6 pași pentru a integra bordul cu programul tău de securitate cibernetică

Securitatea afacerilor

Cum CISO și colegii lor se pot implica mai bine cu consiliile de administrație pentru a obține acceptarea pe termen lung pentru inițiative strategice

Phil Muncaster

Octombrie 11 2023  •  , 4 min. citit

Construirea unei lumi digitale mai sigure necesită acțiuni pe mai multe fronturi. Inițiative ca Luna de conștientizare a securității cibernetice (CSAM) sunt mari oportunități de a reamintește publicului larg cele mai bune practici importante pentru gestionarea parolei, patch-uri de vulnerabilitate și altele. Dar, deși acest lucru poate ajuta la îngreunarea vieții infractorilor cibernetici care vizează consumatorii, este totuși o oportunitate de a aduce riscurile cibernetice în atenția liderilor de afaceri.

În SUA, acolo a fost o creștere trimestrială de 114%. în încălcările de date raportate public în T2 2023, punând anul pe drumul spre un alt record. În Europa, agenția de securitate a UE ENISA a avertizat în 2022 de o creștere a exploatărilor zero-day, ransomware-as-a-service, hackeri-închiriați, atacurile lanțului de aprovizionare și inginerie socială. A face față acestui lucru este în cele din urmă sarcina CISO. Dar pentru ca acest rol să fie eficient, are nevoie de sprijinul potrivit din partea consiliului de administrație. Acesta este motivul pentru care este atât de important să obțineți implicare și acceptare pentru proiecte.

Către alinierea plăcii IT

A existat adesea o deconectare între conducerea afacerilor și cei responsabili cu IT și strategia cibernetică. În linii mari, percepția asupra securității este că este necesar să ținem la distanță amenințările cibernetice, dar nu mai mult decât atât. Adică, multe consilii pot vedea în continuare IT și securitatea cibernetică ca un cost necesar, dar nu un contribuitor la venituri - și cu siguranță nu un factor de sprijin pentru afaceri.

Rezultatul final este că deși Gartner prezice Cheltuielile globale pentru securitate și managementul riscurilor vor crește cu peste 11% în 2023, la 188 de miliarde de dolari, s-ar putea să nu fie neapărat cheltuite cu înțelepciune. Consiliile dezactivate tind să elibereze bugetul într-o manieră fragmentară și reactivă, cum ar fi în urma unei încălcări. Acest lucru poate duce la rezultate slabe și la o acumulare de soluții punctuale care se dovedesc în cele din urmă la un raport calitate-preț prost.

De fapt, potrivit un studiu, doar două cincimi (39%) dintre factorii de decizie în materie de securitate cred că conducerea companiei lor înțelege cu adevărat rolul pe care îl joacă securitatea cibernetică în succesul afacerii. O pondere similară (36%) susțin că securitatea este privită doar prin prisma cerințelor de conformitate. Deci, cum pot CISO și colegii lor să se implice mai bine cu consiliile de administrație pentru a obține acceptarea pe termen lung pentru inițiative strategice?

Iată șase sugestii:

• Vorbește limba potrivită

Primul pas către o mai bună aliniere a afacerilor cibernetice trebuie să fie înțeles. Asta înseamnă să vorbești un limbaj nu de biți și octeți și detalii tehnologice complexe, ci de risc de afaceri. Acest lucru va facilita implicarea liderilor consiliului de administrație și obținerea acceptării unei anumite inițiative strategice. Spune-le că un atac ransomware ar putea scoate 200 de servere offline și s-ar putea gândi „Și ce?” Dar explicați că acest lucru ar putea cauza o săptămână de nefuncționare cu un cost de 400,000 USD pe oră și reacția va fi foarte diferită.   

• Măsurați riscul și faceți-l relevant

O parte a conversației într-o limbă pe care ambele părți o înțeleg se rezumă la partajarea datelor bazate pe valori care traduc informațiile de securitate cibernetică în măsurători la care consiliul și afacerea le interesează. Domeniile de luat în considerare sunt metrici care arată performanța și eficacitatea controalelor de securitate existente – pentru a ilustra unde lucrurile funcționează bine și zonele care necesită îmbunătățiri. Urmărirea acestora în timp va adăuga un impact suplimentar, la fel ca și comparațiile cu reperele din industrie.

Când le prezentați consiliului, păstrați lucrurile simple și la nivel înalt. Dar nu vă fie teamă să folosiți povești anecdotice de la companie pentru a aduce un punct acasă.

• Promovați securitatea prin proiectare și implicit

Potrivit Forumul Economic Mondial (WEF), 43% dintre liderii de afaceri cred că este probabil ca un atac cibernetic să „afecteze material” organizația lor în următorii doi ani. Deși este un lucru pozitiv că ei apreciază gravitatea riscului cibernetic, acesta reflectă, de asemenea, o mentalitate a sălii de consiliu din ce în ce mai concentrată pe canalizarea resurselor către investiții de zi cu zi, mai degrabă decât spre investiții strategice.

CISO trebuie să-și convingă colegii de la masa de sus să privească securitatea cibernetică într-un mod mai strategic și că, prin aceasta, vor obține rezultate mai bune. Securitate prin design iar implicit este cea mai bună practică promovată de autoritățile de reglementare GDPR și de alții. Înseamnă că considerentele de securitate trebuie incluse în noile inițiative sau produse de afaceri chiar la început, mai degrabă decât să fie etichetate la sfârșit sau – și mai rău – după un incident.

• Întâlnește-te mai des

Peste jumătate (56%) dintre CISO se întâlnesc acum lunar sau mai des cu consiliul lor, potrivit WEF. Acesta este un pas grozav către obținerea acceptării consiliului pentru securitate, mai ales având în vedere viteza cu care evoluează peisajul amenințărilor. Cu toate acestea, trebuie făcut mai mult pentru a promova înțelegerea reciprocă. O modalitate este să vă asigurați că CISO raportează direct directorului general – asigurându-vă astfel că acesta din urmă este mai expus la securitatea cibernetică și că conducerea securității obține feedback mai direct din partea companiei.

• Formalizarea programelor de securitate cibernetică

Prea multe programe de securitate cibernetică sunt ad-hoc și concentrate tehnic. În schimb, ar trebui să fie documentate în mod corespunzător, măsurate în raport cu KPI-uri și valori relevante și formalizate într-o structură de sus în jos. Acest lucru va ajuta la consolidarea rolului securității cibernetice în afaceri.

• Angajați niște BISO-uri

Ofițerul de securitate a informațiilor de afaceri (BISO) este un rol specific departamental sau al unității de afaceri responsabil de legătura atât cu afacerea, cât și cu echipa de securitate. Procedând astfel, ele ajută la transformarea strategiei de nivel înalt în pași operaționali practici. Astfel, ei pot crea acea cultură a securității prin proiectare la care ar trebui să aspire fiecare organizație și, astfel, să demonstreze consiliilor sceptice că securitatea ar trebui să fie încorporată în fiecare parte a afacerii.

Concluzie

Potrivit WEF, instabilitatea geopolitică recentă a contribuit la apropierea punctelor de vedere ale CISO și ale consiliului de administrație cu privire la importanța managementului riscului cibernetic. Astăzi, 91% din această comunitate combinată consideră că a eveniment cibernetic catastrofal de anvergură este oarecum probabil în următorii doi ani. Dar mai este ceva de parcurs. Pentru multe organizații, obținerea acelui angajament și acceptare extrem de importantă în sala de consiliu va fi munca de luni sau chiar ani. Și, cel mai important, poate necesita o schimbare de mentalitate nu doar din partea liderilor de afaceri, ci și a CISO.