CISO Baru: Memikirkan Kembali Perannya

CISO Baru: Memikirkan Kembali Perannya

Stempel Waktu: 19 Maret 2024 10
CISO Baru: Memikirkan Kembali Peran PlatoBlockchain Data Intelligence. Pencarian Vertikal. Ai.

KOMENTAR

Perusahaan menyadari pentingnya keamanan siber dan semakin memasukkannya sebagai aset dalam strategi operasional mereka. Namun dengan menggabungkan keamanan dan operasi, organisasi mungkin melemahkan misi inti dari chief information security officer (CISO): untuk melindungi aset perusahaan dari serangan yang tidak diinginkan. 

Sejak tahun 1990an, peran CISO lebih bersifat teknis dan fokus pada TI. Keamanan bersifat hitam dan putih dan departemen berupaya menghilangkan apa pun yang dianggap berisiko. Namun, selama 20 tahun terakhir, pekerjaannya telah berubah. CISO menghadapi lebih banyak risiko daripada yang dapat diselesaikan, diharapkan dapat menyeimbangkan keamanan dengan kemampuan operasional, dan harus meyakinkan para pemimpin untuk berinvestasi dalam perlindungan.

Saat ini, CISO juga diharapkan untuk mematuhi kebutuhan bisnis sambil tetap bertanggung jawab atas pelanggaran. Pada acara-acara networking, saya melihat semakin banyak CISO dengan latar belakang bisnis yang kurang berfokus pada aspek dunia maya dalam pekerjaannya dan lebih fokus pada mendukung prioritas bisnis. 

Peralihan ini dapat menempatkan perusahaan pada posisi yang berbahaya. Melonggarkan uji keamanan siber demi kecepatan tidak hanya mengancam keamanan data perusahaan, namun juga menciptakan risiko yang tidak perlu. Dan itu bukan hal yang remeh. Berdasarkan “Laporan Biaya Pelanggaran Data 2023” IBM biaya rata-rata pelanggaran data pada tahun 2023 adalah $4.45 juta, meningkat 15% selama tiga tahun. 

Pada tahun 2024, kita perlu memikirkan kembali peran CISO. CISO saat ini harus membantu organisasinya memahami bahwa memprioritaskan pengurangan risiko adalah kunci ketahanan bisnis dalam menghadapi ancaman modern.

CISO masa kini: Politisi Tangguh

CISO pernah mampu menjual kepentingan mereka berdasarkan gagasan bahwa, dalam istilah dunia maya, langit akan runtuh. Namun ketika sisi bisnis dan keamanan perusahaan bergabung, akuntabilitas perusahaan mulai berperan. Fokus CISO beralih dari penghindaran risiko ke postur risiko dan pertimbangan tingkat apa yang dapat diterima dalam mencapai tujuan bisnis. 

Dalam banyak kasus, unit bisnis yang menghasilkan pendapatan kini mempunyai keputusan akhir mengenai tingkat risiko yang dapat diterima, termasuk risiko dunia maya. Sementara itu, para pemimpin dunia usaha, yang sudah lebih paham mengenai keamanan siber, tidak ingin lagi mendengar bahwa langit akan runtuh. Sebaliknya, mereka ingin fokus CISO tetap pada pertumbuhan dan profitabilitas sekaligus melindungi perusahaan dari serangan siber. Dengan menjamurnya ransomware, CISO tidak hanya harus mencegah, mendeteksi, dan memulihkan risiko keamanan, namun kini harus mempertimbangkan seberapa tangguh sistem tersebut dari serangan siber yang dapat membuat perusahaan gulung tikar. CISO juga harus fokus pada seberapa cepat perusahaan dapat pulih dari peristiwa dunia maya. 

Kabar baiknya bagi CISO adalah banyak dari peran ini telah diangkat ke posisi tingkat C. Kabar buruknya adalah bahwa peran mereka pada dasarnya adalah sebagai penasihat, dan merupakan hal sekunder setelah apa yang dianggap oleh para pemimpin sebagai risiko yang dapat diterima. Mengingat meningkatnya tekanan dari Komisi Sekuritas dan Bursa (SEC) dan Departemen Kehakiman terkait Akuntabilitas CISO setelah terjadinya serangan siber, posisi ini dengan cepat menjadi tidak dapat dipertahankan.

Tahap Berikutnya untuk CISO

Agar sukses saat ini, CISO perlu mengembangkan keterampilan baru sambil mempertahankan fundamental yang kuat. Inilah cara hal ini dapat dicapai. 

  • Pelajari cara berbicara dengan dewan. CISO perlu menjadi negosiator. Mereka perlu berargumentasi untuk mendukung keamanan yang lebih kuat dan meyakinkan dewan direksi dan unit bisnis mengenai risiko yang mereka pahami. Cara CISO melakukan hal ini dapat berbeda-beda, bergantung pada pengalaman anggota dewan di bidang teknologi atau bisnis. Memberikan demonstrasi yang menempatkan risiko teknis ke dalam perspektif bisnis dapat membantu. CISO juga harus berbicara dengan eksekutif tingkat C lainnya – serta CISO dari industri lain – untuk mendapatkan dukungan awal dan perspektif berbeda mengenai percakapan serupa yang mereka lakukan dengan dewan direksi. 

  • Merasa nyaman dengan warna abu-abu. CISO harus merasa nyaman dalam mengembangkan pendekatan berbasis risiko yang berfokus pada pentingnya ketahanan, karena penyerang akan melakukan hal tersebut untuk ikut serta. Mengembangkan rencana yang teruji untuk merespons serangan sama pentingnya dengan menerapkan langkah-langkah pencegahan. Dan selalu ingat, Anda tidak dapat memberikan keamanan mutlak… yang perlu Anda lakukan adalah menyeimbangkan risiko dan biaya.

  • Tekankan hal-hal mendasar. CISO harus membangun tim yang sangat teknis dan dapat fokus pada praktik keamanan utama. Mereka harus menjalankan latihan di atas meja pada skenario seperti sistem mati atau ketidakmampuan untuk terhubung ke Internet. CISO tidak boleh bergantung pada asumsi tentang cara merespons; menjalankan dan menguji semua rencana respons sangatlah penting. 

  • Bersikaplah bijaksana tentang teknologi. Tim keamanan saat ini memiliki terlalu banyak informasi untuk diseberangi. Sangat penting untuk mengkonsolidasikan data dan berinvestasi dalam otomatisasi. Dalam peran sebelumnya, saya menemukan tim saya menghabiskan sepertiga waktunya untuk mengumpulkan data dan membuat laporan. Itu bukan penggunaan waktu siapa pun dengan baik. Otomatisasi dapat membantu. Hal ini juga akan memperkaya karir tim Anda, bisa fokus pada keamanan dan bukan fungsi administratif.

  • Dokumentasikan semuanya. Ketika insiden yang merugikan terjadi, CISO sering kali disalahkan. Dalam beberapa tahun terakhir, CISO di perusahaan-perusahaan besar telah diberhentikan, dipanggil untuk bersaksi di pengadilan, dan, dalam beberapa kasus, dibebankan dengan kejahatan. CISO harus mengembangkan rencana respons terhadap serangan siber, mendokumentasikan setiap langkah, dan mengikutinya dengan ketat. Melakukan hal ini mungkin tidak menyelamatkan pekerjaan CISO, namun dapat menjauhkan mereka dari pengadilan. 

CISO Baru untuk Lanskap Ancaman Baru

Grafik lanskap TI perusahaan telah berubah secara signifikan selama 40 tahun terakhir, semakin tersebar, berbasis cloud, dan penting dalam menjalankan bisnis. Begitu pula dengan lanskap ancaman dunia maya, dimana pelanggaran kini dianggap tidak bisa dihindari. Dengan banyaknya perubahan, tidak realistis jika CISO saat ini harus beroperasi dengan cara yang sama seperti beberapa dekade yang lalu. Di lingkungan baru ini, CISO harus mendefinisikan ulang cara mereka menyeimbangkan ketahanan siber dan tuntutan operasional, berinteraksi dengan para pemimpin senior dan dewan, serta memberikan kepemimpinan tim dan teknis.

Stempel Waktu:

Lebih dari Bacaan gelap