Se acercan los plazos de ciberseguridad a nivel nacional: el peligro de los chatbots privados

Bienvenido a CISO Corner, el resumen semanal de artículos de Dark Reading diseñados específicamente para lectores de operaciones de seguridad y líderes de seguridad. Cada semana presentamos artículos de nuestra sección de Noticias, The Edge, DR Technology, DR Global y nuestra sección de Comentarios. Queremos brindarle una variedad de perspectivas para facilitar que los líderes de organizaciones de todo tipo y tamaño implementen estrategias de ciberseguridad.

En esta edición de CISO Corner:

Argumentos a favor de una ciberseguridad “sensata”

Por Stephen Lawton, escritor colaborador de Dark Reading

La ciberseguridad adecuada es muy subjetiva. Las organizaciones deben planificar cuidadosamente para cuantificar el riesgo cibernético y aplicar controles de seguridad.

Para los reguladores que supervisan las prácticas de ciberseguridad de las empresas, el estándar de prueba es la «ciberseguridad adecuada», o la adopción de medidas para proteger los datos basadas en lo que una persona razonable haría en circunstancias similares.

Sin embargo, la “ciberseguridad adecuada” es intencionalmente ambigua y depende en gran medida del contexto. Una compañía de seguros cibernéticos a menudo utiliza un cuestionario que pregunta si existen varios controles de seguridad y las aseguradoras pueden aprobar o no una póliza. Pero si un Si la infracción ocurre más tarde, el asegurador puede disputar el reclamo.como en 2022, cuando Travelers Insurance ganó una demanda contra International Control Services por tergiversar los controles de seguridad.

Para eliminar gran parte de la confusión, los marcos de seguridad como el Marco de Ciberseguridad (CSF) del NIST, los Controles de Seguridad Críticos (Controles CIS) del propio CIS y otros proporcionan los controles que necesitan para cumplir con los requisitos regulatorios de adecuación. Pero también son importantes otros pasos.

Leer más: Argumentos a favor de una ciberseguridad “sensata”

Relacionado: Anatomía de una filtración de datos: qué hacer si le sucede a ustedun evento virtual gratuito de lectura oscura programado para el 20 de junio. Alex Pinto de Verizon pronunciará un discurso titulado «De cerca: violaciones de datos en el mundo real», en el que detallará los hallazgos del DBIR y más.

Las herramientas de inteligencia artificial defectuosas son una preocupación para los LLM privados y los chatbots

Por Robert Lemos, autor colaborador de Dark Reading

Las empresas dependen de grandes modelos de lenguaje para ayudar a sus empleados a extraer información de datos no estructurados. Sin embargo, las vulnerabilidades pueden generar información errónea y potencialmente fugas de datos.

Esta semana, Synopsys reveló una falla de falsificación de solicitudes entre sitios (CSRF) que afecta a las aplicaciones basadas en el componente EmbedAI del proveedor de inteligencia artificial SamurAI. Los atacantes podrían usar esto para engañar a los usuarios para que carguen datos envenenados en su modelo de lenguaje, e incluso podría permitir a un atacante influir en una instancia privada de LLM o un chatbot.

El resultado subraya que la prisa por Integre chatbots de IA generativa en los procesos de negocio plantea riesgos, especialmente para las empresas que dan a los LLM y otras aplicaciones de IA generativa acceso a grandes conjuntos de datos.

«No se puede simplemente darle al LLM acceso a un enorme volcado de datos y decir: ‘Está bien, todos tienen acceso a él’, porque eso sería lo mismo que darle a todos acceso a una base de datos con todos los datos que contiene, ¿verdad? » dice el investigador de amenazas de Protect AI, Dan McInerney. «Así que hay que limpiar los datos».

Leer más: Las herramientas de inteligencia artificial defectuosas son una preocupación para los LLM privados y los chatbots

Relacionado: Plataforma Hugging Face AI intercalada con 100 modelos para ejecutar código malicioso

El nuevo enfoque de la SEC para la gestión de riesgos de ciberseguridad

Comentario del Dr. Sean Costigan, director general, estrategia de resiliencia, Red Sift

Perspectivas de tres empresas que recientemente informaron infracciones según las nuevas reglas de divulgación.

Según las nuevas normas de divulgación de la SEC, las empresas que se registren deben informar en un plazo de cuatro días cualquier incidente de ciberseguridad que determinen que tiene un «impacto material», lo que significa que podrían afectar significativamente las operaciones o las finanzas de la empresa.

Debido al poco tiempo, muchas empresas tienen dificultades para cumplir los requisitos. Afortunadamente, ya se pueden aprender lecciones importantes de las experiencias de varias grandes empresas que han informado sobre infracciones y han hecho revelaciones.

Estos incluyen Clorox, Finanzas prudencialesy UnitedHealth, todos los cuales ofrecen lecciones tempranas para la gestión de riesgos empresariales: las empresas ahora deben explicar los detalles de las infracciones y deben tener visibilidad continua de todos sus activos digitales. Mantener la transparencia y entender bien los conceptos básicos es fundamental. Además, el intercambio de información ha demostrado ser valioso para todos los sectores.

Leer más: El nuevo enfoque de la SEC para la gestión de riesgos de ciberseguridad

Relacionado: ¿Preocupado por los cambios en las reglas de la SEC? No te pierdas el episodio 1 de nuestro nuevo podcast, Lectura oscura confidencial“El CISO y la SEC”, con vistas desde las trincheras: el CISO de Reddit, Frederick “Flee” Lee, la abogada Beth Burgin Waller y el director jurídico de Reddit, Ben Lee, se unen al personal de DR para una conversación sincera.

BlackSuit se cobra decenas de víctimas con ransomware cuidadosamente seleccionado

Por Elizabeth Montalbano, autora colaboradora de Dark Reading

Los investigadores examinaron en detalle un ataque del grupo de amenazas, que apunta principalmente a empresas estadounidenses en los sectores de educación y bienes industriales para maximizar específicamente sus ganancias financieras.

La banda de ransomware BlackSuit filtró datos robados de ataques a 53 organizaciones; el grupo ha estado activo desde mayo de 2023.

Traje negro – probablemente Vástago de la banda de ransomware Royal – se dirige principalmente a empresas estadounidenses en sectores críticos como la educación y los bienes industriales, seleccionando cuidadosamente sus objetivos para maximizar el rendimiento financiero.

«Este patrón de ataque sugiere fuertemente una motivación financiera, con un enfoque en sectores críticos que tienen presupuestos de ciberseguridad más pequeños o una baja tolerancia al tiempo de inactividad, lo que aumenta la probabilidad de un ataque exitoso o un pago rápido de rescate», dice la contribución de Reliaquest. Equipo de investigación de amenazas.

Leer más: BlackSuit se cobra decenas de víctimas con ransomware cuidadosamente seleccionado

Relacionado: Los atacantes apuntan a las VPN de Check Point para acceder a redes corporativas

9 consejos para evitar el agotamiento de la ciberseguridad

Por Joan Goodchild, autora colaboradora de Dark Reading

Cuando los profesionales de seguridad se encuentran al límite y sintiéndose agotados tanto mental como físicamente, a menudo se debe al agotamiento. Aquí hay formas de combatirlo.

La ciberseguridad es conocida por su entorno estresante, ciclos de trabajo casi constantes y naturaleza exigente. Esto tiene un impacto negativo en la salud mental, especialmente en forma de agotamiento.

No es difícil encontrar evidencia de que agotamiento generalizado entre los profesionales de la seguridad. Una encuesta reciente de Gartner Peer Community encontró que el 62% de los líderes de seguridad y TI han experimentado agotamiento y que muchos CISO planean dejar sus trabajos o carreras debido a lo que Gartner describió como «factores estresantes únicos». Y una encuesta de Mimecast encontró que el 56% de los trabajadores de ciberseguridad experimentan un estrés laboral cada vez mayor cada año.

¿Entonces que puedes hacer? En esta presentación de diapositivas, exploramos nueve consejos para controlar el estrés y prevenir el agotamiento.

Leer más: 9 consejos para evitar el agotamiento de la ciberseguridad

Relacionado: El agotamiento persistente sigue siendo una crisis de ciberseguridad

Global: la APT china robó secretos geopolíticos de Oriente Medio, África y Asia

Por Nate Nelson, escritor colaborador de Dark Reading

Una de las operaciones de espionaje más grandes de China debe su éxito a fallas de larga data en Microsoft Exchange, herramientas de código abierto y malware heredado.

Un grupo de amenazas aliado del Estado chino ha estado extrayendo correos electrónicos y archivos diarios de objetivos gubernamentales y militares de alto nivel en Medio Oriente, África y el Sudeste Asiático desde finales de 2022.

La Operación Espectro Diplomático, una descarada campaña de espionaje descrita en un nuevo informe de la Unidad 42 de Palo Alto Networks, tiene como objetivo ministerios de relaciones exteriores, instalaciones militares, embajadas y más en al menos siete países en tres continentes. Su objetivo es obtener información secreta y sensible sobre conflictos geopolíticos, misiones diplomáticas y económicas, operaciones militares, reuniones y cumbres políticas, políticos de alto rango y personal militar y, sobre todo, embajadas y ministerios de Asuntos Exteriores.

La campaña continúa y los atacantes ya tienen una Voluntad de continuar con el espionajeincluso después de que sean descubiertos y arrancados desde redes comprometidas.

Leer más: La APT china ha robado secretos geopolíticos de Oriente Medio, África y Asia

Relacionado: APT respaldado por China ataca sistemas de automatización de edificios con ProxyLogon

Prepare su organización para los próximos plazos de ciberseguridad

Comentario de Karl Mattson, CISO de campo, Noname Security

Los reguladores federales y estatales han introducido nuevas reglas y mandatos diseñados para responsabilizar a las organizaciones en lo que respecta a la ciberseguridad. He aquí cómo prepararse.

El panorama de amenazas está creciendo rápidamente y todo, desde datos corporativos hasta La infraestructura crítica está en riesgo. Para agravar el desafío, los reguladores federales y estatales de EE. UU. han introducido nuevas reglas y requisitos diseñados para responsabilizar a las organizaciones por la ciberseguridad, y los plazos de cumplimiento se acercan rápidamente.

Por ejemplo, las empresas informantes más pequeñas deben cumplir con las nuevas reglas de divulgación de violaciones de la SEC (fecha límite: 15 de junio), es decir, aquellas «con un capital flotante de menos de $250 millones y los registrantes con ingresos anuales de menos de $100 millones en el año anterior». y sin capital flotante o con un capital flotante inferior a 700 millones de dólares”.

Y las agencias federales deben cumplir objetivos de confianza cero (fecha límite: 30 de septiembre). Las agencias deben haber completado 19 tareas específicas alineadas con los cinco pilares (identidad, dispositivos, redes, aplicaciones y cargas de trabajo, y datos) del Modelo de Madurez de Confianza Cero de la Agencia de Seguridad de Infraestructura y Ciberseguridad.

Estos nuevos requisitos tienen un impacto significativo y son un paso en la dirección correcta. Sin embargo, para que sean verdaderamente eficaces, se requiere un cambio importante en la filosofía de seguridad.

Leer más: Prepare su organización para los próximos plazos de ciberseguridad

Relacionado: La OMB emite una estrategia de confianza cero para las agencias federales