Zaufanie w Cyberspace : Zgodność, audyt i kwestie prawne

Wymogi dotyczące audytu i zgodności stają się krytyczne w każdej relacji outsourcingu i to samo dotyczy również chmury. Liczne ustawy federalne, prawa stanowe i powiązane przepisy, takie jak ustawa o przenośności i odpowiedzialności w ubezpieczeniach zdrowotnych (HIPAA) oraz ustawa Gramm-Leach-Bliley (GLBA), nakładają na firmy obowiązek zapewnienia ochrony danych osobowych i środków bezpieczeństwa . Przestrzeganie tych praw i przepisów pomaga w budowaniu zaufania dla końcowych użytkowników usług. Istnieją normy, takie jak standardy bezpieczeństwa danych w branży kart płatniczych (PCI DSS), a ISO 27001 nakłada na usługodawcę obowiązek przyjęcia określonego poziomu kontroli bezpieczeństwa. Klienci korzystający z chmury w środowisku chmury obsługującej wielu dzierżawców mogą mieć różne typy zgodności i wymagania prawne. Indywidualne spełnienie wszystkich wymagań staje się wyzwaniem dla dostawców usług CSP. Istnieją również problemy z podawaniem szczegółów kontroli bezpieczeństwa i informacji związanych z audytem indywidualnym klientom i ich audytorom zewnętrznym (TPA), ponieważ współdzielone zasoby chmury zawierają również informacje o innych klientach. Wiele przepisów ogranicza przesyłanie danych poza granice kraju. W zależności od kraju i obowiązujących przepisów, dostawca chmury musi kontrolować przepływ danych, przechowywanie i tworzenie kopii zapasowych

Ciemna Strona Neta : Dolar w stogu siana

Nie oznacza to, że niemożliwe jest legalne dostarczenie takich narzędzi do Iranu: można zwrócić się do rządu USA o pozwolenie na eksport. Nic dziwnego, że niektóre narzędzia, które docierają do Iranu, są wspierane przez ludzi i organizacje, które odnoszą większe sukcesy w wywieraniu presji na rząd USA, aby przyznał im taką licencję. Zatem to ci, którzy mają najlepsze zasoby – prawników, publicystów i lobbystów – a nie najlepsi technolodzy, najprawdopodobniej zobaczą ich produkty używane przez Irańczyków. W marcu 2010 roku, po głośnej kampanii w mediach, technologia o nazwie Haystack otrzymała jedną taką licencję. Haystack pojawił się znikąd podczas irańskich protestów w 2009 roku. Został założony przez dwóch dwudziestokilkuletnich amerykańskich techników niezwiązanych z Iranem. Zostali zahipnotyzowani zdjęciami wychodzącymi z Teheranu i chcieli pomóc, znajdując sposób na umożliwienie Irańczykom dostępu do zakazanych stron internetowych. W ten sposób zaprojektowali Haystack – technologię, która nie tylko przebijałaby się przez zapory ogniowe, ale także sprawiała, że ​​wyglądało to tak, jakby użytkownicy przeglądali niewinne witryny, takie jak weather.com. Austin Heap, publiczna twarz Haystacka, który szybko stał się ulubieńcem mediów, przechwalał się, że jego oprogramowanie jest nie tylko bardzo skuteczne, ale także doskonale bezpieczne. Takie twierdzenia były niemożliwe do zweryfikowania, ponieważ nikt nie był w stanie ocenić Haystack: jego strona internetowa zawierała kilka „Donate!” przycisków, ale nie ma linku do pobrania rzeczywistego oprogramowania. Założyciele Haystack twierdzili, że było to celowe: po prostu nie chcieli pozwolić rządowi irańskiemu na odwrotną inżynierię ich oprogramowania, zanim ktokolwiek w Iranie rzeczywiście miał okazję go użyć. Wydawało się to wystarczająco dobrym wytłumaczeniem dla mediów – a Haystack nadal cieszył się entuzjastycznymi relacjami w International Herald Tribune, NPR, Christian Science Monitor i BBC News (w marcu 2010 The Guardian ogłosił nawet Austina Heapa „Innowatorem Roku” ). W sierpniu 2010 Newsweek opublikował zatwierdzający profil Haystack, w którym jego założyciel znalazł się w centrum uwagi. „Jutro spotykam się z [Sens. John] McCain, [Bob] Casey, może [Carl] Levin, ale nie wiem, czy starczy mi czasu ”- powiedział Austin Heap w wywiadzie dla Newsweeka. Wielu ekspertów ze społeczności technologicznej stawało się coraz bardziej sceptycznych: jeśli Haystack był rzeczywiście tak dobry, dlaczego jego założyciele nie pozwoliliby nikomu znaleźć w nim wad? Biorąc pod uwagę, że miał być używany przez irańskich dysydentów, takie obawy były uzasadnione. Wkrótce dziwaczne twierdzenia założycieli Haystack rozgniewały niektórych Irańczyków, których pierwotnie zwerbowano do testowania Haystack w tym kraju – i ujawnili kopię Haystack niezależnym testerom. Kilka godzin testów wykazało, że korzystanie z Haystack w Iranie było wyjątkowo niebezpieczne, ponieważ oprogramowanie pozostawiło cyfrowe ślady, których irański rząd mógł użyć do identyfikacji swoich użytkowników. Jak się okazało, Haystack miał tylko kilkudziesięciu testerów w Iranie – co jest dalekie od 5000 użytkowników, których Austin Heap zgłosił w marcu 2010 roku. Do połowy września 2010 roku testy Haystack w Iranie zostały wstrzymane, podczas gdy wszyscy pracowali nad projektem Haystack- w tym jej wysoko postawiona rada doradcza – zrezygnowała. Chociaż niewiele wiadomo o jakichkolwiek aresztowaniach związanych ze stogiem siana w Iranie, nietrudno sobie wyobrazić, co by się stało, gdyby Haystack wszedł do masowej dystrybucji w kraju. Ilu Irańczyków się tego nauczy. Haystack naruszył wiele dobrych praktyk, do których powinno aspirować idealne narzędzie antyicensorskie, kiedy rząd USA z radością udzielił mu licencji eksportowej, a sekretarz Clinton wspomniała o tym nawet mimochodem w jednym z wywiadów? Wielu irańskich użytkowników może nie być bardziej wyrafinowanych w takich sprawach niż amerykańscy dziennikarze, którzy zdecydowali się pisać pełne podziwu recenzje Haystack. Różnice między różnymi technologiami obchodzenia środków są trudne do uchwycenia dla nietechnologów; wielu może błędnie wierzyć, że Haystack jest bezpieczniejszy niż jest w rzeczywistości, tylko dlatego, że rząd USA uważa, że to opłacalny eksport. Nic dziwnego, że poparcie ze strony rządu USA tylko podniosło rangę Haystacka, wywołując jeszcze większy podziw w mediach. Oczywiście sposób, w jaki obecnie działa proces recenzji, jest wadliwy, a niektórzy mogą nawet powiedzieć, że jest niebezpieczny. Chociaż wielu domagało się całkowitego zniesienia sankcji, z pewnością istnieją mniej radykalne sposoby, w jakie proces ten mógłby być napędzany oceną rzeczywistych cech technologii, a nie zdolności jej twórców do wywoływania szumu w mediach i wśród decydentów

Audyt Umysłu Hackera : WarmTouch: ocena zagrożeń wewnętrznych i zarządzania relacjami

Wprowadzenie

Felietonista Jay Heiser zwrócił uwagę społeczności zajmującej się bezpieczeństwem informacji na potrzebę lepszego zrozumienia i włączenia „warstwy 8 – ludzkiej warstwy” modelu odniesienia Open Source Interconnection (OSI) do myślenia o bezpieczeństwie. Według Heisera „Nowe i ekscytujące wyzwania związane z bezpieczeństwem informacyjnym nie wymagają programistów – wymagają specjalistów od zachowań”. Od kilku lat stwierdzamy, że najlepsze podejście do myślenia o bezpieczeństwie w ogóle, a zwłaszcza do oceny i zarządzania szeregiem cyberataków, obejmuje szeroki repertuar wiedzy technicznej, bezpieczeństwa, prawnej, organizacyjnej i behawioralnej. Na przykład, podczas gdy wielu cyberprzestępców ogranicza swoje ataki do kodu, inni towarzyszą swoim wiadomościom komunikacją werbalną. Wiadomości te często odgrywają istotną rolę w próbach zemsty, wymuszeń, zaszczepienia strachu lub zaimponowania lub wymuszenia na celu. Inni lubią dołączać oświadczenia polityczne, uzasadnienia lub inne wiadomości do swoich ataków. W tym rozdziale opisano narzędzie behawioralne, którego używamy do oceny komunikatów werbalnych, które często towarzyszą tym działaniom, w tym akty poufnych informacji, anonimowe groźby, wymuszenia hakerów, prześladowanie w sieci i inne formy cyberataków

Agile Leadership : URUCHAMIANIE UCZENIA SIĘ

Kiedy myślisz o wyniku, nie musi on być idealny, aby zacząć. Co równie ważne, nie musisz wyznaczać idealnej ścieżki do swojego wyniku, zanim cokolwiek zrobisz. Aby dowiedzieć się, jak dostać się stąd (gdzie stoisz) do tego (pożądanego wyniku), musisz zacząć. Zaczynasz od czegoś dość ograniczonego – kilka pierwszych ruchów wiosłem, że tak powiem – i zobacz, co się stanie. Oto dlaczego: bez rozpoczynania możesz łatwo zostać przytłoczonym. Karl Weick, psycholog z Cornell University, opublikował w 1984 roku ważny artykuł, w którym ujął ten pomysł. Weick badał, dlaczego problemy społeczne na dużą skalę mogą zamknąć innowacje. Te problemy społeczne, takie jak rosnąca bieda, rosnąca przestępczość, zanieczyszczenie środowiska, choroby serca lub korki uliczne, mogą pojawić się w naszych umysłach tak mocno, że zostajemy sparaliżowani. Sensacjonalizowanie tych problemów, wszystko w nadziei na mobilizację do działania, może przynieść coś wręcz przeciwnego. Łatwo stajemy się bardziej sfrustrowani i jesteśmy bardziej podatni na poczucie bezradności. Weick wnikliwie zauważa: „Jak na ironię, ludzie często nie potrafią rozwiązywać problemów, chyba że myślą, że to nie są problemy”. Proponuje ideę sprostania wyzwaniom dużych problemów z podejściem podkreślającym wartość „małych wygranych”. Wszyscy byliśmy w takich sytuacjach, w których zdefiniowaliśmy problem na tak dużą skalę i ogólnie, że nie mamy pojęcia, od czego zacząć. „Wrzenie oceanu” to trochę denerwujący żargon biznesowy, który oddaje ten pomysł. Nigdy nie możemy zagotować oceanu tylko dlatego, że jest za dużo wody. W tym samym duchu nigdy nie osiągniemy dużych postępów, jeśli od samego początku postawimy sobie niemożliwe zadanie. Bierzemy na siebie więcej, niż jesteśmy w stanie znieść. Ponieważ nasze zasoby są ograniczone, w końcu rozprzestrzeniamy się zbyt cienko. W końcu, jak zauważa Weick, czujemy się sfrustrowani i bezradni. Natomiast kiedy dzielimy duże wyzwania na mniejsze, łatwiejsze do wykonania zadania, nie tylko zmniejszamy ryzyko, ale także zwiększamy szansę na dobre samopoczucie po osiągnięciu czegoś. Pomysły Weicka przyjęły się, zwłaszcza w świecie projektowania i innowacji. Elizabeth Gerber, profesor projektowania na Northwestern University, podkreśla znaczenie prototypowania o niskiej wierności, która jest blisko spokrewniona. Gerber definiuje prototyp o niskiej wierności jako minimalnie szczegółowy wyraz pomysłu. W przypadku projektowania nowej strony internetowej prototyp o niskiej wierności może być po prostu rysunkiem. W przypadku nowego produktu może to być tekturowa makieta. Według Gerbera prototypowanie o niskiej wierności przyspiesza proces rozwoju. Podaje kilka powodów: przeformułowuje możliwość niepowodzenia w okazję do nauki; poprawia komunikację pomiędzy członkami zespołu; daje zespołowi poczucie postępu; i zwiększa zaufanie zespołu do własnej kreatywności. Jest jeszcze jeden powód, dla którego szybkie rozpoczęcie projektów jest ważne. Działają jak eksperymenty, aby przetestować niektóre kluczowe założenia. W świecie zarządzania dobre eksperymenty pomagają firmom radzić sobie w złożonych, dynamicznych sytuacjach. Doskonała wiedza nie jest możliwa, więc najlepszą opcją jest testowanie pomysłów. Jeanne Liedtka, profesor w Darden School of Business na University of Virginia, nazywa te eksperymenty początkami uczenia się. Ta koncepcja oddaje przedsiębiorczy sposób myślenia i skłonność do działania. Analiza może być czasochłonna, myląca i paraliżująca (pomyśl o biednej duszy próbującej przeanalizować każdy szczegół spływu kajakiem). Natomiast projektowanie eksperymentów generuje wiedzę o tym, co działa (a co nie). Ta praktyczna wiedza jest dużo bardziej bezpośrednia i istotna niż wielki plan.

Lean Customer Development : Unikanie pytań wiodących

Uważaj na pytania uzupełniające. Bardzo łatwo jest przypadkowo zadać wiodące pytania. Kiedy już zadałeś wiodące pytanie, wpłynąłeś na stronniczość odpowiedzi rozmówcy. Wiodące pytania są często konstruowane w następujący sposób:

  • Czy nie sądzisz, że ______?
  • Czy spowodowałoby to problem, gdyby _______?
  • Czy zgodziłbyś się, że _________?
  • Czy chciałbyś, żeby _________?

Taka struktura często prowadzi do tego, że rozmówca zaczyna swoją odpowiedź od „tak” lub „nie”. Możesz nie zdawać sobie sprawy, że właśnie zadałeś wiodące pytanie, ale jeśli rozmówca zaczyna odpowiedź od „tak” lub „nie”, prawdopodobnie to zrobiłeś. Zaznacz to w swoich notatkach, abyś wiedział, że należy traktować tę odpowiedź ze sceptycyzmem. Oczywiście będzie wiele okazji, w których rozmówca nie powie nic interesującego, nawet po tym, jak dałeś mu więcej pytań uzupełniających. Nie zmuszaj tego. Nie każde pytanie jest produktywne dla każdej osoby. Przejdź do następnego pytania lub tematu.

Ile Google wie o Tobie : Podsumowanie (I)

W istocie Google jest narzędziem wyszukiwania z wieloma zaawansowanymi opcjami; niestety suma wszystkich zapytań osób lub organizacji ujawnia wiele poufnych informacji. Elegancja i prostota interfejsu wyszukiwania Google to kusząca brama do zestawu narzędzi Google zorientowanych na wyszukiwanie. Setki milionów ludzi używa ich do wyszukiwania informacji dotyczących wszystkich aspektów ich codziennego życia. Wbrew intuicji interfejs Google może być zbyt użyteczny i kusić ludzi do ujawnienia informacji bez obaw, w tym niezwykle wrażliwych, osobistych i ostatecznie jednoznacznie identyfikujących informacje. Zaawansowane funkcje wyszukiwania i narzędzia zorientowane na pola wyszukiwania przyspieszają ten proces. W rezultacie nawet najbardziej nieszkodliwe wyszukiwania stają się wrażliwe, gdy są agregowane w czasie. Każde zapytanie dostarcza nową informację, która jest zbieżna w profilu każdego użytkownika i ostatecznie zapewnia środki do jego jednoznacznej identyfikacji, nawet jeśli zaczyna od nowa na nowej maszynie i w innej sieci. Oprócz wrażliwych wyszukiwań, wyszukiwarki wiążą się z wieloma nieodłącznymi zagrożeniami: wysyłaniem ludzi do niewłaściwych lub złośliwych miejsc docelowych, być może atakowaniem określonych użytkowników lub umożliwianiem stronom trzecim ujawnienia poufnych informacji na temat innych osób, grup i firm. W rezultacie użytkownicy przekazują swoją wolność intelektualną, zezwalając wyszukiwarkom na wysyłanie ich tylko do miejsc docelowych, które firmy takie jak Google uważają za dopuszczalne. Jednocześnie użytkownicy ujawniają tak wiele szczegółów swojego życia, że ​​podlegają kaprysom tych, którzy prowadzą wyszukiwarki. Google może sprawić, że ludzie znikną z elektronicznego wszechświata, ukształtować publiczny odbiór, szantażować światowych przywódców i poszczególnych obywateli. Ta moc jest przekazywana każdemu użyciu bezpłatnych narzędzi online. Wyszukiwarka to podstawa potęgi Google i kluczowy sposób, w jaki rezygnujemy z kontroli nad naszym losem – jedno zapytanie na raz.

Zaufanie w Cyberspace : Prywatne problemy

Dane osobowe powinny być bezpiecznie zarządzane przez cały cykl życia danych. Wymogi dotyczące prywatności określają odpowiedzialność organizacji za gromadzenie, wykorzystywanie, ujawnianie, przechowywanie i niszczenie danych osobowych (lub danych osobowych, informacji umożliwiających identyfikację). Prywatność jest jednym z kluczowych problemów organizacji, które chcą korzystać z usług w chmurze do przechowywania i przetwarzania danych klientów, ponieważ fizyczne granice nie mają już znaczenia. Na całym świecie istnieje wiele wymogów regulacyjnych, zgodności i prawnych dotyczących prywatności danych, w zależności od branż i jurysdykcji. Spełnienie takich wymagań i ustanowienie odpowiedzialności w chmurze to złożony problem, ponieważ dane w chmurze mogą być dystrybuowane w wielu jurysdykcjach. Organizacje mają również obawy co do możliwości zapewnienia dostępu do wszystkich danych osobowych danej osoby, gdy dane są przechowywane w chmurze. Aby spełnić wymagania dotyczące prywatności, dostawca CSP powinien zachować wysoki poziom przejrzystości w odniesieniu do lokalizacji przechowywania, przesyłania danych, zatrzymywania danych i niszczenia danych. Klientowi chmury trudno jest upewnić się, że dostawca zniszczył dane umożliwiające identyfikację pod koniec okresu przechowywania i nie zachował wszelkich kopii.

Ciemna Strona Neta : Otwarte sieci, wąskie umysły: kulturowe sprzeczności wolności w Internecie

Pomimo wszystkich pochwał, jakie amerykańscy dyplomaci gromadzili na Twitterze za ich wybitną rolę w irańskich protestach w 2009 r., Jeden niezwykle ironiczny rozwój pozostał w dużej mierze niezauważony: pozwalając Irańczykom na udostępnianie zdjęć i filmów z ulic Teheranu, kierownictwo Twittera mogło naruszyć USA prawo. Niewielu cheerleaderek Twittera w mediach zwróciło uwagę na fakt, że surowe sankcje nałożone przez rząd USA na Iran obejmują amerykańskie firmy technologiczne, w tym te oferujące usługi internetowe zwykłym Irańczykom. W rzeczywistości te amerykańskie sankcje, nakładane głównie przez Departament Skarbu i Departament Handlu, z dala od cyberutopijnych biur Departamentu Stanu, zaszkodziły rozwojowi irańskiego Internetu w takim samym stopniu, jak brutalne represje irańskiej policji. . Do marca 2010 r., Prawie rok po protestach, Irańczycy nie mogli legalnie pobrać przeglądarki Google Chrome, nawiązywać połączeń przez Skype ani czatować przez komunikator MSN. Wszystkie te usługi (i wiele innych) podlegały raczej bizantyjskiemu zestawowi ograniczeń nałożonych przez rząd USA. Niektóre można było przezwyciężyć, ale większość amerykańskich firm postanowiła nie zawracać sobie głowy; takie walki byłyby zbyt kosztowne do zorganizowania, a zyski, jakie osiągnęliby ze sprzedaży reklam internetowych Irańczykom, nie wydawały się wystarczająco lukratywne. Większość irańskich grup opozycyjnych ma trudności ze znalezieniem amerykańskiej firmy chętnej do hostowania ich stron internetowych; ci, którzy mają więcej szczęścia z firmami europejskimi lub azjatyckimi, nie mogą łatwo za nie zapłacić, ponieważ amerykańskie systemy płatności online, takie jak PayPal, nie oferują swoich usług Irańczykom. Co dziwniejsze, ci, którzy chcą przebić się przez liczne irańskie zapory ogniowe, omijając rządowe blokady witryn takich jak Twitter, nie mogą tego łatwo zrobić, ponieważ eksport narzędzi antycenzurowych również wchodzi w zakres systemu sankcji. Co więcej, większość technologii wykorzystujących szyfrowanie podlega złożonemu zestawowi specjalnych przepisów eksportowych, zwolnień i licencji. Jak na ironię, różne organizacje non-profit finansowane przez rząd USA nadal szkolą irańskich aktywistów, aby mimo sankcji używać wielu z tych narzędzi; w pewnym sensie amerykańscy podatnicy finansują szkolenie Irańczyków w korzystaniu z narzędzi, których nie zezwala im rząd USA. Amerykańscy dyplomaci w końcu zdali sobie sprawę, że obecny reżim sankcji „ma niezamierzony wpływ na zdolność firm takich jak Microsoft i Google do dalszego dostarczania podstawowych narzędzi komunikacyjnych zwykłym Irańczykom”, jak to określił przedstawiciel Departamentu Stanu w liście wysłanym do Senat sześć miesięcy po irańskich protestach. W marcu 2010 r. Skarb Państwa zgodził się na wprowadzenie ograniczonych zmian do swoich przepisów, zezwalając na eksport „ogólnodostępnych masowych usług online. . . incydent związany z wymianą osobistych kontaktów przez Internet ”wobec Iranu (sankcje kubańskie i sudańskie również zostały odpowiednio zmienione). Te poprawki nie obejmują jednak eksportu większości programów służących do omijania cenzury, co oznacza, że ​​Irańczycy wciąż mają do czynienia z zagrożeniami prawnymi, gdy chcą przebić się przez zapory ogniowe, które amerykańscy decydenci tak bardzo chcą, aby je przebili.

Audyt Umysłu Hackera : Obliczenia niezawodności wyników relacji metryk internetowych

Podczas charakteryzowania przeciwnika z ilością możliwych do zaobserwowania danych, które wymagają od nas próby przewidzenia najbardziej prawdopodobnych wartości nieznanych zmiennych, pomocna jest ocena, jak trafne jest nasze przypuszczenie. Analizując dane wejściowe wykorzystywane do scharakteryzowania cyberprzestępcy, jesteśmy w stanie ocenić jakość charakterystyki, oceniając, które z wykorzystanych metrycznych zmiennych wejściowych mają udowodniony związek z innymi, nieznanymi zmiennymi, potwierdzając się w ten sposób w przypadkach, gdy wyniki ich odpowiednich wskaźników „zgadzają się”. Rysunek pokazuje, w jaki sposób możemy ustalić dokładność charakteryzacji, badając relacje między wykorzystanymi zmiennymi. Zwróć uwagę, że punktacja 1 jest przyznawana zmiennej, jeśli skutkuje to potwierdzeniem innej zmiennej. Taki wynik wystąpiłby, gdyby zmienna ładunku narzędzia ataku została wypełniona w celu określenia zmiennej nieznanej techniki ataku – łatwości implementacji. Wynik 2 jest przyznawany, gdy zmienna ataku potwierdza dwie lub więcej innych zmiennych, użytych w tych samych lub sąsiadujących metrykach. Byłoby tak w przypadku, gdyby zmienna warunków wstępnych narzędzia ataku została użyta do określenia zarówno techniki ataku – wymagane zasoby nietechniczne, jak i zmienne zmniejszające technikę ataku – inhibitor. Oczywiście im bardziej znane (obserwowalne) zmienne, które mają znane relacje z innymi znanymi (obserwowalnymi) zmiennymi, tym wyższy wynik i większa dokładność charakteryzacji.

Rysunek 2 przedstawia przykład, gdzie jedynymi dostępnymi danymi wejściowymi do metryki charakterystyki narzędzia ataku (przedstawioną w rozdziale 4) jest ładunek ataku. Chociaż wynik dla tej konkretnej charakterystyki wynosi tylko 3, na podstawie wyświetlonych metryk, należy zauważyć, że w charakterystyce zwykle stosowane byłyby dodatkowe metryki, a jedynym celem diagramu jest zademonstrowanie sposobu, w jaki system punktacji byłby używany w prawdziwej charakterystyce

Podsumowanie

Metodologie i miary charakteryzacji przeciwników dają nam solidną podstawę do odpowiedzi na niektóre pytania, które zadaliśmy sobie na początku tej książki. Pytania te obejmowały: Jakie są możliwości naszego przeciwnika? Jaka jest motywacja naszego przeciwnika? I, co może najważniejsze, skąd naprawdę wiemy, że ktoś jest naszym przeciwnikiem? Niezależnie od tego, czy rozpatrywane dane kontradyktoryjne odnoszą się do wykorzystania inżynierii społecznej, dostępu do informacji poufnych w Twojej organizacji, czy też niepublikowanej luki w zabezpieczeniach, którą posiada przeciwnik, ustalone przez nas zasady, metodologie i wskaźniki mają zastosowanie ogólne. realia radzenia sobie z niektórymi bardzo realnymi zagrożeniami, w tym osobami wewnętrznymi w dużych organizacjach, tym, co środki masowego przekazu wybierają nazywać cyberterrorystami, oraz sposobami wykrywania i zarządzania tymi konkretnymi zagrożeniami. Ilość danych dotyczących przeciwnika bez granic, ale zasady pozostają takie same. Czytając pozostałe rozdziały, zastanów się, czego nauczyłeś się do tej pory; zastanów się, jak to, o czym czytasz, pasuje do modelu przeciwnika i jak odnosi się to do Ciebie i Twojej organizacji. Jeśli czytasz o insiderach, zastanów się, w jaki sposób ich dodatkowe zasoby – ich wyższy poziom początkowego dostępu do organizacji – wpływają na postrzeganie przez przeciwnika ryzyka związanego z atakiem,  i w jaki sposób może uczynić atak bardziej atrakcyjnym. do przeciwnika.

Agile Leadership : ZACZNIJ POWOLI, ABY JECHAĆ SZYBKO – ALE START (UMIEJĘTNOŚCI 7)

Wyobraź sobie przez chwilę, że stoisz na plaży i spoglądasz na odległą wyspę. Twój kajak siedzi obok Ciebie. Planujesz jednodniową wycieczkę na wyspę i z powrotem i zaczynasz trochę późno; musisz się upewnić, że wrócisz przed zachodem słońca. Stajesz przed wyborem. Możesz usiąść na plaży i spróbować zaplanować swoją podróż w taki sposób, aby mieć pewność, że się powiedzie. Aby to zrobić, musisz zmierzyć siłę wiatru i jego kierunek. Obliczylibyście wielkość i kierunek fal. Musiałbyś sprawdzić, czy podmuchy wiatru mogą się nasilić lub uspokoić. Musisz oszacować czas przypływów i siłę przyciągania księżyca. Musiałbyś także przypomnieć sobie o oszacowaniu wpływu prądów na Twój kurs. Mając wszystkie te informacje, będziesz musiał wykonać pewne obliczenia, aby nakreślić kurs. Alternatywnie możesz sprawdzić prognozę pogody, szybko ocenić warunki przed tobą, wejść do wody i zacząć wiosłować. Mądrym wyborem jest podniesienie wiosła. Jedynym sposobem na zrozumienie prawdziwego wpływu wiatru i fal na nasz kajak jest doświadczenie tego. Następnie możemy na bieżąco dokonywać obliczeń i dostosowywać. W ten sam sposób możemy zobaczyć, jak inne niewidoczne czynniki wpływają na kierunek naszego kajaka. Tak naprawdę nie musimy wiedzieć, czy to pływy czy prąd powodują dryfowanie naszej łodzi. Po prostu widzimy, że nasza łódź dryfuje i dokonujemy subtelnej zmiany w naszym kierunku. W spokojny dzień nie musimy często wprowadzać tych zmian. Gdyby jednak wiatr się wzmógł, tak że fale na naszej łodzi stałyby się bardziej gwałtowne, bylibyśmy sprytni, gdybyśmy dokonywali tych zmian częściej. Zamiast dostosowywać nasz kurs mniej więcej co dziesięć minut, moglibyśmy dokonywać korekt już po dwóch lub trzech ruchach wiosłem. Podoba nam się ta analogia kajakowa, ponieważ oddaje wiele niepewności, z którą wszyscy spotykamy się, gdy żyjemy. Wszyscy możemy mieć w głowie wynik do osiągnięcia – lepszą pracę, sprawniejszą organizację, lepiej prosperującą społeczność – i chcemy osiągnąć to tak szybko, jak to tylko możliwe. Rzeczywistość jest taka, że ​​naprawdę nie możemy się nauczyć, jak osiągnąć ten wynik, dopóki nie zaczniemy czegoś robić. Nie oznacza to, że nie siedzimy ani na chwilę, nie zbieramy informacji (np. Prognozy pogody) i nie myślimy. Oznacza to jednak, że nie próbujemy wymyślić idealnego planu. Nie jesteśmy sparaliżowani analizą. Nie ograniczamy naszej zdolności do działania poprzez angażowanie się w nasze lęki. Zamiast tego patrzymy w przyszłość z przekonaniem, że jesteśmy w stanie doświadczyć tego, czego nie potrafimy w pełni zrozumieć, nauczyć się i podejmować decyzje, które łączą zarówno fakty, jak i naszą intuicję. Mamy wystarczająco dużo doświadczenia, aby rozpoznać, że możemy ufać naszej intuicji, ale jesteśmy na tyle sprytni, aby zdać sobie sprawę, że możemy się mylić. Być może będziemy musieli wprowadzić poprawki. Kiedy niewidzialne siły wpływające na nasz kurs są silne i szybko się zmieniają, będziemy musieli być przygotowani do podjęcia szybkich decyzji. Zwinny lider rozumie granice naszej zdolności rozumienia i analizowania złożonych, niewidocznych systemów. Zwinni liderzy są skłonni do działania z prostego powodu: uczymy się o tych złożonych systemach jedynie działając. Jeśli chcemy szybko dokonać dużych zmian, musimy iść powoli… ale przede wszystkim musimy iść.