Grupuri: Cybersecurity trebuie să se deplaseze dincolo de o problemă IT

Multe întreprinderi trebuie să extindă numărul departamentelor interne care se concentrează pe securitatea informatică dincolo de IT, cu un grup interdisciplinar condus de directorul financiar dedicat evaluării și reducerii cibernicii, potrivit unui nou raport publicat luni. > Deși departamentul IT ar trebui să rămână un actor important în eforturile de securitate cibernetică, CFO și managementul legii, managementul riscului, resursele umane, relațiile cu publicul și alte departamente trebuie să fie implicate în luarea deciziilor cu privire la riscuri înainte ca incidentele de securitate cibernetică să se întâmple. Acesta a fost lansat de către Alianța pentru Securitate Internet (ISA) și Institutul Național pentru Standarde din SUA (ANSI), un grup nonprofit axat pe stabilirea standardelor pentru industriile din SUA.

Cele două grupuri comerciale au publicat raportul "Impactul financiar al riscului cibernetic, "printr-o serie de ateliere în care au participat mai mult de 30 de organizații. Participanții au reprezentat perspectivele mai multor departamente corporative, iar printre organizațiile implicate s-au numărat IBM, Lockheed Martin, Crimson Security, Asigurări de Stat pentru Agricultură, Institutul de Inginerie Software din cadrul Universității Carnegie Mellon și Departamentele de Justiție, Comerț și Securitate Internă din SUA < Mai multă lectură: Cum să eliminați programele malware de pe PC-ul dvs. Windows

"Lecția pe care acest atelier a învățat-o rapid a fost că securitatea informatică, privită în mod tradițional de unele companii ca o problemă IT, nu este doar o problemă IT" Sagalow, președinte de dezvoltare a produselor pentru asigurări generale la American International Group (AIG) și liderul atelierului. "Așa cum nu este doar o problemă legală care trebuie rezolvată de către consilierul general, așa cum nu este doar o problemă de reputație sau o problemă de comunicare care să fie rezolvată de șeful relațiilor publice". Raportul, subtitrat " 50 de întrebări pe care fiecare CFO trebuie să le formuleze "recomandă ca directorii financiari ai întreprinderilor să devină foarte implicați în focalizarea pe cyberrisk, dacă nu sunt deja. Directorii financiari sunt în situația de a vedea imaginea de ansamblu și bugetul pentru creșterea cheltuielilor IT, dacă este necesar, sau asigurarea cibernetică sau mai multe resurse în alte departamente, a spus Sagalow. În plus, directorii financiari trebuie să înțeleagă potențialele riscuri financiare pentru încălcări sau scurgeri, a spus el.

Întrebat dacă unii CIO sau șefii departamentelor IT ar observa o implicare sporită a CFO-urilor și a altor departamente ca fiind încorporate pe terenul lor, membrii grupului operativ care a elaborat raportul a spus că nu ar trebui. Multe departamente IT recunosc deja că sunt doar o parte a soluției la problemele de securitate cibernetică, a declarat Edward Stull, arhitect software pentru Direct Computer Resources și președinte al unui grup de bune practici în materie de securitate IT pentru Comitetul Internațional pentru Standarde în Tehnologia Informației. Multe departamente IT sunt subfinanțate, a adăugat Larry Clinton, președintele ISA. O atenție sporită din partea CFO ar putea avea ca rezultat o finanțare suplimentară și o concentrare suplimentară asupra nevoilor IT, a afirmat el.

Ar putea fi evident motivul pentru care raportul recomandă departamentelor juridice și de relații publice să fie implicate în deciziile cibernetice. Dar chiar si resursele umane joaca un rol, deoarece aproximativ 70% din incalcari provin din interiorul organizatiei, a afirmat Stull.

Printre intrebarile pe care CFO trebuie sa le adreseze directorilor de departamente, conform raportului:

- Care este potențialul pentru care suntem numiți în procesele de clasă-acțiune după o încălcare?

- Există motive valide pentru care colectăm informații personale? cel mai mare program de comunicare a crizelor

Impactul economic anual al cibernetilor în Statele Unite este de aproximativ 226 miliarde dolari, potrivit unei estimări din 2004 a Serviciului de Cercetare al Congresului. Este timpul ca întreprinderile să se uite la securitatea informatică într-un mod nou, cu mai multe departamente implicate în această problemă, au declarat membrii grupului de lucru al raportului. "Dacă companiile consideră că securitatea informatică este doar o chestiune IT, atunci nu vom fi la fel de sigure cum putem fi", a spus Sagalow.

ISA și ANSI consideră că raportul reflectă un nou mod de a privi securitatea informatică și cyberrisk, a adăugat el.

"Cybersecurity nu este o problemă IT", a adăugat Clinton. "Este o problemă de gestionare a riscurilor la nivel de întreprindere care afectează fiecare aspect al organizației"