Невозможно остановить каждую атаку, но как организации могут занять устойчивую позицию в области кибербезопасности?

Хакеры найдут способ проникнуть в систему. Неизбежность кибератаки может оказаться непростой задачей. Но как только руководители признают, что не каждую атаку можно предотвратить, они смогут подготовить свои организации к эффективному реагированию и восстановлению. Концепция киберустойчивости широко обсуждается, но ее достижение требует времени, ресурсов и приверженности всей организации.

Определение киберустойчивости

По словам Ричарда Сейерсена, директора по рискам ИТ-сервисной и консалтинговой компании Resilience , киберустойчивость является целью бизнеса . «Устойчивость сводится к способности  постоянно приносить пользу заинтересованным сторонам, даже когда они сталкиваются с материальными потерями», — объясняет он.

Для достижения этой бизнес-цели организациям необходимо изменить мышление и стратегию безопасности. Во-первых, лидеры должны признать, что кибератаки неизбежны. Оттуда они могут оценить риски, характерные для их бизнеса, разработать стратегии, необходимые для смягчения этих рисков, отреагировать, когда атака все же произойдет, и продолжить работу, устраняя инцидент.

Киберустойчивость сегодня

На каком этапе сегодня находятся организации на пути к киберустойчивости? Осведомленность о кибербезопасности в последние годы возросла. Это уже не просто забота руководителей ИТ и безопасности. Остальные руководители и члены совета директоров присоединяются, но понимание необходимости распознавать киберугрозы и реагировать на них — это лишь первый шаг к фактическому обеспечению киберустойчивости.

«Я думаю, что большинство организаций понимают, что в какой-то момент они будут атакованы, поэтому теоретически они понимают необходимость сосредоточиться на киберустойчивости; но они изо всех сил пытаются реализовать и оценить ее как программу», — говорит Тиа Хопкинс, главный специалист по киберустойчивости и технический директор компании по управляемому обнаружению и реагированию eSentire.

Сейерсен считает снижение, передачу и принятие рисков ключевыми элементами киберустойчивости. «Я считаю, что большинство компаний реализуют  некоторые  компоненты киберустойчивости», — делится он. «Они покупают страховку (передача), меры безопасности (смягчение) и имеют резервы капитала (принятие). Но группы, которые занимаются каждым из этих видов деятельности, работают изолированно, каждая из которых работает над достижением своих собственных целей».

Киберустойчивость — это целостная концепция, и фрагментированный подход затрудняет ее достижение. Небольшим организациям может быть особенно сложно отказаться от такого фрагментированного подхода.

«Киберустойчивость в наши дни является привилегией преимущественно крупных организаций. Малые и средние предприятия отказываются от фрагментированной киберзащиты и часто не имеют доступа к экспертам по кибербезопасности и обеспечению непрерывности бизнеса, которые могут сформулировать значимый путь для повышения киберустойчивости», — говорит Дэвид Черницкий, генеральный директор компании по кибербезопасности Armor Cybersecurity.

Но есть признаки прогресса. Например, организации сокращают время, необходимое для реагирования на угрозы. Отчет Cyber ​​Workforce Benchmark компании Immersive Labs , занимающейся обучением навыкам кибербезопасности , показал, что время ответа организаций сократилось с 29 дней в 2021 году до 19 дней в 2022 году.

Джеймс Хэдли, генеральный директор и основатель Immersive Labs, считает, что более быстрое время отклика является положительным знаком; Более быстрое время ответа означает, что организации устраняют уязвимости и снижают риск негативного воздействия.

Несмотря на то, что нет недостатка в заголовках и исследованиях, которые подчеркивают важность киберустойчивости, может потребоваться реальный инцидент, чтобы побудить руководство к действию.

«Лишь небольшое количество организаций активно работают над повышением своей киберустойчивости; большинству организаций, с которыми я встречался на протяжении своей карьеры, пришлось пережить неприятный опыт киберинцидентов, чтобы начать свой путь к более киберустойчивому будущему», — говорит Черницкий.

Построение стратегии

Киберустойчивость не может быть достигнута путем реализации одной инициативы или инвестиций в одну новую технологию. «Директорам по информационной безопасности следует сосредоточиться на вопросе: «Насколько мы готовы?» — говорит Хопкинс.

Готовы ли организации обнаруживать угрозы, реагировать на них, восстанавливаться и адаптироваться к постоянно меняющемуся ландшафту угроз?

«Первый шаг к повышению киберустойчивости предполагает понимание того, какие кибератаки наиболее актуальны для организации в зависимости от ее отрасли, местоположения, ИТ-экосистемы, типа данных, пользователей и т. д.», — говорит Тони Веллека, директор по информационной безопасности компании цифровых технологий и ИТ-услуг UST . и генеральный директор CyberProof , компании, предоставляющей услуги безопасности UST.

Как только организация понимает свои риски, возникает вопрос, как обнаружить эти угрозы, остановить их и сдержать, если и когда они станут инцидентами кибербезопасности. Ответ заключается в сочетании технологий и таланта.

Сочетание мощи инструментов кибербезопасности, таких как нулевое доверие и управляемое обнаружение и реагирование, может помочь организациям достичь киберустойчивости, но им необходимо гарантировать, что стратегии, которые они внедряют, обеспечивают измеримый прогресс в достижении этой цели.

«Организации больше не могут рационализировать инвестиции в дорогостоящее традиционное обучение кибербезопасности, а также не могут вкладывать все свои деньги только в технологические комплексы», — предупреждает Хэдли.

Вместо того, чтобы использовать стандартный подход к кибербезопасности, Хэдли поощряет регулярные упражнения по кибербезопасности и практические занятия, которые дают реальные показатели, отражающие способность команды реагировать на инциденты.

«Придерживайтесь постоянного подхода, который заключается в регулярных тренировках и достижении измеримых улучшений, что в конечном итоге приведет к укреплению кибербезопасности организации и вселит необходимую уверенность в том, что команды действительно готовы к кризису», — говорит он.

Руководству также необходимо учитывать, где находятся его данные, и какие таланты необходимы, чтобы идти в ногу с меняющимся ландшафтом угроз. Многие организации перешли из центров обработки данных в публичное облако или находятся в процессе этого.

«Ключевой проблемой для предприятий, осуществляющих миграцию в облако, являются человеческие ресурсы, т. е. у вашей существующей команды по кибербезопасности может не быть предварительного опыта в этом вопросе. Предприятию необходимо переобучить или повысить квалификацию своих специалистов или начать поиск новых талантов», — говорит Веллека.

Помните, что киберустойчивость не достигается, а затем забывается. Чтобы оставаться эффективной, ей необходимы регулярные обновления ее стратегических основ. Организации могут планировать регулярные ежегодные, полугодовые или ежеквартальные проверки процессов кибербезопасности, таких как обнаружение и реагирование на инциденты. Но ловкость важна. Любое изменение в среде организации создает пробелы и возможности, которыми могут воспользоваться злоумышленники.

«Есть такие события, как инциденты безопасности, изменения в инфраструктуре, внедрение облачных технологий, слияния и поглощения, переезд офисов, крупные нарушения в отрасли — список можно продолжать и продолжать — которые следует рассматривать как повод для проверки за пределами обычной каденции», — говорит Хопкинс.

Бюджетирование киберустойчивости

Восстановление имеет важное значение для киберустойчивости, но расходы во многих организациях перекошены в сторону обороны. InformationWeek опросил 180 специалистов в области ИТ и кибербезопасности в рамках « Отчета о киберрисках и устойчивости: как ИТ-директора справляются с катастрофой в 2023 году» и обнаружил, что расходы компаний в среднем составляют 70% на оборону и 30% на восстановление.

Руководящим группам, вероятно, придется переоценить расходы на кибербезопасность, чтобы определить, как эффективно финансировать устойчивую стратегию. Ответ не в том, чтобы отказаться от обороны и вкладывать деньги исключительно в ответные действия. Речь идет о поиске баланса, который работает для организации.

«Киберустойчивость — это гораздо более целостная концепция, балансирующая инвестиции в смягчение последствий, передачу и принятие, чтобы гарантировать, что бизнес способен выполнить свою миссию, особенно когда он сталкивается с материальными потерями», — говорит Сейерсен.

Хопкинс предостерегает от использования страха, неуверенности и сомнений в качестве средства убеждения членов советов директоров и старших руководителей в важности киберустойчивости. «Лица, принимающие решения, могут не отреагировать должным образом, потому что им может быть сложно соединить точки между тем, что происходит в ландшафте угроз, и финансовыми последствиями для бизнеса», — говорит она.

Вместо этого директора по информационной безопасности и другие лидеры в области кибербезопасности могут использовать искусство рассказывания историй для эффективного общения с другими лидерами и членами совета директоров.

«Образование и рассказы о том, как кибербезопасность может причинить организации много боли, позволяют директорам по информационной безопасности и ИТ-директорам добиться успеха в получении поддержки со стороны заинтересованных сторон и соответствующих бюджетов для обеспечения киберустойчивости», — говорит Черницкий.

Будущее киберустойчивости

Поскольку компании сталкиваются с реалиями ландшафта угроз, киберустойчивость, скорее всего, будет принята по необходимости. Кроме того, новые правила могут способствовать развитию этой тенденции. В качестве примера Зейерсен приводит новые правила Комиссии по ценным бумагам и биржам (SEC) по кибербезопасности. В июле SEC объявила о новых правилах , которые потребуют от публичных компаний сообщать о существенных инцидентах в области кибербезопасности.

«Я думаю, что новые киберправила Комиссии по ценным бумагам и биржам заставят бизнес сосредоточиться на материальных потерях, а не на общей кибербезопасности, и вскоре это станет фактическим подходом», — говорит Сейерсен.

Изменения, которые вносит киберустойчивость в культуру кибербезопасности, могут быть отражены в высшем руководстве. «Мы продолжим видеть, как функция киберустойчивости, будь то в виде отдельной должности на высшем уровне или в рамках роли директора по информационной безопасности или директора по информационной безопасности, официально обретает форму внутри организаций», — ожидает Хопкинс.

Организациям, которые хотят достичь киберустойчивости, необходимо будет взять на себя обязательство реализовать целостную стратегию и постоянное повышение квалификации всех членов команды.

«Надеюсь, через три-пять лет мы увидим гораздо больше организаций, способных противостоять кибератакам, которые могли бы уничтожить их сегодня», — говорит Черницкий.