Análise MDSec do Bank of America: Domine a Especialização

Nem toda história de segurança começa com senhas roubadas e uma declaração sobre levar as coisas a sério, felizmente. Às vezes, a parte interessante acontece antes do relatório de incidente, quando uma empresa decide que um tipo específico de expertise é importante demais para ficar totalmente fora de casa. A aquisição planejada da MDSec pelo Bank of America é esse tipo de história: menos sala de servidores em chamas, mais sala de reunião decidindo que o trabalho especializado em segurança deve ficar mais perto do núcleo. Isso não é tão cinematográfico quanto um zero day com uma pontuação CVE que entra na sala usando capa, mas pode importar mais com o tempo. Bancos vivem na parte da internet em que erros viram perdas por fraude, conversas regulatórias e teleconferências muito caras. Comprar uma consultoria não é apenas aquisição de fornecedor. Pode ser um sinal de que a capacidade de segurança está se tornando infraestrutura, como trilhos de pagamento ou sistemas de risco, só que com mais capturas de pacotes e menos fins de semana relaxantes.

O que aconteceu, segundo

a Morningstar A Morningstar, reproduzindo reportagem da Dow Jones por Anvee Bhutani, informou que o Bank of America planeja adquirir a MDSec Consulting Limited, uma consultoria de segurança da informação com sede em Macclesfield, na Inglaterra. As empresas disseram que a transação deve ser concluída no quarto trimestre, sujeita a aprovações regulatórias, e os termos financeiros não foram divulgados. A Morningstar também informou que a MDSec emprega cerca de 65 profissionais de cibersegurança e fornece serviços de consultoria técnica em segurança da informação. Em linguagem simples, o Bank of America não está apenas comprando mais um painel para brilhar de forma ameaçadora em um centro de operações de segurança. Ele está avançando para ser dono de uma equipe cujo trabalho é entender como sistemas falham, como agentes de ameaça encadeiam fraquezas e como descobertas desconfortáveis viram correções práticas. Essa é a diferença entre alugar expertise para uma janela de testes e tornar essa expertise parte da memória muscular institucional.

A exposição é estratégica, segundo

a SecurityWeek A SecurityWeek informou que a aquisição adicionará aproximadamente 65 profissionais de cibersegurança às operações do Bank of America no Reino Unido. Ela também observou que o banco já tem mais de 1.400 funcionários na vizinha Chester, na Inglaterra, onde opera um centro de operações de ameaças cibernéticas. Essa geografia importa porque consultoria técnica e operações de ameaças são mais úteis quando conseguem informar uma à outra rapidamente, em vez de se comunicarem por meio de apresentações trimestrais de slides e desespero ritualizado. A SecurityWeek também citou o diretor de segurança da informação do Bank of America, Kris Fador, dizendo: "Há muito tempo admiramos a capacidade excepcional da equipe da MDSec e estamos felizes que o Bank of America e seus clientes agora se beneficiarão ainda mais do trabalho deles,". Em termos menos comunicado de imprensa e mais café de resposta a incidentes: o banco parece valorizar as pessoas, não apenas o logotipo na fatura. Em segurança, essa distinção não é cosmética. Ferramentas envelhecem, fornecedores mudam de rumo e agentes de ameaça continuam desenvolvendo novos hobbies.

A causa raiz é construir versus comprar, segundo

a Morningstar A Morningstar informou que o Bank of America disse que a expertise da MDSec fortalecerá suas capacidades de cibersegurança no Reino Unido e globalmente. Esse é o centro de gravidade estratégico aqui. Grandes empresas geralmente compram produtos de segurança, contratam consultores e terceirizam testes especializados porque isso é flexível e muitas vezes sensato. Mas algumas capacidades se tornam tão ligadas ao modelo de risco da organização que mantê-las à distância começa a parecer uma falsa economia. Esta é a lição de negócios escondida sob a papelada da aquisição. Se um banco acredita que consultoria de segurança profundamente técnica ajuda a proteger operações globais, então possuir essa capacidade pode reduzir a perda de tradução entre descobertas externas e ação interna. Também pode tornar a expertise mais contínua, o que importa porque agentes de ameaça não esperam educadamente pela assinatura do próximo escopo de trabalho.

Plano de contenção, segundo

a SecurityWeek A conclusão não é que toda empresa deva sair comprando uma consultoria de cibersegurança como se estivesse adicionando cadeiras de escritório. A reportagem da SecurityWeek enquadra isso como uma adição específica às operações do Bank of America no Reino Unido, não como uma receita universal. A pergunta útil para outras organizações é mais estreita e mais desconfortável: quais habilidades de segurança são tão centrais para o seu risco que alugá-las para sempre cria uma lacuna? O que isso realmente significa para você: se você lidera segurança, produto ou risco, mapeie as capacidades que terceiriza e pergunte qual conhecimento volta para dentro. Expertise externa é valiosa, mas descobertas não devem desaparecer em um mausoléu de PDF. Se você é investidor ou operador observando instituições financeiras, preste atenção se mais bancos passam a tratar talentos especializados em segurança como uma capacidade própria, em vez de um item de fornecedor na planilha. A próxima coisa a observar é o caminho de aprovação regulatória e se o negócio será concluído no quarto trimestre, conforme informado pela Morningstar e pela SecurityWeek. Se isso acontecer, a métrica interessante não será o preço não divulgado. Será se o Bank of America transformará o conhecimento especializado da MDSec em aprendizado mais rápido em suas operações de segurança, porque a internet continua sendo mantida por patches, processos e o otimismo sombrio de pessoas que leem logs para viver.