Nowy CISO: ponowne przemyślenie roli

Nowy CISO: ponowne przemyślenie roli

Znacznik czasu: 19 marca 2024 10:00
Nowy CISO: ponowne przemyślenie roli PlatoBlockchain Data Intelligence. Wyszukiwanie pionowe. AI.

KOMENTARZ

Firmy dostrzegają znaczenie cyberbezpieczeństwa i coraz częściej włączają je jako atut do swoich strategii operacyjnych. Jednak łącząc bezpieczeństwo i operacje, organizacje mogą osłabić podstawową misję dyrektora ds. bezpieczeństwa informacji (CISO), czyli ochronę aktywów firmy przed niechcianymi atakami. 

Począwszy od lat 1990. rola CISO była bardziej techniczna i skupiała się na IT. Bezpieczeństwo było czarno-białe, a działy starały się wyeliminować wszystko, co uznano za ryzyko. Jednak w ciągu ostatnich 20 lat zawód się zmienił. CISO stoją w obliczu większej liczby zagrożeń, niż można rozwiązać, oczekuje się od nich, że będą równoważyć bezpieczeństwo ze zdolnościami operacyjnymi i muszą przekonać liderów do inwestowania w ochronę.

Obecnie od CISO oczekuje się także, że zajmą się potrzebami biznesowymi, a jednocześnie będą odpowiadać za naruszenia. Na wydarzeniach networkingowych widzę coraz więcej CISO z doświadczeniem biznesowym, którzy w mniejszym stopniu skupiają się na cyberaspektach pracy, a bardziej na wspieraniu priorytetów biznesowych. 

Taka zmiana może postawić firmy w niepewnej sytuacji. Zrelaksowanie się w kwestii cyberbezpieczeństwa na rzecz szybkości nie tylko zagraża bezpieczeństwu danych firmy, ale także stwarza niepotrzebne ryzyko. I nie jest to mało istotne. Według „Raport dotyczący kosztów naruszenia danych w 2023 r.” IBM średni koszt naruszenia bezpieczeństwa danych w 2023 r. wyniósł 4.45 mln dolarów, co oznacza wzrost o 15% w ciągu trzech lat. 

W 2024 r. musimy jeszcze raz przemyśleć rolę CISO. Dzisiejszy CISO musi pomóc swojej organizacji zrozumieć, że priorytetowe traktowanie redukcji ryzyka jest kluczem do odporności firmy na współczesne zagrożenia.

Dzisiejszy CISO: Odporny polityk

Kiedyś CISO potrafili sprzedawać swoje znaczenie w oparciu o przekonanie, że pod względem cybernetycznym niebo się wali. Kiedy jednak biznes i bezpieczeństwo firm połączyły się, w grę wchodzi odpowiedzialność korporacyjna. Uwaga CISO przeniosła się z unikania ryzyka na postawę ryzyka i rozważenie, jaki poziom jest akceptowalny w dążeniu do celów biznesowych. 

W wielu przypadkach jednostki biznesowe generujące przychody mają teraz ostatnie słowo w sprawie akceptowalnego poziomu ryzyka, w tym ryzyka cybernetycznego. Tymczasem liderzy biznesu, którzy nabyli większą wiedzę w zakresie cyberbezpieczeństwa, nie chcą już słyszeć, że niebo się wali. Zamiast tego chcą, aby CISO nadal skupiało się na wzroście i rentowności, jednocześnie chroniąc przedsiębiorstwo przed cyberatakami. Wraz z rozprzestrzenianiem się oprogramowania ransomware CISO muszą nie tylko zapobiegać zagrożeniom bezpieczeństwa, wykrywać je i eliminować je, ale muszą teraz rozważyć, jak odporne są systemy na cyberataki, które mogą doprowadzić firmę do upadku. CISO muszą także skupić się na tym, jak szybko firma może odzyskać siły po zdarzeniu cybernetycznym. 

Dobra wiadomość dla CISO jest taka, że ​​wiele z tych stanowisk zostało podniesionych do prawdziwego stanowiska na poziomie C. Zła wiadomość jest taka, że ​​ich rola ma przede wszystkim charakter doradczy, drugorzędny w stosunku do tego, co liderzy uważają za akceptowalne ryzyko. Biorąc pod uwagę rosnące naciski ze strony Komisji Papierów Wartościowych i Giełd (SEC) oraz Departamentu Sprawiedliwości ws Odpowiedzialność CISO po cyberatakustanowisko to szybko staje się nie do utrzymania.

Następny etap dla CISO

Aby dzisiaj odnieść sukces, CISO muszą rozwijać nowe umiejętności, zachowując jednocześnie solidne podstawy. Oto jak można tego dokonać. 

  • Naucz się rozmawiać z zarządem. CISO muszą być negocjatorami. Muszą opowiadać się za większym bezpieczeństwem i przekonywać zarządy i jednostki biznesowe o ryzyku w ich rozumieniu. Sposób, w jaki CISO sobie z tym radzi, może się różnić w zależności od tego, czy członkowie zarządu mają doświadczenie technologiczne czy biznesowe. Pomocne może być przedstawienie demonstracji przedstawiającej ryzyko techniczne z perspektywy biznesowej. CISO powinni także rozmawiać z innymi menedżerami wyższego szczebla – a także CISO z innych branż – aby uzyskać wcześniejsze poparcie i różne punkty widzenia na podobne rozmowy, które prowadzą ze swoimi zarządami. 

  • Poczuj się komfortowo w kolorze szarym. CISO muszą czuć się komfortowo, opracowując podejście oparte na ryzyku, koncentrując się na znaczeniu odporności, ponieważ atakujący to zrobią wejdź. Opracowanie przetestowanego planu reakcji na ataki jest tak samo ważne, jak wdrożenie środków zapobiegawczych. I zawsze pamiętaj, że nie możesz zapewnić całkowitego bezpieczeństwa… to zrównoważenie ryzyka z kosztami.

  • Podkreśl podstawy. CISO powinni zbudować zespół o dogłębnym doświadczeniu technicznym, który będzie mógł skoncentrować się na kluczowych praktykach bezpieczeństwa. Powinni przeprowadzić ćwiczenia na tablecie dotyczące scenariuszy takich jak zamknięcie systemu lub niemożność połączenia z Internetem. CISO nie mogą opierać się na założeniach dotyczących sposobu reakcji; niezwykle istotne jest przejrzenie i przetestowanie wszystkich planów reagowania. 

  • Pomyśl o technologii. Zespoły ds. bezpieczeństwa mają dziś zbyt wiele informacji, aby się przez nie przebrnąć. Konsolidacja danych i inwestowanie w automatyzację są niezbędne. Na poprzednim stanowisku odkryłem, że mój zespół spędzał jedną trzecią czasu na gromadzeniu danych i tworzeniu raportów. To nie jest dobre wykorzystanie niczyjego czasu. Automatyzacja może pomóc. Wzbogaci to również karierę Twojego zespołu, umożliwiając skupienie się na funkcjach bezpieczeństwa, a nie administracyjnych.

  • Dokumentuj wszystko. Kiedy zdarza się szkodliwy incydent, winę często zrzuca się na CISO. W ostatnich latach CISO w dużych firmach zostali zwolnieni, wezwani do składania zeznań w sądzie, a w niektórych przypadkach naładowany w zbrodnie. CISO powinni opracować plan reagowania na cyberataki, udokumentować każdy krok i rygorystycznie go przestrzegać. Może to nie uratować pracy CISO, ale może uchronić go przed sądem. 

Nowy CISO dla nowego krajobrazu zagrożeń

Połączenia Krajobraz IT przedsiębiorstw uległ znaczącym zmianom w ciągu ostatnich 40 lat, stając się coraz bardziej rozproszone, oparte na chmurze i kluczowe dla prowadzenia działalności gospodarczej. Podobnie zmienia się krajobraz zagrożeń cybernetycznych, których naruszenia są obecnie powszechnie uważane za nieuniknione. Przy tak wielu zmianach nierealne jest, aby dzisiejszy CISO działał w taki sam sposób, jak w poprzednich dziesięcioleciach. W tym nowym środowisku CISO muszą na nowo zdefiniować sposób równoważenia odporności cybernetycznej i wymagań operacyjnych, współdziałać z liderami wyższego szczebla i zarządem oraz zapewniać przywództwo zespołowe i techniczne.

Znak czasu:

Więcej z Mroczne czytanie