Postavljanje učinkovite digitalne obrambe je velik zalogaj
Tudi ponudniki storitev varnostno-operativnih centrov se soočajo z izzivi, kot so preobremenjenost zaposlenih, lažno pozitivni rezultati, rastoče površine napadov, zahtevna orodja za odkrivanje napadov ter ročni in nedosledni procesi.
Čeprav varnostno-operativni centri (VOC) zaposlujejo pretežno specializirane strokovnjake s področja kibernetske in informacijske varnosti, je spremljanje varnostne krajine v številnih panogah (in širše) postalo skorajda neobvladljivo. Celo za varnostno-operativne centre, kaj šele za posamezna podjetja. Tudi VOC zato potrebujejo vsaj organizacijsko preobrazbo, če naj bodo kos izzivom.
Osredotočanje na odkrivanje groženj in ne odzivanje na opozorila
Opozorila varnostne programske opreme niso težava, grožnje pa so. Toda varnostno-operativni centri so, podobno kot podjetja, ki spremljajo, kaj se dogaja okoli njih, dobesedno zasuti s takšnimi in z drugačnimi obvestili ter opozorili o takšnih in drugačnih varnostnih dogodkih. Utapljajo se v dnevnikih rešitev SIEM (Security information and event management), pogosto brez pravega razumevanja, kako delujejo njihovi nasprotniki in kaj je res povzročilo proženju posameznih opozoril ter alarmov.
Da bi dosegli učinkovito delovanje digitalne obrambe, morajo analitiki v VOC sodelovati z drugimi strokovnjaki, vključno z osebjem, ki skrbi za upravljanje in varovanje omrežne infrastrukture, etičnimi hekerji, »lovci na digitalne grožnje« pa tudi z inženirji rešitev za odkrivanje vdorov. Tehnično gledano morajo najprej ustrezno razvrstiti opozorila glede na vrsto varnostnega incidenta in poskrbeti, če je le mogoče, da se ga avtomatizirano blokira ali prepreči. Prav v avtomatizacijo varnostnih postopkov upravitelji VOC polagajo velike upe, saj želijo preprečiti, da bi se analitiki ročno ukvarjali z vsakim primerom varnostnega incidenta.
Hibridni VOC
Verjeli ali ne, tudi VOC vedno pogosteje potrebujejo pomoč zunanjih strokovnjakov – ali drugih VOC. Gre lahko za zunanjega izvajalca, na katerega prenesejo del zmogljivosti odkrivanja in odzivanja na grožnje, ali pa za medpanožno sodelovanje med različnimi VOC, ki se soočajo z različnimi varnostnimi grožnjami ali napadi. Sicer pa je tudi na področju VOC prisotna specializacija za posamezne panoge, zato je sodelovanje VOC in drugih organizacij, ki se ukvarjajo s kibernetsko varnostjo, ter ponudnikov varnostnih rešitev pričakovano. Vsak naj pač počne tisto, v čemer je (naj)boljši.
Vsak sodoben VOC je praktično hibriden VOC. Zunanje izvajanje nalog, kot so analiza zlonamerne programske opreme, obveščanje o grožnjah in upravljanje elektronskih zbirk podatkov, se bo nadaljevalo tudi v prihodnje. Ponudniki varnostnih storitev (t. i. MSSP) navadno pozorno spremljajo delovanje omrežij in pošiljajo opozorila ob zaznanih anomalijah, ki jih povzročijo bodisi zunanji napadalci ali pa »čudno« obnašanje zaposlenih ali poslovnih aplikacij. V VOC se močno zanašajo tudi na rešitve za odkrivanje varnostnih groženj (MDR) in odzivanje nanje. Te so v zadnjih letih prav tako postale storitve, saj predstavljajo kombinacijo tehnologij in človeškega znanja za spremljanje IT-okolij ter odkrivanje groženj.
VOC iz oblaka
Računalništvo se je preselilo v oblak, zato tam upravičeno pričakujemo tudi VOC oziroma vsaj njegove storitve. Oblak podjetjem omogoča, da bolje nadzorujejo stroške in ostanejo agilnejša. Tudi VOC s pridom izkorišča tehnologije oblaka, saj se jih vedno manj zanaša na lastne podatkovne centre in strežniško infrastrukturo, temveč jih najemajo pri specializiranih ponudnikih, s čimer lažje dosežejo neomejeno skalabilnost okolja. Platforme VOC in varnostni procesi se vse bolj povezujejo v oblaku, kar omogoča povečanje sposobnosti prepoznavanja, odkrivanja in odzivanja na varnostne incidente ter pomaga pri uresničevanju sodobnih varnostnih modelov, npr. modela brez zaupanja (angl. zero trust).
Varovanje na daljavo
Podobno kot številni drugi zaposleni je velik delež zaposlenih v VOC med pandemijo deloval na daljavo. Kar je bilo sicer znatno težje, saj so VOC »do zob založen« z najsodobnejšo tehnologijo za maksimalno produktivnost varnostnih analitikov in inženirjev. A kot pravijo številni, ki delajo v VOC, je največji izziv pri delu na daljavo predstavljala komunikacija, saj so v nadzornih in analitičnih sobah v VOC hitreje izmenjali mnenja in se uskladili o odzivanju na varnostne incidente kot v primeru, ko sta bila komunikacija in sodelovanje prepuščena spletnim platformam za klasične in video klice ter konference.
Kopičenje znanja, ne nazivov
Varnostno-operativni centri poznajo večslojni model delovanja, kjer varnostni strokovnjaki začetniki spremljajo varnostne grožnje in incidente ter se odzivano nanje, in če jim niso kos, gre težava na višjo raven – k bolj izkušenim strokovnjakom in nato, po potrebi, kakopak, še k specialistom za posamezno področje. A tudi ta model se spreminja, predvsem zaradi že omenjene avtomatizacije, ki je vedno uspešnejša pri zajezitvi predvsem osnovnih groženj. Številni VOC se zato že reorganizirajo, upoštevajoč znanje posameznikov, pri čemer stremijo k čim bolj uravnoteženim ekipam, ki bodo hitro kos odkritim izzivom – tudi ob pomoči vedno naprednejših varnostnih orodij, ki izkoriščajo tehnologiji umetne inteligence in strojnega učenja. VOC pa zato potrebujejo tudi osebje, ki bo znalo z njimi delati – vsako usvojeno znanje torej pri njih šteje dvojno.
