सुरक्षा चिकित्सकों को यह पता लगाना होगा कि उनके पास मौजूद बजट के साथ अपने सुरक्षा लक्ष्यों को कैसे पूरा किया जाए। उन्हें यह भी दिखाना होगा कि उनके सुरक्षा कार्यक्रम उनके संगठनों की सुरक्षा में प्रभावी हैं। उन्हें अपने द्वारा खरीदे गए साइबर सुरक्षा उत्पादों और उपकरणों को उचित ठहराने और निवेश पर रिटर्न (आरओआई) को स्पष्ट करने में सक्षम होने की आवश्यकता है।
अब उसके लिए एक उपकरण है. सिक्योरिटीस्कोरकार्ड ने सुरक्षा चिकित्सकों को संगठन की समग्र सुरक्षा स्थिति को दर्शाने के लिए उच्च-स्तरीय अनुमान लगाने में मदद करने के लिए एक सामग्री और आरओआई कैलकुलेटर जारी किया।
सिक्योरिटीस्कोरकार्ड के मुख्य विपणन अधिकारी सिंडी झोउ कहते हैं, "आर्थिक अनिश्चितता के समय में, साइबर सुरक्षा की स्थिति को मजबूत करना प्राथमिकता होनी चाहिए, क्योंकि बुरे कलाकार अस्थिरता का फायदा उठाते हैं।" "संगठनों को यह जानने और स्पष्ट करने में सक्षम होना चाहिए कि क्या उनके द्वारा खरीदे गए साइबर सुरक्षा उत्पाद और उपकरण एक अच्छा आरओआई प्रदान करते हैं।"
झोउ का कहना है कि सुरक्षा टीमों को अपने सुरक्षा कार्यक्रमों के लिए क्या खरीदना चाहिए, इस पर विचार करते समय विभिन्न प्रकार के जोखिम कारकों पर विचार करना चाहिए। सूची में नेटवर्क सुरक्षा, डीएनएस स्वास्थ्य, पैचिंग ताल, एंडपॉइंट सुरक्षा, आईपी प्रतिष्ठा, एप्लिकेशन सुरक्षा, क्यूबिट स्कोर, हैकर चैटर, सूचना लीक, सोशल इंजीनियरिंग और उनकी डिजिटल आपूर्ति श्रृंखला को जानना शामिल है।
खर्च को उचित ठहराने के लिए जोखिम की गणना
वित्तीय संदर्भ में साइबर जोखिम की मात्रा निर्धारित करने से संगठनों को साइबर हमले के वित्तीय प्रभाव को समझने, अंतर्दृष्टि प्राप्त करने की अनुमति मिलती है उनके विक्रेता जो जोखिम उठाते हैं, और यदि मुद्दों का समाधान हो जाता है तो अपेक्षित नुकसान में कमी की मात्रा निर्धारित करें। उदाहरण के लिए, एक साइबर सुरक्षा उत्पाद की कीमत $200,000 हो सकती है; हालाँकि, यह $5 मिलियन के डेटा उल्लंघन से बचाव कर सकता है, इस प्रकार लंबे समय में संगठन को काफी धन की बचत होगी।
झोउ कहते हैं, "सीआईएसओ को अपने साइबरटेक स्टैक पर खर्च को उचित ठहराने के लिए अपने व्यवसाय के साइबर-जोखिम को मापने में सक्षम होना चाहिए।"
एक अन्य महत्वपूर्ण कारक साइबर-जोखिम बीमा और संबंधित प्रीमियम प्राप्त करने की क्षमता है।
वह कहती हैं, "कई बीमाकर्ता यह आकलन करने के लिए सिक्योरिटीस्कोरकार्ड का उपयोग करते हैं कि कोई कंपनी पॉलिसी के लिए योग्य है या नहीं।" "किसी नीति पर विचार करने के लिए सीआईएसओ और सीएफओ को अपनी सुरक्षा स्थिति प्रदर्शित करने की आवश्यकता है।"
इंटरैक्टिव कैलकुलेटर फॉरेस्टर कंसल्टिंग के लिए एकत्र किए गए डेटा पर आधारित है सिक्योरिटीस्कोरकार्ड का कुल आर्थिक प्रभाव. फॉरेस्टर कंसल्टिंग ने कुल आर्थिक प्रभाव सूत्र का उपयोग करके एक वित्तीय मॉडल का निर्माण किया।
अध्ययन के भाग के रूप में, सलाहकारों ने उद्यम में सिक्योरिटीस्कोरकार्ड के प्रभावों की मात्रा निर्धारित की, जिसमें जोखिम प्रबंधन में बढ़ी हुई दक्षता, प्रौद्योगिकी दक्षता और समेकन, और बेहतर सुरक्षा स्थिति शामिल है। यह दृष्टिकोण न केवल किसी संगठन के भीतर लागत और लागत में कमी को मापता है, बल्कि यह समग्र व्यावसायिक प्रक्रियाओं की प्रभावशीलता को बढ़ाने में प्रौद्योगिकी के सक्षम मूल्य को भी मापता है।
आरओआई कैलकुलेटर का विस्तार होता है सिक्योरिटीस्कोरकार्ड की साइबर जोखिम परिमाणीकरण (सीआरक्यू) क्षमताएं, जो ग्राहकों को समग्र व्यावसायिक जोखिम विश्लेषण के हिस्से के रूप में वित्तीय संदर्भ में साइबर जोखिम को समझने में मदद करने के लिए डिज़ाइन किया गया है।
एक्जीक्यूटिव बाय-इन प्राप्त करना
सी-सूट और बोर्ड का उपयोग संगठन के वित्तीय प्रदर्शन पर ध्यान केंद्रित करने के लिए किया जाता है, इसलिए सीआईएसओ को वित्तीय संदर्भ में साइबर-जोखिम को मापने में सक्षम होने की आवश्यकता है, कोलफायर में फील्ड सीआईएसओ जॉन हेलिकसन कहते हैं। इस तरह, सीआईएसओ भी इसे उचित ठहरा सकता है साइबर निवेश को प्राथमिकता दें.
इससे सभी पक्षों को ऐसे निवेशों के वित्तीय प्रभाव और व्यावसायिक परिणामों के बारे में सूचित निर्णय लेने की सुविधा मिलती है।
हेलिकसन कहते हैं, "लोगों, प्रक्रिया और प्रौद्योगिकियों को पहले से ही उचित ठहराना और उनका हिसाब-किताब रखना यह सुनिश्चित करता है कि समग्र जोखिम गणना में वर्तमान कम करने वाले नियंत्रणों पर विचार किया जाता है।"
हेलिक्सन के दृष्टिकोण से, साइबर सुरक्षा रणनीति की व्यापकता को मान्य करना, वर्तमान निवेशों की परिपक्वता और जोखिम स्तर को जानना, और यह अनुमान लगाना कि भविष्य के निवेश उस परिपक्वता में कैसे सुधार करेंगे और उस जोखिम को प्रभावी ढंग से प्रबंधित करेंगे, कार्यकारी विश्वास और समर्थन प्राप्त करने की कुंजी है।
उन्होंने आगे कहा, "भय, अनिश्चितता और संदेह की रणनीति ने लगभग एक दशक पहले काम करना बंद कर दिया था, जब साल-दर-साल सुरक्षा निवेश बढ़ता रहा, तो उल्लंघन न होने के आश्वासन पर खर्च पर ध्यान केंद्रित करना लगभग गायब हो गया।"
एक साइबर प्रोग्राम रणनीति का निर्माण जो सकारात्मक व्यावसायिक परिणामों को प्रदर्शित करता है, सीआईएसओ की अन्य अधिकारियों को प्रभावित करने की क्षमता में बहुत आगे जाता है।
थ्रेटमॉडलर के सीटीओ जॉन स्टीवन कहते हैं, वर्षों से, संगठनों ने खर्च में वृद्धि की है, विशेष रूप से एप्लिकेशन सुरक्षा खर्च, और वे अभी भी अपने एप्लिकेशन पोर्टफोलियो के उस तरह के कवरेज को प्राप्त करने में विफल रहे हैं जो वे चाहते हैं।
"जब संगठन इस खर्च को अस्थिर मानते हैं, तो अनुरोधित विकास दर की तो बात ही छोड़ दें, सुरक्षा अधिकारियों को यह प्रदर्शित करना होगा कि वे न केवल काम पूरा कर रहे हैं, बल्कि सहकर्मी सीआईएसओ या उनसे पहले आए लोगों की तुलना में कम खर्च में भी अधिक काम कर रहे हैं," उन्होंने कहा। कहते हैं.
स्टीवन कहते हैं कि उद्योग भर में उल्लंघन जितने आम हैं, वे शायद किसी एक संगठन के भीतर दुर्लभ हैं, इसलिए "उल्लंघन के बाद का समय" गतिविधि और परिणाम का एक काफी नींद वाला संकेतक होना चाहिए।
उनका कहना है, ''डिलीवरी सक्षमता या ग्राहक घर्षण पर ध्यान केंद्रित करना काफी अधिक प्रभावशाली हो सकता है।''
