Переосмысление роли директора по информационной безопасности

Поскольку кибербезопасность становится все более важным фактором при принятии корпоративных решений, был предпринят соответствующий шаг по поднятию роли директора по информационной безопасности (CISO) на более высокий уровень в исполнительной иерархии. Аргументация, похоже, такова: «Если кибербезопасность важна, то и директора по информационной безопасности должны быть важны». Однако повышение роли делает директора по информационной безопасности единственным голосом в пустыне, кричащим о «безопасности», имеющим мало связи с повседневными лицами, принимающими решения в области ИТ, проектирования или продуктов.

Это привело к некоторым нежелательным последствиям, например, руководитель Facebook считал, что все в порядке, если меры безопасности компании вызвало многочасовые задержки в ответ на сбой 4 октября 2021 года, или руководитель Uber, который расплатились с хакерами которые взломали его систему, вместо того, чтобы признать факт взлома, или многочисленные директора по информационной безопасности, которые вложили средства в «дополнительные уровни безопасности», вместо того, чтобы признать, что изначально они сделали неправильный выбор. Во всех этих случаях изоляция директора по информационной безопасности от функциональных бизнес-подразделений, несомненно, сыграла роль в туннельном мышлении, которое отражают эти решения.

Организационное влияние

Возможно, пришло время переосмыслить роль директора по информационной безопасности. Возможно, лучше видеть, что важность директора по информационной безопасности отражается в организационном влиянии, а не в организационном статусе. Возможно, встраивание безопасности в функциональные блоки приведет к повышению безопасности.

Представьте себе директора по информационной безопасности как часть экосистемы ИТ-организации. Они будут участвовать в принятии каждого решения, касающегося инфраструктуры, и вопросы безопасности будут неотъемлемой частью этих решений, а не возникнут постфактум. Это позволило бы создать набор решений «безопасности», основанных на том, как сеть структурирована и управляется, а не на специальных возможностях безопасности, внедренных в инфраструктуру внешней группой.

Представьте себе эксперта по безопасности, работающего в организации, занимающейся разработкой программного обеспечения. Они смогут усовершенствовать процесс разработки, чтобы гарантировать, что код пишется и тестируется с учетом безопасности, не обременяя разработчиков чуждыми для них процессами, тем самым уменьшая уязвимости в коде компании. Представьте себе эксперта по безопасности, встроенного в линейку продуктов. Они смогут убедиться, что корпоративная инфраструктура защищает их интеллектуальную собственность, а процесс разработки снижает количество уязвимостей в их продуктах.

Во всех этих случаях безопасность становится фактором корпоративных решений, основанных на реальности корпоративных операций. Технический опыт директора по информационной безопасности становится неотъемлемой частью повседневной работы, а не налагаемым на нее ограничением. Аналогичным образом, безопасность и соответствие требованиям должны работать бесперебойно, чтобы финансовые системы и связь с партнерами и поставщиками оставались безопасными. Это распространяется на телекоммуникационные системы и другое оборудование.

Фактор риска

Это кажется более эффективным способом сделать технический аспект безопасности весомым голосом в управлении компанией. Однако можно задаться вопросом, не уменьшит ли это политическое измерение, балансируя его в целях удовлетворения особых интересов отдельных функциональных подразделений. Эту проблему можно решить, расширив роль директора по рискам, включив в него функции политики безопасности, которые в настоящее время выполняет директор по информационной безопасности. 

Преимуществом этого является сохранение политики безопасности на уровне C, где ей уделяется необходимое внимание. Еще одно преимущество заключается в том, что риск кибербезопасности рассматривается в контексте других рисков (риск доступности, риск репутации, для решения вышеуказанных случаев). Безопасность больше не будет самоцелью, а станет аспектом ведения бизнеса. Это не означает, что безопасность должна бороться с другими проблемами и принимать меры, которые ставят под угрозу состояние безопасности организации. Скорее, он создает среду, в которой менталитет «или-или» заменяется менталитетом, стремящимся удовлетворить все требования.

Существует множество технологий контроля доступа, которые могли бы эффективно защитить Facebook, не блокируя при этом собственный персонал. Когда риск безопасности рассматривается наряду с риском доступности, появляются более прагматичные решения.