九游老哥云
RSA 立异沙盒盘货 | Elevate Security——“以人为本”的清静行为改善平台
2020-02-17
2020年2月24日-28日 ，网络清静行业盛会RSA Conference将在旧金山拉开帷幕。大会的立异沙盒环节备受瞩目 ，成为全球网络清静行业手艺立异和投资的风向标。
前不久 ，RSAC官方宣布了最终入选今年的立异沙盒十强首创公司：AppOmni、BluBracket、Elevate Security、ForAllSecure、INKY、Obsidian、SECURITI.AI、Sqreen、Tala Security、Vulcan。
九游老哥科技将通过配景先容、产品特点、点评剖析等 ，带各人相识入围的十强厂商。今天 ，我们要先容的是厂商是：Elevate Security。
公司先容
Elevate Security于2017年1月建设[1] ，总部位于美国旧金山湾区。两位首创人Masha Sedova和Robert Fly都是前Salesforce认真清静和信托治理的高管 ，有富厚的清静治理履历。公司经由两轮融资 ，现在处于A轮融资阶段 ，融资规模1000万美元[2]。区别于大都重点关注手艺（Technology）与流程（Processes）的清静创业公司 ，Elevate基于对目今网络清静危害的洞察 ，提供针对人（People）的清静行为改善平台及定制化计划 ，能够通过对员工行为的评估丈量、数据可视化提供对企业多条理的危害监控 ，进而提供个性化的员工评级反响以及增强的清静培训。Elevate Security正契合今年RSAC的“Human Element”主题 ，有些“应运而生”的意思 ，想必这也是助力它进入了立异沙盒决赛的一大因素。
配景先容
2014年IBM清静服务的一项研究批注 ，95%的网络清静失陷是人为过失造成的。而近期卡巴斯基的研究则批注91%的涉及公有云用户数据泄露事务的公司声明社会工程学是其所遭受攻击运动的一个环节[3]。人为因素一直以来都是网络空间清静的主要一环。随着种种清静防御自动化手艺、产品、平台的涌现 ，大幅提升了攻击者入侵的难度。然而 ，在清静、利益攸关的要害场景下 ，由利益驱动的攻击者无缝不钻 ，高级一连攻防的战场逐渐浮出水面。目今 ，纵然是前沿的人工智能驱动的防御手段 ，也愈发强调“human-in-the-loop”的人机闭环协同能力。人既是防御环节的主要组成 ，也同时可能成为攻击者突破防御的懦弱点。
随着网络清静成为全球各方的关注热门 ，网络清静从业者愈发感受到所处行业对天下的影响力。而这种影响力也逐渐通过种种清静教育、突发的清静事务、通例化的清静律法 ，深入到所有人的事情生涯中。正如通俗人愈发熟悉到到小我私家的康健治理尤为主要 ，大中小型企业以致小我私家的网络清静意识、清静习惯、清静行为 ，将深刻影响到小我私家以及所处组织的清静基础。然而网络清静文化气氛的形成任重而道远 ，从业者对清静能力提升和生长的熟悉也逐渐从追逐更快、更准、更智能的手艺、产品 ，转而越发关注“以人为本”的手艺、流程、规则甚至习惯和文化的新条理。
Gartner在自顺应清静的系统[5]中 ，明确地将People-Centric作为了一个主要原则 ，在整个以人为本的清静系统内 ，清静教育是基石 ，只有提高员工的清静意识和清静手艺 ，才华有用镌汰种种清静机制运行的开销 ，提升整个清静系统的运转效率。
行业已经有不少公司做清静意识培训（Security Awareness Training） ，Gartner也宣布过魔力象限[4]。大部分古板清静意识培训产品的主要竞争力在于系统的、科学的培训内容 ，以及与内容相匹配的盘算机培训辅助系统。而这些内容和工具则主要是围绕通过“培训”以提升“意识”的目的而构建的 ，这导致清静意识的提升历程更类似对机械打补丁升级的历程 ，难以明确怀抱小我私家在这一历程中的行为转变 ，而潜在的危害正蕴含于诸多人的行为细节当中。
Elevate Security提供的平台旨在通过统一的可视化手段 ，监测、治理员工的清静行为 ，并提供助于提升企业清静文化的邮件反响和清静教育资源 ，以可量化的方法增进员工清静行为的改善 ，资助企业治理者有用降低员工人为因素关联的清静危害。有了评价指标 ，就能形成闭环 ，资助企业迭代地改善员工在清静防护中的主观能动性 ，提高企业整体的清静防护水平。
产品先容
Elevate平台主要提供以下四个功效�？� ，Reflex提供网络垂纶邮件攻击模拟及相关效果评估；Vision是一个仪表盘 ，将垂纶邮件攻击模拟效果及通过API集成的其他员工人为因素相关清静数据统一整合及剖析 ，具备部分级和小我私家级的下钻视图；Pulse提供可设置的、基于邮件的员工评级反响系统 ，以个性化的方法向员工提供整体的以及多个内容�？榈那寰残形兰�；Hacker’s Mind提供攻击者视角的清静培训 ，以针对性提升要害部分、高危害员工的清静意识和防护能力。
基于以上四个功效�？� ，提升组织内部职员清静意识、培育清静文化可以分步举行 ，即通过Reflex完成垂纶邮件攻击模拟 ，建设清静基线评级；通过Vision仪表盘剖析并跟踪企业各层级职员的整体、总体清静行为危害；通过Pulse邮件评分卡机制反响职员行为评分 ，激励行为刷新；最后 ，针对高危害小我私家或部分 ，提供针对性个性化的清静培训强化。
Elevate提供了平台的基本试用功效 ，在此简朴先容。该互动式Demo主要包括Vision和Pulse两部分�？梢钥吹絍ision Dashboard提供的视图很简约。从部分级别上 ，包括总体清静危害值、危害漫衍、部分评分以及行为映射。行为映射（Behavior Map）是以部分为单位 ，对所网络的清静行为数据的整合评级 ，直观反应部分在各维度上 ，包括整体、桌面整理、恶意软件、密码清静、垂纶攻击测试、培训等维度的危害品级。从目今信息看 ，该Elevate Demo所集成和展现的大部分数据源需要通过外部API接入 ，平台内部只提供基于Reflex的垂纶邮件攻击模拟的评级数据。
Vision视图下还提供各部分内部的总体和小我私家评级及排序 ，提供更细节、直观的清静危害视图。
在Pulse标签下 ，提供Campaigns功效。该功效应可提供可设置的 ，基于邮件的清静评级反响及治理。在Demo中 ，只能够向试者用邮件发送样例反响邮件 ，包括差别品级评分的三份邮件。以一份评级为“Sturdy”的反响邮件为例 ，评分分为Phishing & Reporting、Password Manager、Training、Malware、Clean Desk这五个部分 ，对应Vision仪表盘中集成的五项内容。每一项内容都有对应详细内容 ，例如关于Phishing & Reporting ，包括垂纶邮件攻击的详细时间、员工小我私家评估效果以及与同部分其他员工的横向比照效果。虽然 ，若是某一项评估达标 ，邮件中会有类似于徽章的激励机制 ，以勉励员工集齐所有清静徽章 ，完成对应的完全行为标准。
公司解读
“以人为本” ，以人及其行为为焦点 ，关注职员因素在网络空间清静中的要害作用 ，从组织、战略、流程、执律例则等角度一连治理、监控企业清静危害 ，进而针对性、系统性的发明懦弱性 ，降低清静危害 ，已成为网络清静防御的要害一环。海内许多大型企业的清静治理部分也最先具备包括职工清静培训、清静评估检查等能力。Elevate Security基于平台提供的垂纶邮件攻击模拟、可视化剖析、邮件反响系统及场景式的清静培训能力 ，向业界提供了一个企业清静文化培育的平台化范本 ，能够给种种型组织对小我私家清静行为的治理机制和要领提供有力的模板。同时 ，以面向人的清静行为因素在网络清静场景下的危害管控闭环为主题 ，讲述了一个完整并且切中治理痛点的好故事。不止于此 ，Elevate Security提供的不止是思绪和机制的立异。该公司基于已有平台 ，提供面向各客户组织的定制化解决计划 ，包括数据接入、清静流程等层面的定制和咨询 ，这些平台手艺之外的能力增补同样是该公司的焦点竞争力。
从现有资料来看 ，Elevate平台提供的功效可以用简约而不简朴来归纳综合。Elevate平台所展现的功效一目了然 ，也没有泛起重大的流程 ，平台背后所使用的手艺不是其焦点竞争力。“Let's target security behavior change, not awareness.”Elevate的焦点功效蹊径很清晰 ，以员工清静行为的改善作为目的 ，提供包括定制化的数据丈量、集成、剖析、反响、行动（培训）的流程迭代和闭环 ，以及一连的、量化的危害评估机制与平台 ，提升治理者对企业整体到员工小我私家的清静危害品级的洞见、监控和治理能力。以量化的方法关注人的清静行为改善而一直留于填鸭式的清静培训 ，Elevate Security是突破古板清静意识培训产品形态固有思绪的先行者。信托未来Elevate平台会提供更多的平台化组件 ，知足种种型组织对内部职员的动态、一连、自顺应的清静行为危害量化评估与清静行为提升需求 ，以顺应更高级的攻防场景、更严谨的执律例则要求。
参考文献
- https://elevatesecurity.com/
- https://www.crunchbase.com/organization/elevate-security
- 《Understanding Security of the Cloud: from Adoption Benefits to Threats and Concerns》
- https://www.gartner.com/doc/3950454
- Top Cybersecurity Trends for 2016-2017, Gartner Security & Risk Management Summit 2016
