В това интервю за Help Net Security Ан Барън-ДиКамило, старши вицепрезидент и CISO в U.S. Bank, говори за това как ролята на ръководителя по информационна сигурност (CISO) се е разраснала, за да обхване измамите, устойчивостта, риска от трети страни и управлението на изкуствения интелект. Тя заявява, че нито един лидер не може да поеме всичко това самостоятелно, затова партньорствата между екипите по технологии, риск, правни въпроси и бизнес отделите са от първостепенно значение.
Барън-ДиКамило също така коментира по-кратките срокове за докладване на инциденти, разходите за съответствие спрямо намаляването на риска, споделянето на данни за заплахи между банките и какво е преподавала на студентите в American University за киберриска като споделена отговорност.
Ролята на CISO все повече се превръща в обединяващ фактор между технологичните екипи, бизнес операциите, управлението на риска и устойчивостта. Логично е много от тези отговорности да се ориентират към CISO, тъй като киберрискът рядко остава ограничен до една среда. Често съм казвала, че „киберпространството не познава граници“, и това е разширение на тази реалност в междуорганизационните зависимости. Сривът при трета страна се превръща в проблем с устойчивостта. Внедряването на AI поставя въпроси относно управлението. Техниките за измама се развиват успоредно с активността на заплахите.
В същото време нито един лидер не може лично да притежава всеки аспект от тези дисциплини в голям мащаб. Най-ефективните CISO не се опитват да станат експерти по всичко. Те изграждат силни партньорства между екипите по технологии, риск, правни въпроси, измами, съответствие и бизнес направленията. Ролята се превръща все по-малко в директен контрол и все повече в събиране на правилните заинтересовани страни, съгласуване на приоритетите и гарантиране, че решенията за риска се вземат с пълно разбиране на по-широките последици.
Успехът в тази област е свързан по-малко с разширяване на правомощията и повече с изграждане на доверени партньорства и създаване на оперативни модели, които позволяват на организациите да управляват риска колективно.
Разбирам защо регулаторите се пренасочват към по-кратки срокове за съобщаване на инциденти. Ранната осведоменост може да помогне на правителството и индустриалните партньори да идентифицират по-широки кампании и потенциално да съдействат на засегнатите организации.
Въпреки това винаги съществува напрежение между скоростта и сигурността. В първите часове на даден инцидент организациите работят с непълна информация. Фактите се променят, обхватът може да е неясен и приоритетите правилно са насочени към ограничаване, разследване и разбиране на случилото се, а не към съставяне на доклади.
Своевременната комуникация с регулаторите е важна и ще остане приоритет. Но е също толкова важно тези комуникации да се основават на факти, а не на предположения. Първоначалните оценки често се променят с напредването на разследванията, а repeated корекции могат да създадат объркване и да подкопаят доверието във момент, когато ясната комуникация е най-важна.
Ключът е в намирането на правилния баланс. Първоначалното докладване трябва да позволява своевременно споделяне на информация, без да създава излишна административна тежест в exact момент, в който реагиращите екипи се опитват да разследват и да се възстановят. Повечето специалисти подкрепят прозрачността. Предизвикателството е да се гарантира, че изискванията за докладване укрепват колективната защита, докато все пак дават на организациите достатъчно време за изграждане на точна представа за събитието, преди да правят изводи.
Вместо да посочвам конкретна мярка за контрол, бих казала, че много организации все още инвестират прекомерно в дейности по съответствие, които предоставят доказателства за сигурност, а не в самата сигурност.
Повечето финансови институции имат развити рамки за контрол. Повечето финансови институции разбират къде са техните рискове. Истинската работа е тези рискове да се намаляват последователно и мащабно. Именно тук автоматизацията, видимостта на активите, управлението на самоличностите, управлението на уязвимостите и инженерните практики, базирани на сигурност по дизайн (secure-by-design), могат да окажат много по-голямо въздействие.
Ако трябваше да избера къде да отидат допълнителни инвестиции, това би било в възможности, които намаляват излагането на риск, преди да е необходима човешка намеса. Средата на заплахи се движи твърде бързо, за да разчитат организациите единствено на ръчни процеси. Разходите за сигурност трябва да се измерват с намаляването на риска и осигуряването на устойчивост, а не с броя на добавените контроли.
Мисля, че известно дублиране е неизбежно и подходящо, тъй като нашите среди се различават. Всяка институция има различен технологичен стек, различни зависимости и различна толерантност към риск. Ниедна организация не може да възложи на външен изпълнител своята отговорност да разбере собственото си излагане на риск.
В същото време не трябва всички да изграждаме една и съща ситуационна картина независимо. Една от силните страни на финансовия сектор е неговата готовност да споделя информация чрез организации като FS-ISAC, FSSCC и нашите публично-частни партньорства. Колкото по-ефективно споделяме данни за заплахи, технически индикатори и подходи за смекчаване, толкова повече време институциите могат да прекарват в оценка на своите уникални рискове, вместо да пресъздават същия анализ.
Неотдавнашният отговор на индустрията на широко приети технологични уязвимости демонстрира силата на тази координация. Скоростта на споделяне на информация между финансовите институции, индустриалните групи, правителствените партньори и доставчиците на технологии помогна на организациите да вземат по-информирани решения в бързо развиваща се среда.
Винаги ще се нуждаем от независима преценка, но колкото по-бързо можем да установим обща оперативна картина по време на големи киберсъбития, толкова повече време организациите могат да отделят за управление на риска и възстановяване, вместо да преследват същата информация паралелно.
Много от моите студенти пристигнаха с убеждението, че киберсигурността е предимно технологичен проблем. Те бързо научиха, че най-трудните въпроси обикновено включват хора, процеси и вземане на решения.
Те също така често вярват, че екипите по сигурност са единствено отговорни за управлението на киберриска. Това, на което наблегнах, е, че киберсигурността е споделена отговорност. Ролята на сигурността е да предоставя експертиза, видимост и насоки, но трайното намаляване на риска се случва, когато екипите по технологии, бизнес, риск и сигурност работят заедно.
