Krótko o ROI w cybersecurity – chodzi o to co możesz pokazać.
To, że w strategii bezpieczeństwa IT firmy (jak i każdej innej) ważny jest jasno określony pożądany wynik czy też stan bezpieczeństwa firmy – to często powtarzany slogan. Problemem jest samo postrzeganie bezpieczeństwa i wydatków na nie. Jak powiedział Wiliam Webster (członek rady Homeland Security Adviosry) „Security is always too much until the day it is not enough”.
W rozmowach z naszymi klientami, zauważamy, że najlepszym sposobem budowania tej strategii (tu prym wiodą firmy z branży finansów) jest dążenie do zmniejszenia ryzyka i zarządzania nim. Podstawowy cel, pomimo szalenie różnych budżetów i poziomów dojrzałości, jest taki sam.
A jak zarządzać ryzykiem? Poprzez zauważanie zagrożeń.
- Kontrolując miejsca, w którym znajdują się dane lub same dane – dostęp, operacje i możliwości transferu.
- Poprzez wdrożenie zarządzania zasobami (urządzeniami, źródłami danych, tożsamością, kontami).
- Wdrażając nowe struktury, takie jak Zero-Trust lub Extended-Detection & Response.
By czuć się bezpiecznie na spotkaniu zarządu, musimy mierzyć dane i raportować związane z nimi metryki. Metryki mogą przybierać różne formy.
- Z perspektywy reaktywnej mówimy o takich rzeczach, jak całkowita liczba incydentów bezpieczeństwa w czasie według typu, średni czas do wykrycia (MTTD), średni czas do rozwiązania (MTTR), próby włamań w czasie i liczba niezidentyfikowanych urządzeń w sieci.
- „Proaktywne wskaźniki” to wskaźniki opracowane w celu oceny skuteczności szkolenia i zarządzania podatnością na zagrożenia. Przykłady obejmują wskaźnik powodzenia testów phishingowych, wskaźnik ukończenia testów świadomości bezpieczeństwa, średnią liczbę dni do zainstalowania poprawek, procent w pełni zaktualizowanych urządzeń w sieci oraz liczbę incydentów związanych z bezpieczeństwem zgłoszonych przez personel.
Zbyt często wpadamy w problem „błyszczącego obiektu”, w którym oczekujemy, że wszystko, co nowe, będzie dostarczane dokładnie tak, jak tego chcemy – dotyczy to również produktów technologicznych. Rzadko, jeśli w ogóle, sam produkt technologiczny może zapewnić całościowy zwrot z inwestycji.Efekt to jakość narzędzie + skuteczność osób, które się nim posługują.
Jeśli liderzy ds. bezpieczeństwa koncentrują się na widoczności i raportowaniu tego, co ich zespoły mogą odkryć, mogą wykazać kierownictwu i zarządom firmy, że ich organizacje mogą szybko wykrywać potencjalne zagrożenia i reagować na nie. Co pozwoli szybko przywrócić normalność biznesową.
Pamiętaj – widoczność oparta na jakichkolwiek danych jest zawsze lepsza niż żadna. Twoje zadanie to wygrać z alternatywą (np. Brakiem widoczności).
