración de otros hackers. La compañía finalmente pagó un rescate de 11 millones de dólares". Nos detendremos ahí. Pero esa es una historia, continúa y entra en algunos detalles más. Pero sí.
Jason Clark: Tuve una reunión recientemente con un CIO de viajes, voy a tratar con dos empresas específicas, de viajes y de ocio. Y tienen Ransomware en el medio, y son grandes, en medio de la pandemia. Estás hablando de mayo, junio del año pasado. Y les pidieron 20 millones de dólares, la respuesta del CIO fue: "Tenemos cero ingresos en Ahora, sin proyecciones de ingresos para el futuro. No tenemos nada que perder ahora. No tenemos dinero. No tenemos clientes".
Jason Clark: Así que fue más un bloqueo del sistema que información confidencial. No era PII. Pero sí, terminaron pagando como 10 mil dólares debido a COVID. Pero me encanta, quiero decir, creo que dar vida a esas historias, es una de esas cosas en las que no solo quieres que la gente de seguridad y los CSO se unan a Lea, quieres que los líderes empresariales lean esto.
Dan Lohrmann: Esto está realmente escrito para C-suite, pero también para cualquier líder empresarial. Si estás en una pequeña empresa, quiero decir, podrías ser dueño... Mi hermano, Steve, fue golpeado por Ransomware hace unos años. Ahora tiene una copia del libro. Tiene 20 propiedades en Ocean City, Maryland, tiene 10 empleados, fue golpeado por ransomware. Y afortunadamente en ese momento eran los primeros días. Y tuvo que pagar $ 1,200. Eso fue hace unos tres o cuatro años.
Dan Lohrmann: Quiero decir, el punto es que esto le puede pasar a cualquiera. Y esto está realmente escrito para la comunidad empresarial, así como para la comunidad tecnológica y de seguridad.
Jason Clark: Entonces, ¿cuánto tiempo te llevó escribir este libro?
Dan Lohrmann: Entonces, lo iniciamos, escribimos la propuesta. Acordamos que lo íbamos a hacer en octubre pasado. Cada uno escribió un capítulo, armó la propuesta. Ambos habíamos escrito libros antes. Así que este es mi tercer libro. Hicimos la propuesta en invierno, la compramos, tuvimos tres editores que querían hacerlo. Wiley. Tuvimos un acuerdo con Wiley, y el libro se completó realmente el primer borrador el 1 de mayo. Y llegó el oleoducto colonial. Las ediciones llegaron en yada, yada. El manuscrito final se realizó el 1 de julio.
Dan Lohrmann: Entonces, la mayor parte la escribimos en unos tres meses. Pero en realidad todo el proceso fue de unos nueve meses. Y lo actualizamos a través de JBS meats y Colonial Pipeline y SolarWinds, pero el límite fue julio de este año.
Jason Clark: Quiero decir, lo hace extremadamente relevante para todos, ¿verdad?
Dan Lohrmann: Oh, pasa por Colonial, por JBS y Solar Winds y algunos otros. La cuestión es que, Jason, la gente no se da cuenta de que el testimonio del Congreso acaba de decir más ransomware en 2021, los últimos 10 años combinados, lo que me parece una locura. Por cierto, eso no está en el libro, que acaba de salir hace un par de semanas en un testimonio ante el Congreso. Esos números me dejan boquiabierto, porque sé lo grande que fue el 19 y lo grande que fue el 20. Y fueron grandes años para Ransomware. Y está empeorando en este momento. Desafortunadamente, además de eso, los rescates están subiendo y están pidiendo más. Sin duda, es un gran problema al que se enfrenta la Organización.
Jason Clark: Quiero decir, esto es un robo a un banco, ¿verdad? Esto es solo un paseo por robos a bancos, recién reinventado Ahora. Entonces, cambiando ligeramente de tema sobre el mismo tema y hablando de esto, entonces, ¿por qué los ejercicios de mesa e incluso los ejercicios cibernéticos a gran escala son tan importantes que planificar y ejecutar esto?
Dan Lohrmann: Quiero decir, en primer lugar, involucrar a todos. Porque la gran parte de esto es que ciertamente tienes las piezas técnicas, tienes la grande y todo eso. Pero quiero decir, el problema más grande es realmente la comunicación. ¿Y cómo te comunicas con la alta dirección? ¿Cómo se comunica en toda la empresa? ¿Cómo te comunicas arriba, abajo, de lado, todo a tus inversores, a la comunidad, al público? La forma en que se comunica, y les diré, eso se remonta a 20 años, y cualquiera ha estado en este manejo de emergencias por incendios, inundaciones, tornados, la gente diría cientos de años. Quiero decir, siempre se trata de la comunicación y de cómo te comunicas. ¿Quién va a hablar con quién? ¿Cuando? ¿Qué haces primero? ¿En qué orden? ¿Cómo lo haces? ¿Estás preparado? ¿Cómo funcionan tus libros de jugadas?
Dan Lohrmann: Llevas a esos ejercicios, esas mesas y esos ejercicios a gran escala, tus libros de jugadas para que la práctica casi haga la perfección, ¿verdad? Y así, al igual que un equipo de bomberos practicaría apagar incendios, no quieres que alguien que se ponga el traje por primera vez venga a tu casa cuando tu casa se está quemando, quieres que sepan lo que están haciendo y sepan a dónde ir, y qué hacer, y cómo hacerlo en función de diferentes situaciones y diferentes escenarios. e inyecciones y todo eso. Eso es lo que realmente necesitas hacer.
Dan Lohrmann: Y mucha gente piensa, oh, tenemos nuestra copia de seguridad de Datos. Una historia rápida que les diré es que sí, pero les iba a llevar seis semanas restaurarla, porque no tenían el ancho de banda, no tenían las conexiones. Así que terminaron teniendo que pagar el rescate, porque realmente no habían pensado de principio a fin. Pensaron que tenían una solución, pero en realidad nunca habían pasado por el tipo completo de proceso. Y simplemente no sabían lo que no sabían.
Jason Clark: ¿Qué porcentaje de empresas cree que pagan frente a las que no pagan?
Dan Lohrmann: Creo que más del 50% paga a Ahora. Lo que es tan difícil de ese Jason, son los que no informan.
Jason Clark: Que es la mayoría.
Dan Lohrmann: Exactamente. Y estoy diciendo que los que el FBI ... Los números que tenemos, como cuando ves todos estos Informe, y todas las revistas técnicas, y Forbes, y todo lo demás, cuántos ataques de ransomware, vas a ver a fin de año Informe. Hago mi blog anual de predicción. Y todos estos números de fin de año, se basan en lo que sabemos. Pero si una pequeña empresa paga un rescate de $ 20,000 y nunca lo informa a la policía, ni siquiera se cuenta. Y entonces, eso eleva ese número a más del 50%. Quiero decir, creo que el 70, 80%, debido a los que no conocemos.
Jason Clark: Y al igual que dijiste, los números de 2021 van a superar 10 veces más que nunca. Creo que es significativamente más alto.
Dan Lohrmann: Es más alto de lo que sabemos.
Jason Clark: Solo un poco de envoltura en eso. Porque acabas de mencionar tus predicciones. Entonces, ¿cuáles son tus predicciones favoritas para el próximo año?
Dan Lohrmann: Quiero decir, puedo darte tantos. Los estoy revisando bien, ahora. Así que como sabes, como tú y yo hemos hablado de esto un par de años seguidos, pero en primer lugar, estas no son las predicciones de Dan Lohrmann. Recopilo lo que considero el mejor informe de predicción de todas las principales empresas. Entonces, de Trend Micros y FireEyes, y no estoy diciendo esto.
Dan Lohrmann: Hay ciertas compañías que publican un Informe de predicción realmente genial que gastan literalmente decenas y cientos de miles de dólares en estos Informes, y están muy bien hechos. Y no es solo como meterse la mano en la oreja y adivinar que mañana podría nevar. Quiero decir, realmente investigan y realmente intentan conectar los puntos y dicen: "Quiero decir, claramente habrá más violaciones de datos. Claramente va a haber más ransomware. Claramente vamos a tener más infraestructura crítica atacada". Cada año siempre hay predicciones de un gran 9/11 cibernético, y la gente quiere oír hablar de espectacular.
Dan Lohrmann: Eso se ha atenuado un poco en los últimos años, porque nadie quiere escuchar que todo Internet se va a caer, o que miles de personas van a morir en algún hospital. Porque, bueno, creo que vamos a hablar más adelante, las OSC, solo que el mensaje de moda no es un mensaje exitoso. Quiero decir, nos gusta ser un poco más específicos sobre qué tipo de ataques dirigidos se avecinan. Así que gran parte del Informe, y mis predicciones favoritas ahora son sobre cómo la inteligencia artificial y los malos actores son Usar Machine Learning, inteligencia artificial para perseguir realmente de maneras muy sofisticadas, estas empresas, y apuntar de diferentes maneras. Y detalles específicos en los que no entraré ahora desde una perspectiva tecnológica.
Dan Lohrmann: Pero buscar esas vulnerabilidades, buscar días cero conocidos, buscar Problema conocido, y luego simplemente buscar en Internet, al igual que buscar, podemos decir que es un diamante en bruto, o buscar esa aguja en el pajar. Pero si tienes las herramientas adecuadas desde el punto de vista del aprendizaje automático y la inteligencia artificial, son muy, muy efectivas.
Dan Lohrmann: Entonces, los ataques se están volviendo más específicos, más específicos. La gente está haciendo su tarea, y no es solo como si estuviera muy lejos de donde estaba hace una década cuando te conocí, algo así como enviar spam al mundo y esperar que alguien haga clic. Hay algo de eso que todavía está en marcha, algo de eso todavía está funcionando. Pero mucho de eso es mucho más específico. Y acabo de escuchar recientemente, como la web oscura llena de contraseñas, Credenciales, la gente todavía no usa la autenticación de dos factores, que es una locura, o la autenticación multifactor, MFA. Y luego ni siquiera están pirateando, solo están iniciando sesión con Credenciales, lo cual es una locura, pero está sucediendo. Futuro
Jason Clark: Y cualquiera que escuche, quiero decir, cada aplicación que tenga debería ser multifactor, punto.
Dan Lohrmann: Absolutamente.
Jason Clark: Honestamente, en cuanto a seguridad, no estás haciendo tu trabajo.
Dan Lohrmann: Correcto.
Jason Clark: En ese período. Porque eso es un-
Dan Lohrmann: Bien dicho. Eso es totalmente correcto.
Jason Clark: Y tienes razón. Existe. Hay muchos productos que son muchas aplicaciones SaaS que ni siquiera son compatibles con MFA. Porque son tempranos, son jóvenes, tienen 28 empleados que crearon una aplicación de recursos humanos, digamos, pero están sirviendo a empresas muy grandes. Porque realmente todo está impulsado por la TI en la sombra, y finalmente la seguridad se entera y es como: "Amigo, te estamos cortando a menos que puedas construir esta funcionalidad". Tiene que integrarse a nuestra solución como Okta pagando, etcétera. ¿Derecha?
Dan Lohrmann: Totalmente. Y hasta ese mismo punto, recuerdo que hace un año estaba con un... No voy a nombrar el banco. Estaba con un banco que literalmente subí por la cadena. Quiero hacer multifactor, no tenían autenticación multifactor en un banco. Y fui hasta la CSO y terminé siendo agregado a su piloto. Y en realidad todavía estoy con eso. Ahora tienen MFA en todos los ámbitos. Pero si tiene algún seguro de institución financiera, cualquier tipo de cuentas financieras o comercio, y no es multifactorial, busque a alguien más.
Jason Clark: Ahora voy a hacer la transición un poco más como si me hubiera adentrado en la IR. Has hecho muchas cosas diferentes. Has trabajado en todo tipo de seguridad. ¿Cuál es tu dominio favorito? Porque también hiciste mucho en torno a la conciencia de seguridad. ¿Cuál es tu dominio favorito en ciberseguridad?
Dan Lohrmann: Me gustó mucho la conciencia de seguridad. Estuve en eso durante siete años. Y Security Mentor es una gran empresa, y un pequeño mensaje secundario allí. Pero todavía los amo, son una gran compañía. Lo que me gustó de él fue que era muy práctico para los usuarios cotidianos. A la gente de mi iglesia, y a la gente de mi comunidad, y a la gente que conocí en las fiestas de Navidad, podría hablar con ellos sobre, ¿cuáles son las tres cosas que podría hacer bien? Quiero decir, una autenticación multifactor, activar 2FA para Facebook y para Gmail.
Dan Lohrmann: Y entonces, me gustó porque era relevante para el cien por ciento de la sociedad, donde hablas de muchas de las cosas en las que haces un gran trabajo en Netskope, y las empresas con las que estoy trabajando en Presidio, y Netskopees una de ellas, pero ciertamente AWS, y CrowdStrike, y diferentes personas, Okta y otros. Y lo real es explicar que para la gente es más difícil desde la perspectiva de una persona común. Lo que me gusta de mi rol actual, y me preguntan en uno o dos años, es que es más amplio. Y es realmente, vuelvo a la capacidad de una especie de alcance completo-
Jason Clark: Conjunto de soluciones completas.
Dan Lohrmann: Sí, exactamente.
Jason Clark: Puedes ayudar a la gente con todo. Tienes un problema, puedo resolverlo, ¿verdad?
Dan Lohrmann: Eso es todo. Exactamente. Y eso me encanta. Escucha, me encanta tener conversaciones honestas con CSO y CIO. Y tengo que decirte, he estado para bien o para mal, la gente dice que estoy loco porque probablemente hay mucho más dinero, y lo hay en el sector privado.
Dan Lohrmann: Pero he estado tanto desde mis días en la NSA hasta el final incluso en Inglaterra con Lockheed y ManTech, y luego con State of Michigan, realmente me concentro mucho en el gobierno, y me encanta el gobierno y ayudar. Quiero decir, solo la pasión por ayudar a mejorar la sociedad. Entonces, para mí, no tienen suficientes recursos, son desvalidos en muchos sentidos, pero tener conversaciones honestas y abiertas con el sector público y el gobierno, tengo que decirles que eso también me apasiona. Porque quiero decir, son héroes en el frente de batalla ahora mismo. Y es difícil. Es duro. Y están trabajando siete horas, siete días a la semana, 14, 16 horas al día, y están sudando. Y lo siento por ellos. Es un trabajo duro.
Jason Clark: Es un trabajo muy duro, por lo que generalmente no duran varios años y cambian mucho de trabajo. Y el estrés es inmenso. Lo es. Al igual que no puede encontrar personas, la amenaza está evolucionando tan rápido que el negocio se está moviendo a la nube, pero aún debe protegerse en las instalaciones. Y ahora tienes el doble de ataque, el triple de ataque de superficie, pero no el triple y el doble de presupuesto. Quiero decir, es un trabajo muy, muy, muy duro, y no hay duda al respecto.
Dan Lohrmann: Lo es. Y luego pierdes a tu mejor gente. Reúnes un equipo y dices: "Este equipo es... "Y luego pudimos, todavía me encantan, fueron días de gloria, pero hace 14 años cuando escribí mi primer libro. Teníamos un equipo en el gobierno de Michigan, era una economía muy diferente, un mundo cibernético muy diferente en esos días. Sé que teníamos un gran equipo porque todas esas 10 personas que podría pensar que podría nombrar son CSO Ahora en todo el mundo haciendo grandes cosas.
Dan Lohrmann: Así que es como, ya no puedes mantener unido a un equipo así. Quiero decir, simplemente no pueden hacerlo porque solo van a tener ofertas a diestra y siniestra. Y especialmente en el gobierno, es realmente difícil, también tienes que ser un motivador. Tienes que ser un animador y un motivador.
Jason Clark: En realidad, se sabe que persigue el talento del gobierno y también del estado. Contraté a Jonathan Troll de Colorado, porque es brillante, y siempre puedes pagarlos esa primera vez.
Jason Clark: Hablando de talento, ¿verdad? Y como si fueras un cráter de OSC como acabamos de hablar. Fue una de las cosas más grandes, creo que como medida del éxito personal, a veces es cuántas personas van y se convierten en ejecutivos justo después de trabajar para ti, ¿verdad? Ese es uno de nuestros trabajos, es hacer crecer la base de talentos y ayudar a las personas en sus carreras. Pero, ¿cuál sería su principal consejo número uno para un CSO por primera vez?
Dan Lohrmann: Encuentra un mentor. Exactamente a lo que acabas de decir, Jason, encuentra un mentor en el que puedas esperar fuera de tu organización actual, pero alguien en quien puedas confiar, en quien puedas, sin tratar de venderte algo. Quiero decir, no estoy hablando de un mentor que, con suerte, al menos si es un vendedor, puede salir de ese papel y simplemente darte algo de conversación en tu vida, y hablar en ti. Simplemente lo pones en juego, porque han caminado una milla en tus zapatos. Saben cómo es. Hay política involucrada. Hay política de oficina. No estoy hablando de republicanos y demócratas. Quiero decir, eso también entra en juego a veces. Pero quiero decir, cualquier organización, tiene política.
Jason Clark: Todas las empresas tienen política, punto. Por cierto, creo que una de las cosas con las que luchan todas las OSC es el lado político de las cosas. Porque tienes que poner fricción en el negocio, por lo que no puedes simplemente tener fricción. Van a hacer cualquier cosa. Y entonces, tener ese equilibrio. Hay muchos OSC con los que hablo y dicen: "Oh, sí, camino por el pasillo y la gente dice, date la vuelta y camina hacia el otro lado porque me tienen miedo". Pensé: "Eso no es algo bueno".
Dan Lohrmann: Sí. Y eso sería lo segundo. Quiero decir, te daré cuatro o cinco. Pero quiero decir, relaciones, relaciones, relaciones. Quiero decir, es la importancia de eso. Nuestro calcetín original en Michigan, se llamaba Batcave. No te quedes en la Baticueva todo el tiempo. Este tipo dice: "Eso es genial. Estoy en la Baticueva".
Dan Lohrmann: Pero tienes que tener relaciones 360. Así que vas a ser juzgado por cómo trabajas con tu gente, cómo trabajas con tus compañeros, cómo trabajas con tu gestión, por supuesto, pero cómo trabajas con la comunidad de proveedores y cómo trabajas con los clientes. Y entonces, esas relaciones son clave.
Dan Lohrmann: Y es difícil. Quiero decir, no hay muchas OSC. Y a veces luché. Y sé que es difícil tener buenas relaciones con todos, como cualquier cosa en tu vida, no puedes ser amigo de todos. Pero tener buenas relaciones 360 es otra cosa. Y es fácil de decir, todo el mundo lo dice, pero es difícil de hacer. Y es muy difícil hacerlo bien. Y lleva años. Se necesita experiencia.
Dan Lohrmann: No entras en un nuevo trabajo como CSO y no eres un veterano de cinco años, porque no has pasado por cinco ciclos presupuestarios, y no has pasado por cinco Navidades y ceremonias de premiación de fin de año. Quiero decir, aprendes bien, mal y feo, aprendes. Y espero que tengas tiempo para crecer realmente en tu papel.
Dan Lohrmann: Pero ahí es donde un mentor puede ayudar. Un mentor puede ayudarte a atravesar una especie de pantano, porque vas a hacer algunas cosas bien, hay cosas que la mayoría de las OSC hacen bien al principio, pero hay algunas cosas con las que suelen tener dificultades.
Jason Clark: ¿Qué harías de manera diferente si pudieras retroceder en el tiempo?
Dan Lohrmann: Hay una historia que se remonta a 2004, cuando yo era CSO en el estado de Michigan y Teri Takai era mi jefa. Y Teri era CIO en Michigan. Luego se convirtió en CIO en California. Luego se convirtió en la CIO del Departamento de Defensa de los Estados Unidos. Muy famoso. Trabajó para muchos gobernadores, Arnold Schwarzenegger y Jennifer Granholm, quien es ahora secretaria de energía.
Dan Lohrmann: De todos modos, dicen que en cualquier relación de la Nueva OSC, siempre tienes una especie de formación, asalto, norma, actuación, ¿verdad? Bueno, esta era nuestra cara de tormenta. De todos modos, Teri y yo, para contarles el final, terminamos convirtiéndonos en buenos amigos.
Dan Lohrmann: Pero de todos modos. En medio de esto, Teri quería que pusiera Wi-Fi en todas nuestras salas de conferencias estatales. Y estaba en contra del Wi-Fi. Soy el tipo de la NSA. Y tenía todos estos libros blancos. Había hecho todos mis deberes. Y había ido a la CIA, la NSA, el FBI. Tenía todos estos libros blancos. Wi-Fi es una mala idea. Estábamos conduciendo, la gente estaba rompiendo en el Home Depot.
Jason Clark: [conversación cruzada 00:38:10].
Dan Lohrmann: Todas esas cosas. De todos modos, en pocas palabras, entré en esta reunión. Teri dice: "Está bien, Dan... "Había como 10 personas alrededor de esta gran sala de conferencias del gobierno. Es la reunión del personal de Teri a los 20 minutos de esta sala de conferencias, reunión semanal del personal. Y obtuvimos el foro de temas de la agenda. Y ella dice: "Dan, entonces, ¿cómo vamos a hacer esto?" Y yo dije: "Bueno, Teri, esta es una mala idea. Vamos a cancelar este proyecto". Y así, entregué estas hojas de papel y las pasé por la habitación. Y dije: "Tengo todos estos libros blancos aquí para respaldar esto. Solo quiero resumir por qué esto no es algo que deberíamos estar haciendo".
Dan Lohrmann: Entonces Teri dice: "Detente. Quiero que todos salgan de la habitación, menos Dan". Entonces, todos se levantan y salen corriendo de la habitación. Nunca había visto al gobierno [inaudible 00:38:55] salir tan rápido. De todos modos, en pocas palabras, me mira a los ojos y dice: "Dan, si esa es tu respuesta, no puedes ser el CSO en Michigan". Y le dije: "Bueno, espera un minuto, Teri, déjame explicarte". Ella dijo: "No, no, no te detengas". Ella dijo: "Sabemos que eres inteligente. Obtuviste una maestría yada, yada de la NSA, obtenemos todo eso". Ella dijo: "Pero he estado en Dow Ford, Chrysler y GM, y todos tienen Wi-Fi en sus salas de conferencias. ¿Qué saben ellos que tú no sabes?"
Dan Lohrmann: Ella dijo: "Te doy una semana para averiguarlo, o quiero tu renuncia". Y ese fue un momento impactante para mí. Quiero decir, fue un momento que cambió mi vida. Quiero decir, mi carrera fue como un destelle ante mis ojos. Por supuesto, volvimos, hablamos con Dow Ford, Chrysler, GM. Tenemos Wi-Fi en todas las salas de conferencias estatales. Dos años después, ganamos el premio al Wi-Fi de máxima seguridad en el gobierno a nivel nacional, yada yada, yada. Pero la lección más importante para mí fue que tienes que llegar a un sí pero, o un sí y tienes que buscar opciones. Tienes que dar oro, plata, bronce. Y no se trata solo de Wi-Fi, obviamente, esto podría ser la nube. Esto podría ser-
Jason Clark: Siempre hay una manera.
Dan Lohrmann: Exactamente. Es la nube, o IoT o IA, cualquiera que sea el tema candente de Nuevo. La respuesta de seguridad es siempre no. Y tienes que averiguar qué saben otras personas que tú no sabes. La respuesta a veces puede ser no, Jason, hablamos de eso antes. Pero el punto es que realmente tienes que... Y realmente cambió mi mentalidad. ¿Cómo puedo ser un facilitador? A partir de ese momento, tenía razón en los artículos. O5 una palabra. ¿Cómo se cambian las culturas para tener una ciberseguridad habilitadora? Y sé que Netskope también lo hace. ¿Cómo permite que las personas hagan la nube de forma segura?
Jason Clark: Un gran consejo, Dan. Entonces, eso es todo para lo que tenemos tiempo hoy. Dan, esto ha sido increíble. Y gracias. Y siento que podríamos haber hecho esto fácilmente durante muchas, muchas horas más. Pero antes de dejarte ir, uno, ¿dónde puede la gente encontrarte y conseguir tu libro? Y también, ¿algo más que quieras dejar a alguien?
Dan Lohrmann: Claro. Bueno, muchas gracias. Y Jason, de nuevo, gracias. Gracias a Netskope. Gracias por invitarme, de verdad, es un honor estar en su programa. Y eres un verdadero líder de opinión y un experto en el sector. Entonces, gran admirador de ti y de lo que has hecho.
Dan Lohrmann: Cyber Mayday and the Day After es el nombre del libro. Puedes conseguirlo en Amazon. Está ahí fuera. También escribo para revistas de tecnología del gobierno. Así que tengo un blog semanal. Está disponible todos los domingos y lunes. Es la historia principal de los lunes por la mañana de la revista Government Technology. Puedes verme allí, Lohrmann, sobre ciberseguridad. También @govcso en Twitter. G-O-V-C-S-O, @govcso es mi nombre de usuario de Twitter.
Dan Lohrmann: Y también puedes conectarte conmigo en LinkedIn porque me encanta conectarme con profesionales del sector, e incluso con personas nuevas en el sector. No puedo ser mentor de todos. Recibo muchas solicitudes para asesorar a la gente. Soy mentor de algunas personas, pero me encantaría conectarme contigo. Así que no dude en comunicarse en LinkedIn, Dan Lohrmann.
Jason Clark: Sí. Escuchen todos, definitivamente se conectan con Dan. Todo lo que quiere hacer es ayudar a la gente. Quiere mejorar este sector y ayudar a las comunidades. Así que eso es algo que me encanta de Dan. Se trata de la comunidad. Así que gracias, Dan. Y nos vemos en una semana.
Dan Lohrmann: Muchas gracias, Jason. Lo agradezco.
Ponente 3: El podcast Security Visionaries está impulsado por el equipo de Netskope. Si busca la plataforma de seguridad en la nube adecuada para permitir su viaje de transformación digital, la nube de seguridad Netskope lo ayuda a conectar a los usuarios de manera segura y rápida directamente a Internet, desde cualquier dispositivo a cualquier aplicación. Obtenga más información en Netskope.com.
Orador 2: Gracias por escuchar a los visionarios de la seguridad. Tómese un momento para calificar y revisar el programa, y compártalo con alguien que conozca que pueda disfrutar. Estén atentos a los episodios que se lanzan cada dos semanas. Y nos vemos en el próximo.
){kind=icon}
