निदेशक मंडल अब आपसे मिलेंगे

15 से अधिक वर्षों से, साइबर सुरक्षा उद्योग के साथ संचार करने की बात कर रहा है निदेशक मंडल. विक्रेताओं के लिए ई-पुस्तकें, वेबिनार, और मुख्य सूचना सुरक्षा अधिकारी (CISOs) को अपने बोर्ड में कैसे और क्या प्रस्तुत करना चाहिए - जब उन्हें मौका मिलता है, के बारे में प्रस्तुत करना आम बात है।

अवसर की कमी के साथ-साथ, सीआईएसओ को बोर्ड के सामने पेश करने की चिंता हो सकती है क्योंकि वे केवल सी-स्तर के अधिकारी हैं जिनके पास स्वयं के उपकरण नहीं हैं आरओआई को मापें. सेल्सफोर्स से कार्यदिवस से लेकर मार्केटो तक, सी-सूट के अधिकारियों के पास संचालन के हर पहलू पर एकत्रीकरण, विश्लेषण और रिपोर्टिंग के लिए मंच समाधान हैं। CISO के लिए ऐसा कोई समाधान नहीं है, जिससे सुरक्षा कार्यक्रम ROI को मापना या व्यावसायिक मूल्य प्रदर्शित करना कठिन हो जाता है।

विडंबना यह है कि, उन्हें प्रस्तुत करने में सभी रुचि के बावजूद, यह कहना कि साइबर सुरक्षा बोर्ड की मुख्य योग्यता नहीं है, एक अल्पमत है। डब्ल्यूएसजे प्रो साइबर सुरक्षा अनुसंधान सभी S&P 500 बोर्ड के सदस्यों की पेशेवर पृष्ठभूमि की जांच की और पाया कि 2% से कम "पिछले 10 वर्षों में साइबर सुरक्षा में प्रासंगिक पेशेवर अनुभव था।"

कोई फर्क नहीं पड़ता कि आप कौन हैं, किसी ऐसी चीज में बहुत रुचि रखना मुश्किल है जिसे आप नहीं समझते हैं। यानी जब तक आप सीखने के लिए प्रेरित नहीं होते। अब हमारे सामने जो कुछ है वह सिक्योरिटीज एंड एक्सचेंज कमीशन (एसईसी) की सौजन्य से बोर्ड और साइबर सुरक्षा के लिए एक महान जागृति है।

के अनुसार हार्वर्ड बिजनेस रिव्यू, "एक प्रस्तावित SEC नियम के तहत कंपनियों को अपनी साइबर सुरक्षा प्रशासन क्षमताओं का खुलासा करने की आवश्यकता होगी, जिसमें बोर्ड द्वारा साइबर जोखिम का निरीक्षण, साइबर जोखिमों के आकलन और प्रबंधन में प्रबंधन की भूमिका का विवरण, ऐसे प्रबंधन की प्रासंगिक विशेषज्ञता, और कंपनी के कार्यान्वयन में प्रबंधन की भूमिका शामिल है। साइबर सुरक्षा नीतियां, प्रक्रियाएं और रणनीतियां।"

मुझे उम्मीद है कि अभी और बोर्ड साइबर सुरक्षा की पृष्ठभूमि वाले अनुभवी अधिकारियों की तलाश करेंगे। इस बीच, सीआईएसओ के लिए इसका क्या मतलब है?

एक महान अवसर

साइबर सुरक्षा में अचानक रुचि, लेकिन इसके बारे में कम जानकारी के साथ, बोर्ड के सदस्य क्या जानना चाहते हैं बनाम उन्हें क्या जानने की आवश्यकता है, यह काफी भिन्न हो सकता है। उदाहरण के लिए, सुर्खियों में नवीनतम हमले पर बहुत अधिक ध्यान देना या अनुपालन पर बहुत अधिक ध्यान देना। परीक्षण के लिए शिक्षण की तरह, अनुपालन प्राप्त करना सही दिशा में एक अच्छा कदम हो सकता है लेकिन हमेशा सर्वोत्तम संभव सुरक्षा उपायों को लागू करने के प्रयास के समान नहीं होता है। जब अनुपालन प्राप्त करना जोखिम को कम करने और सबसे महत्वपूर्ण संपत्तियों की रक्षा करने के बजाय सुरक्षा लक्ष्य बन जाता है, तो हम इस बिंदु से चूक गए हैं।

CISO के लिए अपने संगठन के लिए "साइबर सुरक्षा को एक व्यवसाय समर्थक के रूप में" कथा बनाने का क्या अवसर है। बोर्डरूम में आपका स्थान अब सुरक्षित हो गया है। सामयिक एकबारगी अपडेट के बजाय, अब आप निरंतर आधार पर व्यावसायिक वार्तालाप का हिस्सा हैं। यह साइबर सुरक्षा को व्यावसायिक निर्णयों के संदर्भ में रखने का एक अवसर है जिसे बोर्ड समझता है। धमकियों, कमजोरियों और हमलों के परिवर्णी शब्दों और तकनीकी बातों को छोड़ दें। व्यवसाय की भाषा में धाराप्रवाह बनें और प्रतिदिन किए जाने वाले व्यावसायिक निर्णयों के साइबर परिणामों के बारे में बात करें।

SaaS ऐप का उपयोग जो कर्मचारियों को हाइब्रिड कार्य वातावरण में अधिक उत्पादक बनाता है, संगठन को अधिक जोखिम में डाल देता है, क्योंकि महत्वपूर्ण व्यावसायिक डेटा अब तीसरे पक्ष के नियंत्रण में है। व्यापार साझेदारी जो भौगोलिक विस्तार को बढ़ावा देती है, बाजार में हिस्सेदारी हासिल करने के लिए जितनी जल्दी हो सके नए ऐप्स को बाजार में ले जाती है, या इंजीनियरिंग टीम को स्केल करने के लिए सभी के जबरदस्त साइबर सुरक्षा परिणाम होते हैं। उदाहरण के लिए, जब आप किसी कंपनी का अधिग्रहण करते हैं, तो आपको उसकी आक्रमण सतह भी विरासत में मिलती है। यह न केवल कर्मचारियों का एक नया समूह है, जिन्हें उद्यम संसाधनों तक पहुंच की आवश्यकता है, बल्कि उनके सभी ठेकेदारों, भागीदारों, आपूर्तिकर्ताओं आदि को भी। यह जुड़ी हुई संपत्तियों और निहितार्थों का एक पेचीदा, विस्तारित डिजिटल वेब है।

सुरक्षा नेताओं को व्यावसायिक संदर्भ में साइबर सुरक्षा को ठोस बनाने की सलाह दी जाएगी। व्यवसाय के किसी भी अन्य हिस्से की तरह, निर्णय किए जाने हैं और व्यापार-नापसंद पर विचार किया जाना है, सभी जोखिम के स्वीकार्य स्तर से संबंधित हैं जो संगठन खुद को उजागर करने के लिए तैयार है।

स्वचालन और साक्ष्य

SEC की नज़र में, बोर्ड को इस बात का प्रमाण चाहिए कि वह किस संपत्ति के लिए ज़िम्मेदार है और उसकी निगरानी और सुरक्षा कैसे की जा रही है। उल्लंघन की स्थिति में, बोर्ड को इसके बारे में कब पता चला और उसने कितनी तेजी से प्रतिक्रिया दी और घटना का खुलासा किया?

यह जानने के साथ शुरू होता है कि आप क्या सुरक्षा कर रहे हैं और आप इसे कैसे कर रहे हैं। महत्वपूर्ण संपत्तियों की खोज एक प्रमुख योग्यता बन जाती है जो आधुनिक साइबर सुरक्षा कार्यक्रम में दृश्यता, वर्गीकरण और उपचारात्मक प्रयासों को रेखांकित करती है। हाइब्रिड क्लाउड, SaaS भागीदारों और डिजिटल आपूर्ति श्रृंखलाओं में डेटा और उद्यम से जुड़ी संपत्तियों के आकार, गति और वृद्धि से निपटने के लिए खोज और वर्गीकरण को स्वचालित होना चाहिए। सुरक्षा इस विशाल हमले की सतह की पूरी दृश्यता के साथ शुरू होती है, जिसमें सभी सार्वजनिक-सामना करने वाली संपत्तियों में हर निर्भरता, कनेक्शन और भेद्यता शामिल है। वहां से, आप अपनी सबसे मूल्यवान संपत्ति के लिए सबसे महत्वपूर्ण खतरों से सुरक्षा को प्राथमिकता दे सकते हैं।

स्वचालित खोज उन संपत्तियों की भी पहचान कर सकती है जो निष्क्रिय, अप्रयुक्त और अनावश्यक हैं। इस तरह, उन्हें कम करने के लिए प्रभावी रूप से डिकमीशन किया जा सकता है साइबर जोखिम और एक ही समय में सतह फैलाव पर आक्रमण करते हैं।

निष्कर्ष

अब बोर्ड को मैलवेयर और रैनसमवेयर के बीच के अंतर के बारे में शिक्षित करने का समय नहीं है। यह खतरे के परिदृश्य और संगठन के सामने आने वाले विशिष्ट जोखिमों और जोखिमों की पूरी तस्वीर पेश करने के बारे में है। सीआईएसओ को जोखिम को मापने और कम करने के दौरान व्यापार को सक्षम करने के लिए समग्र सुरक्षा कार्यक्रम और सामरिक पहलों के बारे में बात करनी चाहिए।

बोर्ड को यह समझने में सहायता करें कि व्यवसाय कहां असुरक्षित है, नियंत्रण कहां समाप्त होता है और जोखिम कहां से शुरू होता है। परिणाम और सुरक्षा विकल्प क्या हैं? दिन के अंत में, साइबर सुरक्षा एक व्यावसायिक चुनौती है, जैसे बढ़ते मार्जिन और बाजार हिस्सेदारी। रणनीतिक प्राथमिकताएं और निवेश व्यावसायिक उद्देश्यों से जुड़े हुए हैं। इतना आसान लगता है।

• एसईओ संचालित सामग्री और पीआर वितरण। आज ही प्रवर्धित हो जाओ।
• प्लेटोब्लॉकचैन। Web3 मेटावर्स इंटेलिजेंस। ज्ञान प्रवर्धित। यहां पहुंचें।
• स्रोत: https://www.darkreading.com/risk/the-board-of-directors-will-see-you-now