Määritä riski, laske ROI

Turvallisuusalan ammattilaisten on selvitettävä, kuinka he voivat saavuttaa turvallisuustavoitteensa niillä budjeteilla. Heidän on myös osoitettava, että heidän tietoturvaohjelmansa suojaavat tehokkaasti heidän organisaatiotaan. Heidän on pystyttävä perustelemaan ostamansa kyberturvallisuustuotteet ja -työkalut sekä ilmaista sijoitetun pääoman tuotto (ROI).

Nyt siihen on työkalu. SecurityScorecard julkaisi sisältö- ja ROI-laskimen, jonka avulla turvallisuusalan ammattilaiset voivat laskea korkean tason arvioita havainnollistaakseen organisaation yleistä turvallisuusasentoa.

"Taloudellisen epävarmuuden aikana kyberturvallisuuden vahvistamisen on oltava etusijalla, koska huonot toimijat käyttävät hyväkseen epävakautta", sanoo SecurityScorecardin markkinointijohtaja Cindy Zhou. "Organisaatioiden on voitava tietää ja ilmaista, tuottavatko heidän ostamansa kyberturvallisuustuotteet ja -työkalut hyvän sijoitetun pääoman tuottoprosentin."

Tietoturvatiimien tulee ottaa huomioon useita erilaisia ​​riskitekijöitä harkitessaan, mitä ostaa tietoturvaohjelmiinsa, Zhou sanoo. Luettelo sisältää verkon suojauksen, DNS-kunnon, korjauspoljinnopeuden, päätepisteiden suojauksen, IP-mainonnan, sovellusten suojauksen, kyynärpääpisteet, hakkerikeskustelun, tietovuodot, sosiaalisen suunnittelun ja digitaalisen toimitusketjunsa tuntemisen.

Riskin laskeminen kulutuksen perustelemiseksi

Kyberriskin määrittäminen taloudellisesti antaa organisaatioille mahdollisuuden ymmärtää kyberhyökkäyksen taloudelliset vaikutukset ja saada käsityksen myyjät aiheuttavat riskejäja arvioida odotettujen tappioiden väheneminen, jos ongelmat ratkaistaan. Esimerkiksi kyberturvallisuustuote voi maksaa 200,000 5 dollaria; Se voi kuitenkin suojautua XNUMX miljoonan dollarin tietomurrosta, mikä säästää organisaatiolta huomattavia varoja pitkällä aikavälillä.

"CISO:n on kyettävä kvantifioida liiketoimintansa kyberriski perustellakseen kybertekniikkapinonsa kulutusta", Zhou sanoo.

Toinen keskeinen tekijä on kyky hankkia kyberriskivakuutus ja niihin liittyvät vakuutusmaksut.

"Monet vakuutusyhtiöt käyttävät SecurityScorecardia arvioidakseen, onko yritys oikeutettu vakuutukseen", hän sanoo. "CISO:n ja talousjohtajan on osoitettava turvallisuusasentonsa vain, jotta niitä harkitaan politiikkaa varten."

Interaktiivinen laskin perustuu Forrester Consultingille kerättyihin tietoihin SecurityScorecardin kokonaistaloudellinen vaikutus. Forrester Consulting rakensi rahoitusmallin Total Economic Impact -kaavaa käyttäen.

Osana tutkimusta konsultit määrittelivät SecurityScorecardin vaikutukset yrityksessä, mukaan lukien riskienhallinnan tehokkuuden, teknologian tehokkuuden ja konsolidoinnin sekä parantuneen tietoturva-asennon. Tämä lähestymistapa ei ainoastaan ​​mittaa kustannuksia ja kustannussäästöjä organisaation sisällä, vaan se myös punnitsee teknologian mahdollistavaa arvoa yleisten liiketoimintaprosessien tehokkuuden lisäämisessä.

ROI-laskin laajenee SecurityScorecardin Cyber ​​Risk Quantification (CRQ) -ominaisuudet, jotka on suunniteltu auttamaan asiakkaita ymmärtämään kyberriskejä taloudellisesti osana kokonaisvaltaista liiketoimintariskianalyysiä.

Executive-sisäänosto

C-sarja ja hallitus ovat tottuneet keskittymään organisaation taloudelliseen suorituskykyyn, joten CISO:n on kyettävä arvioimaan kyberriskit taloudellisesti, sanoo John Hellickson, Coalfiren kenttä-CISO. Näin CISO voi myös perustella ja priorisoi kyberinvestointeja.

Näin kaikki osapuolet voivat tehdä tietoon perustuvia päätöksiä tällaisten investointien taloudellisista vaikutuksista ja liiketoiminnallisista tuloksista.

"Jo käytössä olevien ihmisten, prosessien ja teknologioiden perusteleminen ja huomioon ottaminen varmistaa, että nykyiset lieventävät kontrollit huomioidaan kokonaisriskilaskelmissa", Hellickson sanoo.

Hellicksonin näkökulmasta kyberturvallisuusstrategian kattavuuden validointi, nykyisten sijoitusten maturiteetti- ja riskitason tunteminen sekä sen arvioiminen, kuinka tulevat sijoitukset parantavat kyberastetta ja hallitsevat riskiä tehokkaasti, ovat avainasemassa johdon luottamuksen ja tuen saavuttamisessa.

"Kulutuksen keskittäminen varmuuteen siitä, ettei niitä rikota, meni lähes syrjään, kun pelko-, epävarmuus- ja epäilytaktiikat lakkasivat toimimasta lähes vuosikymmen sitten, kun tietoturvainvestoinnit jatkoivat kasvuaan vuosi toisensa jälkeen", hän lisää.

Myönteisiä liiketoimintatuloksia osoittavan kyberohjelmastrategian rakentaminen menee paljon pidemmälle CISO:n kyvyssä vaikuttaa muihin johtajiin.

Organisaatiot ovat lisänneet vuosien ajan varsinkin sovellusten tietoturvakuluja, eivätkä ne ole vieläkään onnistuneet saavuttamaan haluamaansa kattavuutta sovellusportfoliolleen, sanoo ThreatModelerin teknologiajohtaja John Steven.

"Kun organisaatiot näkevät tämän kulutuksen kestämättömänä, puhumattakaan vaaditusta kasvuvauhdista, turvallisuusjohtajien on osoitettava, että he eivät vain saa asioita aikaan, vaan saavat enemmän aikaan vähemmällä kuin vertais-CISO:t tai niitä edeltäneet", hän sanoi. sanoo.

Niin yleisiä kuin rikkomukset ovatkin koko toimialalla, ne ovat luultavasti harvinaisia ​​yksittäisessä organisaatiossa, joten "rikkomuksesta kuluneen ajan" pitäisi olla melko unelias indikaattori toiminnasta ja tuloksesta, Steven lisää.

"Keskityminen toimitusten mahdollistamiseen tai asiakkaiden kitkaan voi olla huomattavasti tehokkaampaa", hän sanoo.