Consiliul de administrație vă va vedea acum

De mai bine de 15 ani, industria securității cibernetice vorbește despre comunicarea cu Consiliu de Administratie. Este o practică obișnuită ca vânzătorii să aibă cărți electronice, seminarii web și prezentări despre cum și ce ar trebui să prezinte ofițerii șefi de securitate a informațiilor (CISO) în consiliile lor - atunci când au ocazia.

Alături de lipsa de oportunități, CISO ar putea avea anxietate cu privire la prezentarea consiliului de administrație, deoarece sunt singurii directori de nivel C fără un instrument propriu pentru măsoară rentabilitatea investiției. De la Salesforce la Workday la Marketo, directorii executivi au soluții de platformă de agregare, analiză și raportare pentru fiecare aspect al operațiunii. Nu există o astfel de soluție pentru CISO, ceea ce face mai dificilă măsurarea rentabilității investiției programului de securitate sau demonstrarea valorii afacerii.

Ironia este că, în ciuda întregului interes de a le prezenta, a spune că securitatea cibernetică nu este o competență de bază a consiliului este o subestimare. Cercetare WSJ Pro Cybersecurity a investigat mediul profesional al tuturor membrilor consiliului S&P 500 și a constatat că mai puțin de 2% „au avut experiență profesională relevantă în securitatea cibernetică în ultimii 10 ani”.

Indiferent cine ești, este dificil să ai un mare interes pentru ceva ce nu înțelegi. Adică până când ești motivat să înveți. Ceea ce avem în față acum este o mare trezire pentru consilii și securitate cibernetică, prin amabilitatea Comisiei pentru Valori Mobiliare și Burse (SEC).

În conformitate cu Harvard Business Review, „o regulă SEC propusă va cere companiilor să-și dezvăluie capacitățile de guvernare a securității cibernetice, inclusiv supravegherea consiliului de administrație a riscului cibernetic, o descriere a rolului conducerii în evaluarea și gestionarea riscurilor cibernetice, expertiza relevantă a unui astfel de management și rolul conducerii în implementarea principiilor companiei. politici, proceduri și strategii de securitate cibernetică.”

M-aș aștepta ca mai multe consilii să caute directori cu experiență, cu experiență în securitate cibernetică, începând chiar acum. Între timp, ce înseamnă asta pentru CISO?

O mare oportunitate

Cu un interes brusc pentru securitatea cibernetică, dar puține cunoștințe despre aceasta, ceea ce membrii consiliului doresc să știe față de ceea ce trebuie să știe poate fi destul de diferit. De exemplu, concentrarea prea mult pe ultimul atac din titluri sau concentrarea prea mult pe conformitate. La fel ca predarea la test, atingerea conformității poate fi un pas bun în direcția corectă, dar nu este întotdeauna același lucru cu eforturile de a implementa cele mai bune măsuri de securitate posibile. Când atingerea conformității devine obiectivul de securitate în loc de a minimiza riscul și de a proteja cele mai critice active, am ratat ideea.

Ce oportunitate pentru CISO de a crea o narațiune despre „securitatea cibernetică ca factor de dezvoltare a afacerii” pentru organizația lor. Locul tău în sala de consiliu este acum asigurat. În loc de actualizarea ocazională unică, acum faci parte din conversația de afaceri în mod continuu. Aceasta este o oportunitate de a plasa securitatea cibernetică în contextul deciziilor de afaceri pe care consiliul le înțelege. Renunțați la acronimele și discuțiile tehnice despre amenințări, vulnerabilități și atacuri. Fiți fluent în limbajul afacerilor și vorbiți despre consecințele cibernetice ale deciziilor de afaceri care sunt luate în fiecare zi.

Utilizarea aplicațiilor SaaS care fac angajații mai productivi într-un mediu de lucru hibrid lasă, de asemenea, organizația mai expusă la riscuri, deoarece datele de afaceri critice sunt acum în controlul unei terțe părți. Parteneriatele de afaceri care conduc la extinderea geografică, lansarea de noi aplicații pe piață cât mai repede posibil pentru a capta cota de piață sau achiziționarea pentru a extinde echipa de ingineri au toate consecințe uriașe pentru securitatea cibernetică. De exemplu, atunci când achiziționați o companie, moșteniți și suprafața de atac a acesteia. Nu este doar un nou grup de angajați care are nevoie de acces la resursele întreprinderii, ci toți contractorii, partenerii, furnizorii și așa mai departe. Este o rețea digitală încâlcită și extinsă de active conectate și implicații.

Liderii de securitate ar fi bine sfătuiți să facă tangibilă securitatea cibernetică într-un context de afaceri. Ca orice altă parte a afacerii, există decizii de luat și compromisuri de luat în considerare, toate legate de nivelul acceptabil de risc la care organizația este dispusă să se expună.

Automatizare și dovezi

Sub ochii SEC, consiliul de administrație are nevoie de dovezi despre ce active este responsabilă și cum este monitorizat și protejat în mod proactiv. În cazul unei încălcări, când a aflat consiliul de conducere despre aceasta și cât de repede a răspuns și a dezvăluit incidentul?

Începe cu a ști ce protejezi și cum faci asta. Descoperirea activelor critice devine o competență de bază care stă la baza eforturilor de vizibilitate, clasificare și remediere într-un program modern de securitate cibernetică. Descoperirea și clasificarea trebuie automatizate pentru a face față dimensiunii, mișcării și creșterii datelor și a activelor conectate la întreprindere în cloud-uri hibride, parteneri SaaS și lanțuri de aprovizionare digitale. Protecția începe cu vizibilitatea completă a acestei suprafețe de atac extinse, inclusiv fiecare dependență, conexiune și vulnerabilitate din toate activele destinate publicului. De acolo, puteți prioritiza protecțiile împotriva celor mai critice amenințări la adresa celor mai valoroase active ale dvs.

Descoperirea automată poate identifica, de asemenea, activele care sunt latente, neutilizate și inutile. În acest fel, pot fi dezafectate efectiv pentru a reduce risc cibernetic și extinderea suprafeței de atac în același timp.

Concluzie

Nu este momentul să educăm consiliul despre diferența dintre malware și ransomware. Este vorba despre a picta o imagine completă a peisajului amenințărilor și a riscurilor și expunerilor specifice cu care se confruntă organizația. CISO ar trebui să vorbească despre programul general de securitate și inițiativele strategice pentru a permite afacerii în același timp cu măsurarea și reducerea riscului.

Ajutați consiliul să înțeleagă unde este vulnerabilă afacerea, unde se termină controalele și unde începe expunerea. Care sunt consecințele și opțiunile de protecție? La sfârșitul zilei, securitatea cibernetică este o provocare de afaceri, cum ar fi creșterea marjelor și a cotei de piață. Priorități strategice și investiții aliniate la obiectivele de afaceri. Sună atât de simplu.

• Distribuție de conținut bazat pe SEO și PR. Amplifică-te astăzi.
• Platoblockchain. Web3 Metaverse Intelligence. Cunoștințe amplificate. Accesați Aici.
• Sursa: https://www.darkreading.com/risk/the-board-of-directors-will-see-you-now