Om 2023 har lärt företag något så är det att cyberrisker måste behandlas med samma nivå av synlighet, styrning, planering och resurser som andra betydande affärsrisker som finansiella förhållanden, juridiska skulder eller driftstörningar.

Rubrikerna har varit fulla av berättelser om dataintrång och cyberattacker orsakade av dåliga, oklara eller till och med en fullständig brist på informations- och datasäkerhetshanteringsprocesser. Resultatet? Betydande ekonomiska förluster, skador på rykte och rejäla böter från tillsynsorgan för den drabbade organisationen, deras leverantörer och i vissa fall även individer.

Som svar på ökningen av cyberhot har bestämmelserna om cybersäkerhet och informationssäkerhet spridits snabbt. Bara denna vecka, EU tillkännagav sin politiska överenskommelse om AI-reglering, med andra föreskrifter som cyberresilience Act och PSTI (Product Security and Telecommunications Infrastructure) lagförslag som ansluter sig till etablerade bestämmelser som GDPR och NIS. USA har sett en verkställande order utfärdad om cybersäkerhet och SEC-föreskrifter införs om avslöjande av överträdelser. Alla dessa gör det tydligt att organisationer måste kunna demonstrera bästa praxis för information och datasäkerhet och effektiv implementering i alla aspekter av sin verksamhet.

Med tanke på var vi är nu, vad exakt har 2024 att erbjuda för företag? Vi har tittat på sex nyckeltrender som vi tror kommer att dominera informations- och cybersäkerhetslandskapet 2024 och delat ner dem nedan.

Trend 1: Ökad reglering av AI och maskininlärning (ML)

AI och maskininlärning (ML) har snabbt blivit väsentliga i affärer, vilket optimerar beslutsfattande, automatiserar uppgifter och ger insikter som överträffar mänskliga förmågor. Dess förekomst har väckt omfattande diskussioner om dess konsekvenser för företag, individer, integritet och digital säkerhet.

Med tanke på dessa systems genomgripande och autonoma karaktär, som avsevärt påverkar konsumenternas, anställdas och infrastrukturens välfärd, finns det ett kritiskt behov av genomtänkt reglering för att hålla jämna steg med deras utvecklande kapacitet. Kravet på transparens, ansvarsskyldighet, anti-bias-åtgärder och felkorrigeringsmekanismer i AI-beslutsfattande har ökat under 2023. Eftersom AI sträcker sig till högriskområden kommer denna trend bara att intensifieras.

Följaktligen kommer 2024 att bli ett milstolpeår för formaliserad AI-styrning, som omfattar robusta lagar, branschramar och företagspolicyer. Lagstiftare i Amerika, Europa och Asien utarbetar förslag som ålägger AI-leverantörer, utvecklare och företag moraliska och juridiska skyldigheter. De EU tillkännagav sin politiska överenskommelse om en AI-akt just den här veckan. 

Samtidigt som internationella grupper som IEEE och ISO redan etablerar omfattande, enhetliga standarder för att säkert skapa, utvärdera och implementera ML-system över olika branscher och applikationer, som troligen kommer att publiceras under det nya året.

Vi förväntar oss också att det blir normen att inrätta styrelser för att övervaka ansvarsfull AI-praxis, granska utvecklingsprocesser och hantera modellrisker inom organisationer. Vid sidan av andra aktiviteter, såsom; 

  • Etikchecklistor för att hjälpa datavetare att skapa representativa datauppsättningar och opartiska algoritmer 
  • Öppenhetsklausuler för utbyte av AI-modeller och tjänsteintegrationer inkluderade i partnerkontrakt

Målet med att reglera AI är lovvärt: att se till att AI-influerade beslut är rättvisa och att företag implementerar automatisering först efter att de helt har förstått och minskat riskerna är avgörande. Dessa regler kan dock införa ytterligare komplexitet och förseningar för AI-innovatörer och organisationer som vill använda sådan teknik.

Eftersom beslutsfattare och branschledare arbetar för att utnyttja AI:s produktiva potential samtidigt som de förebyggande tar itu med potentiella nackdelar, måste företag rusta sig för att visa efterlevnad både internt och för sina kunder. Detta markerar tillkomsten av en ny fas i AI-utveckling: utvecklas snabbt men med en ökad känsla av ansvar.

Trend 2: Ransomwares komplexitet ökar

Ransomware-attacker förväntas bli ännu mer utbredda och sofistikerade under 2024. När fler företag digitaliserar sin verksamhet och lagrar känslig data i molnet, kommer ransomware-grupper sannolikt att flytta sitt fokus till att rikta in sig på molnmiljöer och säkerhetskopiera datalager för att maximera utnyttjandet av utpressning.

En trend på uppgång är "dubbel utpressning" ransomware-attacker. I dessa system krypterar angriparna data och exfiltrerar känslig information från offrets system, som de sedan hotar att publicera eller sälja online om lösensumman inte betalas. Detta ytterligare tryck gör att offren är mer benägna att betala. Angripare kan till och med auktionera ut den stulna informationen till högstbjudande.

Dessutom etablerar ransomware-grupper ransomware-as-a-service (RaaS)-operationer och affiliate-program för skadlig programvara för att skala upp sin effekt. Dessa system tillhandahåller lättanvända ransomware-verktygssatser för cyberbrottslingar med begränsad teknisk kompetens för en del av vinsten. Detta decentraliserar ytterligare och sprider risken över fler attacker.

Med tanke på de ökande hoten kan vi se en regulatorisk push kring motståndskraft mot ransomware 2024. Förordningar kan kräva att organisationer: 

  • Ha incidentresponsplaner för ransomware-scenarier
  • Underhåll offline säkerhetskopior av data 
  • Genomför utbildning om cybersäkerhet
  • Implementera cyberförsäkringar

 

De som inte uppfyller utsedda bästa praxis för att förebygga och förbereda sig för ransomware kan få böter eller andra åtgärder. En sådan reglering innebär dock också utmaningar kring genomförande och efterlevnad inom olika sektorer.

Vi kommer sannolikt också att se mer fokus på internationella partnerskap, såsom International Counter Ransomware Initiative (CRI), för att "bryta ransomware-affärsmodellen genom att sammanföra policy, brottsbekämpande myndigheter och operativa myndigheter globalt för att störa ransomware samtidigt som man bygger motståndskraft mot illvilliga cyberaktörer".

Trend 3: Expansion av IoT och associerade risker

Internet of Things-revolutionen är i full gång. Gartner prognoser att över 33 miljarder IoT-enheter för företag och bilar kommer att användas aktivt fram till 2024.

Ändå ger detta överflöd av anslutna enheter, samtidigt som det levererar effektivitet, hackare rikligt med nya attackvektorer att utnyttja. Många IoT-system saknar fortfarande grundläggande säkerhetsbestämmelser som datakryptering som litar på att nätverkets perimeterförsvar räcker. 

Affärskritisk operativ teknologi (OT) infrastruktur som tidigare isolerats inom fabriker är nu kopplad till IT-ledningssystem, vilket utsätter ömtåliga industriella kontroller för digitala hot. Det finns få firmwareuppdateringar för att korrigera sårbarheter i distribuerade IoT-enheter, från kameror till klinikinfusionspumpar.

Speciellt tillverkning, verktyg och hälsovård måste nu omorientera IT-säkerheten kring att skydda en expanderande attackyta fylld med osäkra enheter. Aktiviteter som: 

  • Segmentera nätverk
  • Övervakar trafiken aktivt för avvikelser
  • Kräver åtkomstkontroller
  • Implementering av säkra dataöverföringsprotokoll 

 

Allt bidrar till att minska riskerna som sammankoppling medför.

Vi förväntar oss att se fler organisationer anpassa sig till ramverk som ISO 27001 för att hantera IoT-risker eftersom det kräver en strukturerad bedömning av informationssäkerhetsrisker och skyddskontroller anpassade till en organisations specifika kontext. Denna nollförtroendemetod passar utmaningarna med IoT.

2023 har redan sett försök att ta itu med informationssäkerhet och integritet för IoT-enheter med lagstiftning som: 

  • EU:s Cyber ​​Resilience Act
  • US Cybersecurity Maturity Model Certification (CMMC) 
  • US Consolidated Appropriations Act 
  • Storbritanniens lagförslag för produktsäkerhet och telekommunikationsinfrastruktur 

 

Vi förväntar oss att standardiserade säkerhetsbestämmelser som dessa kommer att öka och att efterlevnaden blir mer rigorös 2024, tillsammans med industriallianser för att driva på starkare IoT-skydd, särskilt för nationell infrastruktur. 

Oavsett reglering och efterlevnad förväntar vi oss att företag snabbt kommer att modernisera försvaret, eftersom smart infrastruktur multiplicerar åtkomstpunkter för motståndare och risken för affärsverksamheten och framgången blir för betydande för att ignoreras.

Trend 4: Vikten av Zero Trust-arkitekturer

Branschanalytiker räknar med att noll förtroenderamverk blir formella krav på efterlevnad inom finans-, regerings- och hälsovårdssektorerna år 2025 eftersom attacker avslöjar konventionella försvarssvagheter.

Arbetskrafterna decentraliseras, infrastrukturen flyttas till molnet och användare behöver åtkomst var som helst, vilket ökar antagandena om att tydliga säkerhetsgränser till och med existerar längre. Ändå förlitar sig många företag fortfarande på välbekanta men ändå porösa försvar som VPN, brandväggar och privilegierade nätverksrättigheter för att skydda kritisk data.

Istället finns redan mogna cybersäkerhetsprogram anta nollförtroendearkitekturer som avbryter det implicita förtroendet samtidigt som de rigoröst validerar varje användare och system som försöker komma åt, och vi förväntar oss att antagandet av metoden kommer att öka avsevärt under 2024. 

Detta Modellen verifierar identiteten genom strikt multifaktorautentisering innan du beviljar minsta behörighet. Istället för allmän nätverksåtkomst begränsar mikrosegmenteringspolicyer strikt anslutningen till auktoriserade resurser. Det avgörande är att noll förtroende kräver kontinuerlig övervakning av användaraktivitet och systemloggar med analyser för att identifiera onormala beteenden som indikerar hot. 

Drivrutiner som driver nollförtroendeprinciper från bästa praxis för cybersäkerhet till väsentliga inkluderar hybridmoln, tillväxt på distans och äldre omkretsskydd som visat sig vara otillräckliga mot sofistikerade angripare. Operativ effektivitet förbättras också genom att flytta en organisations säkerhetsställning mot dynamiska, kontextuella åtkomstbeslut snarare än statiska nätverksprivilegier.

Tidig omarbetning av säkerhetssystem gör det möjligt för organisationer att stärka sitt försvar och främja innovation. Att implementera ramverk som ISO 27001 kan ge ett strukturerat tillvägagångssätt för att anta principer om nollförtroende, och erbjuda en omfattande uppsättning policyer och procedurer som är i linje med de högsta standarderna för hantering av informationssäkerhet. Detta hjälper till att säkerställa en systematisk och konsekvent implementering av nollförtroendearkitekturer, vilket ytterligare stärker en organisations säkerhetsställning mot föränderliga hot.

Trend 5: En mer global strategi för föreskrifter och efterlevnadskrav

När cyberattacker ökar i effekt och frekvens kommer sårbara datastyrningsluckor över branscher och geografiska gränser att komma in i tillsynsmyndigheternas hårkors för starkare skyddsräcken 2024. 

När cyberattacker med gränsöverskridande effekter ökar, inser regeringar över hela världen begränsningarna med fragmenterade regleringar mellan jurisdiktioner. Medan många länder har implementerat integritetslagar och sektorsspecifika cybersäkerhetspolicyer lokalt, orsakar divergenser huvudvärk för multinationella organisationer. Effektivisering av krav genom internationellt samarbete kommer att bli en prioritet för att anpassa cybersäkerhetstillsynen globalt istället för genom osammanhängande regelverk 2024.

Överlappande bestämmelser skapar redundans kring praxis som revision, utbildning eller bedömningar av underordnare. Innovation saktar ner eftersom ingenjörsteam har i uppdrag att tolka vag juridisk terminologi. Och budgetar sväller när tekniska resurser avleder mot efterlevnadsrapporter.

Som svar förväntar vi oss att se samarbetsgrupper som International Organization for Standardization (ISO) och Global Privacy Assembly (GPA) arbeta ännu närmare med företag och regeringar under 2024 för att harmonisera grundläggande cybersäkerhetsförväntningar globalt runt riskhanterings, dataetik och incidentrespons. Effektivisering kommer också från enhetliga bestyrkande ramverk som ISO 27001 och NIST:s ramverk för cybersäkerhet, som hundratals företag redan har utnyttjat för att strukturera cyberprogram.

Vi har redan sett steg mot globalisering av regleringar 2023 till och med databryggor som avtalen mellan EU och USA och USA och Storbritannien, som är en del av den bredare trenden att utveckla en mer samordnad och harmoniserad strategi för dataskydd och integritet i ett globalt sammanhang. De hjälper till att anpassa olika rättssystem, underlätta internationella dataflöden och sätta standarder som kan påverka globala dataskyddspraxis.

Att gå med i branschövergripande ledarskapsgrupper, implementera strukturerade ramverk globalt och övervaka lagförslag kommer att hjälpa företag att förbereda sig för att visa framsteg. Bristande efterlevnad upphör att vara ett alternativ för att förvalta kritiska tillgångar eftersom information omdefinierar business as usual.

Trend 6: Större reglering av leveranskedjans säkerhet

Ökade regleringar och säkerhetsstandarder för tredjepartsleverantörer kommer att stå i centrum 2024 när organisationer inser att utökade digitala leveranskedjor utgör en av de största cyberriskerna för organisationer.

Genombrott för artificiell intelligens kan fånga rubriker, men mindre glamorösa hot som attacker från mjukvaruförsörjningskedjan fortsätter att erodera företag från insidan. De allvarliga skadorna från incidenter som SolarWinds och Log4j katalyserade chefsmedvetenhet om risker från tredje part – men omfattande synlighet och kontroll över leverantörsmiljöer förblir svårfångade för de flesta.

På väg in i 2024 kommer leverantörer att prioritera verktyg och standarder som hjälper till att hantera leverantörsrisker över partnerskap. Omfattande mjukvaruförteckningar (SBOM) som katalogiserar komponentingredienser i köpta plattformar kommer att bli mandat för federala entreprenörer som en del av president Bidens verkställande cyberorder. SBOMs ökar transparensen för köpare kring kända sårbarheter eller underhållsluckor över deras tekniska stack.

Fler industrier kommer att efterlikna initiativ inom fordonssektorn som certifierar säkra leverantörsutvecklingsstandarder baserade på testprocesser som OWASP-riktmärken. Rigorösa kodgranskningar, minst privilegierad åtkomst och runtime application self-protection (RASP) är andra leverantörers tillförlitlighetsåtgärder som får antagande.

När partnerskap mellan återförsäljare, sjukvårdssystem och finansiella tjänster utvecklas kommer delat ansvar för hantering av cyberrisk att kodifieras i fler kontrakt. Villkoren kommer att behandla krav på synlighet i partners attackytor, meddelanden om intrång och åtkomstpolicyer. Organisationer som saknar cybersäkerhetsberedskap kan se leverantörsutsikterna krympa i ett klimat fokuserat på motståndskraft.

I slutändan måste leverantörer och köpare anpassa att samtidigt som partnerskap möjliggör digital transformation och effektivitet, så utökar de också attackgränserna. Att proaktivt säkra dessa korsningar via standarder, noggrannhet och avtalsförsäkran blir absolut nödvändigt när tredje part växer inbäddad i verksamheten. Det finns ingen omkrets när ditt nätverk är allas nätverk.

Planerar cyberresiliens för en osäker framtid

Som 2023 har visat, gör omfattningen och effekten av cyberattacker proaktiv säkerhet till en icke förhandlingsbar investering för organisationer snarare än en isolerad IT-kostnad. 

Som ett minimum kräver cyberberedskap 2024 ett förnyat fokus på styrning av högrisk-AI-system, motståndsplaner för oundvikliga intrång och insyn i leverantörskontroller. Det kräver att exponentiellt större attackytor säkras eftersom datoranvändning lämnar traditionella omkretsar. Det kräver att man övervakar tidiga policyrörelser från tillsynsmyndigheter som inte längre tolererar undvikbar försumlighet när det gäller dataskydd eller incidentrespons.

Men det viktigaste är att företagsstyrelser måste gå i spetsen för en kultur som är engagerad i dataintegritet, etisk teknikpraxis och kollektivt ansvar. Inneslutning av cyberrisk är beroende av företagsledare som föregår med gott exempel genom att dedikera personal, budget och den uppmärksamhet säkerhet förtjänar när de anförtros kundernas välfärd och försörjning.

Hoten är komplexa men överkomliga för dem som inser att cyberresiliens förlitar sig på samordning snarare än isolering. Kunniga företag kommer att förbereda sig för turbulenta tider genom att proaktivt bygga partnerskap, intern kapacitet och pålitliga system redo att säkert skörda utdelningen av digital innovation.