Peran CISO Berubah. Apakah CISO Bisa Mengikuti Perkembangannya?

Peran CISO Berubah. Apakah CISO Bisa Mengikuti Perkembangannya?

Stempel Waktu: 11 Maret 2024 5

Peran chief information security officer (CISO) telah berkembang dalam dekade terakhir berkat transformasi digital yang pesat. Kini CISO harus jauh lebih berorientasi pada bisnis, mempunyai lebih banyak jabatan, dan berkomunikasi secara efektif dengan anggota dewan, karyawan, dan pelanggan, jika tidak, mereka berisiko mengalami kegagalan keamanan yang serius.

Dalam sesi tanya jawab pers di CPX 2024 di Las Vegas, panel yang terdiri dari CISO dan wakil presiden (VP) organisasi internasional membahas bagaimana transformasi digital, tekanan pada keuntungan, dan kurangnya kesadaran akan keamanan telah memaksa perubahan dalam sifat teknologi. posisi mereka – secara umum, mulai dari teknis hingga bisnis, dan sangat sosial.

Saat ini, mereka berpendapat, perbedaan antara CISO yang efektif – dan, lebih jauh lagi, budaya keamanan yang efektif di suatu organisasi – terletak pada keterampilan komunikasi yang lebih lembut serta kemampuan memitigasi kerentanan dan menentukan kebijakan. Faktanya, para pemimpin keamanan yang berhasil dalam hal ini, namun kurang dalam hal yang pertama, pada akhirnya membuat organisasi mereka rentan terhadap pelanggaran besar.

Anda bertanya tentang konsekuensinya? Dan Creed, CISO di Allegiant Travel Company, bertanya secara retoris sebagai jawaban atas pertanyaan dari Dark Reading. “Tanyakan pada SolarWinds apa konsekuensinya. Mereka memiliki kebijakan kata sandi, pekerja magang tidak mengikuti kebijakan kata sandi, lihat konsekuensinya.”

Bagaimana Transformasi Digital Mengubah CISO

“Peran CISO telah berubah selama 10 tahun terakhir, dan kami tidak pernah berhenti menyadarinya,” Frank Dickson, wakil presiden program untuk produk keamanan siber di IDC, menyatakan dalam konferensi pers CPX terpisah pada tanggal 6 Maret.

Bertahun-tahun yang lalu, posisi ini diciptakan dengan fokus risiko siber yang relatif sempit dan masih melekat hingga saat ini. Namun hal ini meluas, pertama-tama berkat perluasan permukaan serangan korporat. Pelanggaran umum biasanya memerlukan kerentanan dalam sumber daya perusahaan — seperti Target, Ashley Madison, dan sejenisnya. Saat ini, terutama sejak COVID, hal itu terjadi email karyawan, telepon, dan perangkat lainnya yang justru mewakili risiko terbesar bagi organisasi. Karena tanggung jawab keamanan informasi telah menjadi tanggung jawab kolektif, CISO terpaksa keluar dari isolasi mereka.

Frank Dickson memberi pengarahan kepada pers tentang laporan baru IDC

Frank Dickson memberi pengarahan kepada pers mengenai laporan baru IDC; Sumber: CPX

Transformasi digital juga telah memindahkan TI dari sudut pandang yang tertutup, langsung ke dalam lini bisnis. Seperti yang dikatakan Dickson, “Sekitar 40% dari seluruh pendapatan untuk [Global] 2000 tahun depan akan didorong oleh produk dan layanan digital. Jadi yang dilakukan adalah mengubah sifat TI dari penentu biaya menjadi sesuatu yang menghasilkan pendapatan. Dan jika Anda memikirkan dampaknya, hal itu secara mendasar mengubah peran CISO.” Semakin banyak perusahaan saat ini memandang TI sebagai penggerak bisnis, semakin banyak CISO yang perlu diintegrasikan tidak hanya dalam mencegah dan memitigasi risiko dunia maya, namun juga memberikan nasihat kepada dewan mengenai keputusan bisnis, dan bertemu dengan pengembang, tenaga penjualan, dan pelanggan.

Tanggung jawab CISO yang semakin besar terhadap dunia bisnis tercermin dalam survei IDC yang diungkapkan di CPX. Dari 847 pemimpin keamanan siber yang disurvei, 10% percaya bahwa tugas terpenting seorang CISO adalah keterampilan kepemimpinan dan membangun tim, dan 8% percaya bahwa keterampilan manajemen bisnis adalah keterampilan tersebut. Kesadaran dan pemahaman keamanan siber, serta keterampilan arsitektur dan teknik TI, menerima suara yang sangat banyak, yaitu masing-masing sebesar 12%.

Bagaimana CISO Dapat Bertindak Lebih Baik dengan Karyawannya

Bukan hanya CISO saja harus berfungsi ganda sebagai pebisnis — mereka perlu melakukannya. “Konsekuensi dari tidak menjalin hubungan tersebut [adalah] Anda mendapatkan budaya di perusahaan 'Yah, itu bukan tanggung jawab saya.' Seperti SolarWinds, dan MGM. Mereka mengatur ulang MFA mereka hanya dengan menelepon Help Desk, meskipun mereka tidak memahami atau menyadari konsekuensi dari tidak memiliki kesadaran keamanan,” jelas Creed.

Kehalusan argumen Creed – yang juga diamini oleh orang lain di meja bundar – adalah hal yang penting. Mencegah pelanggaran keamanan oleh karyawan bukan hanya sekedar menyebarkan kesadaran, mereka menekankan, karena bahkan karyawan yang berpengetahuan pun mengabaikan keamanan ketika hubungan mereka dengan tim keamanan tidak sehat, atau ketika kebersihan terlalu diusahakan.

“[Mereka mengatakan] keamanan harus disembunyikan. Saya mengambil satu langkah lebih jauh: keamanan harus melumasi bisnis dan membuatnya lebih cepat,” kata Pete Nicoletti, Field CISO di Check Point, menggemakan filosofi CISO modern yang telah berkembang. Dia menawarkan VPN sebagai contoh di mana CISO yang terbatas dan kuno biasanya memperlambat bisnis. “Berapa lama email saya disimpan: dua detik, atau 10 detik? Berapa lama waktu yang dibutuhkan VPN untuk mendaftar? Apakah [karyawan] akan mengatasinya karena memerlukan 22 detik dan otentikasi? [Ini tentang] mencoba menjadikannya setransparan dan semudah mungkin digunakan. Mulailah memilih alat yang benar-benar mempercepat proses, sehingga Anda kini memiliki keunggulan kompetitif.”

“Beberapa inisiatif awal yang saya dorong adalah hal itu,” Creed mendukung. “Mari kita beralih dari VPN, dan beralih ke tempat yang selalu aktif dengan laptop Anda, Anda menyalakannya, Anda bersemangat, dan Anda terhubung ke jaringan kami, kembali melalui tumpukan keamanan kami. Tujuan berikutnya adalah kami sekarang meletakkan dasar untuk beralih ke sistem tanpa kata sandi.”

Jika berbicara dengan karyawan dan membuat keamanan lebih mudah bagi mereka saja tidak cukup, CISO juga dapat bereksperimen dengan insentif alternatif. “Kami sebenarnya memiliki metrik KPI seputar budaya keamanan. Dan kami bersiap-siap pada titik di mana kami akan mulai benar-benar memberikan dampak pada kumpulan bonus, dimana jika departemen Anda bekerja lebih baik, maka kumpulan bonus Anda akan meningkat di atas normalnya [. . .] dan jika tidak, maka itu akan menjadi bonus Anda,” jelas Creed.

Bagaimana CISO Dapat Berkolaborasi Lebih Baik Dengan Rekan Eksekutif

Lalu ada papannya.

Dalam surveinya, IDC bertanya kepada CISO dan sesama CIO apa yang sebenarnya dilakukan oleh CISO – misalnya, apakah mereka berfokus pada arsitektur strategis, atau apakah pekerjaan mereka bersifat taktis – dan menemukan perbedaan yang cukup besar dalam tanggapan mereka, yang menunjukkan bahwa bahkan CISO juga melakukan hal yang sama. ' Mitra terdekat tingkat C tidak sepenuhnya sependapat.

Creed mengingat satu kasus baru-baru ini, di mana “Kami memesan beberapa pesawat 737 baru. Dan ini adalah pesawat terhubung elektronik pertama kami. [Dewan] tidak menyertakan saya dalam percakapan sebelumnya, dan kemudian menjadi sebuah latihan kebakaran bahwa semua pesawat baru yang terhubung secara elektronik memiliki persyaratan keamanan siber — yang, pada kenyataannya, jika Anda tidak memiliki rencana keamanan jaringan yang disetujui dan diterima dengan FAA yang tercatat, Anda kehilangan sertifikasi kelaikan udara untuk pesawat tersebut. Apakah menurut Anda dewan direksi, ketika mereka pertama kali mulai berbicara tentang jalur 'kita akan memperluas armada', mempertimbangkan bahwa mungkin ada implikasi keamanan di dalamnya?”

“Jadi Anda harus mendidik mereka, dan menjelaskan kepada mereka: inilah mengapa kita perlu duduk di meja perundingan. Dalam setiap keputusan strategis yang dibuat untuk bisnis, selalu ada risiko yang terlibat. [. . .] Semakin banyak kamu sertakan kami di kursi di meja itu, semakin baik kita dapat melindungi bisnis dan mempertimbangkan di mana risiko tersebut terjadi, dibandingkan ketika risiko tersebut menjadi kebakaran,” katanya.

Untuk itu, dalam sebuah wawancara dengan Dark Reading, Russ Trainor, wakil presiden senior teknologi informasi di Denver Broncos, memberikan tip sederhana:

“Kadang-kadang saya akan meneruskan berita tentang pelanggaran ini ke CFO saya: berikut jumlah data yang dieksfiltrasi, berikut perkiraan biayanya,” katanya. “Hal-hal itu cenderung berdampak buruk.”

Stempel Waktu:

Lebih dari Bacaan gelap