- Ang matatag na template para sa CISO ay nag-uugnay sa cybersecurity, negosyo, at pamamahala ng peligro, na nagbibigay sa CISO ng isang estratehikong boses sa pamumuno.
- Humahango ito sa mga aral mula sa mga totoong insidente, mga balangkas ng malayang pamamahala, at mga modelo ng kapanahunan na may mahusay na nakatwirang badyet.
- Isinasama nito ang mga prinsipyo ng Zero Trust, business continuity, at corporate culture upang mabawasan ang epekto ng mga pag-atake.
- Dahil nabago ito bilang isang buhay na roadmap, nagbibigay-daan ito para sa mas maagang pagtuklas, mas mahusay na pagtugon, at mas matatag na pagbangon ng aktibidad.
Ang papel ng CISO ay naging pamantayan kapag ang isang kumpanya ay gustong lumampas sa pagtugon lamang sa mga insidente at tungo sa matatag at madiskarteng cybersecurity na naaayon sa negosyo nito . Hindi na sapat ang pagkakaroon lamang ng ilang kagamitan, firewall, at ilang maluwag na patakaran: ang mga lupon ng mga direktor ay humihingi ng ebidensya ng kontrol, pagtugon, at malinaw na mga plano kapag nagkakamali ang lahat.
Sa kontekstong ito, ang pagkakaroon ng isang matatag na template ng CISO ay halos mahalaga. Pinag-uusapan natin ang isang praktikal na balangkas na makakatulong upang ipatupad ang estratehiya, ihanay ang seguridad sa mga layunin ng korporasyon, at ihanda ang organisasyon upang makayanan, umangkop, at magpatuloy sa pagpapatakbo kahit na inaatake. Sa buong artikulong ito, susuriin natin kung paano ibalangkas ang template na ito, kung anong mga elemento ang kailangang-kailangan, at kung paano ito magagamit upang makakuha ng impluwensya sa senior management.
Bakit kailangan ng CISO ng isang matatag na manggagawa, hindi lamang mas maraming kagamitan
Ang mga pag-atakeng nasaksihan natin nitong mga nakaraang taon ay hindi limitado sa pagnanakaw ng ilang piraso ng datos: may kakayahan ang mga ito na ganap na paralisahin ang mga operasyon ng isang kumpanya , harangan ang mga kritikal na sistema nito, at hayaan itong hindi gumana nang ilang araw o linggo. Ang epekto ay hindi na lamang teknikal; ito ay pinansyal, legal, at reputasyon, na may mga multa sa regulasyon, pagkawala ng customer, at pagkawala ng halaga ng tatak.
Dahil dito, ang cybersecurity ay itinuturing na isang nangungunang panganib sa negosyo , kapantay ng mga panganib sa pananalapi o operasyon. Ang problema ay patuloy na tinatrato ng maraming kumpanya ang seguridad bilang isang isyu lamang ng IT, na nakahiwalay at hindi nakakonekta sa estratehikong pag-uusap ng kumpanya.
Ang isang matatag na template ng CISO ay naglalayong tiyak na basagin ang limitadong pamamaraang ito, na tumutulong sa pagbubuo ng seguridad bilang isang malayang sistema ng pamamahala na may sariling mga sukatan, tinukoy na badyet, at malinaw na mga responsibilidad. Hindi lamang ito tungkol sa pag-apula ng mga sunog, kundi tungkol sa pag-deploy ng isang diskarte na may katuturan pagkalipas ng tatlo hanggang limang taon.
Bukod pa rito, ginagawang mas madali ng template na ito para sa CISO na malinaw na maipabatid sa management committee ang kasalukuyang antas ng pagkakalantad, kung aling mga desisyon ang mahalaga, at ang balik sa bawat pamumuhunan sa seguridad. Sa pagsasagawa, ito ay isang kasangkapan para sa diyalogo sa senior management , hindi lamang isang teknikal na dokumento para sa IT team.
Isa pang mahalagang punto ay ang pangangailangan ng mga manggagawa na tumingin nang higit pa sa teknolohiya. Isinasaalang-alang ng isang matatag na organisasyon ang panloob na kultura, pagsasanay , mga proseso ng pagtugon at pagbawi , at ang pagsasama ng seguridad sa buong value chain, kabilang ang mga supplier, kasosyo, at mga ikatlong partido.
Mga aral mula sa mga totoong insidente: ang pundasyon ng isang matatag na manggagawa
Isa sa mga pinakamahalagang seksyon ng anumang matatag na template ng CISO ay batay sa mga aral na natutunan mula sa mga insidente sa totoong mundo . Ang pagsusuri sa mga pangunahing pandaigdigang paglabag ay nakakatulong upang maunawaan kung ano ang nagkamali, kung saan naroon ang mga kahinaan, at kung paano maiiwasan ang pag-uulit ng parehong mga pagkakamali.
Marami sa mga pag-atakeng ito na may matinding epekto ay nagpapakita ng mga paulit-ulit na pattern: mga kritikal na patch na naantala , hindi maayos na kontroladong privileged access, kakulangan ng network segmentation, hindi sapat na pagsubaybay, o mga proseso ng backup na, pagdating ng panahon, ay hindi gumagana gaya ng inaasahan.
Karaniwang may mga mapagkukunan, tauhan, at teknolohiya ang mga apektadong kumpanya, ngunit ang totoo ay nabibigo sila sa pagdidisenyo ng isang matatag na arkitektura ng seguridad at sa koordinasyon sa pagitan ng mga pangkat. Halimbawa, may mga kaso kung saan nakakakita ang SOC ng mga senyales ng babala, ngunit ang proseso ng escalation ay napakabagal at burukratiko kaya ang umaatake ay may ilang oras o araw para gumalaw nang pahilig nang walang oposisyon.
Ang mga case study na ito ay dapat na isama sa template sa isang nakabalangkas na paraan, na nagtatampok ng parehong mga error at pinakamahusay na kasanayan. Sa isip, ang bawat sinuring insidente ay dapat na gawing isang maikling checklist : kung anong mga kontrol ang nawawala, kung anong mga patakaran ang hindi naipatupad, at kung anong mga sukatan ang maaaring ginamit upang mahulaan ang problema.
Makakatulong din ang pangangalap ng impormasyon tungkol sa mga epekto ng insidente sa negosyo : kung gaano katagal huminto ang mga operasyon, ang epekto sa kita, anumang ipinataw na mga parusa sa regulasyon, ang gastos sa pagbawi, at kung paano naapektuhan ang reputasyon ng tatak. Napakahalaga ng pananaw na ito kapag nais ng CISO na unahin ang mga pamumuhunan kasama ang CFO at CEO.
Cybersecurity sa boardroom: ang estratehikong papel ng CISO
Kung ang mga nakaraang malalaking insidente ay nagpaliwanag sa isang bagay, ito ay ang seguridad ay hindi na maaaring ituring na pangalawang alalahanin. Kailangang ituring ng mga lupon ng mga direktor ang cybersecurity bilang isang kritikal na elemento ng pagpapatuloy ng negosyo at pangmatagalang paglago, hindi bilang isang hindi maiiwasang gastos na dapat mabawasan.
Ang isang matatag na manggagawa ay tumutulong sa CISO na isalin ang kanilang teknikal na wika sa isang diskursong nakatuon sa mga panganib at resulta . Kabilang dito ang pagtalakay sa mga potensyal na pagkakalantad sa pananalapi, epekto ng supply chain, panganib sa regulasyon, epekto sa tiwala ng customer, at mga posibleng kahihinatnan para sa pagpapahalaga ng tatak at kumpanya.
Dapat ibalangkas ng isang mahalagang bahagi ng template na ito kung paano ibubuo ang ugnayan sa pagitan ng CISO at ng board : dalas ng mga ulat, mga indicator na ipapakita, mga katanggap-tanggap na limitasyon sa panganib, pati na rin ang mga pamamaraan ng pagtataas ng panganib kapag ang isang insidente ay lumampas sa ilang partikular na antas.
Upang mapalakas ang kanilang estratehikong papel, ang CISO ay dapat magkaroon ng boses na independiyente sa mga tradisyonal na IT silo . Habang malapit na nakikipagtulungan sa CIO, ang kanilang misyon ay hindi lamang upang matiyak ang mga paggana ng imprastraktura, kundi pati na rin upang matiyak na ang kumpanya ay humaharap sa mga panganib sa teknolohiya sa isang may kaalaman at kontroladong paraan.
Bukod pa rito, maaaring kasama sa template ang isang plano upang itaguyod ang isang kultura ng kaligtasan sa buong organisasyon : mga regular na kampanya sa kamalayan, mga partikular na programa sa pagsasanay para sa mga tagapamahala, pagsasama ng mga layunin sa kaligtasan sa mga pagsusuri ng pagganap, at mga mekanismo ng pagkilala para sa mga pangkat na nagpapakita ng mabubuting kasanayan.
Pangkalahatang-ideya ng mga umuusbong na banta at panganib
Bagama't ang bawat bansa at sektor ay may kanya-kanyang partikular na katangian, ang anumang matatag na template ng CISO ay dapat magsama ng isang napapanahong pagsusuri sa tanawin ng banta . Ang pagsusuring ito ay nagbibigay ng konteksto para sa pagbibigay-priyoridad sa mga kontrol, pagpapasya kung aling mga asset ang unang poprotektahan, at pagbibigay-katwiran kung bakit ang ilang partikular na proyekto sa seguridad ay apurahan.
Sa mga pamilihang may mataas na digital na aktibidad at malakas na paglago ng teknolohiya, nagkaroon ng kapansin-pansing pagtaas sa sopistikadong ransomware , mga pag-atake sa supply chain, pagsasamantala sa mga kahinaan sa enterprise software, at mga kampanyang phishing na lubos na isinapersonal. Ang mga organisasyong humahawak ng sensitibong data, serbisyong pinansyal, pangangalagang pangkalusugan, enerhiya, o kritikal na imprastraktura ay partikular na mahina.
Ang isang mahusay na dinisenyong seksyon ng template ay dapat magbalangkas ng mga posibleng uri ng pag-atake para sa sektor ng kumpanya , mga makatwirang senaryo ng epekto, at ang kasalukuyang antas ng kahandaan para sa bawat isa. Ang paggamit ng mga mapagkukunan ng threat intelligence , mga ulat ng security vendor, at panloob na data ng pagtuklas ng malware ay lubhang kapaki-pakinabang dito.
Ang pagsusuring ito ay hindi dapat manatiling isang static snapshot lamang: ang nababanat na template ay dapat magtatag ng isang mekanismo para sa pana-panahong pagsusuri ng tanawin ng banta , na may kahit isang taunang o kalahating taon na pag-update, at mga pagsasaayos sa mga prayoridad sa seguridad kapag lumitaw ang mga bagong pamamaraan ng pag-atake o nagbabago ang konteksto ng regulasyon.
Panghuli, mahalagang ihambing ang mga panganib na teknolohikal na ito sa mga tradisyunal na panganib ng korporasyon : pagkaantala ng mga pangunahing serbisyo, pagkalugi sa pananalapi, hindi pagsunod sa mga regulasyon, pagkabigo ng supply chain, pagkawala ng intelektwal na ari-arian, atbp. Sa ganitong paraan, nakikita ng lupon ang cybersecurity bilang isang mahalagang bahagi ng pangkalahatang pamamahala ng panganib.
Balangkas ng katatagan: kung paano istruktura ang organisasyon ng cybersecurity
Ang puso ng isang matatag na manggagawa ay ang balangkas ng organisasyon na tumutukoy kung paano ikokoordina ang seguridad sa loob ng kumpanya. Hindi sapat ang basta paglilista lamang ng mga kagamitan at solusyon; nangangailangan ito ng pagbabalangkas ng isang arkitektura ng mga tungkulin, responsibilidad, at proseso na nagbibigay-daan sa pag-iwas, pagtuklas, pagtugon, at pagbangon mula sa mga insidente.
Una, dapat idetalye ng template ang posisyon ng CISO sa organizational chart , ang kanilang mga linya ng pag-uulat, at ang kanilang awtoridad sa paggawa ng desisyon. Sa isip, ang CISO ay dapat mag-ulat sa CEO, sa risk committee, o sa board, habang pinapanatili ang isang antas ng kalayaan mula sa mga operational IT department upang maiwasan ang mga conflict of interest.
Pangalawa, mahalagang tukuyin ang mga pangunahing pangkat na kasangkot sa seguridad : SOC (Security Operations Center), mga pangkat ng pagtugon sa insidente, mga tagapamahala ng seguridad sa iba't ibang yunit ng negosyo, pangkat ng pagsunod, privacy, pagpapatuloy ng negosyo at pamamahala ng peligro sa korporasyon.
Dapat malinaw na ipahiwatig ng balangkas na ito kung sino ang gagawa ng ano sa bawat yugto ng siklo ng buhay ng seguridad: pagtukoy ng asset, pagsusuri ng panganib, pagpapatupad ng mga kontrol, patuloy na pagsubaybay, pamamahala ng kahinaan, pagtugon sa insidente, at mga proseso ng pagbawi at kasunod na pagpapabuti.
Ang isang partikular na mahalagang punto para sa katatagan ay ang paghihiwalay ng mga tungkulin at ang kalayaan ng pamamahala sa seguridad . Halimbawa, ang taong nagdidisenyo ng mga kontrol ay hindi dapat ang parehong taong nag-audit sa mga ito; at ang taong nagpapatakbo ng imprastraktura ay hindi dapat magkaroon ng pangwakas na salita sa mga desisyon sa panganib na may kaugnayan sa parehong imprastraktura.
Ang pagsasama ng mga prinsipyong ito sa mga kawani ay nagsisiguro na, kapag may nangyaring paglabag, hindi na kailangang mag-improvise ang organisasyon. Alam ng lahat kung ano ang gagawin, kung sino ang tatawagan, kung sino ang magpapasyang putulin ang mga serbisyo, kung paano aabisuhan ang mga customer at regulator, at kung paano idodokumento ang insidente upang maiwasan itong mangyari muli.
Badyet at kapanahunan: magkano ang ipuhunan at kung paano sukatin ang pag-unlad
Isa sa mga pinakakaraniwang tanong para sa mga senior management ay kung magkano ang dapat ipuhunan sa cybersecurity. Ipinapahiwatig ng benchmark data na ang mga nangungunang kumpanya ay naglalaan ng nasa pagitan ng 8% at 10% ng kanilang IT budget sa seguridad , bagama't ang porsyentong ito ay maaaring mag-iba depende sa sektor, antas ng pagkakalantad, at antas ng digitalization.
Ang isang matatag na template ng CISO ay dapat magsama ng isang malinaw at maipagtatanggol na modelo ng pagbabadyet . Hindi ito tungkol sa paghingi ng isang arbitraryong pigura, kundi sa pag-uugnay ng bawat aytem sa mga partikular na panganib, kontrol, at inaasahang resulta, upang masubaybayan ng CFO ang mga benepisyo ng bawat pamumuhunan.
Bukod sa badyet, mahalagang gumamit ng mga modelo ng kapanahunan sa cybersecurity . Ang mga modelong ito ay nagbibigay-daan sa iyo upang masuri kung nasaan ang organisasyon (paunang, mauulit, natukoy, pinamamahalaan, na-optimize, atbp.) at magtakda ng mga unti-unting target ng ebolusyon, na iniiwasan ang parehong pagiging kampante at hindi makatotohanang mga inaasahan.
Maaaring kasama sa template ang mga kinikilalang balangkas, tulad ng NIST CSF, ISO 27001, o katulad, ngunit iniangkop sa wika at mga pangangailangan ng kumpanya. Ang susi ay isalin ang mga balangkas na ito sa isang plano ng patuloy na pagpapabuti na may mga partikular na milestone , mga nakatalagang responsibilidad, at mga sukatan sa pagsubaybay.
Halimbawa, maaaring magtakda ng mga taunang layunin tulad ng: pagpapabuti ng saklaw ng imbentaryo ng asset, pagbabawas ng average na oras ng pagtuklas ng insidente, pagpapataas ng porsyento ng mga kritikal na sistema na may two-factor authentication, o pagpapataas ng rate ng tagumpay ng mga restore mula sa backup sa mga kunwaring kapaligiran.
Ang regular na pagsubaybay sa mga tagapagpahiwatig na ito ay hindi lamang nagbibigay-daan sa iyo upang malaman kung ang organisasyon ay umuunlad, kundi nagbibigay din sa CISO ng matibay na argumento upang maipakita ang halagang nabuo at upang ayusin, kung kinakailangan, ang pamumuhunan o diskarte bago ang pamamahala.
Pagsamahin ang cybersecurity, pamamahala ng peligro, at walang tiwala
Ang isa pang mahalagang bahagi ng nababanat na template ng CISO ay tumutugon sa kung paano isinasama ang seguridad sa pangkalahatang pamamahala ng peligro ng kumpanya . Ang ideya ay itigil ang pagtingin sa seguridad bilang isang nakahiwalay na domain at simulang ituring ito bilang isang katutubong bahagi ng bawat estratehiko at operasyonal na desisyon.
Para sa layuning ito, kapaki-pakinabang para sa mapa ng panganib ng korporasyon na tahasang isama ang mga pangunahing panganib sa cybersecurity , na nasukat at inuuna kasama ng iba pang mga panganib sa negosyo. Sa ganitong paraan, kapag sinusuri ang isang bagong linya ng produkto, isang acquisition, o isang proyekto ng digital transformation, ang dimensyon ng cybersecurity ay kasama sa equation mula sa simula.
Ang pamamaraang Zero Trust ay gumaganap ng isang mahalagang papel sa integrasyong ito . Higit pa sa isang teknolohiya, ito ay isang hanay ng mga prinsipyo na nagpapalagay na walang user, device, o application ang pinagkakatiwalaan bilang default, kahit na sa loob ng corporate network. Ang access ay ibinibigay nang detalyado, minimal, at sa ilalim ng patuloy na pangangasiwa.
Dapat ibalangkas ng template ang mga hakbang upang makasulong patungo sa modelong ito: segmentasyon ng network, pagkontrol ng pagkakakilanlan at pag-access, multi-factor authentication, patuloy na pag-verify ng device, micro-segmentation ng mga kritikal na aplikasyon, at malalim na pagsubaybay sa mga kahina-hinalang aktibidad, bukod sa iba pang mga elemento.
Ang praktikal na layunin ay bawasan ang pagkakataon ng umaatake . Kahit na makapasok sila sa pamamagitan ng isang mahinang punto, nililimitahan ng arkitektura at mga kontrol ang kanilang kakayahang gumalaw, magpataas ng mga pribilehiyo, o maglabas ng mga kaugnay na impormasyon. Direktang isinasalin ito sa mas mataas na katatagan at isang malaking pagbawas sa potensyal na epekto.
Panghuli, ang pagsasama ng seguridad at panganib sa korporasyon ay nangangahulugan na ang mga plano sa pagpapatuloy ng negosyo at pagbangon mula sa sakuna ay partikular na tumutugon sa mga senaryo ng cyberattack: matagal na pagkawala ng kuryente dahil sa ransomware, kawalan ng mga cloud provider, internal na sabotahe, malawakang pagtagas ng data, atbp., gamit ang malinaw at napatunayang mga pamamaraan sa pamamagitan ng mga pana-panahong pagsasanay.
Pagpapalakas sa CISO at sa pangkat: pamumuno at kulturang matatag
Ang isang matatag na pangkat ng CISO ay hindi lamang tungkol sa mga proseso at teknolohiya; mayroon din itong natatanging dimensyong pantao. Mahalaga na ang CISO ay may awtoridad, mga mapagkukunan, at patuloy na pagsasanay upang epektibong magampanan ang kanilang tungkulin bilang isang pinuno ng seguridad.
Ang template ay maaaring magbigay ng mga landas sa propesyonal na pag-unlad para sa CISO at sa kanilang koponan: pakikilahok sa mga internasyonal na forum, mga advanced na sertipikasyon, mga programa sa pamumuno , at pakikipagtulungan sa iba pang mahahalagang larangan tulad ng legal, panganib, negosyo, komunikasyon, o yamang-tao.
Gayundin, kinakailangang magdisenyo ng isang estratehiya upang bumuo ng isang kultura ng cyber resilience sa lahat ng empleyado. Bukod sa karaniwang pagsasanay sa phishing, mahalagang maunawaan ng lahat ang tunay na epekto ng isang insidente sa kanilang pang-araw-araw na trabaho at sa kumpanya sa kabuuan.
Ito ay maaaring maipakita sa mga malikhaing kampanya sa pagpapalaganap ng kamalayan, mga sesyon ng pagsasanay na iniangkop sa iba't ibang profile (ang isang tagapamahala ay hindi katulad ng isang technician ng planta), mga praktikal na simulasyon at, higit sa lahat, malinaw at madaling lapitan na komunikasyon na umiiwas sa klasikong mensahe na "ito ay para lamang sa IYO".
Bukod pa rito, dapat kasama sa template ang mga mekanismo upang kilalanin at palakasin ang mga ligtas na pag-uugali , maging sa pamamagitan ng mga tagapagpahiwatig ng pagganap, mga programa ng embahador ng kaligtasan sa mga lugar ng negosyo, o maging mga insentibo na nauugnay sa pagsunod sa mabubuting kasanayan.
Kapag ang seguridad ay itinuturing na kaalyado sa negosyo at hindi isang burukratikong hadlang, ang CISO ay nakakakuha ng mga kasosyo sa loob ng kumpanya, mas mabilis na umuunlad ang mga inisyatibo sa proteksyon, at ang organisasyon ay nagiging mas may kakayahang harapin ang mga totoong krisis nang mahinahon at sa isang koordinadong paraan.
Sa huli, ang isang matatag na template ng CISO ay higit pa sa isang pormal na dokumento: ito ay isang buhay na roadmap na nag-uugnay sa mga insidente sa totoong mundo, pamamahala, badyet, panganib, at kultura sa loob ng isang magkakaugnay na balangkas. Kapag maingat na binuo, nagbibigay-daan ito sa pag-antisipa ng mga pag-atake, pagbabawas ng saklaw ng pag-atake, mabilis na pagtugon kapag may nagkamali, at pagbangon nang may kaunting pinsala sa negosyo at reputasyon.
