Dezbaterea de-a lungul veacului cu privire la indicatorii si tablourile de bord de securitate pare foarte vie in comunitatea CISO. Dar este adesea pozitionat intr-o perspectiva istorica depasita.

Pentru multi CISO, se pare ca este inca vorba despre „justificarea investitiilor” sau articularea unei forme de „rentabilitate a investitiilor in securitate”.

Array

Pentru CIO si multi alti directori de nivel C, acele nave au navigat cu mult timp in urma. Atacurile cibernetice pe scara larga si incalcarile de date din ultimul deceniu, coroborate cu schimbarea reglementarilor de confidentialitate pe care le-au declansat, au pus riscul cibernetic pe agenda Consiliului si paradigma „Cand, nu daca” rezoneaza cu multi membri ai consiliului.

Array

In ceea ce priveste securitatea, „Spune-mi cat trebuie sa cheltuim” sau „Cheltuim suficient” au devenit intrebari mai frecvente in jurul salii de consiliu decat „De ce vrei sa cheltui atat de mult” ..

Array

.

Deci, de ce mai auzim vreo forma de deconectare intre CISO si sefii lor pe aceasta tema?

Increderea este in centrul problemei de aici si natura relatiei dintre CISO si seful lor.

Multi CIO nu au nicio problema care sa justifice investitiile in securitate in fata atacurilor cibernetice non-stop. Dar stiu la fel de bine ca realizeaza lucruri care vor proteja firma, nu doar angajarea de resurse bugetare, astfel incat CIO care ii cere CISO „arata-mi ce profit vom obtine pentru o astfel de investitie” este uneori un mod de a spune altceva:

  • Nu inteleg de ce vrei sa faci asta
  • Nu sunt sigur ca acest lucru este corect
  • Nu cred ca il veti livra pe o scara semnificativa

Este adesea o provocare care se naste dintr-o forma de neincredere. Din experienta noastra, unde exista o opinie comuna completa si totala intre CISO si seful lor cu privire la ceea ce trebuie facut in materie de securitate si incredere deplina in ceea ce priveste executarea unei foi de parcurs de securitate comune, aceste probleme nu apar si problema „Rentabilitatea investitiilor in securitate” nu se cere niciodata.

Dezbaterea in jurul valorilor de securitate – cum ar fi intreaga abordare a construirii si gestionarii unei practici de securitate de succes – trebuie sa treaca de la o abordare pe termen scurt bazata pe proiecte, pe una pe termen lung bazata pe o foaie de parcurs.

In acest context, aveti nevoie in principal de valori in amonte, pentru a construi si a vinde foaia de parcurs de securitate pe termen lung: acestia trebuie sa fie inradacinati in realitatea provocarilor cu care se confrunta firma si sustinute impotriva unei aprecieri solide a amenintarilor cu care se confrunta.

Masurile de securitate – si investitiile asociate de care au nevoie – vor proteja firma de amenintari reale si active. Implementarea lor va modifica riscul cibernetic, sau maturitatea cibernetica, sau postura de conformitate cibernetica a organizatiei (in functie de principalii factori care sunt la nivel executiv). Aceasta este ceea ce valorile asociate trebuie sa capteze si sa arate.

Acestea pot fi valori bazate pe evaluare, dar trebuie sa poata fi conectate la actiuni efective, iar metodologia trebuie sa reflecte acolo unde este necesar – in special in raport cu terti – lipsa disponibilitatii sau fiabilitatii datelor de evaluare.

Vizualizarea este, de asemenea, un factor cheie: este esential sa puneti actiunile in perspectiva corecta pe termen lung si sa oferiti conducerii sentimentul ca exista un scop real in spatele masurilor de securitate. Acest lucru ar trebui sa fie insotit, de asemenea, de un model adecvat de guvernanta si de functionare, pentru a oferi asigurarii conducerii in legatura cu executarea efectiva a foii de parcurs propuse.

(In exemplul de mai sus, dimensiunea fiecarui dreptunghi reflecta incertitudinea in ceea ce priveste disponibilitatea sau calitatea datelor, iar evolutia scorului pentru fiecare an ar fi fost asociata masurilor efective, de exemplu Anul 1 = implementarea unui model de gestionare a identitatii si accesului, An 2 = implementarea unui model de management al riscului furnizorului, etc …)

De asemenea, veti avea nevoie de valori in aval, pentru a arata progresul real fata de foaia de parcurs, dar acestea ar trebui sa fie valori standard de gestionare a programului, iar multe organizatii mari vor avea metodologii bine stabilite in sprijinul acestora.

In general, succesul vanzarilor va fi esential si revenirea la modelul de notare original utilizat pentru a construi si vinde foaia de parcurs, va oferi directorilor superiori un sentiment de continuitate si soliditate a managementului.

Cu mult dincolo de justificarea investitiilor ad-hoc si a proiectelor pentru animale de companie pentru CISO, valorile trebuie sa fie in centrul practicii solide de securitate, dar trebuie sa se concentreze pe urmarirea progresului in timp, in sprijinul unei viziuni transformatoare pe termen lung.

Contactati Corix Partners pentru a afla mai multe despre dezvoltarea unei practici de securitate cibernetica de succes pentru afacerea dvs.

Corix Partners este o firma de consultanta in managementul magazinelor , axata pe asistenta CIO si a altor directori de nivel C in rezolvarea provocarilor privind strategia de securitate cibernetica, organizarea si guvernarea.

ARTICOLE SIMILAREDE LA ACELAȘI AUTOR