Vorbereitung auf die Reaktion auf Vorfälle

Bitte sehen Sie sichhierdas Video an, um ein Transkript mit Zeitangaben zu erhalten

00:08 – 00:10

Herzlich willkommen, alle zusammen, nochmals vielen Dank.

00:10 – 00:11

Das ist eine großartige Beteiligung.

00:11 – 00:14

Erste Arbeitsgruppe im Anschluss an die Plenarsitzung.

00:14 – 00:19

um You are hier, in we’re the right place, for tooling up for incident response.

00:19 – 00:24

We’re going to tackle people, process, tools, slash technology.

00:24 – 00:26

And I’ll be your host, Chris Mierzwa.

00:26 – 00:31

I’m a Senior Director hier at Commvault, responsible for our global resilience programs.

00:31 – 00:41

And of course, I’m a little biased because it’s our panel hier, but this is an unprecedented six-hour no restroom break.

00:41 – 00:46

Und ich muss euch sagen, wir haben hin und her überlegt: „Sollen wir, oder sollen wir nicht?“

00:46 – 00:49

Maybe it’s against the rules, but we’ll try it.

00:49 – 00:49

Nein, nur ein Scherz.

00:49 – 00:53

One hour on your calendars, but it’s one of the few.

00:53 – 00:53

Also vielen Dank.

00:53 – 00:58

I know it’s a big commitment to be hier for the 60 minutes, but I promise it’s going to be worth it.

01:00 – 01:08

We’ve assembled three incredible people, und I’m going to do a little intro for each of them because I can do it less humbly than they can.

01:08 – 01:14

But I want to make sure for the next hour you know the level of talent that’s hier.

01:14 – 01:16

Und ich hoffe, ihr seht das genauso wie wir.

01:16 – 01:27

We’re trying to tackle und interweave sort of three unique areas that at least I can think of that maybe haven’t been tackled when it comes to how should we think about und be ready

01:27 – 01:30

auf neue und einzigartige Weise auf Vorfälle reagieren.

01:30 – 01:32

And so that’s what we’re hoping to tackle.

01:33 – 01:36

Ohne weitere Umschweife möchte ich zunächst mit meinem Nachbarn zu meiner Linken beginnen.

01:36 – 01:36

Dr.

01:36 – 01:38

Jessica Barker.

01:38 – 01:40

I’ve gotten a little chance to know you over the last couple of months.

01:40 – 01:44

Ähm, das ist einzigartig.

01:44 – 01:51

Sie bringt nicht nur fundierte Kenntnisse im Bereich Cybersicherheit mit, sondern betrachtet das Thema auch aus einer menschlichen Perspektive.

01:51 – 01:59

So while I hope we all have unique things, I can tell you probably never heard what she’s done before, but a little more intro.

01:59 – 02:03

Zwei Bücher, weltweite Vortragsreisen.

02:03 – 02:15

She’s on the plane all the time, all around the world, talking to people, talking to companies like yours about how to prepare people for the things that you’re not usually

02:15 – 02:15

darüber sprechen.

02:15 – 02:18

Wie gehen sie eigentlich mit diesen Dingen um, oder?

02:18 – 02:20

Und wir’re going to go deep und dive into erfahren?

02:20 – 02:21

Thank you for being hier.

02:21 – 02:22

Ja, auf jeden Fall.

02:22 – 02:23

Alles klar.

02:23 – 02:24

Noch eine.

02:24 – 02:26

Let’s get to Ricky Mayer.

02:26 – 02:38

Äh, Ricky, du bist zwar erst vor ein paar Monaten zu Commvault gekommen – herzlich willkommen an Bord –, bringst aber mehr als 25 Jahre Erfahrung in der IT als Führungskraft mit und bist nun unser Vizepräsident für

02:38 – 02:42

Global und Professional Services bei Commvault.

02:42 – 02:43

But…

02:43 – 02:54

long career at IBM, Kyndral, VMware, und you know, when you have people doing professional services, you’re not tested when things go well.

02:54 – 02:56

You’re tested when thier’s challenges.

02:56 – 03:02

And clearly you’ve been through a lot of those, und he’s gonna bring a lot of that magic to us today, so thank you for being hier.

03:02 – 03:04

Na gut, der große Mann.

03:04 – 03:05

Übrigens,

03:05 – 03:11

Ursprünglich aus Großbritannien, jetzt aus den USA, Dallas, Fort Worth, richtig?

03:11 – 03:15

Zak ist den ganzen Weg aus einer kleinen Stadt namens Kapstadt gekommen, richtig?

03:15 – 03:18

Ein kurzer Flug also.

03:18 – 03:19

Ein kleines Dorf.

03:19 – 03:20

Ja, ein kleines Dorf.

03:21 – 03:24

Zak und ich arbeiten ziemlich oft zusammen.

03:24 – 03:27

um We’re very lucky to have him.

03:27 – 03:34

Sein Hintergrund: fundiert, technisch versiert, mit Praxiserfahrung – ah, ein absolutes technisches Talent.

03:34 – 03:40

I’ve had the privilege over my career to work with a lot of people who have immense technical acuity.

03:41 – 03:54

Not trying to puff this up, but Zach clearly is at the top of his game, und he’s gonna bring today to us, you know, a real in the trenches view und how to tackle that from a

03:54 – 03:54

Tool-Perspektive angehen.

03:54 – 03:57

Ich hoffe also, ich habe dem gerecht geworden.

03:57 – 03:59

You’re gonna hear the magic hier today.

03:59 – 04:03

In diesem Sinne möchte ich mit dir beginnen, Jessica.

04:03 – 04:11

So when we were prepping, you whipped out a term that we all need some education on, und that’s this

04:11 – 04:13

Optimismus-Bias.

04:13 – 04:18

If you could clinic us on that that’ll give us a great kind of launch pad for for the session.

04:18 – 04:19

Klar.

04:19 – 04:31

So one thing I find really helpful in cyber security because I’m always looking at the people side I think we can learn so much from neuroscience from psychology from sociology

04:31 – 04:41

aus diesen Fachgebieten, die menschliches Verhalten und Denkweisen erforschen – was uns dazu bewegt, bestimmte Entscheidungen zu treffen, und was uns dazu bringt, die Dinge zu tun, die wir tun. Unter underem

04:41 – 04:48

Konzepten und umfangreichen Forschungsarbeiten aus den Neurowissenschaften dreht sich vieles um diese Idee der „Optimismus-Verzerrung“.

04:48 – 04:55

Untersuchungen zeigen, dass 80 % der Menschen weltweit von Natur aus zum Optimismus neigen.

04:55 – 05:04

That is regardless of whier we’re from, it’s regardless of gender, of age, of ethnicity, of socioeconomic background.

05:06 – 05:10

Und wir blicken auf die Welt, die weite Welt, und denken, dass alles immer schlimmer wird.

05:10 – 05:17

Aber aus der Perspektive des Einzelnen, der Familie oder des Teams haben wir diese optimistische Verzerrung.

05:17 – 05:21

Essentially thinking the bad thing won’t happen to us.

05:21 – 05:26

And the research, thier’s been so much research done on this, a lot led out of London by Dr.

05:26 – 05:29

Tali Sharot, wenn ihr euch das also einmal ansehen wollt, kann ich es wärmstens empfehlen.

05:30 – 05:35

Und diese Forschung befasst sich im Allgemeinen mit Themen wie Gesundheit und Scheidung,

05:36 – 05:38

don’t think the bad thing will happen to them.

05:38 – 05:42

Ich denke, das lässt sich sehr gut auf die Cybersicherheit übertragen.

05:42 – 05:54

Als ich anfing, mich damit zu beschäftigen, dachte ich: „Deshalb ist es so, dass wir, wenn wir dem Vorstund alle Statistiken vorlegen, die zeigen, dass ein Vorfall irgendwann wahrscheinlich eintreten wird, warum …“

05:54 – 05:55

sie das vielleicht einfach abtun.

05:55 – 05:58

Weil sie denken, dass das nur allen underen passiert.

05:58 – 05:59

But that’s not going to happen to us.

05:59 – 06:06

Und ich glaube, das hat enorme Auswirkungen auf alle möglichen Aspekte der Cybersicherheit

06:06 – 06:08

nicht zuletzt auf die Reaktion auf Vorfälle.

06:08 – 06:15

And I’m guessing that that bias really exacerbates itself when things, bad things do passieren würde.

06:15 – 06:15

Ja.

06:15 – 06:19

Because they’re like this goes against everything I could have thought.

06:19 – 06:20

Yeah, that’s it.

06:20 – 06:30

It undermines that kind of muscle memory, that resilience, that individual und team und even organizational resilience because we’re thinking well we didn’t think that this would

06:30 – 06:30

passieren würde.

06:30 – 06:35

So thier’s a level of shock und you know tools, processes und the

06:35 – 06:41

human element of incident response just aren’t in place because it was never expected.

06:41 – 06:42

Ich verstehe.

06:42 – 06:43

Und noch eine Sache, die mich interessiert.

06:43 – 06:48

Wir kennen wahrscheinlich alle Menschen in unserem Umfeld, die das Glas als halb voll oder halb leer betrachten.

06:48 – 06:54

Um Ihre Statistik zu verwenden: 80 % der Menschen sehen das Glas in dieser Hinsicht als halb voll an.

06:54 – 06:55

Ja.

06:55 – 06:57

% voll, um die Analogie zu verwenden.

06:57 – 07:05

But you meet people und thier are people that are less than half full, but you’re saying internally when they think about it that that’s

07:05 – 07:07

whier they’re still at this 80.

07:07 – 07:15

Und auch dieser Unterschied zwischen einem vielleicht weltweit verbreiteten Zynismus und der Überlegung, wie sich die Dinge für einen selbst entwickeln werden.

07:15 – 07:17

m

07:17 – 07:21

Und innerlich sollte man seine Erwartungen kennen – Optimismus ist eine gute Sache.

07:21 – 07:25

I’m not saying we should try und design out optimism.

07:25 – 07:31

I’m an optimistic person myself und I do often recognize optimism bias at play with myself.

07:31 – 07:32

Optimismus ist

07:32 – 07:41

great. We wouldn’t have got to whier we are as human beings if we weren’t optimistic und also, you know, we’d struggle to get through the day quite frankly if we didn’t have some

07:41 – 07:46

Optimismus. Anstatt also zu versuchen, ähm, ihn zu gestalten

07:47 – 07:51

Das eine ist, ihn zu erkennen, und das undere, damit zu arbeiten, wann immer wir können.

07:52 – 08:02

So rather than, you know, the saying of like, it’s not if but when und trying to scare people, we can say, you know what, an incident is likely to happen, but we can be

08:02 – 08:03

darauf vorbereitet sein.

08:03 – 08:05

Thier’s things we can do to have äh

08:05 – 08:12

die entsprechenden Instrumente und Abläufe zu haben, und je besser wir uns vorbereiten, desto widerstundsfähiger werden wir sein.

08:12 – 08:17

Also eine optimistische Sichtweise auf etwas, das eine Herausforderung darstellt.

08:18 – 08:26

Und wie schwierig ist es, für die Menschen, die zu diesen 20 % gehören, den Durchbruch zu schaffen?

08:26 – 08:31

Or how more or less are they prepared because they’re biased the other way?

08:31 – 08:35

Eine Voreingenommenheit gegenüber Optimismus kann dann an sich schon eine Herausforderung sein.

08:35 – 08:41

Because you can think, well, the bad thing’s always going to happen, so why should I bother?

08:41 – 08:48

Solche Botschaften rund um das Thema „Vorbereitet sein“ funktionieren – komischerweise – für beide Seiten, was sehr hilfreich ist.

08:48 – 08:53

Yeah, Ricky, I’m sure large projects when they go wrong, right?

08:53 – 08:55

Whier have you seen this play out?

08:55 – 09:09

So look during crisis we often don’t rise to the level of our IR plans or any plans We often fall to the levels of our execution practice, right rehearsed behaviors often beats

09:09 – 09:18

great intentions und Incident response or as I call the incident resiliency is just that it’s a it’s a goal

09:19 – 09:25

aber ohne Übung und einstudierte Verhaltensweisen in diesem mentalen Modell und diesem mentalen Muskelgedächtnis.

09:27 – 09:35

And if your first disaster is whier you have your first practice, the outcomes is not going to be resiliency it’ll be bad press.

09:36 – 09:50

So to pack on to Jessica’s point about optimism bias, we often tend to forget that we as humans have to then look at the processes und then the tools at our disposal, bring them

09:50 – 09:54

in dieser hochkomplexen Welt, in der wir heute leben, zusammenzuführen.

09:55 – 10:01

Und wir haben heute Vormittag von unseren Hauptrednern gehört, dass die Technologie, das Umfeld – einfach alles um uns herum – immer komplexer wird.

10:02 – 10:06

Und in diesem vielfältigen und komplexen Umfeld,

10:06 – 10:17

having one, an optimism bias, und two, this false notion of security that we have plans but we haven’t really rehearsed them or practiced them is just setting us up for more

10:17 – 10:19

Misserfolge und Erfolge.

10:20 – 10:30

That reminds me, I’m sure if we did a raise of hunds or we went und chatted with you all, a lot of folks are like, hey, look, I could be as optimistic as I want und I want to be

10:30 – 10:34

ready, but we don’t have the budget, we don’t have the time, we don’t have the people.

10:34 – 10:36

So I’m going to guess when those

10:36 – 10:41

forces push against the optimism bias, that’s also a force to be reckoned with, right?

10:41 – 10:47

Like, I want to do this, but the institution that I work for can’t afford it, can’t get it done.

10:47 – 10:52

Vielleicht könnten wir das im weiteren Verlauf auch ein wenig näher beleuchten, denn du siehst das wahrscheinlich auch, Zak, oder?

10:52 – 10:58

Ich meine, wenn schlimme Dinge passieren – was passiert dann mit diesen Leuten?

10:58 – 11:04

Wie reagieren sie mitten in der Situation, in dieser Art Druckkessel, wenn man so will?

11:05 – 11:08

Because you’ve to understund everyone’s still human.

11:08 – 11:11

It doesn’t matter how many times you’ve practiced something.

11:11 – 11:19

Although the exercise und the practicing does help a lot, that’s essentially how you get your resilience.

11:19 – 11:23

But people go hide when incidents passieren würde.

11:23 – 11:24

Sie verstecken sich.

11:24 – 11:27

Sie versuchen, ihre Spuren zu verwischen.

11:28 – 11:33

und see if it wasn’t any of their mistakes und then start blaming und so on und so forth.

11:33 – 11:40

And that basically comes from the initial stundpoint whier it wasn’t tested enough.

11:41 – 11:46

A cyber resilience or a cyber recovery plan, you’ve got the plan, but it wasn’t tested enough.

11:46 – 11:56

And as soon as you draw that in, so it becomes a muscle memory und everyone knows precisely what they’re going to do next on cue,

11:56 – 12:00

then you don’t have that kind of behavior anymore.

12:00 – 12:06

Was auch interessant ist, denn ich habe Ihre Statistiken gehört und wünschte, ich hätte selbst welche mitgebracht.

12:07 – 12:10

Aber wie passt die Versicherung dann in dieses Bild?

12:10 – 12:17

ah we like, Like you said, we don’t want to, we don’t want to pay for insurance, right?

12:17 – 12:20

Wir haben diese Art von Ausgaben.

12:20 – 12:23

Aber wie hängt das mit der optimistischen Verzerrung zusammen?

12:23 – 12:25

Weil, ähm,

12:25 – 12:28

Weil wir immer noch für Kfz-Versicherung und Krankenversicherung bezahlen.

12:29 – 12:30

Das ist ein interessanter Punkt.

12:30 – 12:36

Wenn wir über Krankenversicherung oder Lebensversicherung nachdenken, wie sind diese konzipiert?

12:36 – 12:42

It’s not framed as illness insurance or death insurance.

12:42 – 12:49

So again, we can learn something from those industries und the fact that that’s not happened by accident.

12:49 – 12:52

Thier is framing at work thier.

12:52 – 12:54

Um die Menschen anzusprechen.

12:54 – 12:56

Anstatt sich um die eigene Familie zu kümmern.

12:56 – 12:56

Genau.

12:56 – 12:57

Das weitergeben.

12:57 – 12:58

Richtig.

12:58 – 12:58

Ja.

12:58 – 12:59

Denken Sie doch mal an die Werbung, die Sie sehen.

12:59 – 13:02

Sie können über den Rahmen nachdenken, der all das umgibt.

13:02 – 13:07

It’s all a very optimistic und positive framing of things that essentially are negative.

13:07 – 13:08

Ja.

13:08 – 13:16

I just want to take a quick pause und tell you that the AC turned up hier because we were losing pounds so fast up hier.

13:16 – 13:17

Ich kann für mich selbst sprechen.

13:17 – 13:20

Das war unglaublich, was für ein Wunder sich gerade ereignet hat.

13:20 – 13:21

Ok

13:23 – 13:28

Kannst du dir vorstellen, bei State Farm eine Lebensversicherung abzuschließen?

13:28 – 13:29

Wie ein guter Nachbar.

13:29 – 13:36

Mann, das geht einem einfach so leicht über die Lippen.

13:36 – 13:39

Aber in der Cybersicherheit betrachten wir die Dinge oft aus einem underen Blickwinkel.

13:39 – 13:39

That’s true.

13:39 – 13:40

Ja.

13:40 – 13:44

We’re not taking the lead from a well-established.

13:44 – 13:44

Ja.

13:44 – 13:46

And this isn’t my secret.

13:46 – 13:52

A lot of the things that I bring to cybersecurity, I’m not inventing or reinventing the wheel.

13:53 – 14:04

I’m taking known knowledge, you know, research that’s out thier that anybody can draw upon just in fields that are outside of cyber security und bringing it in hier.

14:04 – 14:09

And thier’s so much we could advance if we look more at those fields.

14:09 – 14:14

Und ich glaube, das werden wir auch tun – denn aus den Neurowissenschaften, der Psychologie, der Soziologie und dem Marketing können wir so viel lernen.

14:14 – 14:23

So to that end, not asking you to give away the farm, because I know you get a pretty penny, but what if thier are a couple

14:23 – 14:34

wichtige Erkenntnisse gäbe – wenn Sie Ihre Vorträge auf das Wesentliche reduzieren müssten: Was sind ein paar Dinge, die im Vordergrund stehen sollten und die Ihre Zähörer mitnehmen sollen, wenn Sie einen Ihrer Vorträge halten?

14:34 – 14:35

diesen Veranstaltungen?

14:35 – 14:46

Yeah, it varies, but in terms of this particular conversation, I think one thing is in cyber security we often rely on the fear, don’t we, to try und spread our messaging.

14:46 – 14:50

Und ich verstehe, dass die Leute denken, wir könnten Angst schüren.

14:51 – 14:53

jemunden zu einem bestimmten Verhalten zu bewegen.

14:53 – 14:55

It doesn’t really work like erfahren?

14:55 – 14:58

Mit Angst zu versuchen, Verhalten zu ändern, ist sehr kompliziert.

14:58 – 15:01

Und wir

15:01 – 15:04

nutzen sie als eine Art Hammer.

15:04 – 15:09

Stattdessen können wir darüber nachdenken, wie wir unsere Botschaften gestalten können.

15:09 – 15:12

Wir können darüber nachdenken, wie wir mit menschlichen Vorurteilen arbeiten können.

15:12 – 15:14

Because the bias is thier.

15:14 – 15:16

Wie können wir also unsere Botschaften gestalten?

15:16 – 15:28

For example, if we want a board or a team to practice incident response, then rather than trying to scare them into thinking that’s important, can be, know, realistic presentation

15:28 – 15:29

der Bedrohung.

15:29 – 15:31

Aber wenn wir üben, macht uns das widerstundsfähiger

15:31 – 15:33

widerstundsfähiger.

15:33 – 15:35

Diese Belastbarkeit entsteht durch Wiederholung.

15:35 – 15:37

Denken wir also an diesen optimistischeren Blickwinkel.

15:37 – 15:42

Okay, und wir haben schon ein wenig darüber gesprochen, ich erinnere mich, als wir in Las Vegas waren.

15:43 – 15:51

You do something so unique und if someone’s saying, wow I’ve got to get Jessica or somebody.

15:51 – 15:53

Wie verkaufst du das intern?

15:53 – 15:55

Das ist so ein einzigartiges Konzept.

15:55 – 16:02

It’s not part of, probably everybody sitting hier going, wow, I had no idea somebody did this, right?

16:02 – 16:12

Wenn man erfolgreiche Wege sieht, seine Dienstleistungen zu verkaufen und den Weg bis zur Geschäftsleitung zu finden – welche Möglichkeiten gibt es, um das zu erreichen?

16:12 – 16:16

Yeah, so I’ve been doing this for 15 Jahre.

16:16 – 16:20

Am Anfang hatte ich damit sicherlich viel mehr zu kämpfen.

16:21 – 16:31

And I think one thing is that we’ve seen this growing recognition in the cyber security industry that people are at the heart of cyber security just as much as tools or

16:31 – 16:33

Prozesse.

16:33 – 16:39

Aber im Grunde erfordert dies oft ein gewisses Maß an kultureller Reife in einer Organisation.

16:39 – 16:50

Und leider braucht es oft die Erfahrung eines Vorfalls – entweder direkt oder indem eine Organisation miterlebt, wie eine ihrer Partnerorganisationen davon betroffen ist –, denn das durchbricht die

16:50 – 16:51

Optimismusverzerrung durchbricht.

16:53 – 16:55

Ich denke, man könnte das als zweischneidiges Schwert betrachten.

16:55 – 17:03

It’s both unfortunate that that’s what it takes, but it’s also if that has to be the catalyst, und it’s not you und maybe a peer, go forward.

17:03 – 17:04

Richtig.

17:04 – 17:05

Fantastisch.

17:05 – 17:06

Ich danke Ihnen.

17:08 – 17:13

I did not ask Jessica, hey, give me a full rundown on that because it’s fascinating.

17:13 – 17:17

I think for all of us coming from a technical area, it’s so good.

17:17 – 17:19

Also ja, auf jeden Fall.

17:20 – 17:21

Alles klar.

17:21 – 17:27

Also, Ricky, als wir uns unterhalten haben, hast du über das „Minimum Viable“ gesprochen.

17:27 – 17:35

Interesting, we heard a lot in the keynote this morning, but we didn’t eliminate that term on purpose, but it’s kind of buried under sort of the next level.

17:35 – 17:38

Möchtest du ein wenig darüber sprechen?

17:38 – 17:38

Klar.

17:38 – 17:42

Also, was das Sprichwort „Übung macht den Meister“ angeht, oder?

17:42 – 17:44

Aber wie übt man und womit übt man?

17:44 – 17:57

So if you look at a large ecosystem, you have such a huge disparate system of technologies at your display that’s running your business, how do you know whier to start practicing

17:57 – 17:59

und wie oft übt man eigentlich, oder?

17:59 – 18:08

So at Commvault we talked about the notion of minimal viable und what that really is is that leveraging tools like a BIA assessment that we’ve been doing for many, Jahre.

18:08 – 18:09

Jahre.

18:09 – 18:11

You start to define what’s mission critical for your business.

18:11 – 18:16

So könnte beispielsweise Active Directory geschäftskritisch sein, ebenso wie ein Patientenversorgungssystem.

18:16 – 18:26

And you define und say, you know what, that’s what I’m going to start with first because if thier is a compromise und I’m shut down, this is what I want to bring up first.

18:26 – 18:35

Und dann geht es weiter zu meinen – nun ja – von geschäftskritischen zu unternehmenskritischen Systemen, das könnten Ihre E-Mails, Ihre Kommunikationssysteme, Ihre underen Anwendungen und Workloads sein.

18:35 – 18:38

Und dann definieren Sie die unterstützenden Anwendungen

18:38 – 18:45

once they’re up, together with mission critical, business critical, und supporting apps, now you have your entire environment operational.

18:45 – 18:50

Denken Sie einfach daran: Wir sprechen oft von der Reaktion auf Vorfälle und denken dabei an Sicherheit.

18:50 – 18:58

Die Reaktion auf Vorfälle ist als Prozess oder als institutionelles Wissen erforderlich, nicht nur bei Sicherheitsvorfällen.

18:58 – 19:01

Man könnte eine fehlerhafte Software haben, die einen lahmlegen könnte.

19:01 – 19:08

Man könnte eine KI haben, eine agentische KI-Software, die etwas tun könnte, die vielleicht anruft

19:08 – 19:10

und deine Umgebung abschalten könnte.

19:10 – 19:13

Für mich geht die Reaktion auf Vorfälle über reine Sicherheit hinaus.

19:13 – 19:17

Sie hilft einem doch wirklich dabei, die operative Leistungsfähigkeit des Unternehmens zu definieren, oder?

19:17 – 19:27

Und genau deshalb kommt das Konzept des „Mission Protocol“ oder „Minimal Viable“ ins Spiel, um Ihnen dabei zu helfen, Ihre Anwendungen und Workloads wirklich zu definieren und dann damit zu beginnen, Tests zu entwickeln und

19:27 – 19:28

Verfahren zu entwickeln.

19:28 – 19:37

Ein weiterer Punkt, den ich kurz hervorheben möchte, ist: Wenn man sich das NIST-Rahmenwerk für die Reaktion auf Vorfälle ansieht, die Sonderveröffentlichung 861,

19:38 – 19:51

wird die Reaktion auf Vorfälle oft in vier übersichtliche Phasen unterteilt: Vorbereitung, Erkennung, dann Eindämmung, Beseitigung, Recovery und schließlich Neubewertung sowie die

19:51 – 19:52

Basislinie.

19:52 – 19:58

Nun, das Problem mit diesem gesamten Konzept der Wiederherstellung ist, wie wir heute bereits gehört haben, dass es blinde Flecken schafft.

19:58 – 19:59

Denn was stellt man eigentlich wieder her?

19:59 – 20:01

How well do you trust what you’re recovering?

20:01 – 20:04

Sind diese Daten absolut vertrauenswürdig?

20:04 – 20:07

Sind Integritätsprüfungen enthalten?

20:07 – 20:13

And I think this is why NIST needs to reassess what they’re saying as recover und maybe think rebuild.

20:13 – 20:19

Because, you know, recover to me essentially seems like you have a wall that’s damaged und you’re patching the wall.

20:19 – 20:22

Well, it’s not that elegant, You’re patching the wall.

20:22 – 20:25

„Wiederaufbau“ bedeutet im Grunde, diese Wund anhund eines bekannten Bauplans neu zu errichten.

20:26 – 20:37

Und genau deshalb – wenn man sich unsere Lösungen wie „Cloud Rewind“ und undere ansieht – helfen wir dir tatsächlich dabei, den gesamten Anwendungsstack neu aufzubauen, richtig, mit bekannten Daten, mit guten Daten.

20:37 – 20:42

Und nun haben Sie durch diesen bewährten Prozess ein gewisses Maß an Vertrauen in Ihre Recovery.

20:42 – 20:50

So you know end up you know just by saying don’t just think about incident response as one security only.

20:50 – 20:53

It’s anything that can take your business offline.

20:53 – 20:57

Man kann nicht alles in der ersten Minute wieder zum Laufen bringen, oder?

20:57 – 21:05

Das Ziel der Incident Response besteht im Grunde darin, Probleme innerhalb von Sekunden zu erkennen, die Auswirkungen innerhalb von Minuten zu mindern und dauerhaft widerstundsfähig zu bleiben.

21:05 – 21:09

And for that you need to have definition of what’s minimal viable for your company.

21:09 – 21:12

So in that…

21:12 – 21:14

just want to do a raise of hunds hier.

21:14 – 21:17

Let’s take the Wayback Machine, just pick 10 Jahre.

21:17 – 21:23

Und wir were walking around und telling everybody, hey, we’ve got this incredible service, not us, Commvault, but the industry.

21:23 – 21:25

We’re going to do application mapping.

21:25 – 21:32

Denn bevor man überhaupt auf eine übergeordnete Ebene übergehen und eine umfassendere Diskussion darüber führen kann, muss man zunächst den Grad der Vernetzung verstehen.

21:33 – 21:34

And I’m

21:34 – 21:38

to say I’m a glass half full guy, just making sure Jessica knows.

21:39 – 21:45

Aber wir haben uns als Branche so sehr darum bemüht und sind bei so vielen Unternehmen gescheitert.

21:45 – 21:53

If you ask, in fact I won’t even ask because people are going to want to raise their hunds, hey do you have a full application map?

21:53 – 21:56

Ich würde wetten, dass sich nicht viele melden.

21:56 – 22:04

And so that’s okay maybe because now we’ve raised it up that we can recover at a different layer of abstraction.

22:04 – 22:09

But I’m just curious to your take on that because you probably went through that, right, in that first round.

22:09 – 22:10

Hilft das weiter?

22:11 – 22:17

You still have to define minimal viable, but does it help that you’ve abstracted out that more detailed application mapping?

22:17 – 22:20

Nicht nur das Anwendungs-Mapping, sondern auch das Daten-Mapping.

22:20 – 22:23

Deine Anwendungen sind im Wesentlichen Nutzer der Daten.

22:23 – 22:31

And at the end day, a ransomware malware or any adversary that’s trying to compromise you is not compromising you because he loves your application.

22:31 – 22:34

Das sind die Aufgaben von „Power Tools“, also der Daten, richtig?

22:34 – 22:39

Es ist also auf keinen Fall so, dass Ihre Daten das Sagen haben und unsere Angriffsdienste einfach außer Kontrolle geraten.

22:39 – 22:43

And you you’re asking that if we ever knew whier our application is.

22:44 – 22:51

Vielleicht in den 70er- und 80er-Jahren, als es Client-Server-Anwendungen gab oder ein Terminal an einen Mainframe angeschlossen war.

22:51 – 22:55

Today you are building one of the, you you’re going from building

22:57 – 22:59

you’re launching VMs.

22:59 – 23:06

You have the whole dev sec ops process that’s launching applications on the go und data resides everywhier.

23:06 – 23:15

And I think this is why having that end to end visibility, who has the data, who’s accessing it, whier does the controls lie.

23:15 – 23:19

Und diese Grundlagen – sozusagen das „Sicherheitsgemüse“ zu essen – haben sich stark weiterentwickelt.

23:19 – 23:22

You still have to make sure that you’re eating your security vegetables.

23:22 – 23:26

Zugriffskontrolle über das Identitätsmanagement,

23:26 – 23:32

hat gezeigt, dass man kein Vertrauen darin haben kann, dass all diese seitlichen Bewegungen zwischen den Datenpunkten sicher sind.

23:32 – 23:43

Denn Ihre Fähigkeit zur Reaktion auf Vorfälle – oder, wie ich es nenne, die Widerstundsfähigkeit gegenüber Vorfällen, die sich aus Reaktion, Wiederherstellung und der in die Widerstundsfähigkeit integrierten Maßnahmen zusammensetzt – hängt davon ab, wie

23:43 – 23:44

bereit du bist, dich auf die Umgebung einzulassen.

23:45 – 23:48

Okay, Zach, ich muss dir eine Frage stellen.

23:49 – 23:51

Everybody’s overloaded, right?

23:51 – 23:58

Everybody you work with, und when you come in, you’re supplementing with your incredible skill set, skill sets they don’t have.

23:58 – 24:00

Haben die Leute denn keine Zeit dafür?

24:00 – 24:10

I mean, these are important things, Ricky’s pointing out, but when you actually hit the ground level, what are, why can’t we get some of this done?

24:10 – 24:13

What’s holding folks up from defining this?

24:13 – 24:16

Well, because thier’s actually a bunch of things.

24:16 – 24:20

I’d actually say firstly, culture.

24:21 – 24:32

You’ve got these departments that you, especially when you’ve got like older companies, und I want to point out to the application mapping, if your application is two months old,

24:32 – 24:34

you precisely know what it’s about.

24:34 – 24:42

Once it gets to two years und it’s like feelers all over the place, then you have no idea what’s going on.

24:42 – 24:47

Und genau so entstehen bei älteren Unternehmen diese Unternehmenskulturen.

24:48 – 24:53

Security guy, backup guy, endpoint guy, und they don’t mix.

24:53 – 24:57

Man verkehrt unter den eigenen Leuten, oder?

24:57 – 25:05

Ich habe gestern jemundem erzählt, dass ich 30 Jahre IT-Erfahrung habe und davon 17 Jahre ausschließlich im Bereich Sicherheit tätig war.

25:06 – 25:18

Not one day of that 17 years I’ve ever met my backup guys, which is insane because in the end, if you think about it, what am I doing as a security guy?

25:18 – 25:23

I’m not securing the people or their cars.

25:23 – 25:27

I’m also securing the data just like the backup guys.

25:29 – 25:38

I think in companies und cultures we need to change the way we think of each other’s roles und what we are actually doing thier.

25:38 – 25:49

I’m thier to put a firewall, IPS, SIM, SOC, all those nice things und do the forensics und pain testing und architecture.

25:49 – 25:54

The reason for that all boils down to what everyone is doing thier.

25:54 – 26:04

And it’s building that data, building the applications, und serving the service to, or outward to the common folk,

26:05 – 26:08

Jessica, ich konnte spüren, wie du ganz gespannt auf der Stählkante saßt.

26:08 – 26:10

Wie überwindet man das?

26:10 – 26:17

Ich meine, das muss auf einer ganz underen Ebene vermarktet werden, um diesen kulturellen Aspekt zu verändern.

26:17 – 26:19

Ich finde es toll, dass Sark das Thema Kultur angesprochen hat.

26:20 – 26:28

To Ricky’s point as well about when an incident happens or preparing for an incident is about so much more than security.

26:28 – 26:35

And yeah of course, we’re talking about infrastructure, we’re talking about backups, but we’re also thinking about the whole organization.

26:37 – 26:40

We’re thinking about the culture und we’re thinking about how everybody can be impacted.

26:40 – 26:46

So as Ricky was talking, I was thinking about what’s been happening in the UK this year.

26:46 – 26:56

So I’m from the UK, I’m now based in Las Vegas, but I’ve spent a lot of time back in the UK this year, und one of my favorite places to go is Marks und Spencer’s.

26:57 – 27:03

Marks und Spencer’s are very big, as everybody knows, very big, very long.

27:03 – 27:14

incident this year und I was thier on day one I was trying to buy some groceries on my card wouldn’t work und I’m thinking no what’s going on hier und it turned out it was day

27:14 – 27:20

one of a cyber attack that took their website down I’ve lost track of how long but we’re talking about months.

27:20 – 27:23

Lieferkette – die Regale waren leer.

27:23 – 27:31

I was going into Marks und Spencer’s und the shelves were empty or thier would be one product covering like a whole shelf.

27:31 – 27:35

So thier would be like hundred bottles of Coca-Cola rather than the usual variety.

27:35 – 27:39

So I’m chatting to everybody in thier on the shop floor.

27:39 – 27:42

I’m going into the cafe und I’m chatting to the people working thier.

27:42 – 27:46

Not telling them I work in cyber security, but I’m just like, oh

27:46 – 27:47

you’ve got no avocados.

27:47 – 27:50

Hat das etwas mit dem Cybervorfall zu tun?

27:50 – 27:53

Und ich fund es so interessant, wie sie darauf reagiert haben.

27:54 – 28:00

Erstens – und das war bei allen so, mit denen ich gesprochen habe – haben sie zunächst einmal eingeräumt, wie schwierig es für sie war.

28:00 – 28:02

And they said, we’re coming in every day.

28:02 – 28:04

We don’t know what we’re coming into.

28:04 – 28:14

We don’t know if we’re coming into no stock to give customers or to provide to customers, or if we’re coming into it being like the week before Christmas und we are overloaded with

28:14 – 28:15

Waren.

28:15 – 28:21

We’re having customers ask if we’ve got XYZ und we can’t check on the systems, we don’t know.

28:21 – 28:23

Sie würden also anerkennen, wie schlimm es war.

28:23 – 28:29

And then they would say, but we’re so lucky because we all work so well as a team.

28:29 – 28:31

We’re all supporting each other.

28:31 – 28:34

We’re hearing from head office all the time.

28:34 – 28:41

Und ich habe bei mehreren verschiedenen Gelegenheiten gehört, wie viel Respekt sie vor dem Sicherheitsteam hatten.

28:41 – 28:45

They were saying things like, the tech team is working so hard to get things Richtig.

28:45 – 28:47

And they’re working around the clock.

28:47 – 28:52

I hear they’re sleeping in the office, they’re getting the pizza delivered.

28:52 – 28:54

And this, by the way, this was nowhier near the head office.

28:54 – 28:57

Das liegt im Nordosten Englunds, im Vergleich zu London.

28:57 – 28:59

And I thought thier’s so much we can learn from erfahren?

28:59 – 29:02

Und ich habe immer wieder über Wang nachgedacht.

29:02 – 29:03

Und ich dachte mir: „Na ja, warum mache ich

29:03 – 29:04

love going to Marks und Spencer’s?

29:04 – 29:10

It’s like, it’s got a brund of trust und it’s got a personality.

29:10 – 29:17

Und daraus kann ich nur schließen, dass das sowohl intern als auch nach außen hin zum Ausdruck kommt.

29:17 – 29:20

Die Kommunikation ist also etwas, von dem wir lernen können.

29:20 – 29:27

Der Respekt, der von der Spitze der Organisation bis in alle Ebenen hinein ausstrahlte, wurde dann widergespiegelt.

29:27 – 29:30

And this isn’t built in an incident.

29:30 – 29:33

Das entsteht über Jahre hinweg in einer Unternehmenskultur.

29:33 – 29:36

when things are good und then it’s tested when things go wrong.

29:36 – 29:38

That’s interesting.

29:38 – 29:44

Ein weiterer Faktor, der die ganze Sache sehr kompliziert macht, ist, dass wir heute in einer Welt der geteilten Verantwortung leben, nicht wahr?

29:44 – 29:54

Unternehmen haben heute also nicht nur mit den Silos zu kämpfen, die innerhalb ihres IT-, Rechtsberatungs- und Anwendungsdatenbank-Teams bestehen.

29:54 – 29:59

but you’re also now running an environment whier the workloads are cost-

30:05 – 30:09

Außerdem gibt es Systemintegratoren, die Ihnen bei der maßgeschneiderten Integration und ähnlichen Aufgaben helfen.

30:09 – 30:12

So whier does the responsibility really start?

30:12 – 30:23

Because you have to look at the shared responsibility model that we have put ourselves in intentionally whier we have security of the infrastructure, security of the clouds, of the

30:23 – 30:25

Anwendungen sowie der lokalen Systeme gewährleisten.

30:25 – 30:35

And in the shared responsibility matrix, even though everybody understunds the need for building the hygiene culture, it’s the competing problem.

30:35 – 30:41

Und das hindert die Leute daran, diese IR-Pläne wirklich zu erstellen und zu testen.

30:41 – 30:47

Und ich glaube, dass diejenigen Unternehmen diesen Kampf gewinnen werden, die bewusst daran arbeiten, ein gemeinsames Publikum zu schaffen.

30:47 – 30:54

So you know what, it’s important for all of our partners to work together with us und build these plans und then execute them.

30:54 – 30:59

Because at the time of crisis, you’ll be relying on the shared responsibility matrix.

30:59 – 31:03

And every player who’s involved in it to help you get back.

31:04 – 31:09

Yeah, an interesting point und Zach when you said hey, I didn’t speak with them.

31:09 – 31:11

It wasn’t that you disliked them.

31:11 – 31:14

It wasn’t that you had any negative bias or anything toward them.

31:14 – 31:16

You’re just like, I’ve got a lot of work to do.

31:16 – 31:19

Das ist es, was ich tue.

31:19 – 31:25

Und das muss über eine viel größere vertikale Ebene innerhalb der Organisation hinausgehen.

31:25 – 31:26

Leute, wir Sicherheitsleute.

31:26 – 31:30

Wir denken doch ziemlich viel über uns selbst nach, oder?

31:30 – 31:30

Ja.

31:33 – 31:33

die Grenze.

31:33 – 31:35

Top of die Grenze.

31:35 – 31:35

Richtig.

31:35 – 31:39

Und ich frage mich auch, ob irgendetwas eingebaut wurde, um dich zum Reden zu animieren.

31:39 – 31:40

Überhaupt nicht.

31:40 – 31:42

Oder gemeinsam zu lernen.

31:42 – 31:47

We can say, we can look at that as being like, we didn’t do erfahren?

31:47 – 31:49

Aber hat die Organisation das ermöglicht?

31:49 – 31:53

War das etwas, das bewusst so gestaltet wurde, um Anreize zu schaffen?

31:53 – 31:55

Yeah, it’s, no way.

31:55 – 32:01

And that is why I tell people you’ve got to

32:01 – 32:07

seine wichtigsten Leute aus der gesamten Infrastruktur mitnehmen und sie jede Woche auf ein Bier einladen muss.

32:07 – 32:10

Sie müssen miteinunder reden.

32:10 – 32:19

Even if it’s not collaboration or anything, they gotta know the name und the number und what they do in the organization in order to get that whole thing smooth.

32:19 – 32:30

Because you’re segregating, without your knowing, you’re segregating your whole organization from inwards out und thier’s no way of, thier’s no…

32:30 – 32:34

Verbindungen für eine echte offene Kommunikation zwischen ihnen.

32:34 – 32:45

I had one organization, I remember in lockdown, they were really struggling with how do we get these teams to interact with each other, especially now when they weren’t in the

32:45 – 32:48

Büro waren, wissen Sie, und sie haben Lego gebaut.

32:48 – 32:59

Sie haben jedem einzeln ein kleines Lego-Set zugeschickt, haben alle über Zoom, Teams oder was auch immer zusammengebracht, und alle haben zu Hause Lego gebaut, getrennt voneinunder, aber

32:59 – 33:00

gemeinsam.

33:00 – 33:01

Und es hat funktioniert.

33:01 – 33:04

Einfach, preiswert, fördert die Teamarbeit.

33:04 – 33:05

Wie ironisch.

33:05 – 33:06

We’re in the keynote.

33:06 – 33:09

Thier’s agents doing things automatically.

33:09 – 33:11

Thier’s going to be people on Mars.

33:11 – 33:16

Und wir’re literally just talking back about Legos und pizza und making time.

33:16 – 33:18

But it’s real, right?

33:18 – 33:24

We think so higher level, but thier’s just some base stuff that we’ve got to get back to.

33:24 – 33:28

Also, Zach, in diesem Zusammenhang … ähm, wir haben von „Res Ops“ gehört.

33:28 – 33:30

It’s trending

33:30 – 33:32

tief in Twitter oder X.

33:32 – 33:34

Entschuldigung, mein Gott, ich habe den veralteten Begriff verwendet.

33:34 – 33:35

Also.

33:35 – 33:37

Erzähl uns doch mal etwas darüber.

33:37 – 33:44

I mean, I know it’s something we’re trending, trying to create, but thier’s something real under thier, right?

33:44 – 33:54

Denn die Tools, die Vernetzung – wie auch immer wir es nennen wollen – dahinter stecken immer noch echte Elemente, die Res Ops zur Realität machen.

33:54 – 34:03

So maybe from a tools perspective und how we’re looking at this resilience operations, give us a feel for what does it really mean at the ground level?

34:06 – 34:09

So Res Ops is…

34:10 – 34:17

Well, you got the tools und the people und the processes, but if you don’t test it, I’m just going to come back to that testing thing, Chris.

34:17 – 34:24

You’ve to keep If you don’t test it, you’ve got all these tools which you subscribe to for years und Jahre.

34:24 – 34:30

It’s like my um membership at äh a golf range whier…

34:30 – 34:31

äh

34:31 – 34:38

I went thier twice in two years und it ends up spending thousunds for those two times.

34:38 – 34:47

So you’ve got all these tools that you pay for und you subscribe to und you buy servers for und they’re running thier in the background.

34:47 – 34:50

um

34:50 – 35:00

If you don’t know how to use them und you get to an incident und they actually just gonna slow you down in recovering.

35:00 – 35:08

Ehrlich gesagt sind diese Tools auch etwas, das man wiederherstellen muss, wenn es erst einmal knirscht, oder?

35:08 – 35:16

um So the tools aren’t anything that you, frankly I’d say to companies don’t even worry about the tools at the moment because

35:17 – 35:24

Because if you don’t, if your people don’t know how to act, like if you’re in incident right now, what are you going to do?

35:24 – 35:25

Wie verhalten Sie sich?

35:25 – 35:27

What’s the next thing that you’re going to do?

35:27 – 35:30

Nun, ich verstehe das mit dem Optimismus.

35:30 – 35:40

It’s just for us to kind of get that mindset into a customer, you can’t say it’s all just…

35:40 – 35:41

äh

35:42 – 35:44

nur Rosen und Sahne, oder?

35:44 – 35:46

You gotta say what’s gonna passieren würde.

35:46 – 35:54

Otherwise, if you keep on being optimistic, they’re just gonna say, then it doesn’t sound like we need any of this, do we?

35:54 – 35:56

Ja, da stimme ich zu.

35:56 – 35:59

It’s not about denying that the bad thing’s gonna passieren würde.

35:59 – 36:06

It’s about how you talk about something negative in a way that still can take people with you.

36:06 – 36:08

same When I’m raising awareness of threats.

36:08 – 36:10

Weißt du, ich gehe hin und mache Aufklärungsarbeit.

36:10 – 36:12

Ich erstelle Aufklärungsmaterial.

36:13 – 36:13

und

36:13 – 36:16

And obviously I’m talking about the bad stuff.

36:16 – 36:20

I can’t raise awareness of cybersecurity und not talk about the threat.

36:20 – 36:27

But it’s doing that in a way that’s proportionate so people don’t think you are exaggerating for your own benefit.

36:27 – 36:37

And then thinking about how you can enable und empower people, even when you’re talking about something negative, so they feel that they can still engage with it.

36:37 – 36:39

And as soon as you…

36:39 – 36:41

well obviously, you’re not going to wait for the incident.

36:41 – 36:43

Aber sobald man so etwas wie ein…

36:43 – 36:55

exercise a virtual incident exercise like we’ve got in recovery range then you’re gonna understund you’re gonna see all these 10 tools 20 to 100 tools und you’re say well we

36:55 – 37:03

haven’t even used any of them in recovering our environment right um if you get to that point

37:04 – 37:16

Then you can obviously shed all of those dead skin und eventually get to a point whier you’re a lean, MVC type of guy that can easily recover.

37:16 – 37:21

Well, you know what you want to do und you’ve trained your people well enough.

37:21 – 37:27

you can’t, so you can’t go through those exercises without the communication between those teams.

37:27 – 37:28

Und das ist ein Begriff.

37:28 – 37:28

Also.

37:29 – 37:33

If you don’t want to send them for beer, then at least get them in the room.

37:33 – 37:42

And start with those exercises whier you go through the process of things failing in your environment.

37:42 – 37:44

Dann frag: Was wirst du tun?

37:44 – 37:45

Was wirst du tun?

37:45 – 37:49

And that’s also another finger pointing exercise.

37:49 – 37:51

It’s like we need to tabletop, right?

37:52 – 37:56

You’ve got to get people out of their comfort zone appropriately.

37:56 – 37:59

They’ve to realize what tabletops are in the park.

37:59 – 38:03

Ich meine, ein „Tabletop“ ist nur eine Sache, die man ebenfalls nutzen muss.

38:04 – 38:05

Es gibt Tabletop-Übungen.

38:05 – 38:07

Es gibt „Re-Move“-Übungen.

38:07 – 38:10

Es gibt auch Übungen mit dem roten Schlüssel und dem violetten Schlüssel, richtig?

38:10 – 38:12

Und jede davon hat ihren Platz in einer Organisation.

38:12 – 38:20

So let’s say an organization is a majority number, they are established, what their minimal viable company needs to look like, they have all their processes in place, they

38:20 – 38:27

have the shared responsibility fitted up, und they have also understood that, you know, yes, we gotta look beyond the human body.

38:27 – 38:30

Wie fängt man damit an?

38:30 – 38:31

Was hilft dir bei der Vorbereitung?

38:31 – 38:37

Tabletop-Übungen sind also im Wesentlichen Übungen mit geringem Stressfaktor.

38:37 – 38:38

They’re not training modules.

38:38 – 38:48

They’re actual half day full day sessions whier you’re supposed to come together with the shared responsibility to set people to practice one of the most scenarios that your

38:48 – 38:51

Unternehmen mit größter Wahrscheinlichkeit erleben wird.

38:51 – 38:53

Und das hilft euch, Klarheit zu schaffen.

38:55 – 38:57

Red Teams sind von ganz anderer Art.

38:57 – 38:58

They’re life fighters.

38:58 – 39:02

Und rote Teams helfen einem im Grunde dabei, eine Gemeinschaft aufzubauen.

39:02 – 39:07

So thier’s a real distinction between what’s building clarity, what’s building humility.

39:07 – 39:08

Das gefällt mir.

39:08 – 39:11

Und dann sind „Rebuild“-Übungen im Grunde eine Quelle der Wahrheit.

39:11 – 39:16

It’s a reflection whier you think about your cyber resiliency maturity assessments.

39:16 – 39:17

Und man sagt sich: Weißt du was?

39:17 – 39:20

Wir haben all diese Pläne, die wir auf der Grundlage unserer Bewertung erstellt haben.

39:20 – 39:23

Wie gut gehen unsere Pläne in die Hose?

39:23 – 39:27

That’s the truth that the Weibulls exercise is different at all.

39:28 – 39:34

All diese Faktoren müssen zusammenkommen, damit man wirklich ein Gefühl dafür bekommt, wie gut man vorbereitet ist.

39:36 – 39:38

So you’re saying it’s easy.

39:38 – 39:40

Das schreibe ich mir mal auf.

39:40 – 39:42

In gewisser Weise ist es das auch.

39:42 – 39:43

Bitte, bitte.

39:43 – 39:44

I’m cut you off.

39:44 – 39:45

Nein

39:51 – 39:52

Als Erstes

40:03 – 40:09

The other two times a month that we have a meeting, we’re talking about business.

40:09 – 40:13

What could happen, what does happen, who’s in charge, who to get in touch with.

40:13 – 40:19

And I’ve built up communication between all of them so that each department saw it like the exact same.

40:19 – 40:25

Each person knew, you know, that he’s not such a bad person even though he works over thier or she works over thier.

40:25 – 40:28

Now I know we’re a family, we’re a company.

40:28 – 40:29

Wir haben alle ein Interesse daran.

40:29 – 40:31

If something goes wrong…

40:31 – 40:33

Wissen wir, wie man es in Ordnung bringt.

40:33 – 40:34

Wir vertrauen einander.

40:34 – 40:39

Whieras I have worked at companies whier the person will say, that’s your problem.

40:39 – 40:40

That’s not ours.

40:40 – 40:45

Und dann stößt das Unternehmen an seine Grenzen – alle Gewinne gehen zurück.

40:45 – 40:46

Das Geld schwindet.

40:46 – 40:52

then If it’s cyber hack, the insurance company will come und say, you know, you’re not following the procedure.

40:52 – 40:53

We’re going to cut you off.

40:54 – 41:00

The way I built it up is so we don’t go off a beer because I’m not going to promote drinking.

41:03 – 41:04

We’re going to lunch.

41:04 – 41:05

Don’t talk business.

41:05 – 41:07

Lernt euch einfach gegenseitig kennen.

41:07 – 41:09

Bleibt auf der menschlichen Ebene, oder?

41:09 – 41:09

Richtig.

41:09 – 41:10

Es auf der menschlichen Ebene belassen.

41:10 – 41:13

und when you sit down, I tell them…

41:15 – 41:15

Dienst.

41:21 – 41:23

Jeder ist also jemand anderes.

41:23 – 41:25

Now you’re redet alle.

41:25 – 41:26

redet alle.

41:26 – 41:27

Und lernt euch kennen.

41:27 – 41:31

The following week when we have the meeting, okay, now let’s, we’re going to sit down.

41:31 – 41:32

We’re going to talk.

41:36 – 41:40

Ich sagte zu ihm: „War das so?“

41:40 – 41:42

And, äh, Lennox Hill Hospital.

41:42 – 41:43

Was denkst du darüber?

41:43 – 41:48

Was haben sie falsch gemacht, was uns verbessern kann, was uns geholfen hat, uns zu verbessern?

41:48 – 41:55

Because now we’re using an outside attack to develop a procedure that we can use to make us stronger.

41:56 – 41:58

In the eight months since that’s happened…

42:04 – 42:06

sich in ihrer Haut wohlfühlen.

42:06 – 42:12

I said, it’s all, I wish I would have read Jessica’s book at that time.

42:12 – 42:14

And I tell them it’s all about human communication.

42:14 – 42:18

Because they’re all communicating with each other now.

42:18 – 42:22

Haben alle das gehört? Können alle das hören? Haben alle das gehört?

42:22 – 42:24

Ich meine, ganz einfach.

42:24 – 42:26

enforced und repeatable, right?

42:26 – 42:29

Weil du es Monat für Monat für Monat gemacht hast, oder?

42:29 – 42:30

Ja, genau.

42:31 – 42:32

Fantastisch.

42:32 – 42:34

I had a couple of really key things thier.

42:34 – 42:42

Erstens: Du verwendest das Wort „Vertrauen“ – es geht darum, Vertrauen in diesen Beziehungen aufzubauen, nicht nur Vertrauen im beruflichen Sinne, sondern Vertrauen zwischen Menschen.

42:42 – 42:43

Und dann das

42:43 – 42:52

learning culture of once we’ve kind of built up some of that trust und we’ve got to know each other und feel comfortable with each other, then we’re going to sit down und we’re

42:52 – 42:53

über einen Vorfall sprechen.

42:53 – 42:59

We’re going to talk about what maybe went right, what went wrong, und we’re going to reflect on ourselves und what we can do differently.

42:59 – 43:05

Weil ihr diese vertrauensvollen Beziehungen aufgebaut habt, werden sich die Leute dabei wohler fühlen.

43:05 – 43:12

So trust, learning, culture, und really building that wider culture of communication.

43:12 – 43:13

think that’s so important.

43:13 – 43:23

Then as well, if something goes wrong und you don’t know as an individual who to turn to, but you know a few people hier und thier, you can go und say, hey, this has happened.

43:23 – 43:24

I’m worried about this.

43:24 – 43:25

Was können wir tun?

43:25 – 43:27

And put your heads gemeinsam.

43:27 – 43:30

But so much of that comes down to culture und people feeling safe.

43:30 – 43:34

äh

43:34 – 43:40

I have to give some credit hier, because what I’m about to say was from a podcast I filmed a little earlier this morning.

43:40 – 43:49

And the gentleman was the data protection und resilience engineer for Blue Cross Blue Shield South Carolina Hillman.

43:49 – 43:49

He’s hier.

43:49 – 43:51

He’s great guy.

43:51 – 43:58

And when we were finishing, I said, hey, is thier one thing you’d like to leave everybody with in the podcast?

43:58 – 44:02

Because he’s 25 years in data protection.

44:02 – 44:04

äh

44:04 – 44:05

Er liebt seine Arbeit.

44:06 – 44:14

Und er sagte: „Weißt du, schon als ich als junger Mann direkt nach dem Studium am Helpdesk angefangen habe, bis heute.“

44:14 – 44:19

Force yourself und put yourself in the middle of a situation.

44:20 – 44:24

Don’t be afraid because you’d be amazed who follows you.

44:24 – 44:35

And I thought that, you know, it’s not earth shattering, but the passion, not afraid to get in the firefight, und then it’s amazing who you bring along with you when that

44:35 – 44:36

passiert.

44:36 – 44:45

And if you have that in addition to what you’ve done, whier they’re meeting und get to know each other, the whole thing dovetails on itself

44:45 – 44:47

und good things happen, right?

44:47 – 44:58

I think my only challenge to that, und it comes probably partly back to culture, is it depends on the environment you’re doing that within, whether people will follow or

44:58 – 45:09

whether, und whether people will feel comfortable putting themselves within the middle of that environment or feeling like, as Zak said earlier, are people gonna point the finger?

45:09 – 45:13

Am I gonna put my head above the parapet und I am gonna become the one who’s gonna be blamed?

45:13 – 45:14

oh

45:14 – 45:19

Und es wirft möglicherweise auch Fragen zum Burnout auf.

45:19 – 45:24

If I’m always the one running to fix things, when is that going to start to take its toll?

45:24 – 45:27

You need some camaraderie thier in the fire.

45:28 – 45:32

And if you’ve got the right culture that’s going to support you, then I completely agree.

45:32 – 45:43

But in organizations whier thier isn’t that relationship building, whier thier isn’t that empathy und trust, und whier thier isn’t that psychological safety of not worrying about

45:43 – 45:44

beschuldigt zu werden,

45:44 – 45:47

I think that’s a very different scenario.

45:47 – 45:49

It’s a great point.

45:49 – 45:52

Das erfordert mehrere Ebenen in der Pyramide.

45:52 – 45:55

Not to be negative, I’m just talking about the Optimismusverzerrung durchbricht.

45:55 – 45:58

Mein Gott, was ist mit den 80 % passiert?

45:58 – 45:59

Erinnert ihr euch?

46:07 – 46:08

stabiles Umfeld.

46:10 – 46:15

of IT which are held by the corporate team und individuals business unit management.

46:17 – 46:21

services or things whier things overlap.

46:21 – 46:25

Es ist also wirklich eine sehr, sehr schmale Grenze, wie weit man diese Bereiche zusammenlegen möchte.

46:28 – 46:31

separate things out because it’s a very tricky thing.

46:31 – 46:36

Wir sind fast wie acht verschiedene Geschäftsbereiche, die ihre eigenen Ziele und Prioritäten haben.

46:36 – 46:39

Dein zentraler, du weißt schon, der Unternehmensmarkt ist einer.

46:43 – 46:50

together before you even make one change und things go down south, everybody’s just all in groups are ready to attack you right thier.

46:50 – 46:54

It’s a very thin line thier, when it comes to shared responses, especially cloud und everything else.

46:54 – 46:58

Zum Beispiel, wenn man einen Mandanten mit mehreren Abonnements in Azure hat.

47:01 – 47:03

und have you separate those things out, right?

47:08 – 47:18

This is why I mentioned the whole share responsibility because that’s the crux of whier we are faltering as an industry, And I think this is why we have so much headwinds of

47:18 – 47:23

regulations now talking about from DORA in Europe und all the other things.

47:25 – 47:38

Are forcing the boards to essentially get serious about resiliency und have provable metrics in place to demonstrate that yes, as an organization, we’re doing the right things

47:38 – 47:45

around keeping data secure und being able to show resiliency when compromises passieren würde.

47:45 – 47:58

And I think as more more regulations become more stringent und the penalties become more severe, some of that unwanted but much needed cross-organization population und

48:03 – 48:16

Und vielleicht nicht, um den Begriff „KI“ mit Gewalt unterzubringen – ich will ihn ja nicht mit Gewalt unterbringen –, aber wenn wir die positiven Aspekte betrachten, müssen wir den Menschen etwas Zeit dafür freimachen.

48:16 – 48:17

Das ist das eigentliche Problem.

48:17 – 48:24

Ich meine, ich denke, zwischen den Zeilen gelesen, könnte es nicht nur bergab gehen, sondern man muss einfach Zeit auf diese Teams verteilen.

48:41 – 48:41

Sonst noch etwas?

48:41 – 48:43

Ich weiß es zu schätzen, dass ihr beide den Ball ins Rollen gebracht habt.

48:43 – 48:45

We were going right thier, so this is great.

48:45 – 48:47

Noch weitere Fragen?

48:47 – 48:48

Ja?

49:14 – 49:15

Thema.

49:18 – 49:18

Also.

49:31 – 49:32

Darf ich es mir ansehen?

49:32 – 49:41

Also ja, was passiert denn, wenn man diese Übungen gemeinsam mit dem ganzen Team macht, oder?

49:41 – 49:50

The trust you’re building thier isn’t a trust that can be broken from an incident because that’s what you’re actually testing.

49:50 – 49:54

You’re testing for an incident that’s going to happen in the future.

49:54 – 49:58

Vor diesem Hintergrund also

49:58 – 50:15

why would, okay, this is just me asking, why would any of the team members suspect someone else in the team if you do two of these exercises a year und they get told no more than

50:15 – 50:16

erfahren?

50:16 – 50:21

They all get together und they see the incident passieren würde.

50:22 – 50:33

You have a virtual thing that you talk about und what has happened und how it’s unfolded und what was breached, how it was done.

50:33 – 50:35

Und das wird dann mit dem gesamten Team durchgesprochen.

50:35 – 50:40

Then every one of them actually see the attack from whierver it comes.

50:40 – 50:52

Wenn es also passiert, wenn es tatsächlich so wie in der Realität passiert, dann bezweifle ich stark, dass dieses Vertrauen aufgrund des Unfalls gebrochen wird.

50:55 – 50:56

Ja, genau.

50:56 – 51:01

Oh, after if you if you haven’t built the trust.

51:01 – 51:02

Auf jeden Fall.

51:02 – 51:05

Then it’s that’s actually a very good point.

51:05 – 51:13

That’s a very good point that if you haven’t prior to that, built the trust, then it’s actually going to be much worse.

51:13 – 51:14

Ein exponentielles Problem.

51:14 – 51:21

Because when we were talking about this, I know from one of the companies that I’ve been

51:21 – 51:30

In South Africa, thier was a whole wing of the company was, we’re talking about four und a half thousund employees on a site.

51:30 – 51:44

The whole wing was cut off from any network und the security guy, I wasn’t the security guy then, but he was pointing to the network’s guy und the guy, the network guy was just

51:44 – 51:45

zurück.

51:45 – 51:49

For a few days, that whole wing was off because they couldn’t.

51:50 – 51:53

Sie streiten sich ständig darüber, wessen Problem das ist.

51:53 – 52:00

And that’s network und security, which you would actually think it’s quite close-knit.

52:00 – 52:01

Ja.

52:10 – 52:15

It’s probably good to think about trying to a solution und I think it comes top down.

52:15 – 52:21

Also, wenn die oberste Führungsebene einen dabei unterstützt, aus dieser Situation herauszukommen.

52:30 – 52:34

Dass die oberste Führungsebene hinter uns steht und uns dabei unterstützt.

52:34 – 52:37

Ich meine, es war ganz klar eine Unsicherheit im Netzwerk.

52:37 – 52:42

Zwei verschiedene Unternehmen, es war so etwas wie ein Schwesterunternehmen innerhalb der Muttergesellschaft.

52:43 – 52:44

Sie hatten einen Punkt-zu-Punkt-Tunnel.

52:45 – 52:49

Jede offene Verbindung zwischen den beiden Unternehmen im Netzwerk haben wir über das VPN abgewickelt.

52:49 – 52:53

Das Schwesterunternehmen benötigte nur Zugriff auf einige wenige Anwendungen.

53:00 – 53:04

Die Mitarbeiter des Netzwerkteams gehören zum Sicherheitsteam.

53:04 – 53:06

Genau dieselbe Situation.

53:10 – 53:21

oh And this is the idea of a just culture und either being restorative or retributive.

53:21 – 53:26

Wenn also etwas schiefgeht, schaut man dann darauf, was schiefgelaufen ist, oder darauf, wer schuld ist?

53:30 – 53:34

I Ich … gute, gute Frage.

53:34 – 53:36

Ich finde, das ist eine gute Frage.

53:36 – 53:37

Ich finde, das ist eine gute Frage.

53:37 – 53:53

I good I I good I good I I think think good I good think it’s a good good it’s good think

53:57 – 54:00

Zeigst du mit dem Finger auf jemanden oder versuchst du, der Ursache auf den Grund zu gehen?

54:00 – 54:05

I think all of us have been talking about defense und depth.

54:05 – 54:15

I think now is the time to shift our, since we are in SHIFT to shift our mindset from defense und depth to trust und depth.

54:15 – 54:24

What I mean by that is so you’re trusting your people to do the right thing, you’re trusting your processes to build up, you’re also trusting the tools of technology at your

54:24 – 54:25

.

54:25 – 54:28

So zu handeln, wie du es geplant hast.

54:28 – 54:35

For example, so you’re recovering something, but what if the ransomware attack or the malware attack has actually taken down or compromised your recovery plan

54:37 – 54:42

So let’s say you do not have an air gap solution und now your recovery environment is compromised.

54:42 – 54:45

So you’re recovering from an infected environment into fraud.

54:45 – 54:48

So you can’t really trust that data, right?

54:48 – 54:54

And I think this is why we’re going to look at, great, we have all these defenses, resume breach.

54:54 – 55:00

And if you’re resuming breach, then you’re saying, I’m going to trust everything implicitly or explicitly.

55:00 – 55:06

And then I’ve got to build this notion in my head that I want to trust it in depth, which means all of my

55:06 – 55:11

unterstützenden Prozesse vertrauenswürdig sein müssen, um mich in einen vertrauenswürdigen Zustand zu versetzen.

55:12 – 55:16

And then I think that pre-appointed und excuse not me, all of that should go away.

55:16 – 55:18

It should go away, Richtig.

55:18 – 55:20

Nun, ich,

55:21 – 55:23

we’ve only got a couple of minutes.

55:23 – 55:24

Ich weiß euch alle wirklich sehr zu schätzen.

55:24 – 55:25

Gesang.

55:25 – 55:26

Ich weiß die Fragen wirklich zu schätzen.

55:26 – 55:32

Wir hatten gehofft – wir dachten so: Mein Gott, werden die Leute nach all den Hähnchenröllchen überhaupt noch Fragen haben?

55:32 – 55:33

And thier it was.

55:33 – 55:36

So we couldn’t have asked for a better ending.

55:36 – 55:40

Aber ich möchte mich ganz herzlich bei zwei Gruppen bedanken.

55:40 – 55:41

Zunächst einmal an Jessica.

55:41 – 55:43

Danke, Ricky, Zak.

55:43 – 55:45

I mean, the miles traveled hier.

55:45 – 55:47

Unglaublich, oder?

55:48 – 55:53

I hope you were able to appropriately understund Ricky und I with our accents.

55:53 – 55:55

Ich meine, die haben ja die guten.

55:55 – 56:00

We just, you know, Dallas und Phoenix, I mean come on.

56:00 – 56:02

Aber was noch wichtiger ist: Ich möchte dir danken.

56:02 – 56:03

Danke, dass ihr euch die Zeit genommen habt.

56:03 – 56:07

Ich weiß, dass dies eine lange Sitzung war, besonders direkt nach dem Mittagessen.

56:07 – 56:12

And even more importantly, thank you for coming to SHIFT, being clients at Commvault, und putting your trust in us.

56:12 – 56:14

Das wissen wir sehr zu schätzen.

56:14 – 56:15

Also.

56:15 – 56:19

Have a great rest of your breakouts und we’ll see you out thier.