Wraz z ewolucją cyberzagrożeń w firmie, ewoluować muszą także jej pracownicy. Oto 5 wskazówek dotyczących tworzenia kultury cyberbezpieczeństwa, która chroni firmę i ma znaczenie dla pracowników.
Tworzenie kultury cyberbezpieczeństwa zawsze było ważnym elementem strategii cyberbezpieczeństwa organizacji. Jednak masowa zmiana w kierunku pracy zdalnej wywołana przez COVID-19, a następnie rozwój hybrydowych miejsc pracy, zasadniczo zmieniły krajobraz zagrożeń.
Dotychczasowe polityki cyberbezpieczeństwa, a nawet te ustanowione na początku pandemii, muszą zostać poddane ponownej ocenie w obliczu nowych wyzwań związanych z cyberbezpieczeństwem. Pojawiające się zagrożenia muszą zostać zidentyfikowane, wyartykułowane i dostosowane do strategii biznesowej.
Ponieważ wraz ze zmieniającymi się profilami ryzyka musi zmieniać się kultura cyberbezpieczeństwa organizacji. A zachowania i sposób myślenia potrzebne do radzenia sobie ze zmieniającymi się zagrożeniami bezpieczeństwa - kultura cyberbezpieczeństwa firmy - muszą obejmować całą organizację.
Czym jest kultura cyberbezpieczeństwa i dlaczego jest ważna?
Kultura cyberbezpieczeństwa powinna być postrzegana jako środowisko pracy, w którym wszyscy są zainteresowani cyberbezpieczeństwem i zmotywowani do jego poprawy; ludzie rozumieją, dlaczego cyberbezpieczeństwo jest ważne i postrzegają siebie jako część rozwiązania.
Wspieranie kultury cyberbezpieczeństwa zapewnia również, że pracownicy są świadomi zagrożeń i rozumieją, jak na nie reagować lub je zgłaszać. Świadomość ta z kolei pomaga lepiej chronić organizację, tworząc silną linię obrony przed cyberatakami i potencjalnymi naruszeniami danych.
Wyzwania
Brak odpowiedniego budżetu na bezpieczeństwo jest jednym z głównych wyzwań dla każdej organizacji. Kolejnym jest stworzenie kultury cyberbezpieczeństwa bez wsparcia ze strony kierownictwa firmy.
Bezpieczeństwo ma złą reputację. "Marka bezpieczeństwa" jest ważnym elementem w tworzeniu kultury cyberbezpieczeństwa. To, że nie zawsze są one szanowane lub rozumiane, jest przeszkodą, którą zespoły ds. bezpieczeństwa muszą pokonać, pracując nad zmianą nastawienia ludzi do bezpieczeństwa.
Dyrektor ds. bezpieczeństwa w organizacji musi stanąć na wysokości zadania. Znalezienie transformacyjnego CISO, który może przewodzić i budować kulturę cyberbezpieczeństwa - i uczynić ją priorytetem - będzie wyzwaniem dla wielu firm.
5 najlepszych praktyk tworzenia kultury
Oto przegląd pięciu kluczowych najlepszych praktyk, które pomogą specjalistom ds. bezpieczeństwa informacji stworzyć kulturę cyberbezpieczeństwa w całej organizacji.
1) Zainwestuj w odpowiednie narzędzia bezpieczeństwa.
Narzędzia bezpieczeństwa stanowią integralną część wielowarstwowej obrony, ale nie są panaceum na cyberataki. Wskazane jest posiadanie dobrze przemyślanego zestawu narzędzi cyberbezpieczeństwa, które mogą wzmocnić "ludzki aspekt" cyberbezpieczeństwa.
Inwestowanie w rozwiązania SIEM, które wykorzystują techniki uczenia maszynowego, może na przykład pomóc pracownikom centrum operacji bezpieczeństwa zwiększyć ich możliwości wykrywania i reagowania, poprawić stosunek sygnału do szumu i umożliwić analitykom bezpieczeństwa skupienie się na istotnych zagrożeniach.
Należy jednak pamiętać, że wraz z rozwojem technologii i wzrostem liczby cyberataków, niedobór umiejętności w zakresie cyberbezpieczeństwa tylko się pogłębia. Konieczne jest rekrutowanie, szkolenie i zatrzymywanie talentów cybernetycznych z szerokiego zakresu środowisk, aby wyprzedzić konkurencję.
2. Udostępnianie zabezpieczeń
Menedżerowie ds. bezpieczeństwa muszą rozpocząć współpracę z kierownictwem wyższego szczebla. Specjaliści ds. bezpieczeństwa muszą zrozumieć i dostosować się do strategii biznesowej, zidentyfikować ryzyko związane z tą strategią i odpowiednio je zakomunikować w kategoriach biznesowych.
Gdy menedżerowie zrozumieją, w zrozumiały sposób, jakie jest ryzyko i czego się od nich wymaga, są w stanie iść naprzód.
3. Promowanie higieny cybernetycznej od początku do końca.
Aby wywrzeć rzeczywisty wpływ, dobre praktyki w zakresie cyberbezpieczeństwa muszą pochodzić z poziomu kierownictwa i przenikać przez całą organizację. Jeśli dyrektor generalny demonstruje pozytywne praktyki w zakresie cyberbezpieczeństwa i daje dobry przykład reszcie firmy, reszta zespołu prawdopodobnie pójdzie w jego ślady.
Cyberbezpieczeństwo musi stać się priorytetem i nadawać ton reszcie firmy.
- Zachęcaj kadrę kierowniczą do udziału w szkoleniach z zakresu cyberbezpieczeństwa.
- Stosowanie zasad i procesów bezpieczeństwa we wszystkich obszarach, niezależnie od poziomu hierarchii.
- Współpraca z decydentami w celu dostosowania procedur do sposobu, w jaki działają one na członków zarządu: jeśli polityka nie działa na nich, prawdopodobnie nie działa również na niższych szczeblach organizacji.
- Załóżmy, że praktyki wymagają czasu, aby rozprzestrzenić się w całej firmie: ewolucja kultury wymaga czasu i wysiłku.
4. Koncentracja na człowieku
Zespoły ds. bezpieczeństwa często błędnie utożsamiają posiadanie programu bezpieczeństwa "skoncentrowanego na człowieku" z zapewnieniem szkoleń w zakresie świadomości bezpieczeństwa, które muszą przejść wszyscy pracownicy.
Trzeba zacząć od ludzi. Oznacza to analizę interesariuszy, zrozumienie ich zachowań i wyzwań oraz ustalenie, co należy zmienić i jak tę zmianę wdrożyć. Następnie, na tej podstawie, należy stworzyć inicjatywy w zakresie kultury bezpieczeństwa dla każdej z tych społeczności interesariuszy.
5. Praca nad strategią zerowego zaufania
Strategie bezpieczeństwa, takie jak uwierzytelnianie wieloskładnikowe (MFA) i Zero Trust, są często omawiane w kręgach cyberbezpieczeństwa jako metody zwiększania kontroli dostępu, ale Zero Trust szybko zyskuje na popularności i wiele organizacji chce teraz przyjąć ten sposób myślenia.
Strategia Zero Trust dla cyberbezpieczeństwa korporacyjnego to ramy, które wymagają od wszystkich użytkowników ciągłego uwierzytelniania, autoryzacji i walidacji przed przyznaniem im dostępu do określonych systemów lub danych przedsiębiorstwa. Obejmuje to zarówno użytkowników wewnątrz sieci firmowej, jak i użytkowników spoza sieci firmowej, ponieważ wkraczamy w stałą fazę pracy hybrydowej.
Narzucenie tego modelu w całej firmie oznacza, że wszyscy w firmie mają do czynienia z tymi samymi środkami bezpieczeństwa, pozostawiając niewiele miejsca na błędy, które mogą kosztować firmę.
Wnioski
Zbyt mało organizacji podkreśla znaczenie kultury bezpieczeństwa, co może prowadzić do źle wykształconych procesów decyzyjnych, zagrożonych systemów i naruszeń cyberbezpieczeństwa.
Rozwijanie kultury cyberbezpieczeństwa jest procesem ciągłym i wymaga zaangażowania wszystkich szczebli organizacji.
Wdrażając dobre praktyki w zakresie cyberbezpieczeństwa w miejscu pracy, nie tylko z czasem zbudujesz kulturę bezpieczeństwa, ale także Twoja organizacja będzie lepiej chroniona przed cyberzagrożeniami.
