Cybersecurity-organisationer varnar för nationstat och insiderhot

Eftersom det är nästan överallt var cybersäkerhet ett stort tema på Fortune Brainstorm Tech-konferensen förra veckan. Vid en rundbordslunch diskuterade chefer från ett antal cybersäkerhetsföretag och nya organisationer om nya hot. Medan de sa att saker faktiskt kan förbättras, pekade de också på större oro från nationalstaterna.

Samtidigt talade FBI: s Amy Hess på scenen om olika typer av hot och vad företag bör göra som svar. På frågan om vi borde vara rädda sa hon "det korta svaret är 'ja'."

Vid lunchrundbordet var en av de stora frågorna som diskuterades den roll som nationstater som Kina och Ryssland spelar, både i externa kränkningar och i att försöka infiltrera företag direkt för att göra saker som att stjäla immateriella rättigheter.

Michael Brown, före detta VD för Symantec och nu chef för försvarsdepartementets försvarsinnovationsenhet sa att i Silicon Valley "är de mindre företagen inte så medvetna som de borde vara hotet om insiderbrott och utländska aktörer som Kina."

Han sa att de flesta överträdelser och hot per volym är kriminella, inte kommer från de olika regeringarna, så vad både regeringen och den privata industrin behöver göra är att göra inbrott i system både svårare och dyrare. Han noterade att attackerare bara måste ha rätt en gång för att komma in i ett system, medan försvarare måste ha rätt hela tiden för att hålla människor ute. "Det är ett ekonomispel, " sade han.

"Det finns bara fyra problem inom cybersäkerhet: Kina, Ryssland, Nordkorea och Iran, " enligt Dmitri Alperovitch, medgrundare och CTO för CrowdStrike. Han sa att inte bara länderna själva var stora hackare, utan att många kriminella hackare också verkar från dessa länder. Dessa grupper är så avsikt att hacking att om de försöker tillräckligt hårt så kommer de så småningom att hitta en svaghet i ditt nätverk.

Tim Junio, medgrundare och VD för Expanse, som övervakar internet för att leta efter information som tillhör kundernas företag, sa att "Det är oerhört sällsynt - och sent i spelet - att företag tänker på det faktum att utländska aktörer kommer att rekrytera människor för att penetrera sina nätverk. " Han föreslog att vi behöver motsvarande ett finansiellt revisionssystem för cybersäkerhet.

Oracles generaldirektör Dorian Daley enades om att fler företag behövde fokusera på insiderhot, men betonade att företagets toppchefer måste ta cybersäkerhet på allvar. Hon berättade om hur Oracle hade en säkerhetskommitté och pratade om att göra en "företagskolonoskopi" för att leta efter säkerhetsproblem och sedan korrigera dem.

I en intervju på scenen sa Amy Hess, verkställande direktör för FBI: s brott, cyber, respons och tjänster (överst) att terrorism, spionage, IP-stöld och enkel brottslighet alla är en del av "cyber" -frågorna.

Hon sa att Kinas mål är "att bli världens dominerande supermakt" och tilllade att den kinesiska regeringen är villig att stjäla information, immateriell egendom, personlig identifierbar information (PII), regeringshemligheter och FoU för att komma dit. Dessutom, sade hon, är kineserna villiga att investera i företag och bli en del av leveranskedjan för att få mer information. Hon sa att detta ger dem enkel tillgång till teknik som tog amerikanska företag år att utveckla och tappade amerikansk uppfinningsrikedom. "De får det gratis, de får det snabbt", sa hon.

Ryssland var annorlunda, sade Hess, för även om det fortfarande var intresserat av att stjäla militära hemligheter, regeringshemligheter och FoU, var det också ett "malignt utländskt inflytande." Hon sa att Ryssland använde vårt beroende av sociala medier för att få människor att ifrågasätta om det de läser är verkligt och att använda dessa plattformar för att dela oss.

Hess sade att FBI samordnar med Department of Homeland Security om hur man försvarar nätverk i USA och arbetar med Department of Defense för att se vad som händer offshore. Men hon sa att FBI: s huvudroll var "ansvarsskyldighet" - för att ta reda på vem som hackar och hålla dem ansvariga. Till exempel sade hon att baserat på FBI-utredningen anklagade justitiedepartementet flera individer för att stjäla information i anledning av presidentvalet 2016. FBI såg försök att infiltrera valsystem 2016, sade hon, men att även om det inte fanns några indikationer på att röster ändrades, försökte hackare säkert att få information kring valprocessen.

Hon var inte bara bekymrad över Kina och Ryssland, där FBI formellt har anklagat agenter från dessa regeringar, utan också Iran och Nordkorea. Kriminella var också en fråga, eftersom "pengarna är ganska fenomenala." Hon sa att under de senaste 15 månaderna återhämtade FBI: s återhämtningstillgångteam 380 miljoner dollar, eller 78 procent av det som kallades in.

FBI uppmanade företag att kontakta det när de ser något som ser ut, sa Hess. Hon sa att hon insåg att vissa företag kan känna att de har en konkurrensnackdel om de erkänner att de kan ha hackats, men FBI kan hjälpa, hjälpa andra människor och hjälpa till att förhindra nästa attack. Hon noterade att FBI inte har någon skyldighet att berätta för världen om en attack och sa: "Vi tar det mycket på allvar."

Hon ville uppmuntra samarbete och samarbete, att hon skulle vilja se förmågan att gå fram och tillbaka mellan den privata sektorn och regeringen lättare. Medan regeringen inte kan tävla med den privata industrin i löner för cybersecurity-proffs, kan den tävla på uppdraget, sa hon. Åtminstone "Vi behöver varandra för att dela information."

Den största frågan inom cybersäkerhet förblir människor, sade hon. Detta inkluderar användarfel, som att inte uppdatera system eller installera korrigeringar, liksom "evig klickning på saker där du inte vet vart de leder till."

På frågan vad hennes största rädsla var, sa Hess att det var företagets "kritiska infrastruktur", och hur någon som tar ut till och med en liten del av mobilnätet, finans-, energi- eller transportnätverk kan få "allvarliga konsekvenser." Hon var orolig för nya anslutna enheter och sa att i en hast att få saker att marknadsföra, ibland är säkerhet en eftertanke.

Jag frågade vad hon tyckte om företag eller kommuner som betalade ransomware, en fråga som har varit i nyheterna nyligen. Hon sa att det inte var en bra idé att betala lösen eftersom det bara "uppmuntrar andra." Dessutom var det aldrig en garanti för att det skulle fungera. Hon sa nyligen att ransomware mer sannolikt skulle inriktas på mindre företag som är "potentiellt mer mottagliga" såväl som kommuner.

"Du kommer att bli ett mål", sa Hess, "så tänk på dig själv så."

Hon blev också frågad om begreppet "hacka tillbaka" och sa att hon hade verkliga oro över att den privata industrin vidtar stötande åtgärder. Hon sa att hon var orolig för säkerhetsskador, sekundära och tertiära konsekvenser som organisationerna kanske inte är medvetna om och hur detta kan vara farligare för den kritiska infrastrukturen.