Este timpul să nu mai măsuram securitatea în absolut

Republicat de Platon

Urmaritori: 0

Este timpul să nu mai măsurăm securitatea în Absolutes PlatoBlockchain Data Intelligence. Căutare verticală. Ai.

COMENTARIU

Contextul și valorile care ghidează evaluările riscurilor se schimbă în mod constant, la fel și înțelegerea noastră despre cum arată progresul ca echipă de securitate. Nu este posibil să măsori totul și doar pentru că poți măsura asta nu înseamnă că este important. Acest lucru face ușor să vă pierdeți în detalii și să pierdeți imaginea de ansamblu: ne îmbunătățim direcțional?

O mare parte a problemei este politica de securitate standard, care vizează perfecțiunea, pierzând din vedere obiectivele realizabile. În industria noastră avem politici care spun, de exemplu, „toate vulnerabilitățile cu risc ridicat trebuie abordate în termen de 10 zile” sau „toate accesul utilizatorilor trebuie revizuit trimestrial”. Presupunerea este că veți depune eforturi pentru 100%, fără a discuta dacă acest lucru este realizabil și ce resurse ar fi necesare pentru a atinge acest obiectiv.

De obicei, o echipă de securitate va atinge acel obiectiv în 70% din timp, ceea ce este considerat un eșec. O echipă cheltuiește adesea un număr enorm de resurse încercând să reducă decalajul, de exemplu, abordând acele 70% dintre vulnerabilitățile critice și obiectivul politicii de 100%. Ei pot ajunge să forțeze resursele pentru a urmări perfecțiunea atunci când acele resurse ar putea fi cheltuite mai bine în altă parte.

Ca industrie, trebuie să facem un pas înapoi și să reevaluăm politicile și valorile care conduc programele noastre, hotărând dacă sunt realiste și dacă sunt chiar măsurătorile potrivite. Iată trei pași de urmat pentru a realiza acest lucru.

1. Determină-ți apetitul pentru risc

Este imposibil să obții perfecțiunea în toate domeniile de risc. Echipele de securitate pot ajunge să joace joc de cârtiță și să-și piardă concentrarea asupra riscurilor mai subtile. Trebuie să existe o conversație la nivel de afaceri pentru a defini unde se află cele mai mari riscuri de securitate ale organizației și unde să aloce resurse, precum și domeniile în care directorii săi se simt confortabil cu un anumit nivel de risc. O vulnerabilitate critică, cum ar fi MOVEit, de exemplu, ar putea reprezenta un risc acceptabil într-o zonă a unei afaceri, dar nu într-o altă zonă care are sisteme de nivel 1, cu alocație de la zero până la minim pentru un impact asupra triada CIA de confidențialitate, integritate și disponibilitate. Priviți unde se află cele mai mari vulnerabilități din industria dvs. și tipurile de atacuri care vizează de obicei companiile din spațiul dvs. pentru a efectua o evaluare a riscurilor.

2. Stabiliți obiective flexibile și realizabile

Următorul pas este să stabiliți politici de securitate realizabile, bazate pe evaluarea riscului dvs., care se concentrează pe progresul incremental. Nu poți sări peste noapte de la patch-ul a 50% dintre vulnerabilități la 95%. Este important să înțelegeți resursele de care va fi nevoie pentru a vă atinge obiectivul și la ce oportunități veți renunța, urmărind patch-ul total față de 85%. Poate că nu merită investiția pentru a închide ultimele puncte.

În loc să setați un obiectiv static și să urmăriți perfecțiunea, concentrați-vă pe îmbunătățirea programului în raport cu locul în care vă aflați înainte. Întrebările pe care ar trebui să le puneți sunt: Ne mișcăm în direcția corectă? Se îmbunătățește programul? Reducem riscul în general?

3. Reevaluați în mod regulat

Deoarece vulnerabilitățile și metodele de atac se schimbă mereu, liderii de securitate ar trebui să țină discuții regulate cu afacerile mai largi pentru a reevalua apetitul pentru risc și politicile de securitate. Cel puțin, acest lucru ar trebui făcut anual. Reevaluați dacă obiectivele sunt aliniate cu riscurile cunoscute și toleranța la risc și luați decizii conștiente cu privire la compromisuri.

De exemplu, puteți determina că este posibil să abordați 85% dintre vulnerabilitățile critice în decurs de 10 zile. Pentru a ajunge la 90%, X cantitatea de resurse, exprimată în termeni precum investiții monetare, timp sau oameni, va fi necesar. S-ar putea să găsiți că 85% este un nivel acceptabil de risc atunci când sunt cântăriți în raport cu acele resurse suplimentare.

Țintește progresul, nu perfecțiunea

Deciziile cu privire la risc nu trebuie luate în vid. Acesta este motivul pentru care liderii de securitate trebuie să aibă acestea conversații cu alți lideri de afaceri și cu consiliul de administrație. Concluzia: perfecțiunea este rareori atinsă în această industrie, iar urmărirea acestui absolut poate face mai mult rău decât bine. În schimb, concentrează-te pe a face progrese. Stabiliți obiective realiste, faceți pași mici pentru a ajunge acolo și continuați să ridicați ștacheta până când ajungeți la nivelul optim de diminuare a riscurilor.