奥利·怀特豪斯是英国政府NCSC的新任首席技术官，他在2024年的年度网络安全活动“黑帽欧洲”上毫不手软地阐述了他对全球技术供应商的要求。
在去年12月初召开的会议上 ，怀特豪斯强调，供应商有必要对他们出售给企业的系统和工具采取更加基于证据的方法 ，“而不是仅仅依赖特里所说的 ”。
网络安全咨询公司NCC的前首席技术官怀特豪斯也呼吁软件公司不要对他们创建的系统更加透明 ，并向客户收取额外费用以使软件更加安全 。
赛博的山麓
怀特豪斯于10月加入了GCHQ旨在保护企业和公众的机构，其任务是塑造和交付英国的国家网络安全使命 ，帮助大规模应对英国面临的无数威胁 ，并建立集体复原力 。
怀特豪斯将不断发展的景观置于上下文中，他说 ，就网络而言 ，世界处于“18世纪的医学领域”。
他补充道：“这个行业充斥着骗术和舆论 。‘购买史密斯博士的神奇灵丹妙药，它将解决你所有的网络问题’ ，但没有任何证据表明它有效 。我们只是在网络的山麓地带。 ”
这位网络主管还要求供应商建立更透明的系统 ，这样至少对手就不会不受惩罚地存在于封闭的墙壁系统中 。
“我们无法进行遥测和内省， ”他补充道 。
“这对供应商来说非常好，因为他们创造了带有围墙花园的封闭系统——但一旦我们的对手渗透到这些系统并逍遥法外 ，这就为他们创造了住所。这是一个根本性的挑战 ，”他说 。
或许对私营部门的弱点是明智的——除了NCC，怀特豪斯还在黑莓和赛门铁克担任安全研究的高级职务——他告诉代表们 ，让愿意出售服务并收取额外费用以确保其安全的供应商“在2023年是不可原谅的 ” 。
“我在体制外的企业工作过 ，我知道它是如何运作的。这些成本是不合理的 。所以，我可以购买一项需要钱的服务 ，但如果我被攻破 ，我必须支付更多费用才能访问日志，以了解这些攻破的后果 。这是我们作为一个社区需要解决的问题 ， ”他补充道。
他说 ，当涉及到他们产品的SaaS版本时，供应商之间也有一个提高透明度的真正机会。
供应商目前有义务披露他们用内部版本修补的所有漏洞 ，但怀特豪斯暗示：“我认为他们并不总是完全透明地知道这是否或如何影响他们的SaaS版本 。”
功效
怀特豪斯还敦促在关键基础设施等领域运营的公司联合起来 ，拒绝购买软件，直到供应商能够证明他们的产品符合他们的要求 。“这对供应商来说将是一个如此强烈的信号，他们忽视这一点是失职的 ， ”他补充道.
“我们需要知道这件事会产生我们想要的结果——我们在健康等受到威胁的其他部门也有。 现在这些体系中公认的最低限度是多少？我认为我们还有很长的路要走 ，但我们不想陷入被迫依赖监管的境地 。这是一把非常钝的锤子， ”他补充道 。
怀特豪斯声称 ，事实是 ，供应商是由对“简单碳水化合物”的自然市场需求塑造的。
他解释说：“客户希望能够购买能够消除痛苦的东西，但我不认为它们存在 。它们可能存在于一些特定的问题上 。但我们必须在这里玩一个迭代游戏。一个以协调一致的方式建立弹性的游戏 。 ”
设定标准
怀特豪斯认为 ，社区需要使网络成为“一门基于证据的科学 ” ，并建议一个积极的步骤是更多地参与标准制定机构 。
“我们的社区在这些团体中的代表性不足。我们的对手知道这一点 。作为一个社区，我鼓励你们加入一个标准机构 。把网络防御社区的要求带到这些房间里。在它成为标准之前指出危险。”
在社区面临的挑战中 ，他敦促组织让2024年成为他们处理技术债务的一年 。
“我们非常擅长专注于新的和闪亮的 ，但是我们如何以不需要15个创可贴和一张石膏的方式保护传统技术呢？”他质疑道 。
“如果你去一些最大的公司，他们不知道自己有多少基础设施 ，也不知道有多少基础设施没有修补 ，这几乎是一个公开的秘密。有一座巨大的山，我们无法理解和量化 。
“虽然这不像勒索软件那样是一个迫在眉睫的问题，但所有这些技术债务都是我们的对手居住、利用和为所欲为的机会 。 ”
英国及其全球盟友面临的另一个挑战是全球供应链的演变 ，以及没有人能忽视中国工业的实力。
“我们不能指望某些部分来自始终与我们的理想一致的国家 。因此 ，挑战在于：当我们无法信任系统中的任何单个组件时，我们如何构建我们信任的系统？因为这是我们必须做的 ，无论是在芯片层面、软件层面还是服务层面 ，当我们进入某些领域时 。 ”
有关网络安全的更多故事，请单击此处
