Allineare la sicurezza informatica con le esigenze e i requisiti aziendali

La "Sicurezza è la nostra massima priorità" è una di quelle cose che è come il vero nome di un demone in Warhammer — se tutti nell'organizzazione sapessero e capissero di cosa si tratta, allora si potrebbe avere effettivamente una sicurezza informatica efficace.

Al di là delle tortuose citazioni, il punto che sto cercando di evidenziare qui è che allineare la sicurezza informatica alle esigenze aziendali è probabilmente il requisito principale di una sicurezza informatica efficace, che spesso non riusciamo a fornire. Questo è qualcosa di cui la maggior parte dei professionisti è intimamente consapevole — e su cui trascorrono una buona quantità di tempo a lamentarsi online. Esempi comuni:

• Dirigenti che non vogliono l'MFA attivato per loro, e a volte per i loro team
• Non userò un'app autenticatrice sul mio telefono personale
  • Abbastanza giusto, ecco un YubiKey
    • Non voglio usare questo drive USB, non sono stato addestrato a usare l'MFA, spegnilo!

Potrei continuare. Ovviamente, noi esperti di sicurezza siamo anche colpevoli di rendere le cose troppo complesse per essere comprese da tutti. I team di sicurezza (o il singolo amministratore che indossa il cappello della sicurezza stamattina!) si concentrano spesso troppo strettamente sulla "protezione completa" come la definiscono loro, causando attriti sia con il business che con altri team IT.

Le aziende esistono per fare affari. La sicurezza che rallenta il business di fare soldi verrà lentamente messa da parte. Questo potrebbe accadere in diversi modi silenziosi ma efficaci:

• Tagliando il budget, rendendo impossibile implementare alcune misure di sicurezza.
• Ridurre l'ambito dei team di sicurezza spostando alcune responsabilità in altre aree aziendali
• Aumentando l'attenzione sulla conformità, portando a sicurezza checkbox

Tutti questi cambiamenti aziendali si traducono in una posizione di sicurezza che non sempre protegge l'azienda.

Come evitare errori comuni e rimanere allineati

Allineare la sicurezza informatica con gli obiettivi aziendali è fondamentale. La sicurezza ha tutto il diritto di fornire dei binari di protezione per un'azienda, ma deve evitare di diventare un ostacolo o un rallentamento nella crescita aziendale. Nelle grandi organizzazioni, il successo nelle implementazioni di sicurezza spesso dipende dalla creazione di consenso e dall'istituzione di politiche chiare prima di avviare test e raccogliere feedback. È una lezione che abbiamo sentito ripetutamente nell'ultimo decennio e che è ancora valida: la sicurezza non dovrebbe mai diventare un freno alla velocità aziendale. Ciò significa lavorare in collaborazione con team di sviluppo riluttanti e altri stakeholder per allinearsi sugli obiettivi prima di imporre controlli su pratiche potenzialmente rischiose.

Una volta implementata la sicurezza, la capacità di analizzare il suo impatto in termini aziendali è una capacità fondamentale. Che si tratti del CFO che chiede del RoI o di un responsabile di linea che cerca di reindirizzare il budget delle licenze verso lo strumento preferito, essere in grado di quantificare il valore della soluzione implementata in termini di dollari rende difficile metterlo in discussione.

Pubblicare un rapporto di valore regolare — mensile o trimestrale — basato su log e dati dei ticket può aiutare a tradurre i successi tecnici in impatto aziendale. Ad esempio, bloccare le e-mail di phishing può essere inquadrato come "ore di produttività dei dipendenti salvate".

Sì, richiede impegno e potrebbe non sembrare un lavoro di sicurezza diretto, ma è essenziale per dimostrare il tuo valore all'azienda. Metriche come la riduzione dei tempi di inattività, la prevenzione delle violazioni e la protezione della fiducia nel marchio migliorano l'immagine della leadership durante le revisioni aziendali trimestrali (QBR) e elevano il tuo ruolo nel lungo periodo.

La sicurezza informatica è fondamentale per la sopravvivenza delle aziende. Non è solo un segno di spunta per la conformità annuale. Quando i team di sicurezza dimostrano il loro ritorno sull'investimento (ROI), ottengono influenza e investimenti continui.