<div dir="ltr"><div><div class="gmail_signature"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><div dir="ltr"><a href="https://www.itworldcanada.com/sponsored/the-five-most-common-it-security-missteps">https://www.itworldcanada.com/sponsored/the-five-most-common-it-security-missteps</a></div><div dir="ltr"><br></div><div dir="ltr">All
 too often, enterprises get caught in the familiar cycle of deploying an
 endless stream of the latest and greatest security products and 
assuming this will successfully mitigate risk. More often than not, 
though, this creates a complex and wasteful technology sprawl and an 
incomplete view of the full cyber security portfolio. So, it’s not 
surprising that when a data breach occurs, companies again must revert 
to reactive mode and spend time and resources searching for the root 
cause – whether it’s a misconfigured device, an unpatched application, 
an employee falling for a phishing attack or some other reason. But this
 approach often “misses the forest for the trees” since most breaches 
are not the result of these moment-in-time errors. Instead, they are 
almost always caused by decisions made well before the breach ever 
occurs.<br></div><div dir="ltr"><article id="gmail-post-406386" class="gmail-post-406386 gmail-cdn_native gmail-type-cdn_native gmail-status-publish gmail-has-post-thumbnail gmail-hentry gmail-category-security gmail-tag-cybersecurity gmail-tag-optiv"><div class="entry-content"><p>By taking more time to build a risk-centric foundation 
that includes making better decisions relating to security funding and 
operations, enterprises in Canada and beyond can dramatically reduce the
 likelihood of a breach months or even years down the road. Here’s my 
list of the top five areas where IT security typically breaks down and 
can cause enterprises to increase the risk of a breach.</p><p><strong>Misstep 1: Underestimating the need for professional services to optimize technology investments </strong><br>
Most of us who wish to stay healthy understand the value of visiting the
 doctor at regular intervals for checkups. If we were all experts on 
physical fitness and diet, we wouldn’t need doctors. Unfortunately, many
 enterprises do not adapt this recipe for personal health to their 
security environments. This manifests itself in their budgets – they 
budget for product/maintenance renewals, but not for professional 
services to determine if their products are performing the way they 
should.</p><p>This “set it and forget it” mentality has led to an 
epidemic of sub-optimally configured and deployed security tools that 
create significant gaps in defenses. This is why so many enterprises 
today find themselves with massively complex, disparate and 
expensive-to-manage security infrastructures that, when all is said and 
done, are largely ineffective against modern adversaries.</p><p>One 
other thing to consider: Many organizations assume that security OEMs 
are the best resource for deploying and optimizing their security 
environments. The reality is, OEMs are manufacturers, not security 
services integrators (SSIs), and their expertise is often limited to 
their own technology suite. To truly understand one’s infrastructure, 
it’s critical to have assessments conducted by technology-neutral 
professional services organizations that can provide strategic guidance 
on infrastructure rationalization and optimization.</p><p><strong>Misstep 2: Relying on a DIY approach to technology implementation</strong><br>
Many organizations take a “do it yourself” (DIY) approach to security 
technology implementation. Security skillsets are more readily available
 today on the employee market than ever before, and it is easy to fall 
into the trap of trying to save money by using internal staff to deploy 
new technologies. Not surprisingly, this can lead to problems ranging 
from configuration issues to suboptimal use of product features. In 
fact, DIY deployments are one of the most common sources of 
vulnerability causing data breaches. Recent statistics confirm that a 
majority of breaches have occurred within companies that only use DIY 
resources.</p><p>While it’s understandable that many IT and security 
personnel want to take on product deployment in-house – largely due to 
budget constraints – it often results in one of two undesirable 
scenarios:</p><ul><li>The person responsible for implementation is not 
an expert on the product or service, so the technology is incorrectly 
configured.</li><li>The department in charge is resource-constrained, so
 they rush to deploy the product or service without understanding its 
capabilities and enabling its advanced features. Replacing a simple 
port-based firewall with a next-generation firewall and migrating legacy
 rule sets simply ensures the same problems as before – with more 
expense.</li></ul><p>The first problem opens organizations up to 
security and compliance risks, while the latter prevents them from 
optimizing their technology investments.</p><p><strong>Misstep 3: Over-complicating technology deployments at the expense of effectiveness</strong><br>
When you buy a new car, it’s all too easy to get caught up in fancy 
bells and whistles, rather than focusing on what really matters – like 
driver position and the comfort of using gas and brake pedals. 
Similarly, some IT and security teams have a tendency to over-configure 
new technology with endless custom rules designed to send alerts on 
every possible scenario – largely because they think this strategy will 
help them justify their investment to c-suite and board members.</p><p>However,
 configuring too many rules can prevent the security operations team 
from seeing the forest through the trees. Rather than alerting you to 
real anomalous events, suspicious activity and potential threats, it can
 bombard you with an oppressive number of security alerts that turn out 
to be redundant or false-positives. Devoting so much time to benign 
alerts causes organizations to waste enormous resources and severely 
compromises security effectiveness.</p><p><strong>Misstep 4: Failure to gain visibility into the complete technology environment</strong><br>
Most security organizations don’t have a complete understanding of the 
products and services in their IT environments. Rogue IT business units 
pop up everywhere, introducing complexity and risk for security 
operations teams. This is dangerous, because you can’t protect systems, 
services and other assets if you don’t even know you have them. On top 
of this, many security organizations don’t fully understand how the 
technologies in their security environments can potentially integrate 
together to make life easier on their security operations teams. Once 
the inventory is done, then security teams can capitalize on the myriad 
of orchestration and automation options on the market to make them more 
efficient. Additionally, there is a burgeoning shelfware problem in 
security, where organizations purchase the latest “check list” of 
security tools but then never get around to deploying them.</p><p>It is 
critical for security organizations to take a step back and understand 
their complete inventory of security tools and services, as well as the 
IT assets they are supposed to protect. If nothing else, get help 
discovering and learning what is in the environment before adding more 
complexity. Once this is done, it becomes possible to rationalize the 
security infrastructure into a more manageable and cohesive framework 
that maps to the organization’s IT infrastructure and business 
objectives.</p><p><strong>Misstep 5: Setting unrealistic expectations for security projects </strong><br>
Many security practitioners view their jobs in a vacuum, and fail to 
realize that their company is unable to move as quickly as they would 
like. Security projects often affect business users, requiring them to 
dedicate time in requirements gathering or to test applications 
following a cutover. Fairly frequently, we see clients building project 
timelines for security projects that are simply unreasonable given the 
size and complexity of the business.</p><p>When planning out any 
security project, it is vital to understand the capabilities of the 
internal staff to get high-quality work done in a reasonable time frame.
 It isn’t realistic to assign overly demanding timelines to overworked 
or under-skilled staff, because they will make mistakes and, ultimately,
 miss their deadlines (and miss them badly). It is far better to assign 
achievable timelines that account for individual workloads and skill 
sets – this will result in fewer errors and delays.</p><p><strong>Overcoming the five missteps: Putting your security program on sure footing</strong><br>
Companies impacted by any one of these missteps face increased security 
and compliance risks. In addition, they likely aren’t getting the full 
value out of their technology investments, which can be a major problem 
when it is time to explain to executives how budget dollars are 
translating into improved security posture.</p><p>When it comes to 
avoiding these potential pitfalls, awareness is half the battle. The 
other half is translating this knowledge into sound decision-making on 
security investments, operations and strategies. The only way to truly 
reduce the risk of data breaches, compliance violations and wasted 
resources is to abandon the age-old, reactive “outside in” approach to 
security (where decisions are based on the latest threats, regulations 
and other external forces). Instead, security professionals should take 
the opposite approach to security: inside-out, where security strategy 
starts with a core understanding of enterprise needs, strategy and risk 
profile. This enables organizations to rationalize their infrastructure 
and optimize operations so everything maps to the enterprise risk model,
 rather than the latest headline-grabbing threat. As the saying goes, 
“The first step to recovery is admitting you have a problem.” Get 
professional help. Security systems integrators have the advantage of 
working with many clients and pattern-matching what works and what 
doesn’t. This knowledge dramatically increases the likelihood that 
companies will achieve enterprise security that is radically stronger, 
simpler, less costly and more accountable…with far fewer missteps!</p></div></article><div class="gmail-clear"></div><br clear="all"><div><div><div dir="ltr"><div><div dir="ltr"><div><div dir="ltr"><b><span style="font-size:10pt"></span></b><span style="font-size:10pt"></span><span style="font-family:arial,helvetica,sans-serif"></span><br><br></div></div></div></div></div></div></div></div></div></div></div></div></div></div></div>
</div>