Dvīņu zemestrīces: Kad uzticība sabrūk un impērijas mainās
Tehnoloģiju ainava piedzīvo ievērojamu satricinājumu. No vienas puses, digitālā infrastruktūra, kas ir mūsu uzņēmumu pamatā, saskaras ar nerimstošu aktīvi izmantotu ievainojamību straumi. Vienlaikus mainās tehnoloģiju jaudas ģeogrāfija, Ņujorkai arvien vairāk izaicinot Silīcija ielejas kā ASV tehnoloģiju talantu centra dominējošo stāvokli [1]. Šīs norises nav izolētas; tie liecina par dziļām, sistēmiskām pārmaiņām, kas prasa fundamentālu uzticības, noturības un inovācijas nākotnes pārvērtēšanu.
Neaizsargātības uzbrukums: uzticības krīze
Pēdējie mēneši ir parādījuši ievērojamas drošības problēmas lielākajiem tehnoloģiju nodrošinātājiem. Tādi uzņēmumi kā Apple, Microsoft un Cisco, kas bieži tiek uzskatīti par digitālās infrastruktūras pīlāriem, ir atklājuši aktīvi izmantotās ievainojamības un kritiskās nepilnības. Tie nav teorētiski riski; tie rada tiešus draudus organizācijām visā pasaulē.
Apple nesen ir novērsis vairākas aktīvi izmantotas ievainojamības. Piemēram, “CVE-2023-42916” un “CVE-2023-42917”, abas WebKit nepilnības, tika aktīvi izmantotas savvaļā, ietekmējot iPhone un iPad [2, 3]. Šīs ievainojamības uzsver, ka pat stingri kontrolētas ekosistēmas ir uzņēmīgas pret sarežģītiem uzbrukumiem. Miljoniem lietotāju tas nozīmē, ka personīgās ierīces, ko bieži izmanto, lai piekļūtu korporatīvajiem tīkliem, var kļūt par tiešu kompromisa punktu. Šis scenārijs izceļ tradicionālo tīkla perimetru eroziju, padarot katra darbinieka ierīci par potenciālu ieejas punktu uzbrucējiem.
Microsoft ir saskārusies arī ar ievērojamiem drošības izaicinājumiem. Tika aktīvi izmantota ievainojamība CVE-2023-36025, Windows Defender SmartScreen apvedceļš, ļaujot uzbrucējiem apiet drošības līdzekļus [4, 5]. Šādas ļaunprātīgas izmantošanas pret pamata drošības produktiem parāda kritisko vajadzību pēc tūlītējas labošanas Windows vidēs. Microsoft regulārie ielāpu otrdienas atjauninājumi, kas bieži vien novērš desmitiem ievainojamību, atspoguļo nepārtrauktus centienus, kas nepieciešami, lai aizsargātu viņu plašo ekosistēmu [6]. Pieaugošā mākslīgā intelekta izmantošana ievainojamības atklāšanā, lai gan sola noteikt trūkumus, arī izceļ drošības problēmu pieaugošo sarežģītību un apjomu, ko pat uzlabotajiem rīkiem ir grūti pārvaldīt [7]. Tas liek domāt, ka ievainojamības atklāšanas un izmantošanas temps var būt ātrāks par tradicionālajiem cilvēka vadītajiem aizsardzības centieniem.
Cisco, galvenais tīkla infrastruktūras nodrošinātājs, arī ir izdevis ieteikumus par kritiskām ievainojamībām. Piemēram, "CVE-2023-20198", privilēģiju eskalācijas trūkums Cisco IOS XE tīmekļa saskarnē, tika aktīvi izmantots, un tam tika piešķirts CVSS vērtējums 10,0 [8, 9]. Ideāls CVSS rādītājs norāda uz maksimālu nopietnību un iespējamo ietekmi, bieži vien ar vienkāršu izmantojamību. Organizācijām, kas ir atkarīgas no Cisco infrastruktūras, šādu ievainojamību dēļ ir nepieciešama steidzama labošana un mazināšana, lai novērstu plašu tīkla apdraudējumu.
Šo nozares līderu ļoti nopietno, aktīvi izmantoto ievainojamību izplatība norāda uz sistēmisku izaicinājumu, lai saglabātu uzticību galvenajiem tehnoloģiju piegādātājiem. Tas izceļ visaptverošu draudu ainavu, kurā pat labi resursēti uzņēmumi cīnās, lai apsteigtu sarežģītus uzbrucējus. Tehnoloģiju līderiem šī situācija prasa tūlītēju rīcību: noteikt prioritāti lāpīšanai un mazināšanai, kā arī būtiski pārvērtēt piegādes ķēdes drošību un pārdevēju paļaušanos. Tie nav teorētiski riski; tie ir aktīvi varoņdarbi, kam nepieciešama steidzama uzmanība [10].
Impērija mainās: Ņujorkas pieaugošā ietekme
Lai gan digitālā infrastruktūra saskaras ar drošības problēmām, tehnoloģiju talantu ģeogrāfiskā izplatība arī piedzīvo ievērojamas pārmaiņas. Ņujorka nesen tika atzīta par labāko tehnoloģiju talantu tirgu Ziemeļamerikā, apsteidzot līča apgabalu [11]. Tas iezīmē ievērojamu pāreju no gadu desmitiem, kur Silīcija ieleja bija neapstrīdams talantu, kapitāla un inovāciju epicentrs.
Šī maiņa būtiski ietekmē tehnoloģiju profesionāļus un organizācijas:
- Talantu iegūšana: Līčas apgabala uzņēmumi var piedzīvot pastiprinātu konkurenci un potenciālu talantu migrāciju, savukārt Ņujorkas uzņēmumi var piekļūt dziļākam un daudzveidīgākam talantu kopumam [11]. Tas rada nepieciešamību atkārtoti novērtēt atlīdzību, pabalstus un uzņēmuma kultūru.
- Karjeras mobilitāte: tehnoloģiju profesionāļiem Ņujorka piedāvā pārliecinošu alternatīvu, kas, iespējams, nodrošina atšķirīgu darba un privātās dzīves līdzsvaru, plašāku nozares fokusu klāstu (fintech, plašsaziņas līdzekļi, modes tehnoloģijas, mākslīgais intelekts) un atšķirīgu dzīves dārdzības dinamiku salīdzinājumā ar līča apgabala augstajiem izdevumiem [11].
- Inovāciju centri: tehnoloģiju jaudas decentralizācija varētu veicināt jaunus inovāciju centrus, potenciāli izaicinot monokultūru, kas dažkārt bija raksturīga Silīcija ielejai. Riska kapitāls un jaunuzņēmumu ekosistēmas var arvien vairāk raudzīties uz austrumiem [11].
Tiek apstrīdēts līča apgabala ilgstošais dominējošais stāvoklis, ko veicina atšķirīga tehnoloģiju kultūra un pieaugošās izmaksas. Ņujorkas augšupeja norāda uz ASV tehnoloģiju nozares nobriešanu, virzoties uz izkliedētāku un potenciāli elastīgāku modeli, nevis uz vienu ģeogrāfisku centru.
Savstarpēji saistītie izaicinājumi: trauslums, talants un mākslīgā intelekta paradokss
Šīs divas šķietami atšķirīgās attīstības tendences – pastāvīgās drošības problēmas un tehnoloģiju talantu ģeogrāfiskās pārmaiņas – ir savstarpēji saistītas. Tie atklāj dziļāku sistēmisko trauslumu un uzsver steidzamo nepieciešamību pēc jaunas pieejas tehnoloģiju vadībai.
Pašreizējā drošības aina prasa izcilu talantu līmeni: augsti kvalificētus drošības inženierus, draudu medniekus un incidentu reaģētājus, kas spēj ne tikai lāpīt, bet arī paredzēt, ieviest jauninājumus un aizsargāties pret sarežģītiem, aktīvi izmantotiem draudiem. Tradicionālie tehnoloģiju centri, kas vēsturiski piesaistīja labākos talantus, tagad saskaras ar izmaiņām savā pievilcībā. Galvenais jautājums ir par to, vai jaunie tehnoloģiju centri, piemēram, Ņujorka, var izkopt dziļu, specializētu drošības inženieru talantu, kas nepieciešams, lai cīnītos pret sarežģītām ievainojamībām, vai arī plašāka talantu izplatīšana atšķaidīs esošo zināšanu kopumu, kas nepieciešams šīm kritiskajām cīņām.
Mākslīgā intelekta loma ir sarežģīta dinamika. Lai gan ar AI darbināmas sistēmas arvien vairāk tiek izmantotas ievainojamību atklāšanā un aizsardzībā [7], AI pati par sevi ievieš jaunas uzbrukuma virsmas, sarežģītības un prasības drošības komandām. Rīki, kas izstrādāti, lai uzlabotu drošību, arī veicina draudu ainavas attīstību. Lai nodrošinātu AI vadītu pasauli, ir nepieciešami milzīgi un specializēti talanti — personas, kas saprot pretrunīgu mašīnmācīšanos, tūlītēju injekciju un lielo valodu modeļu raksturīgās novirzes un vājās vietas, kas pārsniedz tradicionālās kodēšanas prasmes.
Tradicionālais centralizētās tehnoloģiju jaudas modelis, kas paļaujas uz dažiem monolītiem pārdevējiem drošības nodrošināšanai un talantu koncentrēšanu dārgos, salu centros, izrādās nepietiekams. Pastāvīgie ievainojamības izaicinājumi liecina, ka netieša uzticēšanās lielākajiem piegādātājiem vairs nav pietiekama drošības stratēģija. Pāreja uz tādiem centriem kā Ņujorka ir plašāka decentralizācija, kas, ja to efektīvi pārvalda, varētu veicināt noturīgāku un daudzveidīgāku tehnoloģiju ekosistēmu.
Tehnoloģiju līderiem vēstījums ir skaidrs: 1. Atkārtoti novērtējiet pakalpojumu sniedzēja uzticību: nepietiek ar paļaušanos tikai uz pārdevēja drošību. Organizācijām ir jāuzņemas iespējamie kompromisi, jāveido daudzslāņu aizsardzības līdzekļi un jāpieprasa pārredzamība no saviem tehnoloģiju partneriem. 2. Piešķiriet prioritāti izplatīto talantu iegūšanai. Sacensības par prasmīgiem talantiem ir globālas un izplatītas. Skatieties tālāk par tradicionālajiem centriem, investējiet attālinātā darba infrastruktūrā un ieviesiet dažādas darbā pieņemšanas stratēģijas, lai piekļūtu augstākajiem drošības un inženiertehniskajiem prātiem. Ņujorkas izaugsme liecina, ka talanti meklē jaunu vidi un izaicinājumus. 3. ** Stratēģiski integrējiet AI:** izmantojiet AI aizsardzības spējām, taču kritiski izprotiet tā ierobežojumus un jaunos uzbrukuma vektorus, ko tas ievieš. Investējiet komandās, kas spēj nodrošināt AI sistēmas, nevis tikai tās izvietot.
Tehnoloģiju nozare atrodas kritiskā situācijā. Digitālā infrastruktūra saskaras ar pastāvīgiem draudiem, un tradicionālie tehnoloģiju jaudas centri attīstās. Organizācijas, kas pielāgojas, pieņem decentralizāciju un proaktīvi iegulda elastīgās sistēmās un daudzveidīgos talantos, varēs labāk orientēties šajās pārmaiņās un veidot drošas, novatoriskas tehnoloģijas nākotnei.
Avoti
[1] CBRE, "Scoring Tech Talent 2023", 2023. gada oktobris. URL: https://www.cbre.com/insights/reports/scoring-tech-talent-2023 [2] Apple atbalsts, "Par iOS 17.1.2 un iPadOS 17.1.2 drošības saturu", 2023. gada 30. novembris. URL: https://support.apple.com/en-us/HT213984 [3] CISA, "Known Exploited Vulnerabilities Catalog", CVE-2023-42916, CVE-2023-42917. URL: https://www.cisa.gov/known-exploited-vulnerabilities-catalog [4] Microsoft drošības atbildes centrs, "CVE-2023-36025 | Windows Defender SmartScreen drošības līdzekļa apiešanas ievainojamība", 2023. gada 14. novembris. URL: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-36025 [5] CISA, "Known Exploited Vulnerabilities Catalog", CVE-2023-36025. URL: https://www.cisa.gov/known-exploited-vulnerabilities-catalog [6] Microsoft drošības atbildes centrs, "2023. gada novembra drošības atjauninājuma izlaiduma piezīmes", 2023. gada 14. novembris. URL: https://msrc.microsoft.com/update-guide/releaseNote/2023-11 [7] IBM Security, "AI loma kiberdrošībā: iespējas un izaicinājumi", 2023. gads. URL: https://www.ibm.com/blogs/security/2023/08/the-role-of-ai-in-cybersecurity-opportunities-and-challenges/ [8] Cisco Talos Intelligence Group, "Cisco IOS XE Web UI Privilege Escalation Vulnerability", 2023. gada oktobris. URL: https://talosintelligence.com/vulnerability_reports/TALOS-2023-1857 [9] CISA, "Known Exploited Vulnerabilities Catalog", CVE-2023-20198. URL: https://www.cisa.gov/known-exploited-vulnerabilities-catalog [10] CISA, "Known Exploited Vulnerabilities Catalog". URL: https://www.cisa.gov/known-exploited-vulnerabilities-catalog [11] Blumbergs, "New York City Is Now the Top Tech Talent Market in North America", 2023. gada 26. oktobris. URL: https://www.bloomberg.com/news/articles/2023-10-26/new-york-city-is-now-the-top-tech-talent-market-in-north-america