ניווט בעידן החדש של אכיפת אבטחת סייבר

פַּרשָׁנוּת

ב-30 באוקטובר 2023, הרשות לניירות ערך (SEC) זעזעה את ההנחות של מובילי אבטחה בתעשיות. הגיש תביעה נקודתית נגד השמש וקצין אבטחת המידע הראשי שלה (CISO). רבים משווים את המהלך הזה כדומה לפצצה שמתפוצצת עבור אנשים העובדים בתפקיד CISO. זו גם הפעם הראשונה שתביעת SEC קוראת לאדם פרטי מחברה באופן זה.

כשהמקרה מתפתח כעת, האם אתה מבין את האחריות האישית שלך כ-CISO? דבר אחד ברור: המקרה הזה מעביר מסר. CISOs מתמודדים כעת עם סיכוני אחריות פוטנציאליים חסרי תקדים, מה שמביא את הצורך בגישה פרואקטיבית לחשיפה משפטית עבור מנהלי אבטחה. כדי לשפוך אור על הנושא המורכב הזה, ריכזנו יותר מ-60 CISOs, חברי SEC לשעבר ומומחים משפטיים לדיון בפאנל. רקע ואמינות היו חיוניים בגיוס חברי פאנל כדי לדון בנושא עתיר סיכון זה. המטרה שלנו הייתה פשוטה: לספק לקהילת CISO הדרכה סמכותית ובהירות לגבי ניהול אחריות.

הפאנל ניתח את המקרה של SolarWinds, וציין כי נראה שההתמקדות של ה-SEC היא ברשלנות ולא בהונאה בוטה. בעוד המקרה מוצג כאגרסיבי, החומר עשוי להיות לא חזק כל כך. מומחים מציעים כי CISOs יקחו את המקרה הזה כקריאת השכמה, תוך שימת דגש על הצורך בצעדים יזומים וגישה בתום לב לאבטחת סייבר.

התובנות שנאספו מדיון זה מציעות מפת דרכים עבור CISOs לנווט עידן חדש זה של אכיפת אבטחת סייבר. הנה כמה מהעצות החשובות ביותר שלמדנו מהפאנל.

בנה בריתות חזקות עם היועץ הכללי

אחת הנקודות הראשונות - ואולי הקריטיות ביותר - מדיון הפאנל היא החשיבות של CISOs לבנות קשרים חזקים עם היועץ הכללי (GC). לדברי המומחים, ה-GC יכול להיות בעל ברית מכריע בעתות משבר, לספק הדרכה ותמיכה משפטית חשובה. בעקבות מקרה SolarWinds, מומלץ ל-CISO להתיישר באופן יזום עם ה-GC שלהם, ולהבטיח תגובה משותפת ומוכנה היטב לאתגרים משפטיים פוטנציאליים.

צור קשרי FBI

עצה חיונית נוספת מהפאנל היא ליצור מערכת יחסים עם משרד השטח המקומי של ה-FBI בהקדם האפשרי. נציג ה-FBI בדיון הדגיש את החשיבות של מערכות יחסים קיימות עם ה-FBI. קיום איש קשר בתוך ה-FBI יכול להיות מכריע בניווט במצבים דומים למקרה של SolarWinds. הכל קשור לגורם האמון, לפי נציג ה-FBI של הפאנל. הם גם ציינו שה-FBI רואה בחברות במצבים כאלה קורבנות, וזו הסיבה ש-CISO מעודדים ליצור קשר עם משרד ה-FBI המקומי שלהם הרבה לפני שמתרחש משבר.

הקפידו על עמידה בתקנים

הפאנל הדגיש גם את המשמעות של התאמת נוהלי אבטחת סייבר עם סטנדרטים אובייקטיביים, כמו אלה שהותוו על ידי המכון הלאומי לתקנים וטכנולוגיה (NIST). ה-SEC, כפי שהודגם במקרה של SolarWinds, עשויה לדרוש הוכחה לעמידה בתקנים אלה. "בכל פעם שאתה מיישר את עצמך לסטנדרט אובייקטיבי, כמו NIST, ה-SEC ירצה הוכחה לכך", ציין אחד מנציגי ה-SEC שלנו. לכן, אם אתה מתכוון להכריז בפומבי שאתה משתמש בסט של תקנים, וודא גם שאתה עומד בסטנדרטים שאתה בוחר. CISOs חייבים לשמור על תיעוד יסודי כדי לספק ראיות במידת הצורך.

תיאום ייעוץ משפטי וחקירות פנימיות

כשמדובר בייעוץ משפטי, הנושא של האם CISO זקוק לייעוץ משלו או לא גרר דעות שונות מהפאנל. אז מה צריך CISO לעשות? הפאנל הסכים כי יש צורך בעורך דין אישי, במיוחד כאשר הוא מתראיין על ידי ה-SEC או משרד המשפטים (DOJ). ייצוג משפטי במהלך חקירות פנימיות ואינטראקציות עם עורך דין פנימי עשוי להיות גם צעד חכם.

שקול את D&O ביטוח

הבנה והשקעה בביטוחי דירקטורים ונושאי משרה (D&O) היו היבט מכריע נוסף שהודגש על ידי הפאנל. לנוכח תביעה משפטית אפשרית, כיסוי D&O יכול לספק הגנה פיננסית ל-CISOs. המומחים ממליצים להכיר את הכיסוי, לבדוק אם יש תביעות קיימות, ואפילו לשקול כיסוי עצמאי להגנה נוספת.

אמצו את שלושת העמודים: יישר, הבהר, הסלמה

בעידן חדש זה של אכיפת אבטחת סייבר מוגברת, מומלץ ל-CISO לדבוק בשלושה עמודי תווך: יישור, הבהרה והסלמה. התאם נוהלי אבטחת סייבר עם סטנדרטים מוכרים, הבהרת תקשורת עם אנשי קשר משפטיים ואנשי FBI, והסלמה את החששות במעלה שרשרת הפיקוד. עמודי התווך הללו מהווים את הבסיס לגישה פרואקטיבית ומגוננת לאתגרים המתפתחים איתם מתמודדים מנהלי אבטחת סייבר.

CISOs חייבים לנקוט באמצעים יזומים כעת

תביעת SolarWinds SEC האירה את הסיכונים הפוטנציאליים העומדים בפני מנהלי אבטחת סייבר. CISOs נקראים לנקוט באמצעים יזומים כדי להגן על עצמם מפני חשיפה משפטית. בניית בריתות חזקות עם היועץ הכללי, יצירת קשרים עם ה-FBI, עמידה בתקני אבטחת סייבר, השגת ביטוח D&O ואימוץ שלושת עמודי התווך של התאמה, הבהרה והסלמה הם צעדים מרכזיים בניווט האתגרים של עידן חדש זה של אכיפת אבטחת סייבר. ככל שהנוף ממשיך להתפתח, CISOs חייבים להישאר ערניים ומוכנים היטב כדי להבטיח את אבטחת הארגונים שלהם ולשמור על מעמדם המקצועי.

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• PlatoData.Network Vertical Generative Ai. העצים את עצמך. גישה כאן.
• PlatoAiStream. Web3 Intelligence. הידע מוגבר. גישה כאן.
• PlatoESG. פחמן, קלינטק, אנרגיה, סביבה, שמש, ניהול פסולת. גישה כאן.
• PlatoHealth. מודיעין ביוטכנולוגיה וניסויים קליניים. גישה כאן.
• מקור: https://www.darkreading.com/cyberattacks-data-breaches/navigating-new-age-cybersecurity-enforcement