Navigare nella nuova era dell’applicazione della sicurezza informatica

COMMENTO

Il 30 ottobre 2023, la Securities and Exchange Commission (SEC) ha scosso le ipotesi dei leader della sicurezza in tutti i settori quando ha ha intentato una causa storica contro SolarWinds e il suo responsabile della sicurezza delle informazioni (CISO). Molti equiparano questa mossa a una bomba che esplode per le persone che lavorano nel ruolo di CISO. È anche la prima volta che una causa della SEC chiama in causa un individuo di un'azienda in questo modo.

Con il caso in corso, comprendi la tua responsabilità personale come CISO? Una cosa è chiara: questo caso invia un messaggio. I CISO si trovano ora ad affrontare potenziali rischi di responsabilità senza precedenti, suggerendo la necessità di un approccio proattivo all’esposizione legale per i dirigenti della sicurezza. Per far luce su questa complessa questione, abbiamo riunito più di 60 CISO, ex membri della SEC ed esperti legali per una tavola rotonda. Il background e la credibilità sono stati fondamentali per reclutare relatori per discutere questo argomento ad alto rischio. Il nostro obiettivo era semplice: fornire alla comunità dei CISO una guida autorevole e chiarezza sulla gestione della responsabilità.

Il comitato ha analizzato il caso SolarWinds, sottolineando che l'attenzione della SEC sembra concentrarsi sulla negligenza piuttosto che sulla frode grave. Anche se il caso viene descritto come aggressivo, la sostanza potrebbe non essere altrettanto solida. Gli esperti suggeriscono che i CISO considerino questo caso come un campanello d’allarme, sottolineando la necessità di misure proattive e di un approccio in buona fede alla sicurezza informatica.

Le informazioni raccolte da questa discussione offrono ai CISO una tabella di marcia per affrontare questa nuova era di applicazione della sicurezza informatica. Ecco alcuni dei consigli più importanti che abbiamo appreso dal panel.

Costruisci forti alleanze con il consulente legale generale

Uno dei primi aspetti, e forse il più critico, emersi dalla tavola rotonda è l'importanza che i CISO costruiscano solide relazioni con il consulente legale generale (GC). Secondo gli esperti, il Tribunale può essere un alleato cruciale in tempi di crisi, fornendo preziosi orientamenti e supporto giuridico. Sulla scia del caso SolarWinds, si consiglia ai CISO di allinearsi in modo proattivo con il proprio GC, garantendo una risposta collaborativa e ben preparata a potenziali sfide legali.

Stabilisci collegamenti con l'FBI

Un altro consiglio essenziale da parte della commissione è quello di stabilire un rapporto con l'ufficio locale dell'FBI il prima possibile. Un rappresentante dell'FBI presente alla discussione ha sottolineato l'importanza dei rapporti preesistenti con l'FBI. Avere un contatto all’interno dell’FBI può essere determinante nell’affrontare situazioni simili al caso SolarWinds. È tutta una questione di fattore fiducia, secondo il rappresentante dell'FBI. Hanno inoltre notato che l’FBI considera le aziende che si trovano in tali situazioni come vittime, motivo per cui i CISO sono incoraggiati a stabilire un rapporto con l’ufficio locale dell’FBI molto prima che si verifichi una crisi.

Fare attenzione nel rispettare gli standard

Il panel ha inoltre sottolineato l’importanza di allineare le pratiche di sicurezza informatica a standard oggettivi, come quelli delineati dal National Institute of Standards and Technology (NIST). La SEC, come dimostrato nel caso SolarWinds, può richiedere prova del rispetto di questi standard. "Ogni volta che ti allinei a uno standard oggettivo, come il NIST, la SEC ne vorrà la prova", ha osservato uno dei nostri rappresentanti della SEC. Pertanto, se hai intenzione di annunciare pubblicamente che stai utilizzando una serie di standard, assicurati anche di aderire agli standard che scegli. I CISO devono conservare una documentazione approfondita per fornire prove, se necessario.

Coordinare la consulenza legale e le indagini interne

Quando si tratta di consulenza legale, la questione se un CISO abbia o meno bisogno di un proprio consulente ha suscitato opinioni diverse da parte del panel. Allora, cosa deve fare un CISO? La giuria ha convenuto che probabilmente è necessario un avvocato personale, soprattutto quando si viene intervistati dalla SEC o dal Dipartimento di Giustizia (DOJ). Anche avere una rappresentanza legale durante le indagini interne e le interazioni con i consulenti legali interni può essere una mossa intelligente.

Prendi in considerazione l'assicurazione D&O

Comprendere e investire nelle assicurazioni per direttori e funzionari (D&O) è stato un altro aspetto cruciale sottolineato dal panel. Di fronte a potenziali azioni legali, avere una copertura D&O può fornire protezione finanziaria ai CISO. Gli esperti consigliano di familiarizzare con la copertura, verificare eventuali sinistri esistenti e persino considerare una copertura autonoma per una maggiore protezione.

Abbraccia i tre pilastri: allinea, chiarisci, intensifica

In questa nuova era di maggiore applicazione della sicurezza informatica, si consiglia ai CISO di aderire a tre pilastri chiave: allineare, chiarire ed intensificare. Allinea le pratiche di sicurezza informatica a standard riconosciuti, chiarisci la comunicazione con i contatti legali e dell'FBI e intensifica le preoccupazioni lungo la catena di comando. Questi pilastri costituiscono la base di un approccio proattivo e protettivo alle sfide in evoluzione affrontate dai dirigenti della sicurezza informatica.

I CISO devono adottare misure proattive adesso

La causa della SolarWinds SEC ha messo in luce i potenziali rischi affrontati dai dirigenti della sicurezza informatica. I CISO sono esortati ad adottare misure proattive per proteggersi dall’esposizione legale. Costruire forti alleanze con il consulente legale, stabilire collegamenti con l’FBI, aderire agli standard di sicurezza informatica, ottenere un’assicurazione D&O e abbracciare i tre pilastri di allineamento, chiarimento ed escalation sono passi fondamentali per affrontare le sfide di questa nuova era di applicazione della sicurezza informatica. Poiché il panorama continua ad evolversi, i CISO devono rimanere vigili e ben preparati per garantire la sicurezza delle proprie organizzazioni e salvaguardare la propria posizione professionale.

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/cyberattacks-data-breaches/navigating-new-age-cybersecurity-enforcement