การรักษาความปลอดภัยของข้อมูลประจำตัวเสมือนเป็นการลงทุนทางธุรกิจ

การตัดสินใจด้านความปลอดภัยส่งผลโดยตรงต่อพนักงาน ลูกค้า ผู้ถือหุ้น และความต่อเนื่องทางธุรกิจ เนื่องจากบทบาทของประธานเจ้าหน้าที่รักษาความปลอดภัยข้อมูล (CISO) พัฒนาจากผู้นำเทคโนโลยีไปสู่ผู้นำธุรกิจ พวกเขาจึงต้องเชื่อมช่องว่างระหว่างวัตถุประสงค์ทางธุรกิจและความเสี่ยงด้านความปลอดภัยให้มากขึ้น และแปลการรักษาความปลอดภัยให้เป็นผลลัพธ์ที่วัดผลได้ ในบทความนี้ เราจะตรวจสอบปัญหานี้จากมุมมองของ ความปลอดภัยของข้อมูลประจำตัว.

CISO Paradox: บางครั้งความปลอดภัยทางไซเบอร์ก็เป็นธุรกิจมากกว่าความปลอดภัยทางไซเบอร์

เช่นเดียวกับการตัดสินใจทางธุรกิจอื่นๆ ความปลอดภัยทางไซเบอร์เป็นเรื่องของการบริหารความเสี่ยง: การลดความเสี่ยงที่อาจเกิดขึ้นจากการลงทุนในความปลอดภัยทางไซเบอร์เทียบกับต้นทุนที่เกี่ยวข้องกับการลงทุนเหล่านี้ เช่นเดียวกับการจัดสรรทรัพยากรให้กับความต้องการอื่นๆ ขององค์กร การลงทุนด้านความปลอดภัยทางไซเบอร์เป็นมากกว่าการซื้อเครื่องมือที่เหมาะสม มันส่งผลกระทบต่อความต่อเนื่องทางธุรกิจ พนักงาน ลูกค้า ผู้ถือหุ้น และอื่นๆ อีกมากมาย

ปัญหาคือ โดยทั่วไปผู้นำธุรกิจมักไม่มองว่าความปลอดภัยทางไซเบอร์เป็นการตัดสินใจทางธุรกิจ ส่วนใหญ่เป็นเพราะบทบาทของ CISO ได้มีการพัฒนา และองค์กรต่างๆ ยังคงปรับตัวอยู่ ปัจจุบัน CISO เป็นผู้นำทางธุรกิจมากกว่าผู้นำด้านเทคโนโลยี แต่แนวคิดนี้ยังไม่เข้าใจและนำไปใช้อย่างถ่องแท้

สิ่งนี้สร้างงานที่ซับซ้อนสำหรับ CISO สถาปนิกด้านความปลอดภัยของข้อมูลพูดในแง่ของโซลูชัน ในขณะที่ผู้บริหารพูดในแง่ของผลลัพธ์ทางธุรกิจ การสร้างสมดุลระหว่างสองสิ่งนี้และการแปลระหว่างกันต้องใช้ความพยายามอย่างมากและมีสิทธิอำนาจมากขึ้น ในการตัดสินใจทางธุรกิจจากการคำนวณ จะเป็นประโยชน์ในการใช้สูตรต่อไปนี้:

• ความเสี่ยงในปัจจุบัน: การประเมินพื้นผิวการโจมตีขององค์กร การสูญเสียทางการเงินในกรณีของการละเมิด ผลกระทบของการหยุดทำงานในแต่ละแผนก แนวโน้มของการถูกละเมิด สถิติที่เผยแพร่เกี่ยวกับ ค่าใช้จ่ายของการละเมิดฯลฯ
  
• ความเสี่ยงที่คาดว่าจะลดลง: การประมาณความเสี่ยงภายหลังการดำเนินการตามแผนการรักษาความปลอดภัยที่แนะนำ รวมทั้งการลด พื้นผิวการโจมตี, เบี้ยประกันลดลง เป็นต้น
  
• ต้นทุนการลงทุน: ต้นทุนรวมในการดำเนินการตามแผนการรักษาความปลอดภัยที่แนะนำ รวมถึงการซื้อเครื่องมือและการฝึกอบรม

ราคาคือสิ่งที่คุณจ่าย มูลค่าคือสิ่งที่คุณได้รับ: ต้นทุนที่แท้จริงของการรักษาความปลอดภัยของข้อมูลประจำตัวคืออะไร?

แล้วสมการข้างต้นแปลการรักษาความปลอดภัยของข้อมูลประจำตัวให้เป็นการตัดสินใจที่ขับเคลื่อนด้วยธุรกิจได้อย่างไร

ตามรายงานสถานะของพื้นผิวการโจมตีข้อมูลระบุตัวตน 83% ขององค์กรประสบปัญหาการละเมิดความปลอดภัยที่เกี่ยวข้องกับข้อมูลประจำตัวที่ถูกบุกรุก- การโจมตีด้วยแรนซัมแวร์ส่วนใหญ่อาศัย การเคลื่อนไหวด้านข้าง ให้กระจายไปทั่วทั้งเครือข่าย โดยทั่วไปแล้ว จุดเริ่มต้นในการเข้าใช้งานคือผ่านบัญชีผู้ใช้ปกติที่ถูกบุกรุกหรือ บริการ บัญชี.

มาสำรวจต้นทุนในการปกป้องส่วนสำคัญเหล่านี้กัน การโจมตีตัวตน ลงรายละเอียดเพิ่มเติม เราจะเริ่มต้นด้วยการหารือเกี่ยวกับ MFA เป็นตัวอย่าง จากนั้นเราจะหารือ บัญชีบริการ เช่นกัน

MFA… แต่จะมีค่าใช้จ่ายเท่าไร?

ในกรณีที่ MFA ได้ทุกที่องค์กรอาจมีสองทางเลือกดังต่อไปนี้:

• บังคับใช้ MFA สำหรับผู้ดูแลระบบเท่านั้น: ราคาถูกกว่า MFA สำหรับผู้ใช้ทุกคน แต่ไม่ใช่ ป้องกันการเคลื่อนไหวด้านข้าง ที่เกี่ยวข้องกับผู้ใช้ทั่วไป
  
  
• การบังคับใช้ MFA สำหรับผู้ใช้ทั้งหมด: มีราคาแพงกว่าแต่ให้การป้องกันการเคลื่อนไหวด้านข้างที่เกี่ยวข้องกับผู้ใช้ทั่วไป

ในแต่ละกรณีความเสี่ยงในปัจจุบันจะเท่ากัน CISO สามารถแสดงผลลัพธ์ของแต่ละตัวเลือกได้โดยการใส่ตัวเลขจริงลงในสมการ และเริ่มการอภิปรายที่ขับเคลื่อนด้วยธุรกิจ:

การตัดสินใจอาจเป็นได้ทั้งทางเลือก ตราบใดที่มีการสื่อสารไปยังผู้บริหารและคณะกรรมการ และแสดงให้เห็นผ่านผลลัพธ์ที่วัดผลได้

บัญชีบริการ: การมองไม่เห็นมีต้นทุนเท่าใด

ด้วยบัญชีบริการ การแปลงความเสี่ยงให้เป็นการมองเห็นได้ง่ายขึ้น:

• ซื้อของ ความปลอดภัยของบัญชีบริการ วิธีการแก้: ช่วยให้สามารถค้นหา ตรวจสอบ และควบคุมบัญชีบริการทั้งหมดได้ สามารถให้การมองเห็นได้เต็มที่ แต่อาจมีค่าใช้จ่ายสูง
  
  
• ดำเนินการด้วยตนเอง อย่างน้อยก็บางส่วน: การติดตามบัญชีบริการทั้งหมดเป็นเรื่องยาก แม้ว่าจะสามารถทำได้ในองค์กรขนาดเล็ก แต่ก็แทบจะเป็นไปไม่ได้เลยสำหรับองค์กรขนาดใหญ่ ค่าใช้จ่ายแตกต่างกันไป แต่มักจะถูกกว่าการลงทุนในโซลูชันด้านความปลอดภัยมาก
  
  
• ไม่ต้องทำอะไรเลย: การมองเห็นยังคงเท่าเดิม ความเสี่ยงในปัจจุบันยังคงเท่าเดิม

จำนวนองค์กรด้วย การมองเห็นบัญชีบริการทั้งหมดเพียง 5.7%- การละเมิดข้อมูลที่มีชื่อเสียงจำนวนมากในช่วงไม่กี่ปีที่ผ่านมาเกี่ยวข้องกับการใช้และการประนีประนอมตัวตนที่ไม่ใช่มนุษย์เหล่านี้ ซึ่งรวมถึง SolarWinds สำนักงานบริหารงานบุคคลแห่งสหรัฐอเมริกา และ Marriott.

องค์กรควรตรวจสอบประวัติของตนเพื่อดูว่าเหตุการณ์ในอดีตเกิดขึ้นหรือไม่ บัญชีบริการถูกใช้ในทางที่ผิดหรือถูกบุกรุก และอย่างไร ransomware การโจมตีส่งผลกระทบต่อองค์กรอื่นๆ ในอุตสาหกรรมของตน

แต่ละตัวเลือกมีข้อดีและข้อเสีย และไม่มีตัวเลือกใดที่เหมาะกับทุกองค์กร แสดงให้เห็นผลลัพธ์:

ความคิดสุดท้าย: การเชื่อมช่องว่าง

CISO กำลังมีบทบาทสำคัญในการแปลโซลูชันด้านความปลอดภัยไปสู่การตัดสินใจทางธุรกิจ แต่พลังอันยิ่งใหญ่มาพร้อมกับความรับผิดชอบอันยิ่งใหญ่ เนื่องจากผลลัพธ์ด้านความปลอดภัยที่วัดผลได้ไม่เพียงช่วยให้เข้าใจการอภิปรายได้ดีขึ้นเท่านั้น แต่ยังมีความสำคัญอย่างยิ่งต่อการตัดสินใจเลือกที่ถูกต้องอีกด้วย

ทางเลือกที่เหมาะสมคืออะไร? ดังที่แสดงไว้ข้างต้น ไม่มีคำตอบเดียวสำหรับคำถามนี้ กุญแจสำคัญคือการปฏิบัติต่อความปลอดภัยทางไซเบอร์เช่นเดียวกับการลงทุนทางธุรกิจอื่นๆ: อย่างระมัดระวัง ติดอาวุธด้วยข้อเท็จจริงทั้งหมด และอิงตามจำนวนจริง