PODROČJE: UPRAVLJANJE IN ODGOVORNOST – LEKCIJA 24/100
Vodstvo ne potrebuje vsak mesec predavanja o kibernetski varnosti.
Potrebuje pa reden vpogled v kibernetska tveganja.
Prav na tem področju številna poročila CISO zgrešijo svoj namen.
Vsebujejo preveč tehničnih podatkov:
- blokirani napadi,
- odprte ranljivosti,
- phishing sporočila,
- opozorila sistema SIEM,
- zaznani dogodki na končnih napravah,
- zaključeni zahtevki.
Ti kazalniki so lahko koristni.
Vendar za učinkovito upravljanje niso dovolj.
Vodstvo mora razumeti, kaj ti podatki dejansko pomenijo za organizacijo.
Dobro poročilo CISO bi moralo odgovoriti na naslednja vprašanja:
- Ali se naša najpomembnejša tveganja povečujejo ali zmanjšujejo?
- Katera tveganja zahtevajo poslovno odločitev?
- Katere ključne varnostne kontrole ne delujejo tako, kot bi morale?
- Katera sprejeta tveganja so še vedno odprta?
- Katere varnostne izjeme so odprte predolgo?
- Katere revizijske ali regulativne ugotovitve zahtevajo pozornost?
- Katera tveganja tretjih oseb bi lahko vplivala na pomembne storitve?
- Kje potrebujemo jasno določeno odgovornost, dodatna sredstva ali spremembo prioritet?
- Kaj bi lahko pomembno vplivalo na neprekinjenost poslovanja, odpornost organizacije ali zaupanje?
Cilj ni, da vodstvo postane tehnično podkovano.
Cilj je omogočiti učinkovito upravljanje kibernetskih tveganj.
Če vodstvo za težave na področju kibernetske varnosti izve šele po varnostnem incidentu, je upravljanje že odpovedalo.
Novi CISO bi moral zato že zgodaj vzpostaviti preprost in reden način poročanja.
Ne zato, da bi ustvarjal strah.
Ne zato, da bi ustvarjal lažen občutek varnosti.
Ampak zato, da omogoči sprejemanje odločitev na podlagi pravih informacij.