Uvod
U mnogim organizacijama cybersecurity se i dalje doživljava prvenstveno kao odgovornost IT funkcije.
Kada se govori o bezbednosti, razgovor brzo prelazi na firewall, endpoint zaštitu, SIEM, MFA, vulnerability management, backup ili security monitoring.
Sve su to važne komponente.
Ali one same po sebi ne odgovaraju na najvažnija pitanja:
šta organizacija zaista pokušava da zaštiti, od kojih rizika i sa kakvim poslovnim posledicama ako zaštita ne uspe?
Bez tog konteksta cybersecurity lako postaje skup tehničkih aktivnosti koje mogu biti kvalitetno izvedene, ali nedovoljno povezane sa stvarnim prioritetima organizacije.
Tehničke kontrole nisu isto što i upravljanje rizikom
Tehničke kontrole smanjuju određene vrste rizika.
One mogu da blokiraju napad, otkriju anomaliju, ograniče pristup, zaštite uređaj ili omoguće oporavak nakon incidenta.
Ali upravljanje rizikom počinje ranije.
Organizacija mora da razume koje poslovne procese smatra kritičnim, koji sistemi ih podržavaju, koji podaci imaju najveću vrednost i koje vrste poremećaja mogu proizvesti najveće posledice.
Tek tada je moguće proceniti:
koje kontrole su zaista prioritetne i gde ulaganje ima najveći efekat.
Bez toga se lako dolazi do situacije u kojoj organizacija investira značajna sredstva u bezbednost, ali ne rešava rizike koji su za poslovanje najvažniji.
Cybersecurity tada postaje tehnološki program, a ne sistem upravljanja poslovnim rizikom.
Cybersecurity rizik je poslovni rizik
Posledice ozbiljnog bezbednosnog incidenta gotovo nikada ne ostaju samo u IT funkciji.
Incident može zaustaviti operacije.
Može prekinuti dostupnost ključnih usluga.
Može ugroziti poverljive podatke.
Može izazvati regulatorne posledice.
Može narušiti poverenje korisnika i partnera.
Može uticati na reputaciju, prihode ili sposobnost organizacije da nastavi poslovanje u normalnim uslovima.
Zato pitanje cybersecurity rizika nije samo:
„Koliko je sistem tehnički zaštićen?“
već i:
„Kakav poslovni uticaj može nastati ako određena pretnja postane stvaran incident?“
Kada se rizik posmatra na taj način, prioriteti se menjaju.
Sistem koji je tehnički interesantan možda nije poslovno kritičan.
Nasuprot tome, relativno jednostavna aplikacija ili integracija može biti ključna tačka poslovnog procesa i predstavljati znatno veći rizik nego što se na prvi pogled čini.
Najveći problemi često nastaju između organizacionih granica
Cybersecurity rizici retko pripadaju samo jednom timu.
- IT upravlja infrastrukturom.
- Security funkcija definiše kontrole.
- Business funkcije koriste sisteme i podatke.
- HR upravlja životnim ciklusom zaposlenih.
- Procurement ugovara dobavljače.
- Legal i Compliance prate regulatorne obaveze.
- Menadžment određuje nivo prihvatljivog rizika i prioritete ulaganja.
Problem nastaje kada odgovornosti između tih funkcija nisu dovoljno jasne.
Ko odlučuje da li je određeni rizik prihvatljiv?
Ko je vlasnik poslovnog procesa koji zavisi od kritičnog sistema?
Ko procenjuje rizik dobavljača?
Ko određuje prioritete remediation aktivnosti?
Ko preuzima odgovornost ako se poznati rizik ne rešava?
Ako na ta pitanja nema jasnih odgovora, tehničke kontrole mogu postojati, ali sistem upravljanja bezbednošću ostaje fragmentisan.
Mnogo ozbiljnih slabosti ne nastaje zato što neko nije znao koju tehnologiju treba koristiti.
Nastaju zato što nije bilo jasno ko treba da donese odluku i ko je odgovoran za njen ishod.
Više alata ne znači nužno veću bezbednost
Cybersecurity tržište nudi veliki broj specijalizovanih platformi.
Svaka od njih rešava određeni problem.
Zbog toga je prirodna reakcija na novi rizik često uvođenje još jednog alata.
Vremenom organizacija može imati veliki security stack: endpoint zaštitu, SIEM, SOAR, vulnerability management, PAM, DLP, email security, cloud security, identity protection i niz drugih sistema.
Ali broj alata nije dobar pokazatelj nivoa bezbednosti.
Ako nisu integrisani u jasan operativni model, dodatni alati mogu povećati kompleksnost.
Mogu generisati više upozorenja nego što tim može kvalitetno da obradi.
Mogu imati preklapajuće funkcionalnosti.
Mogu zahtevati kompetencije koje organizacija nema.
Mogu stvoriti osećaj sigurnosti koji nije proporcionalan stvarnom smanjenju rizika.
Zato pitanje ne treba da bude:
„Koji security alat nam još nedostaje?“
već:
„Koji rizik pokušavamo da smanjimo i da li nam je za to zaista potrebna nova tehnologija?“
Ponekad će odgovor biti nova platforma.
Ali u drugim slučajevima problem će biti u procesu, konfiguraciji, odgovornosti, disciplini ili nedovoljno jasnom governance modelu.
Prioriteti moraju biti vođeni rizikom, ne samo tehnologijom
U realnom enterprise okruženju gotovo nikada nije moguće rešiti sve poznate bezbednosne slabosti istovremeno.
Postojaće ranjivosti.
Postojaće legacy sistemi.
Postojaće projekti čija će remediation zahtevati vreme.
Postojaće poslovna ograničenja zbog kojih se određene promene ne mogu odmah sprovesti.
Zato cybersecurity zahteva prioritizaciju.
Nije svaka ranjivost podjednako važna.
Nije svaki sistem podjednako kritičan.
Nije svaka pretnja jednako verovatna.
I nije svaka tehnička slabost povezana sa istim poslovnim posledicama.
Prioritet treba da nastane kombinovanjem više faktora:
- poslovne kritičnosti;
- verovatnoće iskorišćavanja;
- potencijalnog uticaja;
- izloženosti sistema;
- postojećih kontrola;
- troška i složenosti remediation aktivnosti.
Takav pristup omogućava da ograničeni resursi budu usmereni tamo gde mogu da smanje najveći rizik.
Bez prioritizacije, security program lako postaje beskrajna lista tehničkih problema bez jasnog reda.
Governance određuje koliko je bezbednost održiva
Cybersecurity nije projekat koji se jednom završi.
Pretnje se menjaju.
Tehnološko okruženje se menja.
Poslovni procesi se menjaju.
Pojavljuju se novi dobavljači, regulativa i modeli rada.
Zato organizaciji nije dovoljan skup kontrola.
Potreban joj je način da kontinuirano donosi odluke o bezbednosti.
To podrazumeva jasne odgovornosti, definisane procese, redovno praćenje rizika, transparentno izveštavanje i mehanizam za donošenje odluka kada tehnički i poslovni prioriteti dođu u konflikt.
Governance određuje:
ko donosi odluke, na osnovu kojih informacija, kojim prioritetom i uz čiju odgovornost.
Bez toga čak i tehnički napredna security funkcija može ostati reaktivna.
Incidenti se rešavaju.
Ranjivosti se zatvaraju.
Novi alati se uvode.
Ali organizacija nema stabilan sistem kojim određuje da li se ukupni nivo rizika zaista kreće u željenom pravcu.
Zrela organizacija zna šta štiti i zašto
Cybersecurity zrelost ne znači odsustvo rizika.
Takvo stanje ne postoji.
Zrelost se ogleda u tome da organizacija razume sopstveni profil rizika i može svesno da donosi odluke o tome gde će ulagati, koje rizike će smanjiti, koje će preneti, a koje će prihvatiti.
To zahteva vezu između poslovnog konteksta i tehničkog okruženja.
Organizacija mora da zna:
- koji procesi su kritični;
- koje tehnologije ih podržavaju;
- koji podaci imaju posebnu vrednost;
- koje zavisnosti predstavljaju rizik;
- koji scenariji mogu proizvesti ozbiljan poslovni uticaj.
Tek tada tehničke kontrole dobijaju pravi kontekst.
Cybersecurity ne prestaje da bude tehnološka disciplina.
Ali u enterprise okruženju njegova svrha nije da maksimalno zaštiti svaki sistem po svaku cenu.
Svrha je da omogući organizaciji da razume, prioritizuje i upravlja rizikom na način koji podržava poslovanje.
Zato cybersecurity nije samo IT problem.
To je pitanje poslovne otpornosti, odgovornosti i kvaliteta odlučivanja.
