[Информационная безопасность, Исследования и прогнозы в IT] Как подружить высший менеджмент организации с кибербезопасностью
Автор
Сообщение
news_bot ®
Стаж: 6 лет 9 месяцев
Сообщений: 27286
Цифровизация бизнеса приводит к тому, что руководители компаний заявляют: «кибербезопасность — это вопрос совета директоров» — и включают связанные с этим вопросы в повестку заседаний. Кажется, что руководитель направления информационной безопасности (CISO) может вздохнуть с облегчением и старательно исполнять указания генерального директора и совета, но всё не так просто. О системных проблемах, связанных с интеграцией безопасности в бизнес-процессы, рассказываем под катом. Результаты опроса 365 специалистов по кибербезопасности в средних и крупных компаниях США, Канады и Западной Европы, проведённого исследовательской фирмой Enterprise Strategy Group (ESG) по заказу Trend Micro, принесли довольно неутешительные выводы: кибербезопасность до сих пор остаётся на вторых ролях, причём в большинстве случаев организации считают, что им хватит «достаточно хорошей», или «базовой», защиты. Об опросеЧтобы собрать данные для отчёта, был проведён комплексный онлайн-опрос среди специалистов старшего звена в области бизнеса, кибербезопасности и ИТ из организаций частного и государственного секторов в Северной Америке (США и Канада) и Западной Европе (Великобритания, Франция и Германия) в период с 28 сентября по 24 октября 2020 года. Для участия в опросе от респондентов требовалось, чтобы они лично отвечали за работу организации и реализацию бизнес-стратегии или были с ней хорошо знакомы. Всем респондентам был предоставлен стимул заполнить анкету в виде денежных премий и/или их эквивалентов.
Кто принимал участие в опросе. Источник: ESGПосле фильтрации неквалифицированных респондентов, удаления дубликатов ответов и проверки оставшихся заполненных ответов, была получена окончательная выборка из 365 старших руководителей предприятий, специалистов по кибербезопасности и ИТ-специалистов.Главные проблемы, которые выявил опрос
- В большинстве организаций кибербезопасность считается технологической областью, не связанной с бизнесом, или чем-то из разряда никому не нужных бумажек, которые не приносят прибыли.
- Кибербезопасность финансируется по минимуму, потому что руководству достаточно «базовой», а не хорошей безопасности.
- Несогласованность с CISO в выборе моделей управления безопасностью.
- Значительный рост киберрисков за последние два года.
- Уровень зрелости связанных с безопасностью процессов во многих компаниях недостаточен.
- Отсутствует чёткое распределение ответственности и обязанностей между ИБ и ИТ.
Рассмотрим некоторые из этих выводов подробнее.«Кибербезопасность — технологические штучки и бумажки, которые не приносят прибыли»Большая часть респондентов (69%) считает, что кибербезопасность — это технологическое направление, пусть даже и с некоторым уклоном в бизнес-задачи. 
Отношение к кибербезопасности. Источник: ESGЕщё 11% опрошенных считают, что кибербезопасность — это деятельность, связанная с нормативными документами и выполнением требований регуляторов, то есть, по сути, никому не нужные бюрократические процедуры и бумажки.
Такой результат разочаровывает, поскольку показывает характерную для всей отрасли недооценку значимости кибербезопасности для бизнеса. «Нам достаточно “базовой” защиты»Ещё одна знакомая всем ответственным за ИБ ситуация: руководство готово финансировать решение задач, связанных с требованиями регуляторов, невыполнение которых грозит штрафами, а в остальном считает, что вполне достаточно «базового» уровня кибербезопасности. 
Как опрошенные оценивают различные аспекты кибербезопасности в своих организациях. Источник: ESGТакое «минималистское» отношение прослеживается в нескольких областях:
- в 41% организаций позиция руководства по кибербезопасности оценивалась как приемлемая или хуже среднего;
- в 43% организаций оценили готовность интегрировать кибербезопасность в бизнес-процессы и ИТ-инициативы как приемлемую или хуже среднего;
- в 54% компаний все сотрудники относятся к кибергигиене приемлемо или хуже среднего;
- даже нетехнические руководители, отвечающие за кибербезопасность, оценили ситуацию как очень хорошую лишь в 29% компаний, что ещё более показательно.
«Мы лучше знаем, что нам нужно»Для управления киберрисками CISO используют многочисленные системы и стандарты, например, NIST Risk Management Framework (NIST 800-53), NIST Cybersecurity Framework, а также различные рейтинговые сервисы.
Опрос показал, что многие CISO, отталкиваясь от «любимых» стандартов, создают собственные руководства по управлению рисками, выбирая то, что кажется им наиболее уместным для их организаций. Это помогает создать адаптированную к реалиям компании систему управления кибербезопасности, но в то же время затрудняет сравнение своих показателей с коллегами или конкурентами: если в одной компании в качестве основной метрики выбрано количество предотвращенных кибератак, а в другой, например, число обработанных SOC событий. 
Фреймворки и стандарты, используемые для управления киберрисками. Источник: ESGПроблема в том, что при смене ИБ-руководителя весь наработанный им опыт уходит вместе с ним, а новому человеку приходится начинать создание системы управления кибербезопасности практически с нуля. Выросшие киберрискиПодавляющее большинство (82%) респондентов — считают, что уровень киберрисков за последние два года значительно вырос. 
Ответы на вопрос о динамике киберрисков. Источник: ESGВ качестве наиболее значимых причин этого респонденты, помимо роста количества угроз, отмечают:
- рост зависимости бизнес-процессов от технологий (35%);
- размещение большего числа активов в интернете и увеличение возможного периметра для атак (33%);
- вовлечение бизнес-руководства в процесс управления киберрисками расширило понимание проблем и выявило новые риски (28%);
- появление дополнительных требований со стороны регуляторов (28%);
- более широкое использование SaaS-решений (28%).
Недостаточный уровень зрелости ИБ-процессовСтратегия корпоративной кибербезопасности должна быть сосредоточена на направлениях, которые поддерживают основные бизнес-процессы компании. К сожалению, по данным опроса, даже традиционные направления кибербезопасности оказались достаточно зрелыми менее чем в половине компаний:
- процессы защиты конфиденциальности, целостности и доступности отмечают как зрелые лишь в 40% организаций;
- процессы, связанные с обнаружением и предотвращением угроз — в 36% организаций;
- безопасность облачных приложений расценены зрелыми в 34% организаций.
Наименее зрелыми оказались управление рисками третьих сторон, безопасность конечных точек и безопасность цикла проектирования/разработки (SDLC).Несогласованность ИТ и ИБИсследование показывает, что CISO находятся в более тесном контакте с CIO, чем любые другие руководители, и команды ИТ и ИБ решают родственные задачи. Именно поэтому их согласованность важна, поскольку оба подразделения работают в областях, которые могут повлиять на бизнес, таких как защита критически важных активов, мониторинг угроз и снижение рисков.
Как оценивается уровень взаимодействия ИТ и ИБ. Источник: ESGРадует, что почти половина опрошенных (45%) отметила, что подразделения ИТ и ИБ работают в связке как единая команда.ВыводыСовременный бизнес зависит от информационных технологий. Это и облачная инфраструктура, и приложения, и IoT-устройства, а в пандемических реалиях сюда добавляются многочисленные удалённые сотрудники, которые подключаются к офисной сети через VPN. Для обеспечения непрерывности бизнеса нужно защитить информационные и технологические активы от кибервторжений.
Финансовые и репутационные последствия многочисленных инцидентов с шифровальщиками-вымогателями угрожают бизнесу, поэтому вполне закономерно кибербезопасность стала объектом пристального внимания со стороны бизнес-руководителей.
С одной стороны, генеральный директор действительно отвечает не только за результаты деятельности компании, но и за ущерб от хакерских атак. С другой, кибербезопасность — это высокотехнологичная дисциплина: чтобы эффективно управлять ею, нужно глубоко разбираться в фундаментальных понятиях. Без этого попытки вмешаться в управление безопасностью могут привести к трагическим последствиям. Рекомендации— Создайте правильную структуру взаимодействияВ 45% компаний CISO отчитываются перед CIO, и только в 42% — перед CEO. Между тем непосредственное взаимодействие ИБ-руководителя с бизнес-руководством является наиболее эффективным подходом и приносит больше пользы. Прямое взаимодействие позволяет передать руководителям компаний больше информации о кибербезопасности, а ИБ-руководителям, в свою очередь, — из первых рук получить больше информации о задачах бизнеса. — Утвердите официальную стратегию кибербезопасностиВ большей части компаний стратегии обеспечения кибербезопасности бессистемны и технически ориентированы. Для согласования стратегии кибербезопасности с бизнесом она должна быть формализована и задокументирована, установлены понятные и объективные метрики и критерии эффективности. Это поможет CISO обсуждать задачи кибербезопасности с высшим руководством на языке бизнеса. — Внедрите должность BISOОтметим, что 18% организаций говорят о том, что они могли бы лучше согласовать элементы кибербезопасности с бизнесом, создав пост бизнес-руководителя по ИБ (Business Information Security Officer, BISO) в ключевых подразделениях. Руководитель, обладающий знаниями в области бизнеса и кибербезопасности, поможет улучшить безопасность на уровне бизнес-процессов, важных активов, конфиденциальных данных и ролей сотрудников, а также согласовать безопасность с целевыми ориентирами бизнеса.
===========
Источник:
habr.com
===========
Похожие новости:
- [Информационная безопасность, PHP, Программирование] Защита от уязвимости Dependency Confusion в PHP с помощью Composer (перевод)
- [Информационная безопасность] Социальные сети оказались безопаснее порталов государственных услуг
- [Информационная безопасность, Разработка под iOS, Серверное администрирование] Apple начала направлять трафик безопасного просмотра в Safari на свои серверы вместо Google
- [Информационная безопасность, Разработка мобильных приложений, IT-компании] ЦБ сообщил банкам о новом типе атаки на счета юридических лиц через мобильное приложение
- [Информационная безопасность] Security Week 07: конфуз с зависимостями в софте
- [Информационная безопасность, Работа с видео, Алгоритмы, Обработка изображений] Исследователи показали, как обмануть лучшие из существующих детекторов дипфейков
- [Информационная безопасность, Реверс-инжиниринг, Исследования и прогнозы в IT, IT-компании] Kremlin RATs: история одной мистификации
- [Информационная безопасность, Производство и разработка электроники, Процессоры, IT-компании] Bloomberg снова обвинило китайскую SuperMicro в поставке «шпионских» чипов
- [Исследования и прогнозы в IT, IT-эмиграция, Карьера в IT-индустрии, Урбанизм] Как разработчики бегут из Сан-Франциско
- [Информационная безопасность] Enrolling and using Token2 USB Security keys with UserLock MFA
Теги для поиска: #_informatsionnaja_bezopasnost (Информационная безопасность), #_issledovanija_i_prognozy_v_it (Исследования и прогнозы в IT), #_trend_micro, #_kiberbezopasnost (кибербезопасность), #_vysshij_menedzhment (высший менеджмент), #_kiberugrozy (киберугрозы), #_blog_kompanii_trend_micro (
Блог компании Trend Micro
), #_informatsionnaja_bezopasnost (
Информационная безопасность
), #_issledovanija_i_prognozy_v_it (
Исследования и прогнозы в IT
)
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 09:12
Часовой пояс: UTC + 5
| Автор | Сообщение |
|---|---|
|
news_bot ®
Стаж: 6 лет 9 месяцев |
|
|
Цифровизация бизнеса приводит к тому, что руководители компаний заявляют: «кибербезопасность — это вопрос совета директоров» — и включают связанные с этим вопросы в повестку заседаний. Кажется, что руководитель направления информационной безопасности (CISO) может вздохнуть с облегчением и старательно исполнять указания генерального директора и совета, но всё не так просто. О системных проблемах, связанных с интеграцией безопасности в бизнес-процессы, рассказываем под катом. Результаты опроса 365 специалистов по кибербезопасности в средних и крупных компаниях США, Канады и Западной Европы, проведённого исследовательской фирмой Enterprise Strategy Group (ESG) по заказу Trend Micro, принесли довольно неутешительные выводы: кибербезопасность до сих пор остаётся на вторых ролях, причём в большинстве случаев организации считают, что им хватит «достаточно хорошей», или «базовой», защиты. Об опросеЧтобы собрать данные для отчёта, был проведён комплексный онлайн-опрос среди специалистов старшего звена в области бизнеса, кибербезопасности и ИТ из организаций частного и государственного секторов в Северной Америке (США и Канада) и Западной Европе (Великобритания, Франция и Германия) в период с 28 сентября по 24 октября 2020 года. Для участия в опросе от респондентов требовалось, чтобы они лично отвечали за работу организации и реализацию бизнес-стратегии или были с ней хорошо знакомы. Всем респондентам был предоставлен стимул заполнить анкету в виде денежных премий и/или их эквивалентов.  Кто принимал участие в опросе. Источник: ESGПосле фильтрации неквалифицированных респондентов, удаления дубликатов ответов и проверки оставшихся заполненных ответов, была получена окончательная выборка из 365 старших руководителей предприятий, специалистов по кибербезопасности и ИТ-специалистов.Главные проблемы, которые выявил опрос
 Отношение к кибербезопасности. Источник: ESGЕщё 11% опрошенных считают, что кибербезопасность — это деятельность, связанная с нормативными документами и выполнением требований регуляторов, то есть, по сути, никому не нужные бюрократические процедуры и бумажки. Такой результат разочаровывает, поскольку показывает характерную для всей отрасли недооценку значимости кибербезопасности для бизнеса. «Нам достаточно “базовой” защиты»Ещё одна знакомая всем ответственным за ИБ ситуация: руководство готово финансировать решение задач, связанных с требованиями регуляторов, невыполнение которых грозит штрафами, а в остальном считает, что вполне достаточно «базового» уровня кибербезопасности.  Как опрошенные оценивают различные аспекты кибербезопасности в своих организациях. Источник: ESGТакое «минималистское» отношение прослеживается в нескольких областях:
Опрос показал, что многие CISO, отталкиваясь от «любимых» стандартов, создают собственные руководства по управлению рисками, выбирая то, что кажется им наиболее уместным для их организаций. Это помогает создать адаптированную к реалиям компании систему управления кибербезопасности, но в то же время затрудняет сравнение своих показателей с коллегами или конкурентами: если в одной компании в качестве основной метрики выбрано количество предотвращенных кибератак, а в другой, например, число обработанных SOC событий.  Фреймворки и стандарты, используемые для управления киберрисками. Источник: ESGПроблема в том, что при смене ИБ-руководителя весь наработанный им опыт уходит вместе с ним, а новому человеку приходится начинать создание системы управления кибербезопасности практически с нуля. Выросшие киберрискиПодавляющее большинство (82%) респондентов — считают, что уровень киберрисков за последние два года значительно вырос.  Ответы на вопрос о динамике киберрисков. Источник: ESGВ качестве наиболее значимых причин этого респонденты, помимо роста количества угроз, отмечают:
 Как оценивается уровень взаимодействия ИТ и ИБ. Источник: ESGРадует, что почти половина опрошенных (45%) отметила, что подразделения ИТ и ИБ работают в связке как единая команда.ВыводыСовременный бизнес зависит от информационных технологий. Это и облачная инфраструктура, и приложения, и IoT-устройства, а в пандемических реалиях сюда добавляются многочисленные удалённые сотрудники, которые подключаются к офисной сети через VPN. Для обеспечения непрерывности бизнеса нужно защитить информационные и технологические активы от кибервторжений. Финансовые и репутационные последствия многочисленных инцидентов с шифровальщиками-вымогателями угрожают бизнесу, поэтому вполне закономерно кибербезопасность стала объектом пристального внимания со стороны бизнес-руководителей. С одной стороны, генеральный директор действительно отвечает не только за результаты деятельности компании, но и за ущерб от хакерских атак. С другой, кибербезопасность — это высокотехнологичная дисциплина: чтобы эффективно управлять ею, нужно глубоко разбираться в фундаментальных понятиях. Без этого попытки вмешаться в управление безопасностью могут привести к трагическим последствиям. Рекомендации— Создайте правильную структуру взаимодействияВ 45% компаний CISO отчитываются перед CIO, и только в 42% — перед CEO. Между тем непосредственное взаимодействие ИБ-руководителя с бизнес-руководством является наиболее эффективным подходом и приносит больше пользы. Прямое взаимодействие позволяет передать руководителям компаний больше информации о кибербезопасности, а ИБ-руководителям, в свою очередь, — из первых рук получить больше информации о задачах бизнеса. — Утвердите официальную стратегию кибербезопасностиВ большей части компаний стратегии обеспечения кибербезопасности бессистемны и технически ориентированы. Для согласования стратегии кибербезопасности с бизнесом она должна быть формализована и задокументирована, установлены понятные и объективные метрики и критерии эффективности. Это поможет CISO обсуждать задачи кибербезопасности с высшим руководством на языке бизнеса. — Внедрите должность BISOОтметим, что 18% организаций говорят о том, что они могли бы лучше согласовать элементы кибербезопасности с бизнесом, создав пост бизнес-руководителя по ИБ (Business Information Security Officer, BISO) в ключевых подразделениях. Руководитель, обладающий знаниями в области бизнеса и кибербезопасности, поможет улучшить безопасность на уровне бизнес-процессов, важных активов, конфиденциальных данных и ролей сотрудников, а также согласовать безопасность с целевыми ориентирами бизнеса. =========== Источник: habr.com =========== Похожие новости:
Блог компании Trend Micro ), #_informatsionnaja_bezopasnost ( Информационная безопасность ), #_issledovanija_i_prognozy_v_it ( Исследования и прогнозы в IT ) |
|
Вы не можете начинать темы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Вы не можете отвечать на сообщения
Вы не можете редактировать свои сообщения
Вы не можете удалять свои сообщения
Вы не можете голосовать в опросах
Вы не можете прикреплять файлы к сообщениям
Вы не можете скачивать файлы
Текущее время: 22-Ноя 09:12
Часовой пояс: UTC + 5