Cyhesion – A biztonsági stratégiák integrálása az alapvető üzleti funkciókba

Mit mondhat nekünk szakmai hátteréről??

Korábbi tapasztalataim három évet foglalkoztatnak a KMPG-vel, egy kiberbiztonsági gyakorlattal, és nyolc évet a Deticában, amelyet később a védelmi miniszter, a BAE Systems vásárolt meg. Ha visszamentem, 13 évet töltöttem a brit hadseregben. Karrierom mindegyik szakasza hozzájárult a kiberbiztonsági elképzelésemhez és a Cyhesion képességeihez.

Milyen főbb alapelveket követ be munkája során?

Először: a kiberbiztonságot össze kell hangolni az üzlettel. Egy vállalkozás sebezhetővé válik, ha nem ismeri fel a biztonsági megoldások szükségességét. A hatékonyság érdekében a biztonságnak érthetőnek kell lennie; az üzleti vállalkozásnak meg kell értenie, hogy mit ér el a biztonság és miért fontos. Túl gyakran látom, hogy a biztonsági csapatok jelentős erőfeszítéseket tesznek a megoldások megvalósítása érdekében, de végül az üzletet hátrahagyják.

Abban az esetben is abba kell hagynunk, hogy kizárólag technikai megoldásokat keressünk, és az üzleti változás követelményeire is összpontosítanunk kell; ez megváltoztatja a vállalkozások és a biztonság kapcsolatát. Olyan képességre van szükségünk, amely egyensúlyba hozza a fenyegetések megelőzését az észleléssel és a reagálással. Ennek nem szabad, hogy a vállalkozás megértse ezt. Például, az ügyvezető igazgató vagy a COO kényelmes-e csak az ajtózárakra támaszkodni, vagy elismerik-e CCTV, biztonsági őrök és riasztórendszerek szükségességét is? A kulcsa itt az, hogy túllépjük a megelőzést, mert néha a fenyegetések átjutnak. A vállalkozásnak készen kell állnia arra, hogy foglalkozzon ezzel a reakcióval, és ez ugyanolyan menedzsment kihívás, hanem technikai.

A dinamika megváltoztatása nagyon fontos. Ha hatékonyan tudunk felismerni egy veszélyt és gyorsan reagálni tudunk, csökkenthetjük a legrugalmasabb biztonsági ellenőrzéseket, és nagyobb szabadságot adhatunk az üzleti vállalkozások számára, elősegítve, hogy agilisabbá és rugalmasabbá váljunk a nagyobb célok elérése érdekében..

Meg kell változtatnunk a biztonságról szóló beszélgetést úgy, hogy azt ne csak az üzlet vonzásaként tekintsük, hanem segítőként is, amely támogatja a folyamatos üzleti folytonosságot és az ellenálló képességet. Arról szól, hogy segítse a vállalkozásokat megérteni a résztvevők szerepét, és nem csak az eszközöket vagy technológiákat választja meg, amelyekbe beruházni.

Melyek a kihívásokkal teli kérdésekkel, amelyekkel a szervezetek foglalkoznak a biztonsági stratégia végrehajtásával kapcsolatban?

Véleményem szerint nem elegendő erőfeszítést kell tenni az üzleti változás olyan elemeire, mint például a kormányzás, a politika, a szervezet, a működési modell, a készségek és a folyamatok. Ennek a képességnek el kell viselnie és beállítania kell az idő múlását. A szervezeteknél gyakran, miután egy eszköz már egy ideje működik, felfedezik ezt a viselkedést, és ezért az alapul szolgáló biztonságot elhanyagolják. Ez nem egy megoldandó és elfelejthető probléma, és alapvető fontosságú, hogy naprakészen tartsuk a fenyegetéseket, megértsük a védendő technológia változásait, és lépést tartsunk az üzleti prioritásokkal. Mindhárom dimenzió folyamatosan megváltozik, és a biztonsági szervezetet (még ha csak kevés ember is) ennek megfelelően módosítania kell.

Megközelítésünk a stratégiával kezdődik. Ennek annak megértésével kell kezdődnie, hogy mit kell védeni. Mit tekint az igazgatóság az üzleti élet szempontjából? Lehet, hogy a szellemi tulajdon, az ügyfelek tájékoztatása, az ellátási lánc rugalmassága vagy a pénzügy és a kincstár. Ez nem műszaki kérdés. Arról szól, hogy megértsük, mely dolgok a legértékesebbek az üzlet számára, és ki valószínűleg motiválta őket ártani.

Egyszerűen fogalmazva: ha van valami, amit senki sem motivál támadni, akkor nem soknak kell aggódnia. A legtöbb súlyos fenyegetés általában a bűncselekményekből származik. Ha egy bűnöző nem képes pénzt keresni a támadásból, akkor valószínűtlen, hogy időt és erőfeszítést fordít rá. Ezért fontos kategorizálni, hogy mely eszközök értékesek és mi fenyegetheti őket, majd dolgozzon ki stratégiát arról, hogy mit akar megelőzni, és mit kell észlelnie és reagálnia.

A biztonsági stratégia kidolgozása után meggyőződhet arról, hogy minden elvégzett tevékenység hozzájárul a kívánt eredmény eléréséhez.

Gyakran hatékonyabb és eredményesebb, ha ezt a stratégiát átalakítási program formájában valósítják meg, nem pedig a taktikai projektek gyűjteményében..

Hogyan kezdje el egy üzleti stratégia tervezését??

4 kulcsfontosságú kérdés van, amelyeket megpróbálunk megválaszolni ügyfeleinkkel, mielőtt bármilyen döntést hoznánk arról, hogy milyen technológiát vagy szolgáltatást vásárolnánk.

Először: mit akarunk elérni? Nyilvánvaló kérdésnek tűnik, de sok olyan szervezetet találtam, beleértve a kormányzati minisztériumokat, szervezeteket és vállalatokat, amelyeknek a projektjei küzdenek azért, mert ezt még nem határozták meg. Például a biztonsági műveleti csoport küldetése esetén kétségtelenül az egyik cél az események felderítése. De milyen szerepet kell betölteniük az ellenőrzések hatékonyságának értékelésében; vagy az eseményekre való reagálás irányítása; vagy hozzájárul a nagyobb üzleti tudatossághoz? Mi a hatályuk; korlátozódik-e a házon belüli informatikai rendszerekre; vagy kiterjed a felhőre és az ellátási láncra; Van-e felelősségük az üzemeltetési technológiával vagy az épületirányítási rendszerekkel kapcsolatban is??

A második kérdésnek meg kell határoznia, hogy milyen képességekre lesz szükség e célok eléréséhez? Ezt nem szabad bevonni a technológia kiválasztásába. Meghatározza a képességek vagy funkciók blokkjait, és céljaik meghatározására korlátozódik.

A harmadik kérdés az, hogy ezt a képességet hogyan kell beszerezni vagy beszerezni? Mely elemek lesznek a házban, és melyek forrásai?

A negyedik kérdés, miután elhatároztuk, hogy mi a legfontosabb küldetés, milyen képességekre van szükség, és honnan származnak ezek a források, az a működési modell meghatározása, amely összekapcsolja mindezt.

Ha az elején erőfeszítéseket tesz ennek a részletességnek a fejlesztésére, akkor a végrehajtás során biztos lehet benne, hogy a megfelelő folyamatokat, politikákat és technológiákat fogja kidolgozni, és előre meg tudja határozni, hogy milyen változtatásokra és módosításokra lesz szükség a különböző érdekelt csoportok között. az üzletben.

 Hogyan lehet egyensúlyba hozni a könnyű használat és a biztonság közötti konfliktust??

Ez a konfliktus mindig ott lesz. Véleményem szerint a biztonságnak a vállalkozások hozzájárulásával kell működnie. Ha a biztonságot problémának vagy kellemetlennek tekintik, akkor az már nem lesz hatékony. Például, ha egy szervezeten belüli biztonsági funkció tiltja a fájlmegosztó szolgáltatások, például a Dropbox használatát, és vezérlőket vezet be annak megakadályozására, anélkül azonban, hogy alternatív kényelmes módszert kínálna az információk megosztására a külső felekkel, az emberek meg fognak találni utat ezek körül kezelőszervek a dolgok elkészítéséhez.

Másrészt, ha a biztonsági funkció kapcsolatba lép az üzleti vállalkozással, akkor megoldásokkal állhat elő, amelyek az adott üzlet számára működnek. Ritka, hogy az alkalmazottak valóban veszélybe akarják vonni az üzletet; többnyire csak próbálják elvégezni a munkájukat. De gyakran az általuk végrehajtott intézkedések károsíthatják az üzletet anélkül, hogy felismernék.

Az utolsó példában fontos a fájlmegosztás ellenőrzése, és számos szolgáltató van ott, tehát korlátozásokra van szükség. Az üzleti igény megértésével – az üzleti kockázat összefüggésében – lehetővé kell tenni a legmegfelelőbb felhő-szolgáltató kiválasztását, vagy házon belüli olyan megoldás felépítését, amely lehetővé teszi üzleti hatékony és biztonságos működtetését..

A jó biztonság lehetővé teszi a munka elvégzéséhez szükséges megoldások biztosítását. A vállalkozással való párbeszéd létrehozása gyakran nem könnyű, de fontos. Ez a tetején kezdődik, és az ügyfeleknek gyakran benyomást keltett az a véleményem, hogy az információbiztonsági vezérigazgatónak idejének több mint felét az üzleti tevékenységekre és az ottani kapcsolatok kiépítésére kell fordítania. Ezt nem mindig ismerik el, azzal a céllal, hogy idejüket a biztonsági ellenőrzések végrehajtása és irányítása uralja. Az üzlet azonban ezen ellenőrzések kritikus része, ezért nem hagyható figyelmen kívül.

Azt hiszem, vannak hasonlóságok a történelem között az informatikai világban. Néhány húsz évvel ezelőtt sok vita folyt az IT szerepéről és tekintélyéről. Számos vita folyt arról, hogy a CIO-nak a testületben kell-e lennie. A sikeres vállalkozásokat nézve rájöttem, hogy nem az a kérdés, hogy ki volt a CIO, hanem inkább arról, hogy milyen típusú személy volt a CIO, és milyen kapcsolat állt fenn az üzlettel..

Ha a biztonság egészséges kapcsolatban áll az üzleti vállalkozással, akkor mindenki nagyobb valószínűséggel érti meg, mit akar elérni.

A Cyhesion által alkalmazott megközelítés növeli annak esélyét, hogy a kontroll és az üzleti lehetőségek közötti egyensúly helyes legyen. Hisszük, hogy a siker titka az alábbiakon alapul:

  • Jó stratégia – Meghatározzuk, mit akarunk elérni, és azon gondolkodunk, hogy miként érjük el azt, mielőtt belekezdenénk az érdekes technológiai vásárlási üzletbe..
  • Hatékony átalakulás – Fegyelmezettséggel kell megváltoztatni az üzletet úgy, hogy a megfelelő eredményt érjen el, ahelyett, hogy túlzottan az új technológia megvalósítására összpontosítson.
  • Fenntartó képesség – Ez a változás kibírására szól. Néha ez segíthet a változás beindításában belülről, és az ideiglenes vezetés is szerepet játszhat itt, átadva az ismereteket és módosítva a modellt, hogy működőképessé váljon. Végül, bár a körülmények megváltozásakor az ügyféllel kell folytatnia a képesség fenntartását és kiigazítását.

Van saját technológiád??

A Cyhesion nem fejleszti ki saját technológiáját. Szoros kapcsolatban állunk számos technológiai szolgáltatóval, különösen a feltörekvő területeken, amelyeket jelenleg fontosnak tartunk. Segítünk ügyfeleinknek megérteni, hogy milyen technológiák állnak rendelkezésre és relevánsak számukra, és hogyan lehet azokat a lehető leghatékonyabban megvalósítani.

Melyik technológiát érzi Önnek a legrelevánsabb?

Egy technológia, szerintem, sokat adhat a biztonsági műveletek automatizálásához és összehangolásához. Túl napjainkban ezt a területet elhanyagolták, de helyesen használják, sokat hozzájárulhat. Számos olyan technológia létezik, amelyek jól felismerik a fenyegetéseket, de ha ezt megteszik, a munka csak most kezdődött el. Az automatizálás elengedhetetlen a hétköznapi munka csökkentéséhez, és lehetővé teszi a biztonsági csapatok számára, hogy erőfeszítéseikre azokon a területeken összpontosítsanak, ahol a legnagyobb értéket képviselik..

3 különböző kategóriába sorolom a fenyegetéseket:

  • Jól ismert és jól definiált fenyegetések, ahol pontosan tudja, mit kell tenni a veszélyek kiküszöbölése érdekében.
  • Ismert, de nem pontosan definiált fenyegetések, amelyek megoldásához bizonyos fokú kutatást, vizsgálatot és megítélést igényelnek.
  • Teljesen ismeretlen fenyegetések vagy nulla napos támadások, amelyek a leginkább aggasztóak, de a legkevésbé gyakoriak is.

Az ismert fenyegetések a biztonsági erőfeszítések túlnyomó részét veszik igénybe, mivel ezek a leggyakoribbak, de valójában viszonylag hétköznapi jellegűek, és az erőfeszítések nagy részét a technológia teljes mértékben át tudja venni. Ez az a fajta fenyegetés, ahol a reagálás teljesen automatizálható, lehetővé téve az elemzők számára, hogy időt töltsenek a többértelmű feladatokra.

Nehéz toborozni biztonsági elemzőket; és inkább távoznak, mert unatkoznak a hétköznapi munkához. Az elemzők elégedettebbek és kevésbé valószínű, hogy távoznak, ha úgy érzik, hogy munkájuk értelmes. Az eszközök automatizálása és a döntéshozatal támogatása azt is jelenti, hogy a válaszok következetesebbek. Ha az eszközök lehetővé teszik az elemzők számára saját runbook-ok és zenekari minták kidolgozását, akkor az ismeretek a vállalaton belül maradnak, lehetővé téve fenntarthatóbb megoldásokat, kevesebb erőforrás felhasználásával.

Egy másik technológia, amely érdeklődik a távoli böngészés iránt. Ez egy feltörekvő terület, de elismerem, hogy jelentős előnyt jelenthet. A böngészők nagyon veszélyeztetik a fenyegetéseket egyszerűen azért, mert nagyrészt korlátlan hozzáféréssel rendelkeznek az internethez. Tehát, ha az összeset a legmegbízhatóbb böngészési tevékenység kivételével távolítja el az üzleti eszközöktől, jelentősen javíthatja az üzleti biztonságot. Mint minden technológiát, itt a legfontosabb az lenne, ha a felhasználói élményt nem veszélyeztetné, vagy nagyon dühös üzleti érzésed lesz, amelyet visszatérnek az internetes kioszkok napjaiba..