[00:00:00] Erick Rudiak: Ich denke, was ich den Leuten gerne über diese Serie vermitteln würde, ist der Geist der Kameradschaft und der Gemeinschaftsgeist, der schon immer da war, und die Informationssicherheit. Und ich denke, eines der wirklich coolen Dinge an dieser Serie ist, dass sie eine konzentrierte, leicht verdauliche Version dieser wirklich bereichernden, magischen Erfahrungen schafft, wo Menschen, die sich mit Leidenschaft für ihr Thema engagieren. Einfach um zusammenzukommen und zu reden. Und es geht nicht so sehr darum, die Vorhersagen richtig zu treffen, sondern vielmehr darum, das Gespräch zu führen.
[00:00:34] Produzent: Hallo und willkommen bei Sicherheitsvisionären, moderiert von Jason Clark, Chief Security Officer und Chief Strategy Officer bei Netskope. Sie haben gerade von unserem ersten Gast, Erick Rudiak, Senior Vice President und Chief Technology Officer von Northwestern Mutual, gehört. In dieser Sendung erfahren Sie von Weltklasse-Praktikern und Vordenkern wie Erick, wie sie auf dem Laufenden bleiben und Netzwerk- und Cloud-Sicherheit zum Auftakt. Sie hören sich gleich die erste Hälfte einer zweiteiligen Diskussion über die Grundsätze der Sicherheitsübertragung an. Diese Diskussion und der Podcast „Security Visionaries“ sind Teil eines Playbooks zur Sicherheitstransformation, einer Reihe neuer Ressourcen von Netskope und einigen der zukunftsorientiertesten Führungskräfte der Branche, die die wichtigsten Sicherheitsthemen von heute untersuchen. Bevor wir eintauchen, hier ein kurzer Überblick. Von unserem Sponsor,
[00:01:24] Sponsor: Der Podcast „Sicherheitsvisionäre“ wird vom Team von Netskope betrieben. Netskope ist der SASE-Anführer. Bietet alles, was Sie benötigen, um ein schnelles, datenzentriertes und cloud-intelligentes Benutzererlebnis im heutigen Geschäftstempo zu bieten. Erfahren Sie mehr unter Netskope.
[00:01:42] Produzent: Kommen wir ohne weitere Umschweife zur ersten Episode von „Sicherheitsvisionäre“ mit Ihrem Moderator Jason Clark.
[00:01:49] Jason Clark: Willkommen bei Security Visionaries. Ich bin heute Ihr Gastgeber, Jason Clark, CSO bei Netskope. Zu mir gesellt sich mein ganz besonderer Gast, Erick Rudiak Air. Okay wie geht es dir?
[00:01:57] Erick Rudiak: Mir geht es großartig. Es ist schön dich wieder zu sehen. Schön, Sie wieder zu hören und mit Ihnen über Sicherheit zu sprechen. Äh, ich liebe es. Vielen Dank für die Gelegenheit.
[00:02:06] Jason Clark: Ja, wir reden schon eine ganze Weile darüber, worauf wir noch näher eingehen werden. Rechts. Und so ist es schön, ähm, es ist schön zu sehen, wie das alles verwirklicht wird. Wir werden also mit den Zuhörern darüber reden, aber sie fangen an. Was, ähm, erinnerst du dich, als wir uns das erste Mal trafen?
[00:02:21] Erick Rudiak: Ich denke, wir haben zum ersten Mal die Art und Weise kennengelernt, wie die meisten CSOs Ihnen vorgestellt werden, nämlich dass sie in eine neue Stadt ziehen. Sie bekommen einen neuen CSO-Job und Jason Clark ruft ihn an und sagt: Willkommen in St. Louis. Ähm, lass uns zu Abend essen gehen. Lass uns einfach fachsimpeln und nein, ich erinnere mich genau. Ich glaube, Sie waren im wahrsten Sinne des Wortes die erste Person, die mich nicht für die Express Scripts interviewt hat. Um mich in der Stadt willkommen zu heißen. Äh, und dann werde ich immer dafür dankbar sein. Und Sie waren sehr herzlich,
[00:02:50] Jason Clark: Ich glaube, wir haben uns Sushi gegönnt. Es war Sushi, nicht wahr?
[00:02:52] Erick Rudiak: Sie haben wahrscheinlich Steak angeboten und ich habe umgeleitet, ich habe mit Sushi gekontert. Ähm, und das kann ich, dass damit eine lange Tradition von Meinungsverschiedenheiten zwischen Ihnen und mir begann.
[00:03:03] Jason Clark: Ich bin damit einverstanden, bei vielen Themen anderer Meinung zu sein. Ähm, und das war wahrscheinlich, welches Jahr war das?
[00:03:09] Erick Rudiak: Das war Anfang 2011, als wir uns trafen.
[00:03:11] Jason Clark: Wow. Das ist verrückt.
[00:03:14] Erzählen Sie mir also, wissen Sie, erzählen Sie uns ein wenig über Ihre Reise, oder? Was hat Sie zu der CTO-Rolle gebracht, die Sie jetzt innehaben, und ein wenig darüber.
[00:03:24] Erick Rudiak: Ich meine, wenn ich über meine, äh, sicherlich meine Wege in das Informationsrisiko nachdenke, hatte ich in meiner Karriere mehrere Male das Glück, sowohl am richtigen Ort als auch am richtigen Ort zu sein Zeit zu haben und die richtigen Freunde zu finden. Und so begann meine Reise in das Informationsrisiko im Sommer 1997. Ich habe bei Hewitt Associates gearbeitet, und wir waren zu dem Schluss gekommen, dass wir bei der Bereitstellung von 401k-Selbstbedienungslösungen im Internet nicht von unserer Konkurrenz überholt werden würden. Und das war die Zeit, in der wir Internet-Technologien aus allen Nähten bauten. Wissen Sie, Java-Middleware war noch eine junge und aufstrebende Technologie. Äh, ich erinnere mich. Wir führten Leistungstests durch und stellten am Tag der Veröffentlichung fest, dass wir SSL-Beschleuniger brauchten, und, ähm, Rainbow-Technologien ließen uns ein paar zwei sehr hohe Kryptoboxen liefern, die einfach sehr schnell Zufallszahlen generierten. Denn wissen Sie, wir haben beim Start nur ununterbrochen nach P und P prime und Q und Q prime gefragt. Aber am Ende dieses erstaunlichen Projekts, das eine Reihe von Karrieren ins Leben gerufen hat, war unter anderem der derzeitige CIO von CVS Teil dieses Projektteams. Und der CTO von Hewitt kam auf mich zu und sagte: „Schau mal, das war ein Wendepunkt, bis, äh, im Sommer 1997 das Internet bei jeder Geschwindigkeit als unsicher galt, besonders für ein Unternehmen wie Hewitt, das Millionen von Menschen schützt.“ personenbezogene Daten von Personen. Und es ging bei jeder Geschwindigkeit von unsicher zu. Nicht mit dem Internet verbunden sein. Und so wurde ich quasi aus dem Entwicklungsteam, das eine Internetanwendung entwickelte, in eine Position gebracht, in der ich mich hauptberuflich mit Internetsicherheit beschäftige. So kam ich in meiner Karriere bei Hewitt voran und wurde schließlich Chief Information Security Officer. Und dann kamen 2011 Express-Drehbücher. Wir haben Express-Skripte in ein Fortune-25-Unternehmen eingebaut. Es war wirklich aufregend und es war großartig, dass wir die Mission Line übernommen haben, da Express-Drehbücher den dritten Teil davon übernehmen. Nationen verschreibungspflichtige Medikamente, Verkehr, ähm, elektronisch, ähm, die Details rund um die Rezepte, ähm, die, Sie wissen schon, die Zahlungen, die, die Kosten, die Erstattungen, und wir waren ein Unternehmen, das Geld verdiente, als wir die Gesundheitsversorgung sicherer machten und für unsere Kunden sicherlich erschwinglicher. Ähm, aber letztendlich das ganze Land aufgrund der Art und Weise, wie wir führen. Und so wurden wir nach neun Jahren mit Express-Drehbüchern von Cigna übernommen und ich hatte die Gelegenheit, wirklich nachzudenken. Was ich in meiner Karriere tun würde. Und so war es, äh, es war wirklich aufregend, eine Pause einzulegen, einen Schritt zurückzutreten und auf eine Art und Weise über meine Karriere nachzudenken, die irgendwie unbelastet von aktuellen Projekten, der aktuellen Situation des aktuellen Teams war. Und ich habe darüber nachgedacht, weiterhin ein berufliches Informationsrisiko einzugehen, aber ich habe auch darüber nachgedacht, etwas völlig anderes zu machen, wozu mein Hintergrund in der Informationssicherheit passen würde. Ein vielseitigerer und interessanterer Mitwirkender in einer anderen Rolle. Und so hatte ich, ähm, das Glück, ein Vorstellungsgespräch bei Northwestern Mutual zu führen und zum Chief Technology Officer gewählt zu werden. Und genau das habe ich in den letzten Jahren getan.
[00:06:36] Jason Clark: Also Erick, weißt du, ich liebe es, mit Leuten wie dir zu reden, die CSO waren und dann eine andere, andere Rolle übernommen haben. Rechts. Ähm, egal, ob es sich um eine CIO- oder CTO-Rolle handelt, oder sogar, wissen Sie, um den Sprung in die geschäftliche Seite, äh, wissen Sie, ein bisschen wie offensichtlich, wissen Sie, das Verrückte. Es wurde ein Marketing- und Strategiebeauftragter vom CISO. Rechts. Das ist nicht der übliche Weg, aber was würden Sie jetzt, wo Sie die Rolle des CTO übernommen haben, anders machen? Und wenn Sie wieder in eine CSO-Rolle versetzt würden, was hätten Sie gelernt, das Sie dazu bringen würde, Dinge anders zu machen?
[00:07:12] Erick Rudiak: Sicherlich eines der Dinge, die ich hatte, als ich war. CSO hatte eine großartige Beziehung zu unserem CTO. Es war immer eine Partnerschaft. Es war immer ein Team, ein Traummodell. Gleichzeitig ist das Maß an Einfühlungsvermögen, das ich für unsere Entwickler hatte, in meiner Zeit bei Northwestern Mutual um das Zehnfache gestiegen und ich habe im Gegensatz dazu wirklich jeden Tag die Möglichkeit, den Tag im Leben unserer Entwickler zu erleben in regelmäßigen Abständen, wenn ich Gelegenheit habe, mit unseren Softwareentwicklungsteams zusammenzuarbeiten. Und so ein gewisses Unterverständnis, wissen Sie, auf eine viel tiefere und persönlichere Weise. Was die Herausforderungen für unsere Entwicklungsteams sind, viel direkter verstehen, wie unsere Entwicklungsteams agil arbeiten, welche Tools ihnen zur Verfügung stehen, das, Sie wissen schon, das. Die CI-CD-Pipelines, die sie verwenden, die Lieferpläne und Anforderungen, die an sie gestellt werden. Und auch die Gelegenheit, mit einem anderen CSO mit anderen Standpunkten zusammenzuarbeiten, war ein Geschenk für mich, die Gelegenheit, mit Laura Diener zusammenzuarbeiten, die zu Northwestern Mutual kam, und von ihr zu lernen. Und zu beobachten, wie sie über Risiken denkt. Ähm, als sei sie einer meiner Lieblingsmenschen, mit denen ich rede, weil wir gewissermaßen diese Herkunft teilen, und dennoch haben die Vielfalt der Gedanken und die unterschiedlichen Ansätze, die Laura und ich verwendet haben, ähm, meinen Standpunkt absolut bereichert. Und wenn ich jemals die Gelegenheit hätte, ein CIS zu sein, dann nehme ich noch einmal die Dinge, die ich durch den Aufbau von Beziehungen, mit Software-Ingenieuren, mit Testern, mit unseren QA-Teams, mit unseren agilen Coaches und auch durch das Sehen gelernt habe Die Art und Weise, wie ein anderer CSO tagein, tagaus vorgeht und die Arten von Risiken reduziert, die ich früher verfolgt und reduziert habe, ähm, das hat mich rundum bereichert. Eindrucksvoll.
[00:09:06] Jason Clark: Es hört sich an. Klingt, als müsste ich sie richtig kennenlernen. Sowie. Ich liebe, äh, ich liebe es, mit brillanten CSOs zu reden und zu arbeiten, die alle unterschiedliche Ansichten haben. Und so ist es am Ende offensichtlich. Das Erstaunliche an dieser Branche ist, dass wir alle voneinander lernen. Rechts. Und wir haben einen gemeinsamen Feind und, äh, und so, wissen Sie, haben wir am Ende Recht. Wir sind nur hier, um uns gegenseitig zu helfen. Wenn wir also darüber sprechen, richtig, und das ist heute ein wichtiger Teil des Gesprächs, dann haben Sie und ich uns vor zwei Jahren an einem Projekt beteiligt, das wir Sicherheit 2025 nannten. Und jetzt sind wir da, wissen Sie, es ist irgendwie in diesen Podcast eingedrungen, den wir „Security Visionaries“ nennen, und dann in ein Buch mit dem Titel „Security Transformation Playbook“. Und, wissen Sie, wieder zwei Jahre Arbeit, ich glaube, 30 bis 50 Round-Table-Dinner auf der ganzen Welt und jede Menge Steak- und Sushi-Dinner, Erick, wissen Sie, und der Versuch, Leute zu interviewen und, und Umfragen und einfach, einfach viel nachgedacht, oder? Was hat Sie gereizt, überhaupt mitzumachen?
[00:10:04] Erick Rudiak: In erster Linie war es die Gelegenheit, der Gemeinschaft etwas zu geben, die mir im Laufe der Jahre so viel gegeben hat. Ich hatte das Gefühl, dass ich nach über einem Jahrzehnt als CISO das Mindeste war, ein paar Dinge aufzuschreiben und an einem Projekt teilzunehmen. Letztendlich ging es im Grunde darum, die Branche besser zu machen. Und so die Gelegenheit, die Gelegenheit zurückzugeben, wie Sie wissen, engagierte, unverfälschte Zeit damit zu verbringen, über Informationssicherheit nachzudenken und darüber nachzudenken, wie unsere Branche besser werden könnte und Teil dieser Transformation zu sein und im Dienste dieser Bruderschaft zu handeln Die Studentenvereinigung der CISOs, der wir angehören, war bei weitem der größte Reiz. Wissen Sie, ich habe auch gesehen, dass es ein Projekt war, das erfolgreich sein würde. Wie ich an Ihnen gesehen habe, Jason, und an den Materialien, die Sie mir dort im Frühjahr 2019 zu zeigen begonnen haben, dass dies, wissen Sie, ein Teil des Leitfadens jedes CISOs sein würde, a Als Teil ihres Bücherregals wäre das eine Art Pflichtlektüre, da wir die Gelegenheit hätten, sowohl die Geschichten der Vergangenheit als auch die gewonnenen Erkenntnisse festzuhalten und daraus eine Vision für die Zukunft zu machen. Und wenn wir Zeit mit anderen CISOs verbringen, lernen wir ständig voneinander. Und wenn wir Glück haben, werden wir Teil einer Gemeinschaft. Wenn wir also Glück haben, werden wir Teil von Slack-Kanälen, Mailinglisten und Fly-Ins, und ich erinnere mich, dass ich an diesen Interaktionen die Möglichkeit schätzte, insgesamt eine Menge Informationen herunterzuladen Einmal traf ich mich mit CSOs, sei es bei Abendessen, die Sie gesponsert hatten, oder bei anderen Gemeinschaften, denen ich angehörte. Und so war es äußerst reizvoll, dazu in größerem Umfang beitragen zu können. Ähm, und deshalb war ich wirklich aufgeregt, mich für das Projekt anzumelden.
[00:12:04] Jason Clark: Es hat also, ähm, sozusagen begonnen. Rechts. Was ich Ihnen gesagt habe, ist, dass die Sicherheit umgekehrt ist, die Welt auf dem Kopf steht, richtig. Oder es ist Sicherheit, umgekehrt, es steht auf dem Kopf. Denn unsere Daten befinden sich nicht mehr auf einer CPU, die wir besitzen. Und unsere Apps und unsere Benutzer befinden sich nicht mehr in einem Netzwerk, das wir besitzen und kontrollieren. Rechts. Und das hat das Spiel völlig verändert. Ähm, und in vielerlei Hinsicht bietet es einen Vorteil, richtig. Für einen Bösewicht und ein Sicherheitsdefizit, es sei denn, wir drehen es um. Was würden Sie sonst noch zu unserem ursprünglichen Ziel hinzufügen?
[00:12:36] Erick Rudiak: Wenn ich darüber nachdenke, denke ich an diese Umkehrung als etwas, das nicht offensichtlich war, dass wir die Möglichkeit hatten, uns sozusagen zu verbeugen und, Ihnen kennen und die Rolle des CSO wirklich in einen anderen Kontext stellen als zuvor. Und ähnlich wie bei dem, was Sie als eine Art Inversion auf der Siliziumseite beschreiben, kam es auch zu einer Inversion. Ähm, wissen Sie, bei den kohlenstoffbasierten Lebensformen, den Menschen, die die Arbeit erledigen. Und so ist diese andere Umkehrung des CISO, die in vielen Unternehmen dazu führt, dass er das Gewissen des Unternehmens ist, die einzige Person, die aufsteht und, wissen Sie, den guten Kampf führt und sich für die Informationssicherheit einsetzt Datenschutz, Cyber-Abwehr, ähm, es gibt auch eine Umkehrung der Rolle des CISOs vom Gewissen des Unternehmens hin zum Gewissen. Die Zugehörigkeit zur C-Suite, die Einbeziehung in den Raum, in dem etwas geschieht, und seine Rolle, diese Persona des CISO mussten sich ändern. Und so machte diese Gelegenheit, wirklich über die Umkehrung der Rolle des CISOs vom Gewissen des Unternehmens zum Unternehmensanwalt nachzudenken, der zufällig gut in der Kunst der Cyber-Verteidigung versiert ist, diese Rolle einzigartig. Und diese Transformation war etwas, das ich, wissen Sie, nicht nur für meine Karriere, ähm, als absolut entscheidend ansah, sondern auch für die CISOs, mit denen wir alle in der St. Louis-Community sprechen, und über die wir die Gelegenheit hatten, mit Ihnen zu sprechen unsere anderen Gemeinden. Das war eines der Dinge, die diesen CISOs gemeinsam waren, und die Gelegenheit, das zu nutzen und die Silizium-basierte Inversion und die Kohlenstoff-basierte Inversion, die gerade stattfand, irgendwie zu verbinden, ähm, war super aufregend.
[00:14:24] Jason Clark: Ja. Ich denke, das ist eine großartige Möglichkeit, es auszudrücken. Und dann, wissen Sie, also Erick, als wir damit angefangen haben, dachten wir irgendwie: Okay, wir werden, wir werden diese Zukunft malen. Wir werden den Leuten dieses Playbook besorgen und ihnen einige Ratschläge geben. Rechts? Tipps, Coaching, wie der ganze Zweck eines Spielbuchs, richtig. Es geht darum, ihnen zu sagen, auf welche Hindernisse sie stoßen werden, und ihnen einige Strategien dafür zu geben. Aber ich würde sagen, dass sich alles, auch bei uns, irgendwie beschleunigt hat. Dinge, von denen wir dachten, dass sie bis 2025 passieren würden, begannen deutlich früher zu passieren. Rechts?
[00:14:52] Erick Rudiak: Das war es. Ich denke darüber nach, ähm, im Sommer 2019, als ich gerade darüber schrieb, gab es ein Kapitel in dem Buch, in dem wir darüber schrieben, dass es sehr unterschiedliche Möglichkeiten gibt, wie wir Zugriff auf Daten in der Cloud gewähren müssen. Und wie Sie und ich hatten wir schon lange zuvor die Gelegenheit, an einem Projekt zur Verhinderung von Datenverlust zusammenzuarbeiten, das meiner Meinung nach ziemlich erfolgreich war. Ich denke, wir haben beide erkannt, dass die herkömmliche Verhinderung von Datenverlust nicht funktionieren würde, als die meisten Daten aus einem Rechenzentrum verlagert wurden, das, Sie wissen schon, dieses pompöse, haarnadelförmige Netzwerkverkehrsdesign, das alles irgendwie durch eine kleine Anzahl von Daten erzwang Bei Haushaltsgeräten war es einfach unmöglich zu skalieren, wenn diese Umkehrung eintritt. Und so erinnere ich mich daran, Orte identifiziert zu haben, an denen wir für die Zwecke des Buches Screenshots machen und die Idee veranschaulichen konnten, dass die Änderung einer ACL für eine Datei in einem Cloud-Dienst sowohl der erste Schritt zu einer potenziellen Datenschutzverletzung als auch etwas war, das mit der traditionellen Informationssicherheit zu tun hat Geräte, die wir nicht fangen werden. Als wäre es ein Argument für eine Änderung der gesamten Denkweise der Branche. Informationsschutz. Und dann gab es im wahrsten Sinne des Wortes einen Bruch, als wir die Kapitel schrieben, die genau demselben Drehbuch folgten. Also, äh, es war sowohl demütigend als auch eine Erinnerung daran, äh, als ob wir das Projekt abschließen müssten, bevor all die großartigen Ideen über die Zukunft einfach dazu übergingen, über die Gegenwart zu grübeln.
[00:16:25] Jason Clark: Ich meine, sogar in, und das ist, wissen Sie, ein Teil dessen, was, wissen Sie, dazu führt, dass Teams einige Dreh- und Angelpunkte schaffen müssen. Rechts. Es war so, okay, das passiert jetzt tatsächlich alles. Sie wissen, dass wir unsere Strategie für die Einführung angepasst haben. Rechts. Und es wird einfach auf eine etwas andere Art und Weise darüber gesprochen und sogar relevantere Dinge wie die Pandemie bereitgestellt. Rechts. Sprechen Sie über die Auswirkungen der Fernarbeit, richtig. Und am Ende, wissen Sie, SaaS und, wissen Sie, gibt es ein Kapitel über API-APIs, ähm, und ich denke, es bezieht sich sogar auf das Kapitel über Talente, richtig. Und die sich verändernde Rolle des CISO, wenn wir gerade von dieser sich verändernden Rolle des CISO sprechen. Also habe ich einfach eine gemacht. Dass ich bei einem, den ich vor ein paar Jahren gemacht habe, wo ich bin, nach bestimmten Teilen des Budgets frage, ähm, Netzwerksicherheit, einem Teil des Budgets, und dass die Mehrheit der Netzwerkteams Eigentümer des Netzwerks ist Sicherheit Teil des Budgets. Im Allgemeinen waren 75 % immer noch im Besitz des Netzwerkteams, ähm, Firewalls usw. Und ich habe diese Umfrage an die Netzwerkleiter, Direktoren und höher sowie Sicherheitsverantwortliche und 93 % weitergeleitet. Er sagte, dass beide Teams, Netzwerk und Sicherheit, in den nächsten Jahren zusammenwachsen und ein Team werden werden, weil das Netzwerk jetzt zum Internet geworden ist. Rechts. Ähm, das ist bedeutsam. Ich weiß nicht, ob Sie wissen, was Sie darüber denken oder was Sie in diesem Raum sehen, aber diese Art von Highlight ist einfach, dass dies nicht passiert wäre. Als wir anfingen, dieses Buch zu schreiben, hätten die Leute nicht gesagt, dass das alles zusammenpasst.
[00:17:55] Erick Rudiak: Sicher. Und ich denke, eines der mächtigsten Dinge an einem solchen Buch und einem Spielbuch ist, dass es bestimmte natürliche Entwicklungen gibt, die dies getan haben. In der Informationssicherheit. Und ich denke an eine andere Sache, über die wir geschrieben haben, und die ich persönlich erleben durfte, war die Art und Weise, wie Unternehmen Sicherheitszentralen aufbauen. Und es gibt eine Art natürlichen Fortschritt von einer Art Reifegrad Null, wo alles entweder nicht existiert oder ad hoc ist, aber im Laufe der Zeit, wenn man diese CMI-Reife erreicht, beginnen Unternehmen, Teams aufzubauen und dann Sie werden anfangen zu begreifen, oh mein Gott, das ist wirklich groß. Und sie gehen raus und holen sich einen Service und dann beginnen sie, den Service zu verwalten. Und dann werden sie damit beginnen, Teams aufzubauen, die sich mit bestimmten Teilen des Informationsrisikos auskennen, die so nah am Kern liegen, dass sie darin gut sein müssen. Und dann erreichen sie schließlich ein Gleichgewicht, und dieses Gleichgewicht ist nicht unbedingt in jedem Unternehmen gleich, aber wissen Sie, diese Idee, die Reifeskala nach oben zu bewegen, und wenn man auf der Reifeskala nach oben geht, machen unterschiedliche Lösungen Sinn. So wird „Bauen versus Kaufen“ zu einer anderen Gleichung. Insource vs. Outsourcing wird eine andere Gleichung. Und es ist interessant, darüber nachzudenken, wie hilfreich es ist, einen Plan zu haben. Und führt Sie irgendwie durch die Situation, oh, so sieht es aus, wenn Sie den nächsten Wendepunkt in der Reife erreichen. Ähm, es ist in Ordnung, auf Stufe Null oder Stufe Eins zu sein, wenn man sich einfach ständig weiterentwickelt, wenn man ständig besser wird und dieses Spielbuch einem dabei hilft, die Zukunft vorherzusehen. Und das ist meiner Meinung nach ein wirklich cooler Teil des Buches. [00:19:36] Jason Clark: Ja. Ich meine, wenn wir davon sprechen, stellen Sie sich in Ihrem Kopf: Wer sind Sie, wen stellen Sie sich vor? Die Hauptpersonen sind Menschen. Die dieses Buch lesen.
[00:19:46] Erick Rudiak: Im Idealfall sind es alle, oder? Es ist der Wohlfühl-Sommerhit, den jeder auf seinem Bücherregal hat. Ähm, aber nein, ich denke, wenn Sie ein CISO oder ein stellvertretender CISO sind oder jemand, der seine Karriere in diese Richtung lenken möchte, dann denke ich, dass es eine Menge gibt wertvolles Material dort. Ich denke, eines der Dinge, die mir an diesem Projekt gefallen haben, ist Folgendes: Wir haben eine bewusste Position eingenommen und uns bewusst darum bemüht, dass es in dem Buch nicht nur um Marineinformationen und Sicherheitsleute geht. Für InfoSec-Freaks wie Sie und mich gibt es in dem Buch jede Menge gute Sachen. Aber wenn Sie ein CFO sind, wenn Sie ein CIO sind, wenn Sie ein CTO sind und das wollen. Tauchen Sie einfach für ein oder zwei Kapitel in das Buch ein und verstehen Sie ein wenig, was im Kopf dieses CISO vorgeht, der jetzt Ihr Partner am Tisch ist. Wer ist Teil dieses einen Teams, eines Traumansatzes für den Betrieb der Technologie Ihres Unternehmens? Ich denke, dass es in dem Buch eine Menge Reizvolles geben wird. Für die anderen Zielgruppen, die sich nicht mit Informationssicherheit befassen, als eine Art Decoder-Ring, als, wissen Sie, äh, als ein kleiner Einblick in, oh, das ist es, worüber CISOs denken. Dies ist die Geschichte ihrer Branche und warum sie sich einige der Gewohnheiten und Überzeugungen angeeignet haben, die sie haben, und das in einem wirklich zugänglichen, wirklich verdaulichen Format. Ähm, und also, ja, ich denke, jeder sollte es lesen.
[00:21:17] Jason Clark: Ja, wissen Sie, es ist lustig, ich habe gerade ein Dummies-Buch veröffentlicht und es ist SASE Architecture for Dummies, und das war sehr schwierig, wissen Sie, dieser Prozess, ein Dummies-Buch zu erstellen weil du, du, du verdummst es. Rechts. Und da denkst du, oh, aber ich möchte noch so viel mehr sagen, aber erstaunlich, wie du sagst, für alle, ähm, wir haben es buchstäblich vor ein paar Monaten veröffentlicht und es hat bereits 3000 Downloads. Rechts. Ähm, das ist ziemlich cool. Wenn ich darüber nachdenke, was sich im Hinblick auf die Sicherheit am meisten verändert hat, als wir über diese Pandemie sprachen, wissen Sie, dass diese Änderung der Daten nicht mehr auf einer CPU stattfindet, die Ihnen gehört oder die Sie kontrollieren. Rechts. Hier kommt meiner Meinung nach beides ins Spiel.
[00:22:03] Erick Rudiak: Früher war ich dieser Typ, als wäre ich in Sitzungssälen oder im Rathaus aufgestanden und hätte unsere Arbeit an unserem Silizium gesagt, als ob wir so in Sicherheit bleiben würden. Ähm, und diese Ära ist so vorbei, das ist Vergangenheit. Ich glaube nicht, dass ich denselben Anspruch erheben könnte, wenn ich noch einmal CSO werden würde. Unsere Arbeit an unseren Computern würde jeder Firma, in der ich arbeiten würde, Handschellen anlegen. Als ob es uns einen Wettbewerbsnachteil verschaffen würde.
[00:22:32] Jason Clark: Ja. Was mich auch nach St. Louis geführt hat, richtig Erick, war die Position des CISO bei Emerson Electric, und ich bin dort angekommen, und, wissen Sie, es waren 2000 verschiedene Standorte und 140.000 Mitarbeiter und 80 Abteilungen. Und das erste Projekt, das ich ins Leben gerufen habe, ein globales Projekt, hieß Command and Control. Rechts. Es war eine sehr militärische Terminologie, aber wir werden das Kommando und die Kontrolle über jedes Netzwerk, jedes Gerät und jede Anwendung übernehmen, die wir haben.
[00:23:02] Erick Rudiak: Richtig. Das ist weg. Ja. Und wissen Sie, und ich habe mir immer selbst auf die Schulter geklopft, ich war wirklich stolz darauf, dass unsere Arbeit an unserem Silicon BYOD beinhaltete. Als ob wir die Vision hatten, dass unsere Arbeit an unserem Silizium mit BYO D kompatibel sei, weil wir über Technologie verfügten. Wir hatten, äh, wir hatten Gateways, wir hatten zusätzliche Sicherheit, die es uns ermöglichte, an uns selbst zu arbeiten. Um BYOD zu nutzen, aber das war auch zu einer Zeit vor dieser Umkehrung des Netzwerkperimeters, als unsere Arbeit an unserem Silizium sinnvoll war. Das geht nicht mehr.
[00:23:38] Jason Clark: Wenn wir also, wissen Sie, umziehen würden, würden wir an einen anderen Ort gehen, fünf bis zehn Jahre. Rechts? Was, glauben Sie, würden sich zivilgesellschaftliche Organisationen wünschen, in das sie jetzt investiert hätten? Wenn sie in die Vergangenheit reisen könnten, wenn Sie in Ihre Kristallkugel schauen, in die Zukunft.
[00:23:53] Erick Rudiak: Ooh. Ich meine, die einfache Antwort lautet: Menschen. Die richtigen Leute können alle möglichen anderen Hindernisse und Mängel überwinden, egal ob es um Technologie, Budget oder Zeit geht. Ich würde immer zuerst in unsere Leute investieren. Wissen Sie, das zweite, worauf ich achten würde, ist die Orchestrierung. Wenn ich zum Beispiel darüber nachdenke, und es gibt ein Kapitel in dem Buch, in dem wir über diese Vorstellung von der Vergangenheit sprechen, dann ist das großartig. Denn es gibt einen RFC dazu, den wir zitieren, und es ist ein RFC, wie er aus den Server-Namenskonventionen der frühen Achtzigerjahre stammt, oder? Werden Sie Ihre Server beispielsweise nach Muppets- oder Star-Wars-Charakteren oder Planeten benennen? Ähm, wissen Sie, als ich an der Northwestern University war, habe ich die Geologieabteilung unterstützt und alle Server waren nach Helden der griechischen Mythologie benannt. Ähm, und doch, als ob da ein Übergang stattgefunden hätte. Und das Interessante daran ist, dass man von einer Art persönlichen, auf Vornamen basierenden Beziehung zu seinen Computern zu Computern übergeht, die wie Legosteine mit nahezu unbegrenztem Vorrat und nahezu unbegrenzter Austauschbarkeit und Interkonnektivität sind. Eines der Dinge, die mich als CISO als Erstes an dieser Umkehrung erschreckten, war: „Oh mein Gott, was passiert mit der digitalen Forensik und der Reaktion auf Vorfälle?“ Wie geben mir meine Incident Responder beispielsweise die Play-by-Play-Funktion auf einem Server, dessen Lebensdauer auf fünf Stunden oder fünf Minuten ausgelegt ist? Und es war wild, weißt du, wenn ich nur darüber nachdachte, oh, das wird es erfordern. Es ging nicht nur um neue Technologien, nicht nur um neue, wissen Sie, nicht nur um neue Prozesse, sondern es waren Menschen erforderlich, die in der Lage waren, auf völlig neue Weise zu denken. Und wenn ich darüber nachdenke und darüber nachdenke, in was ich heute als CISO investieren würde. Ich würde also über die Art der maschinengesteuerten Orchestrierung nachdenken. Wenn alles ein Legostein ist und wenn es Tausende und Abertausende von Legosteinen gibt und es sich nicht nur um Server handelt, sondern um Microservices, dann sind das, wissen Sie, Docker-Container, ähm, als würde man den Überblick behalten All das und das auf eine Art und Weise, die die Wiedergabe von Vorfällen unterstützt, die Ermittlungen unterstützt, ähm, die es mir ermöglicht, die Faktenbasis in dem Moment, der am wichtigsten ist, nämlich in meinem Moment, immer zur Hand zu haben. Ich wurde in den Sitzungssaal gebracht und der CEO, ein Vorstandsmitglied, der CIO, der CFO sagt: „Hey CISO, erzähl mir, was passiert ist.“ Ähm, in 10 Jahren, wenn, wissen Sie, wenn alles ein kurzlebiger Microservice ist oder wenn genug Dinge kurzlebige Microservices sind, weil Kubernetes etwas ins Leben gerufen hat, und zwar basierend auf, Sie wissen schon, einem völlig dynamischen Datenverkehr. Dies erfordert eine völlig andere Denkweise darüber, wie unsere Mitarbeiter arbeiten, und darüber, wie unsere Infrastrukturtechnologie neben unserer Sicherheitstechnologie orchestriert und sie informiert. Und so, diese Investition in Orchestrierung, ich denke, äh, wissen Sie, CISOs wären außerordentlich klug, sich das anzuschauen, und dass Orchestrierung überall stattfinden muss. Dies muss in einem Rechenzentrum geschehen, falls Sie noch eines haben. Und es muss auf jeden Fall unbedingt in der Cloud passieren.
[00:27:22] Jason Clark: Wissen Sie, wir haben darüber gesprochen, dass sogar ein Kernprinzip darin besteht, die Orchestrierung zu automatisieren, oder? Ich denke, dass wir bei jeder Technologie, die Sie kaufen, das Prinzip haben, keine Black-Box-Lösungen mehr zu kaufen, dass alles offen und integriert sein muss. Rechts.
[00:27:37] Erick Rudiak: Das stimmt. Ja. Ja. Wir haben darüber gesprochen, ob Ihr Sicherheitsprodukt keine API hat, aber Sie wussten es. Äh, kauf es nicht. Ja. Seien Sie zum Beispiel wirklich vorsichtig, denn wenn es keine API hat, stehen die Chancen gut, dass es sich um ein anderes Sicherheitsprodukt handelt, das Sie in seinen Zustand hinein- und hinaussehen können müssen, und in dieser Blindheit werden Sie blind sein, äh, wird zu einem Nachteil, wenn wir Wiederverteidigung von Systemen und Verteidigung von Daten.
[00:28:00] Jason Clark: Wissen Sie, Sie haben etwas gesagt, das einen Gedanken ausgelöst hat, Sie haben darüber gesprochen, wie wir die Nameserver verwenden und, und, wissen Sie, es gab eine persönliche Bindung, die wir hatten, oder? Als würdest du ein System aufbauen, und es repräsentiert dich und. Ich habe um Mitternacht gearbeitet, um einfach sicherzustellen, dass meine Darstellung solide war und es, wissen Sie, nie, nie Probleme gab. Wir sind nie untergegangen. Und wann immer man dieses System ausmustern musste, in das man Hunderte von Stunden in ein Gebäude investiert hatte, war es irgendwie deprimierend zu sehen, wie etwas, das man gebaut hatte, verschwinden musste. Rechts. Ähm, das gilt nicht wirklich für Apps, die es gibt, aber für die Infrastruktur gibt es das nicht mehr.
[00:28:41] Erick Rudiak: Ja. Willkommen in der Zukunft.
[00:28:41] Jason Clark: Ja. Also, wissen Sie, wenn ich darüber nachdenke, richtig. Und wir werden uns treffen und, äh, eine weitere Episode mit, äh, mit ein oder zwei Kollegen, und wir werden über sozusagen alle Grundprinzipien sprechen, oder? Die Grundsätze, an die man sich halten muss, wissen Sie, wenn man nichts tut. Befolgen Sie diese Grundsätze, oder? Und unser Prinzip eins ist übrigens, alle Ihre Prinzipien in Frage zu stellen, oder? Fordern Sie Ihre bestehenden Auftraggeber heraus. Das wird also eine unterhaltsame Folgefolge, Erick, auf die ich mich sehr freue, aber noch ein paar abschließende Gedanken zu unserem Projekt, das wir hier in den letzten zwei Jahren gemacht haben.
[00:29:24] Erick Rudiak: Ich denke, was ich mir wünschen würde, wenn die Leute, wissen Sie, über diese Serie nachdenken, ähm, und dass die Leute zu dieser Serie zurückkehren und zuhören, ist der Geist der Kameradschaft und des Der seit jeher bestehende Gemeinschaftsgeist und die Informationssicherheit. Und das war meiner Meinung nach bisher ziemlich schwierig einzufangen. Aber ich denke beim Abendessen an all die Dinge, die ich von anderen CSOs gelernt habe. Bei Birds of a Feather-Sessions, ähm, wie in den Fluren von Konferenzen. Und ich denke, eines der wirklich coolen Dinge an dieser Serie ist, dass sie eine konzentrierte, leicht verdauliche Version dieser wirklich bereichernden, magischen Erlebnisse schafft, bei denen Menschen, die sich mit Leidenschaft für ihr Thema engagieren, einfach zusammenkommen und reden. Und es geht nicht so sehr darum, die Vorhersagen richtig zu treffen, sondern vielmehr darum, das Gespräch zu führen. Und ich bin einfach begeistert, ein Gespräch mit dir führen zu können, Jason.
[00:30:18] Jason Clark: Ich denke, das ist eine brillante, brillante Antwort. Es ist magisch. Und wissen Sie, da ist alles, genau wie Sie am Anfang gesagt haben: Es ist eine Vielfalt an Gedanken, es gibt Hunderte von CSOs und CIOs, an deren Entstehung, dieser Forschung wir beteiligt sind. Rechts. Und von der Serie und dem Buch. Sie alle haben uns also geholfen und wir haben dabei viel gelernt. Rechts. Und so hat alles angefangen, als wir es nutzen mussten. Gemeinsam und wirklich gegenseitig helfen, unsere Organisationen selbst zu transformieren, richtig. Unsere Leute. Und in unserem, was am wichtigsten ist, dem Technologie-Stack, wird uns das wieder unseren Einflusspunkt verschaffen, denn die Sicherheit hat wirklich an Einfluss verloren, richtig. 90 % ihrer Ausgaben entfielen auf das Rechenzentrum und das Netzwerk, da diese Daten und die Benutzer nicht im Netzwerk sind, sondern wie ein Gummiband gespannt sind. Rechts. Und es besteht kein Zweifel daran, dass jeder einige großartige Taktiken, Strategien und Tipps für sein Programm erhalten wird. Rechts. Ähm, und der coole Teil über das Buch und die Serie. Es ist nicht so, dass Sie dies von A bis Z lesen müssen. Ganz vorne und hinten liegt es an Ihnen, Sie können in jeden Abschnitt eintauchen, den Sie möchten, denn Sie haben es mit dieser Situation zu tun. Rechts. Oder das ist etwas, das Sie gerade interessiert. Und so haben wir es absichtlich so gestaltet, dass Sie mittendrin eintauchen können, wenn Sie möchten. Rechts. Und ich hoffe, dass vor allem wir, wenn jeder etwas davon hat und wir als Gemeinschaft zusammenkommen, Recht haben. Machen Sie, äh, machen Sie die Welt zu einem sichereren Ort. Und. Helfen Sie mit, dass Security-Pro-Programme erfolgreich sind.
[00:31:56] Erick Rudiak: Amen. Das klingt fantastisch.
[00:31:56] Jason Clark: Es ist also nicht so magisch wie das, was Erick gesagt hat, aber das war gut. Ähm, Erick, du warst in den letzten 10 Jahren immer ein guter, ein guter Freund und Partner bei dieser Forschung und, äh, wissen Sie, vielen Dank dafür, dass Sie sich die Zeit genommen haben, und wir werden es tun Wir sehen uns in der nächsten Folge.
[00:32:16] Erick Rudiak: Es beruht auf Gegenseitigkeit. Mein Freund, ich freue mich darauf, hier zu sein. Danke für die Möglichkeit.
Sponsor: Der Podcast „Security Visionaries“ wird vom Team von Netskope unterstützt, das nach der richtigen Cloud-Sicherheitsplattform sucht, um Ihre Reise zur digitalen Transformation zu ermöglichen. Mit der Netskope-Sicherheitscloud können Sie Benutzer von jedem Gerät und jeder Anwendung aus sicher und schnell direkt mit dem Internet verbinden. Erfahren Sie mehr unter Netskope.
[00:32:43] Produzent: Vielen Dank, dass Sie Security Visionaries zugehört haben. Bitte nehmen Sie sich einen Moment Zeit, um die Show zu bewerten und zu rezensieren und sie mit jemandem zu teilen, dem sie gefallen könnte. Seien Sie gespannt auf den zweiten Teil, in dem Jason und Erick zusammen mit ihren Kollegen an einem runden Tisch diskutieren und jedes der zehn Prinzipien erläutern und erläutern wird, wie man sie anwenden kann, um die Transformation in Ihrem Unternehmen voranzutreiben. Teil zwei ist jetzt verfügbar.
Warum Netskope? 
){kind=icon}
