Hallitus nähdään nyt

Kyberturvallisuusala on yli 15 vuoden ajan puhunut kommunikoinnista hallitus. On yleinen käytäntö, että myyjät pitävät e-kirjoja, webinaareja ja esityksiä siitä, miten ja mitä tietoturvapäälliköiden (CISO:t) tulisi esitellä hallituksilleen – kun he saavat mahdollisuuden.

Mahdollisuuksien puutteen ohella CISO:t saattavat olla huolissaan esittelystä hallitukselle, koska he ovat ainoat C-tason johtajat, joilla ei ole omaa työkalua mittaa ROI. Salesforcesta Workdaysta Marketoon C-suite-johtajilla on alustaratkaisuja, jotka kokoavat, analysoivat ja raportoivat toiminnan kaikista osa-alueista. CISO:lle ei ole tällaista ratkaisua, mikä vaikeuttaa tietoturvaohjelman ROI:n mittaamista tai liiketoiminnan arvon osoittamista.

Ironista on, että huolimatta kiinnostuksesta esitellä heille, on vähättelyä sanoa, että kyberturvallisuus ei ole hallituksen ydinosaamista. WSJ Pro kyberturvallisuustutkimus tutki kaikkien S&P 500:n hallituksen jäsenten ammatillista taustaa ja havaitsi, että alle kahdella prosentilla heistä ”oli relevanttia ammatillista kokemusta kyberturvallisuudesta viimeisten 2 vuoden aikana”.

Ei ole väliä kuka olet, on vaikeaa olla kiinnostunut jostain, jota et ymmärrä. Eli kunnes olet motivoitunut oppimaan. Se, mitä meillä on nyt edessämme, on suuri herätys hallituksille ja kyberturvallisuudelle Securities and Exchange Commissionin (SEC) ansiosta.

Mukaan Harvard Business Review"Ehdotettu SEC-sääntö edellyttää, että yritykset paljastavat kyberturvallisuuden hallintokykynsä, mukaan lukien hallituksen kyberriskien valvonnan, kuvauksen johdon roolista kyberriskien arvioinnissa ja hallinnassa, tällaisen johdon asiantuntemusta ja johdon roolia yrityksen toiminnan toteuttamisessa. kyberturvallisuuspolitiikat, -menettelyt ja -strategiat."

Odotan, että useammat lautakunnat etsivät kokeneita johtajia, joilla on tausta kyberturvallisuudesta, heti alkaen. Mitä tämä sillä välin tarkoittaa CISO:lle?

Suuri tilaisuus

Yhtäkkiä kiinnostuneena kyberturvallisuutta kohtaan, mutta heillä on siitä vähän tietoa, hallituksen jäsenet haluavat tietää verrattuna siihen, mitä heidän tarvitsee tietää. Esimerkiksi liiallinen keskittyminen otsikoiden viimeisimpään hyökkäykseen tai liiallinen noudattaminen. Kuten kokeeseen opettaminen, vaatimustenmukaisuuden saavuttaminen voi olla hyvä askel oikeaan suuntaan, mutta se ei aina ole sama kuin pyrkimys parhaiden mahdollisten turvatoimien toteuttamiseen. Kun vaatimustenmukaisuuden saavuttamisesta tulee turvallisuustavoite riskin minimoimisen ja kriittisimpien resurssien suojaamisen sijaan, olemme unohtaneet asian.

Mikä mahdollisuus CISO:lle luoda "kyberturvallisuus liiketoiminnan mahdollistajana" -kerroin organisaatiolleen. Paikkasi kokoushuoneessa on nyt turvattu. Satunnaisten kertaluontoisten päivitysten sijaan olet nyt osa liikekeskusteluja jatkuvasti. Tämä on mahdollisuus sijoittaa kyberturvallisuus hallituksen ymmärtämien liiketoimintapäätösten kontekstiin. Unohda lyhenteet ja tekniset puheet uhista, haavoittuvuuksista ja hyökkäyksistä. Puhu sujuvasti liike-elämän kieltä ja puhu päivittäin tehtävien liiketoimintapäätösten kybervaikutuksista.

SaaS-sovellusten käyttö, jotka tekevät työntekijöistä tuottavampia hybridityöympäristössä, altistaa organisaation myös enemmän riskeille, sillä kriittiset liiketoimintatiedot ovat nyt kolmannen osapuolen hallinnassa. Liikekumppanuuksilla, jotka edistävät maantieteellistä laajentumista, uusien sovellusten kiirehtimistä markkinoille mahdollisimman nopeasti markkinaosuuden saavuttamiseksi, tai suunnittelutiimin hankkimisella on valtavat seuraukset kyberturvallisuuteen. Esimerkiksi kun ostat yrityksen, perit myös sen hyökkäyspinnan. Se ei ole vain uusi työntekijäryhmä, joka tarvitsee pääsyn yrityksen resursseihin, vaan kaikki heidän urakoitsijansa, kumppaninsa, toimittajansa ja niin edelleen. Se on sotkeutunut, laajennettu digitaalinen verkko yhdistetyistä resursseista ja seurauksista.

Tietoturvajohtajien olisi hyvä tehdä kyberturvallisuus konkreettiseksi liiketoiminnassa. Kuten mikä tahansa muu osa liiketoimintaa, on tehtävä päätöksiä ja harkittava kompromisseja, jotka kaikki liittyvät siihen, mikä on hyväksyttävä riskitaso, jolle organisaatio on valmis altistamaan itsensä.

Automaatio ja todisteet

SEC:n silmissä hallitus tarvitsee todisteita siitä, mistä omaisuudesta se on vastuussa ja miten sitä valvotaan ja suojataan ennakoivasti. Milloin johtokunta tiesi rikkomuksen sattuessa ja kuinka nopeasti se reagoi ja paljasti tapauksen?

Se alkaa siitä, että tiedät mitä suojaat ja miten teet sen. Kriittisten omaisuuserien löytämisestä tulee ydinosaamista, joka tukee näkyvyyttä, luokittelua ja korjaustoimia nykyaikaisessa kyberturvallisuusohjelmassa. Löytäminen ja luokittelu on automatisoitava, jotta voidaan käsitellä datan ja yrityksiin yhdistetyn omaisuuden kokoa, liikkumista ja kasvua hybridipilvien, SaaS-kumppaneiden ja digitaalisten toimitusketjujen välillä. Suojaus alkaa tämän laajan hyökkäyspinnan täydellisestä näkyvyydestä, mukaan lukien kaikki riippuvuudet, yhteydet ja haavoittuvuudet kaikissa julkisissa resursseissa. Sieltä voit priorisoida suojauksen arvokkaimman omaisuutesi kriittisimpiä uhkia vastaan.

Automaattinen etsintä voi myös tunnistaa lepotilassa olevat, käyttämättömät ja tarpeettomat omaisuudet. Tällä tavalla ne voidaan tehokkaasti poistaa käytöstä vähentämiseksi kyberriski ja hyökkää pinnan hajaantumiseen samanaikaisesti.

Yhteenveto

Nyt ei ole aika valistaa hallitusta haittaohjelmien ja kiristysohjelmien eroista. Kyse on täydellisen kuvan maalaamisesta uhkakuvasta ja organisaation erityisistä riskeistä ja altistumisista. CISO:n tulisi puhua yleisestä turvallisuusohjelmasta ja strategisista aloitteista liiketoiminnan mahdollistamiseksi samalla, kun se mittaa ja vähentää riskejä.

Auta johtokuntaa ymmärtämään, missä yritys on haavoittuvainen, mihin valvonta päättyy ja mistä paljastaminen alkaa. Mitkä ovat seuraukset ja suojausvaihtoehdot? Kyberturvallisuus on loppujen lopuksi liiketoiminnan haaste, kuten marginaalien ja markkinaosuuden kasvattaminen. Strategiset prioriteetit ja investoinnit liiketoiminnan tavoitteiden mukaisesti. Kuulostaa niin yksinkertaiselta.

• SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
• Platoblockchain. Web3 Metaverse Intelligence. Tietoa laajennettu. Pääsy tästä.
• Lähde: https://www.darkreading.com/risk/the-board-of-directors-will-see-you-now