Navigointi kyberturvallisuuden täytäntöönpanon uudella aikakaudella

KOMMENTIT

Securities and Exchange Commission (SEC) järkytti 30. lokakuuta 2023 eri toimialojen tietoturvajohtajien oletuksia, kun se nosti merkittävän kanteen vastaan SolarWinds ja sen tietoturvapäällikkö (CISO). Monet rinnastavat tämän liikkeen pommiin, joka räjähtää CISO-roolissa työskenteleville ihmisille. Tämä on myös ensimmäinen kerta, kun SEC:n oikeusjuttu on kutsunut yksityishenkilön yrityksestä tällä tavalla.

Ymmärrätkö nyt tapauksen edetessä henkilökohtaisen vastuusi CISO:na? Yksi asia on selvä: tämä tapaus lähettää viestin. CISO:t kohtaavat nyt ennennäkemättömiä mahdollisia vastuuriskejä, minkä vuoksi tietoturvajohtajien on omaksuttava ennakoiva lähestymistapa oikeudelliseen vastuuseen. Tämän monimutkaisen kysymyksen valaisemiseksi kokosimme yli 60 CISO:ta, entisiä SEC:n jäseniä ja lakiasiantuntijoita paneelikeskusteluun. Tausta ja uskottavuus olivat elintärkeitä rekrytoiessa panelisteja keskustelemaan tästä korkean panoksen aiheesta. Tavoitteemme oli yksinkertainen: tarjota CISO-yhteisölle arvovaltaista ohjausta ja selkeyttä vastuunhallinnassa.

Paneeli käsitteli SolarWinds-tapausta ja huomautti, että SEC:n painopiste näyttää olevan pikemminkin huolimattomuudessa kuin törkeissä petoksissa. Vaikka tapausta kuvataan aggressiivisena, aine ei välttämättä ole yhtä vankka. Asiantuntijat ehdottavat, että CISO:t ottavat tämän tapauksen herätyksenä ja korostavat ennakoivien toimenpiteiden ja vilpittömän lähestymistavan tarvetta kyberturvallisuuteen.

Tästä keskustelusta saadut oivallukset tarjoavat CISO:lle etenemissuunnitelman kyberturvallisuuden täytäntöönpanon uudelle aikakaudelle. Tässä on joitain tärkeimmistä neuvoista, joita paneelilta opimme.

Rakenna vahvoja liittoja yleislakimiehen kanssa

Yksi ensimmäisistä – ja kenties kriittisimmistä – paneelikeskustelun huomioista on se, että CISO:t rakentavat vahvoja suhteita yleisen neuvonantajan (GC) kanssa. Asiantuntijoiden mukaan GC voi olla ratkaiseva liittolainen kriisiaikoina tarjoten arvokasta oikeudellista ohjausta ja tukea. SolarWinds-tapauksen jälkeen CISO:ita kehotetaan linjautumaan ennakoivasti GC:nsä kanssa varmistaen yhteistyön ja hyvin valmisteltujen vastausten mahdollisiin oikeudellisiin haasteisiin.

Muodosta FBI-yhteydet

Toinen tärkeä neuvo paneelilta on luoda suhde paikalliseen FBI:n kenttätoimistoon mahdollisimman pian. FBI:n edustaja keskustelussa korosti jo olemassa olevien suhteiden merkitystä FBI:n kanssa. Yhteyden ottaminen FBI:ssa voi olla avainasemassa SolarWinds-tapauksen kaltaisissa tilanteissa. Paneelin FBI:n edustajan mukaan kyse on luottamustekijästä. He huomauttivat myös, että FBI pitää tällaisissa tilanteissa olevia yrityksiä uhreina, minkä vuoksi CISO:ita rohkaistaan ​​luomaan suhde paikalliseen FBI:n kenttätoimistoonsa kauan ennen kriisin syntymistä.

Noudata standardeja huolellisesti

Paneeli korosti myös kyberturvallisuuskäytäntöjen yhdenmukaistamisen merkitystä objektiivisten standardien kanssa, kuten National Institute of Standards and Technologyn (NIST) määrittelemien standardien kanssa. SEC, kuten SolarWinds-tapauksessa osoitettiin, voi vaatia todisteita näiden standardien noudattamisesta. "Aina kun kohdistat itsesi objektiiviseen standardiin, kuten NIST, SEC haluaa todisteita siitä", yksi SEC-edustajistamme huomautti. Joten jos aiot ilmoittaa julkisesti käyttäväsi tiettyjä standardeja, varmista myös, että noudatat valitsemiasi standardeja. CISO:n on ylläpidettävä perusteellisia asiakirjoja todisteiden toimittamiseksi tarvittaessa.

Koordinoi oikeudellista neuvontaa ja sisäisiä tutkimuksia

Oikeudellisen neuvonantajan osalta aihe siitä, tarvitseeko CISO omaa asianajajaa, sai paneelissa erilaisia ​​mielipiteitä. Joten, mitä CISO:lla on tehtävä? Paneeli oli yhtä mieltä siitä, että henkilökohtainen asianajaja tarvitaan todennäköisesti erityisesti SEC:n tai oikeusministeriön (DOJ) haastattelussa. Oikeudellinen edustus sisäisissä tutkimuksissa ja vuorovaikutuksessa sisäisten lakimiesten kanssa voi myös olla viisasta.

Harkitse D&O-vakuutusta

Johtajien ja virkailijoiden (D&O) vakuutuksen ymmärtäminen ja niihin sijoittaminen oli toinen tärkeä näkökohta, jota paneeli korosti. Mahdollisten oikeustoimien edessä D&O-suoja voi tarjota CISO:ille taloudellista suojaa. Asiantuntijat suosittelevat tutustumista kattavuuteen, tarkistamaan olemassa olevat vaatimukset ja jopa harkitsemaan erillisen kattavuuden lisäämistä.

Omaksu kolme pilaria: Kohdista, Selvennä, Eskaloi

Tällä uudella kyberturvallisuuden valvonnan aikakaudella CISO:ita kehotetaan noudattamaan kolmea keskeistä pilaria: yhdenmukaistaminen, selkeyttäminen ja eskalointi. Yhdenmukaista kyberturvallisuuskäytännöt tunnustettujen standardien kanssa, selkeytä viestintää lainopillisten ja FBI-kontaktien kanssa ja eskaloi huolenaiheita komentoketjussa ylöspäin. Nämä pilarit muodostavat perustan ennakoivalle ja suojaavalle lähestymistavalle kyberturvallisuusjohtajien kohtaamiin kehittyviin haasteisiin.

CISO:n on ryhdyttävä ennakoiviin toimiin nyt

SolarWinds SEC:n oikeusjuttu on tuonut esiin kyberturvallisuusjohtajien kohtaamat mahdolliset riskit. CISO:ita kehotetaan ryhtymään ennakoiviin toimiin suojautuakseen oikeudelliselta altistumiselta. Vahvojen liittoutumien rakentaminen yleislakimiehen kanssa, yhteyksien luominen FBI:hin, kyberturvallisuusstandardien noudattaminen, D&O-vakuutuksen hankkiminen sekä yhdenmukaistamisen, selkeyttämisen ja eskaloinnin kolmen pilarin omaksuminen ovat avainaskeleita kyberturvallisuuden täytäntöönpanon uuden aikakauden haasteissa navigoinnissa. Maiseman kehittyessä CISO:n on pysyttävä valppaana ja hyvin valmistautuneena varmistaakseen organisaatioidensa turvallisuuden ja oman ammatillisen asemansa.

• SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
• PlatoData.Network Vertical Generatiivinen Ai. Vahvista itseäsi. Pääsy tästä.
• PlatoAiStream. Web3 Intelligence. Tietoa laajennettu. Pääsy tästä.
• PlatoESG. hiili, CleanTech, energia, ympäristö, Aurinko, Jätehuolto. Pääsy tästä.
• PlatonHealth. Biotekniikan ja kliinisten kokeiden älykkyys. Pääsy tästä.
• Lähde: https://www.darkreading.com/cyberattacks-data-breaches/navigating-new-age-cybersecurity-enforcement