Nadya Bartol: Better cybersecurity starts with honesty and accountability | TED

Transcriber:

Μετάφραση: Thanasis Zantrimas Επιμέλεια: Chryssa Rapessi

Σήμερα θα μιλήσω για ένα επαίσχυντο θέμα.

Αυτό έχει συμβεί σε πολλούς από εμάς κι είναι ντροπιαστικό.

Today, I'm going to talk about a shameful topic.

Αλλά αν δεν μιλήσουμε για αυτό, τίποτα δεν θα αλλάξει.

Αφορά το χακάρισμα.

This has happened to many of us, and it's embarrassing,

Κάποιοι από εμάς έχουμε κλικάρει ένα κακόβουλο λινκ και κατεβάσαμε έναν ιό.

but if we don't talk about it, nothing will ever change.

Σε κάποιους έχουν κλαπεί οι ταυτότητές μας.

It's about being hacked.

Και όσοι μας αναπτύσσουμε λογισμικά

Some of us have clicked on a phishing link and downloaded a computer virus.

μπορεί να συντάξαμε ανασφαλή κώδικα με ευπάθειες ασφάλειας

χωρίς να το καταλάβουμε.

Some of us have had our identities stolen.

And those of us who are software developers

Ως ειδικός στην κυβερνοασφάλεια,

έχω εργαστεί με αμέτρητες εταιρείες στη βελτίωση της κυβερνοασφάλειάς τους.

might have written insecure code with security bugs in it

without realizing it.

Ειδικοί όπως εγώ έχουμε συμβουλεύσει εταιρείες

As a cybersecurity expert,

I have worked with countless companies on improving their cybersecurity.

για καλές πρακτικές κυβερνοασφάλειας,

εργαλεία εποπτείας

και σωστές συμπεριφορές χρηστών.

Cybersecurity experts like me have advised companies

Αλλά εγώ βλέπω στην ουσία ένα μεγαλύτερο πρόβλημα που δεν διορθώνεται:

on good cybersecurity practices,

την ντροπή που έχει σχέση με τα λάθη που κάνουμε.

monitoring tools

and proper user behaviors.

But I actually see a much bigger problem that no tool can fix:

Θεωρούμε τους εαυτούς μας ως ικανούς και γνώστες της τεχνολογίας,

κι όταν κάνουμε αυτά τα λάθη που μπορεί να έχουν κακή επίπτωση

the shame associated with the mistakes that we make.

σ′ εμάς και στις εταιρείες μας

We like to think of ourselves as competent and tech savvy,

οτιδήποτε από μια απλή ενόχληση,

τον χρόνο της επιδιόρθωσης,

and when we make these mistakes that can have a really bad impact

έως και το δυσθεώρητο κόστος σ′ εμάς και τους εργοδότες μας.

on us and our companies --

anything from a simple annoyance,

Παρά τις δαπάνες δισεκατομμυρίων δολαρίων των εταιρειών στην κυβερνοασφάλεια,

to taking a lot of time to fix,

to costing us and our employers a lot of money.

επαγγελματίες όπως εγώ βλέπουμε ξανά και ξανά τα ίδια προβλήματα.

Despite billions of dollars that companies spend on cybersecurity,

Θα σας δώσω μερικά παραδείγματα.

Το χακάρισμα του 2015 σε ουκρανικές υπηρεσίες κοινής ωφέλειας

practitioners like me see the same problems over and over again.

που έκοψε το ρεύμα για 225.000 πελάτες

Let me give you some examples.

και χρειάστηκαν μήνες να αποκατασταθούν πλήρως οι λειτουργίες

The 2015 hack of Ukrainian utilities

ξεκίνησε με ένα ύποπτο λινκ.

that disconnected power for 225,000 customers

Παρεμπιπτόντως, οι 225.000 πελάτες είναι πάνω από 225.000 ανθρώπους.

and took months to restore back to full operations

started with a phishing link.

Πελάτες μπορεί να είναι μια πολυκατοικία,

μια βιομηχανική μονάδα μέχρι κι ένα εμπορικό κέντρο.

By the way, 225,000 customers is a lot more 225,000 people.

Η παραβίαση δεδομένων του 2017 στην Equifax

Customers can be anything from an apartment building

που αποκάλυψε προσωπικά στοιχεία ταυτοποίησης

to an industrial facility

140 εκατομμυρίων ανθρώπων

to a shopping mall.

The 2017 data breach of Equifax

κι ενδεχομένως να κόστισε στην Equifax περίπου 1,4 δισεκατομμύρια δολάρια:

that exposed personally identifiable information

of 140 million people

προκλήθηκε από την εκμετάλλευση μιας γνωστής ευπροσβλητότητας

and may ultimately cost Equifax something on the order of 1.4 billion dollars:

στην πύλη παραπόνων καταναλωτών της εταιρείας.

Ουσιαστικά, αυτό αφορά την τεχνολογία και την καινοτομία.

that was caused by an exploitation of a well-known vulnerability

in the company's customer consumer complaint portal.

Η καινοτομία είναι καλή, κάνει καλύτερη τη ζωή μας.

Τα περισσότερα σύγχρονα αμάξια που οδηγούμε είναι υπολογιστές σε τροχούς.

Fundamentally, this is about technology and innovation.

Innovation is good; it makes our lives better.

Μας λένε πού να πάμε για να αποφύγουμε την κίνηση, πότε να τα πάμε για συντήρηση

Most of the modern cars we drive today are fundamentally computers on wheels.

κι ύστερα μας παρέχουν τις σύγχρονες ανέσεις όλων των ειδών.

They tell us where to go to avoid traffic, when to take them in for maintenance

Πολλοί άνθρωποι χρησιμοποιούν ιατρικές συσκευές όπως βηματοδότες

και οθόνες γλυκόζης με αντλίες ινσουλίνης.

and then give us all kinds of modern-day conveniences.

Αυτές οι συσκευές κάνουν καλύτερη τη ζωή των ανθρώπων

Many people use connected medical devices like pacemakers

και ενίοτε την επεκτείνουν.

Αλλά οτιδήποτε διασυνδέεται μπορεί να χακαριστεί.

and glucose monitors with insulin pumps.

These devices make these people's lives better

and sometimes even extend their lives.

To ξέρατε ότι ο πρώην αντιπρόεδρος των ΗΠΑ, ο Ντικ Τσέινι,

But anything that can be interconnected can be hacked when it's connected.

κρατούσε αποσυνδεδεμένο τον βηματοδότη του πριν λάβει μια μεταμόσχευση καρδιάς;

Σκεφτείτε μόνοι σας γιατί.

Did you know that the former US Vice President Dick Cheney

Σε έναν ψηφιακά διασυνδεδεμένο κόσμο οι κίνδυνοι στον κυβερνοχώρο είναι παντού.

kept his pacemaker disconnected from Wi-Fi before he received a heart transplant?

I will let you figure out why.

Εδώ και χρόνια οι συνάδελφοί μου κι εγώ συζητούσαμε

In a digitally interconnected world, cyber risks are literally everywhere.

για την ασαφή κουλτούρα της κυβερνοασφάλειας.

Η κουλτούρα της κυβερνοασφάλειας είναι όταν όλοι σε έναν οργανισμο

For years, my colleagues and I have been talking about

πιστεύουν ότι η κυβερνοασφάλεια είναι δουλειά τους,

this elusive notion of cybersecurity culture.

ξέρουν τι να κάνουν και τι όχι

και πράττουν το σωστό.

Cybersecurity culture is when everybody in the organization

Δυστυχώς, δεν μπορώ να σας πω ποιες εταιρείες το κάνουν καλά,

believes that cybersecurity is their job,

διότι με το να το κάνω αυτό, θα τις έβαζα στο στόχαστρο

knows what to do and what not to do

and does the right thing.

για επίδοξους εισβολείς.

Unfortunately, I can't tell you which companies do this well,

Αλλά μπορώ να κάνω λιγότερο μυστήρια την κυβερνοασφάλεια,

because by doing so, I would put a juicy target on their backs

να την αναφέρω δημόσια και να μιλήσω για αυτήν.

for ambitious attackers.

Δεν πρέπει να υπάρχουν μυστήρια ή μυστικά σε έναν οργανισμό.

But what I can do is make cybersecurity less mysterious,

bring it out into the open and talk about it.

Όταν κάτι είναι στην αφάνεια και δουλεύει,

There should be no mystery or secrecy within an organization.

δεν ξέρουμε ότι βρίσκεται εκεί ώσπου δεν βρίσκεται.

Είναι σαν το χαρτί υγείας.

When something is invisible and it's working,

Όταν ξεκίνησε η πανδημία της COVID-19,

we don't know that it's there until it's not there.

αυτό που υπήρχε εκεί έγινε ξαφνικά απόλυτα σημαντικό

Kind of like toilet paper.

επειδή δεν το βρίσκαμε πουθενά.

When the COVID-19 pandemic began,

Η κυβερνοασφάλεια μοιάζει έτσι ακριβώς:

όταν λειτουργεί, δεν ξέρουμε και δεν μας ενδιαφέρει.

what has been there all of a sudden became super important

Όταν όμως δεν λειτουργεί,

because we couldn't find it anywhere.

μπορεί να γίνει πάρα πολύ κακή.

Cybersecurity is just like that:

Το χαρτί υγείας είναι αρκετά κατανοητό.

when it's working, we don't know, and we don't care.

Η κυβερνοασφάλεια είναι μυστηριώδης και περίπλοκη.

But when it's not working,

it can be really, really bad.

Και πιστεύω πραγματικά πως ξεκινά με την αντίληψη της ψυχολογικής ασφάλειας.

Toilet paper is pretty straightforward.

Αυτή η αντίληψη έγινε γνωστή από μια επιστήμονα οργανωσιακής συμπεριφοράς,

Cybersecurity is mysterious and complex.

And I actually think it starts with the notion of psychological safety.

την Έιμι Έντμοντσον.

Η Έιμι μελετούσε τη συμπεριφορά ομάδων γιατρών σε καταστάσεις υψηλών ρίσκων

This notion was popularized by an organizational behavior scientist,

όπου μπορούν να γίνουν μοιραία λάθη.

Amy Edmondson.

Και ανακάλυψε ότι οι νοσοκόμες αισθάνονταν άβολα

Amy studied behavior of medical teams in high-stakes situations like hospitals,

αναφέροντας προτάσεις στους γιατρούς

λόγω του φόβου της αμφισβήτησης της αρχής.

where mistakes could be fatal.

And she found out that nurses were not comfortable

Η Έιμι βελτίωσε τις ομάδες γιατρών

για να κάνει τις νοσοκόμες πιο άνετες να αναφέρουν προτάσεις στους γιατρούς

bringing up suggestions to the doctors

because of the fear of questioning authority.

για τη θεραπεία των ασθενών χωρίς τον φόβο της ταπείνωσης ή της κατσάδας.

Amy helped improve medical teams

Για να γίνει αυτό, οι γιατροί έπρεπε να ακούσουν και να είναι δεκτικοί

to make nurses more comfortable bringing up suggestions to the doctors

χωρίς να κρίνουν.

for patient treatment

without the fear of being scolded or demeaned.

Η ψυχολογική ασφάλεια είναι όταν όλοι εκφράζονται άνετα

For that to happen, doctors needed to listen and be receptive --

και να υποδεικνύουν πράγματα.

without judging.

Θέλω η κυβερνοασφάλεια να είναι το ίδιο.

Psychological safety is when everybody is comfortable speaking up

Και θέλω οι επαγγελματίες να νιώθουν άνετα αναφέροντας προτάσεις

and pointing things out.

σε ανώτατα στελέχη ή προγραμματιστές λογισμικού,

I want cybersecurity to be the same.

δίχως να απορρίπτονται ως εκείνα τα άτομα που συνεχίζουν να μιλούν

And I want cybersecurity practitioners to be comfortable bringing suggestions up

για φρίκες ή σφάλματα,

to senior executives or software developers,

και να λένε όχι.

Το να μην το κάνουν είναι πολύ δύσκολο

without being dismissed as those people who continue to talk about

για τα άτομα που είναι υπεύθυνα για τη δημιουργία των ψηφιακών προϊόντων

horrors and errors,

and say no.

διότι αυτό στην ουσία αφορά την περηφάνια και τη χαρά των δημιουργιών τους.

Not doing so is really hard

for the individuals who are responsible for the creation of digital products

Κάποτε προσπάθησα να μιλήσω σε ένα ανώτατο στέλεχος ανάπτυξης λογισμικού

because fundamentally, it's about their pride and joy in their creations.

για την ανάγκη καλύτερης ασφάλειας.

Ξέρετε τι είπε;

«Μου λες ότι αναπτύσσουμε ανασφαλή κώδικα;»

I once tried talking to a senior software development executive

Με άλλα λόγια, αυτό που άκουσε ήταν: «Το μωρό σου είναι άσχημο».

about the need to do better security.

Τι θα γινόταν αν εστιάζαμε στο τι να μην πράξουμε,

You know what he said?

"Are you telling me we're developing insecure code?"

In other words, what he heard was, "Your baby is ugly."

αντί στο τι να πράξουμε;

Όπως πώς να αναπτύξουμε ένα καλύτερο λογισμικό

What if instead of focusing on what not to do,

και να προστατέουμε ταυτοχρόνως τις πληροφορίες των πελατών μας;

we focused on what to do?

Ή πώς να εξασφαλίσουμε ότι ο οργανισμός μας μπορεί να λειτουργεί

Like, how do we develop better software

and protect our customer information at the same time?

κάτω από επιθέσεις, κρίσεις ή κατάσταση έκτακτης ανάγκης;

Και αν ανταμείβαμε τις καλές πράξεις που κάνουν οι ειδικοί στην κυβερνοασφάλεια

Or how do we make sure that our organization is able to operate

και τους ενθαρρύναμε να πράξουν,

in crisis, under attack or in an emergency?

όπως να αναφέρουν περιστατικά ασφάλειας,

And what if we reward good things that people do in cybersecurity in some way

να αναφέρουν δυνητικά ύποπτα μέηλ

ή να βρίσκουν και να διορθώνουν ευπάθειες λογισμικού ασφαλείας

and encourage them to do so,

like reporting security incidents,

στο λογισμικό που ανέπτυξαν;

reporting potential phishing emails,

Και αν συνδέαμε αυτές τις καλές πράξεις με αξιολογήσεις επιδόσεων

or finding and fixing software security bugs

και να δώσουμε ένα νόημα;

in the software that they develop?

Θα μου άρεσε να επικοινωνήσουμε αυτές τις καλές πράξεις κυβερνοασφάλειας

And what if we tied these good security actions to performance evaluations

και να τις ενθαρρύνουμε σε κάποιες πανεταιρικές επικοινωνίες

to make it really matter?

όπως ενημερωτικά δελτία, ιστολόγια, ιστοσελίδες,

I would love for us to communicate these good cybersecurity things

οτιδήποτε για να επικοινωνούμε στον οργανισμό μας.

and encourage them in some sort of company-wide communications

Τι κι αν μια εταιρεία ανακοίνωνε έναν διαγωνισμό

like newsletters, blogs, websites, microsites --

σε όποιον βρει τις περισσότερες ευπάθειες

whatever we use to communicate to our organization.

και τις διορθώσει σε μια κούρσα εντός δύο εβδομάδων

What if a company announced a competition for who finds the most security bugs

και μετά να ανακοινώσει τον νικητή του διαγωνισμού για το τρίμηνο

σε ένα μεγάλο εταιρικό εικονικό δημαρχείο,

and fixes them in a two-week development sprint

κι ύστερα να ανταμείβει τους ανθρώπους, τους νικητές με κάτι ουσιαστικό,

and then announces the winner of the competition for the quarter

όπως μια εβδομαδιαία άδεια ή ένα μπόνους.

at a large company virtual town hall,

Άλλοι θα δουν τον εορτασμό και την αναγνώριση

and then rewards these people, these winners, with something meaningful,

και θα θελήσουν να κάνουν το ίδιο.

Στη βιομηχανία της ενέργειας

like a week's vacation or a bonus.

υπάρχει μια ισχυρή κουλτούρα ασφαλείας.

Others will see the celebration and recognition,

Οι άνθρωποι είναι περήφανοι και νοιάζονται για την κουλτούρα,

and they'll want to do the same.

και υπάρχει μια συλλογική ενίσχυση αυτής της κουλτούρας

In the energy industry,

there is a really strong culture of safety.

για να μην πληγωθεί κανείς.

People care about this culture, are proud of it,

Ένας από τους τρόπους που παρουσιάζουν και διατηρούν αυτήν την κουλτούρα

and there is a collective reinforcement of this culture

είναι με το να μετρούν και να δείχνουν τις μέρες από το τελευταίο περιστατικό.

to make sure that nobody gets hurt.

One of the ways they exhibit and keep this safety conscious culture going

Και ύστερα να εργάζονται όλοι κοπιαστικά για να μην μηδενιστεί το μέτρημα

is by counting and visibly displaying days since the last safety incident.

διότι αυτό θα σημαίνει ότι όντως πληγώθηκε κάποιος.

Η κυβερνοασφάλεια είναι η ίδια όπως η ασφάλεια.

And then everybody works really hard not to have that count go back to zero

Kαι συμφωνούσαμε όλοι μας

να μετράμε τις μέρες από το τελευταίο περιστατικό κυβερνοασφάλειας

because that means that somebody did get hurt.

Cybersecurity is the same as safety.

επ′ άπειρον

και μετά να εργαζόμαστε κοπιαστικά για να μην μηδενιστούν;

What if we all agree

to keep that count of days since the last cybersecurity incident

Και μετά κάποια πράγματα είναι μη αποδεκτά,

κι εμείς πρέπει να μεταδώσουμε τι είναι στους οργανισμούς μας

going on forever

and then work really hard not to have it reset to zero?

με έναν ευκολοχώνευτο και διασκεδαστικό τρόπο,

And then certain things are a no-no,

όπως την παιχνιδοποίηση ή τις προσομοιώσεις,

and we need to clearly communicate to our organizations what they are

για να το θυμούνται οι άνθρωποι.

in an easily digestible and maybe even fun way,

Και αν κάποιος κάνει κάτι που δεν πρέπει να κάνει,

like gamification or simulations,

θα πρέπει να αντιμετωπίσει κάποιες συνέπειες.

Οπότε, για παράδειγμα, αν ένας υπάλληλος αγοράσει εξοπλισμό στο Amazon ή το eBay

to make sure that people can remember this.

And if somebody does something they're not supposed to do,

ή χρησιμοποιήσει το Dropbox για λογαριασμό της εταιρείας του,

they should face some sort of consequences.

So, for example, if an employee buys equipment on Amazon or eBay

τότε πρέπει να αντιμετωπίσει τις συνέπειες.

Και όταν συμβεί αυτό, τα στελέχη πρέπει να μεταχειρίζονται το ίδιο

or uses personal Dropbox for their company business,

όπως οι υπάλληλοι,

διαφορετικά οι άνθρωποι δεν θα πιστέψουν ότι συμβαίνει αυτό

then they should face some sort of consequences.

και θα γυρίσουν στην παλιά τους συμπεριφορά.

And when this happens, executives should get the same treatment

Είναι εντάξει να μιλάμε για λάθη,

as regular employees,

αλλά όπως ένας έφηβος ο οποίος παραβιάζει τους κανόνες μας το αναφέρει,

because if they don't, then people won't believe that it's real

and will go back to their old behaviors.

εμείς εκτιμούμε να μας το αναφέρουν,

It's OK to talk about mistakes,

αλλά και πάλι πρέπει να υπάρχουν συνέπειες.

but just like a teenager who violates the rules tells us about it,

Η κυβερνοασφάλεια είναι ένα ταξίδι, όχι προορισμός,

we appreciate that they told us about it,

but there should still be some sort of consequences.

κι εμείς πρέπει να δουλεύουμε για αυτήν.

Θα μου άρεσε να γιορτάζουμε τους ανθρώπους στην κυβερνοασφάλεια

Cybersecurity is a journey.

σαν είναι ήρωες.

It's not a destination,

Αν το καλοσκεφτούμε, είναι πυροσβέστες,

and we need to keep working on it.

οι γιατροί κι οι νοσοκόμες,

I would love for us to celebrate cybersecurity people

οι διωκτικές αρχές, οι διαχειριστές κινδύνων κι οι υπεύθυνοι στρατηγικής

like the heroes that they are.

If we think about it, they are firefighters,

όλοι τους με το ίδιο πρόσωπο.

Κι αυτοί μας βοηθούν να προστατεύουμε τη σύγχρονη ζωή μας.

emergency room doctors and nurses,

law enforcement, risk executives and business strategists

Προστατεύουν τις ταυτότητές μας,

τις εφερεύσεις μας, την πνευματική μας ιδιοκτησία

all in the same persona.

And they help us protect our modern life that we like so much.

το ηλεκτρικό μας δίκτυο, τις ιατρικές συσκευές,

τα συνδεδεμένα αμάξια και μυριάδες άλλα πρόγραματα.

They protect our identities, our inventions, our intellectual property,

Και θα ήθελα να συμμετέχω στην ομάδα.

Ας συμφωνήσουμε ότι αυτό το πράγμα θα μείνει μαζί μας,

our electric grid, medical devices,

connected cars and myriad other things.

ας δημιουργήσουμε ένα ασφαλές περιβάλλον μαθαίνοντας από τα λάθη μας,

And I'd like to be on that team.

κι ας κάνουμε καλύτερα τα πράγματα.

So let's agree that this thing is with us to stay,

Σας ευχαριστώ.

let's create a safe environment to learn from our mistakes,

and let's commit to making things better.

Thank you.