5 стратегических приоритетов директора по безопасности на 2018 год

Если компания упоминается в новостях, связанных с кибербезопасностью, по всей видимости, ее «взломали». А если так, то директор по безопасности (Chief Security Officer, CSO) не может быть спокоен за свое рабочее место, как, возможно, и его боссы. Поэтому очень важно поддерживать безопасность данных и ИТ-систем. Но как?
Прошли времена, когда директор по безопасности мог надеяться защитить ИТ-ресурсы с помощью лишь файервола. Реальность такова, что новые инициативы, которые развивают сотрудники, еще больше «открывают двери» для возможных угроз. Речь идет о сокращении циклов разработки приложений, наращивании числа используемых публичных облачных сервисов, расширении мобильности сотрудников и разнообразии применяемых ими устройств.
В 2018 году на директора по безопасности возлагается такая функция - помогать организациям достичь стоящих перед ними целей роста и открытости, а сотрудникам при этом - четко понимать риски и надлежащим образом снижать их. Конечно, данная задача - не из легких. Но, выбрав в качестве приоритетов следующие пять, вполне можно этого добиться, считает Акшай Бхаргава, вице-президент Cloud Business Group корпорации Oracle.
1. Безопасность на этапе разработки.
«Больше всего разработчики хотят, чтобы их программным обеспечением пользовались», - говорит Акшай Бхаргава, и это может быть на руку директору по безопасности. «Первое, что потенциальные пользователи увидят при доступе к новому приложению, - это процесс обеспечения безопасности и идентификации», - рассказывает он, цитируя недавнее исследование McKinsey, в котором показано: чтобы приложение приобрело и удерживало больше пользователей, оно должно быть как простым, так и безопасным. «Простота использования очень важна, и разработчики знают об этом, - отмечает Акшай Бхаргава, - Но если приложение воспринимается как небезопасное, то оно быстро теряет пользователей». Стоит обратить внимание на облачные сервисы управления идентификацией (IDM), предоставляющие разработчикам быстрый способ сделать аутентификацию в приложении одновременно и надежной, и простой.
Кроме того, «методы обеспечения безопасности должны быть в жизненном цикле разработки ПО, а не просто дополнительными мерами», - подчеркивает Бхаргава. В противном случае «разработчики будут сосредоточены на быстром цикле разработки и выпуска программного обеспечения и станут рассматривать безопасность как нечто опциональное».
В 2018 году ИТ-директора (CIO) должны взаимодействовать с разработчиками приложений для того, чтобы реализовать безопасный процесс DevOps, не требующий «остановки конвейера» ради отдельных рекомендаций по безопасности. «Действуйте с опережением и внедряйте соответствующие технологии, процессы и методы обучения разработчиков, которые гарантируют, что безопасность будет встроена в разработку ПО на всех этапах жизненного цикла», - говорит Акшай Бхаргава. Например, Oracle использует методологию Oracle Software Security Assurance (OSSA) для обеспечения безопасности в процессе проектирования, создания, тестирования и сопровождения своих продуктов.
2. Автономные ИТ-процессы для защиты данных.
В 2018 году две проблемы безопасности данных потребуют большей автоматизации.
Во-первых, это перегрузка системы безопасности различными уведомлениями. Современные гибридные ИТ-системы генерируют слишком много предупреждений безопасности (их количество исчисляется десятками тысяч), чтобы с этим потоком мог справиться человек. Во-вторых, это незакрытые уязвимости. «ИТ-отделу нужно найти время, чтобы остановить работу программного обеспечения и пропатчить его, а для этого никогда не будет подходящего момента», - поясняет Акшай Бхаргава. В результате приложения, базы данных, программное обеспечение с открытым исходным кодом, сетевое программное обеспечение, серверы - «остаются непропатченными долгое время после обнаружения уязвимости и широкого распространения информации о ней в хакерском сообществе».
Обе проблемы можно решить с помощью автоматизированных процессов, которые, насколько это возможно, осуществляются без участия человека. Чтобы справиться с сообщениями систем безопасности, CSO следует рассмотреть облачные сервисы, такие как автономная база данных от Oracle (Oracle Autonomous Database). Получив предупреждение от систем безопасности, она использует огромные вычислительные мощности и алгоритмы машинного обучения в процессах поиска, проверки и устранения пробелов в защите без вовлечения человека. Для автоматического обновления всего стека программного обеспечения в момент выпуска патча без остановки работы директору по безопасности стоит обратить внимание на облачную инфраструктуру.
3. Целостный подход к регулированию и отчетности.
«Уметь продемонстрировать, что вы защищаете данные, почти так же важно, как защищать их», - считает Акшай Бхаргава. Для этого есть две главные причины. Первая заключается в том, что регулирующие органы ужесточают правила обеспечения безопасности данных.
Во-вторых, директору по безопасности необходимо повысить эффективность соблюдения нормативных требований. В исследовании «Society for Information Management» (SIM), в ходе которого были опрошены 1178 ИТ-директоров и других ИТ-руководителей, отмечается, что кибербезопасность стала для компаний проблемой №1 в сфере ИТ и вопросом, который больше всего их беспокоит. Однако в 2017 году компании фактически потратили меньше денег на кибербезопасность в процентах от своего ИТ-бюджета в целом, чем в 2016 году. В 2018 году CSO потребуется продолжать объединять ИТ-инфраструктуру в систему, одной из стандартных задач которой являются отчеты по соответствию нормативным требованиям.
Важным побочным эффектом этого процесса является то, что он поможет CSO и CIO отчитываться перед CEO и советом директоров, представляя им достоверную оценку состояния кибербезопасности в организации. Это подводит нас к следующей приоритетной задаче.
4. Метрики безопасности на языке CEO.
Руководители компаний считают информационную безопасность чрезвычайно сложной и непонятной для оценки. По этой причине важно иметь четкие и понятные показатели состояния безопасности. Руководство должно видеть уровни риска для организации, чтобы принимать обоснованные решения о том, как наилучшим образом их уменьшить, сократить расходы и продолжить внедрение инноваций.
Например, «Центр безопасности (Security Operations Center, SOC) в организации ежедневно получает тысячи оповещений», - рассказывает Акшай Бхаргава. Такие показатели как «Среднее время реагирования» (Mean Time to Respond) должны давать директору по информационной безопасности понимание того, как эти предупреждения обрабатываются. «Данные метрики показывают: «Вот столько оповещений мы получили, столько из них было реальными, столько времени нам потребовалось, чтоб отреагировать на реальные тревожные сообщения», - объясняет Бхаргава. - Более быстрое реагирование означает, что у хакеров намного меньше времени на то, чтобы проникнуть в систему и улизнуть, прежде чем средства контроля безопасности их остановят. Такое объяснение будет понятно генеральному директору и совету директоров».
Это возвращает нас к упомянутой выше автоматизации. Директора по безопасности должны уделять первоочередное внимание внедрению автоматизированного программного обеспечения, которое может получать предупреждения и использовать машинное обучение для обнаружения аномального поведения, зная, что с этим делать. «Все управляется, анализируется, устраняется и завершается без человеческого участия», - утверждает он. Затем система может сгенерировать отчет по среднему времени реагирования, которое поможет руководителям компаний почувствовать себя более осведомленными о состоянии безопасности ИТ.
5. Защита бренда.
При проникновении хакеров в систему и потере данных «ущерб для репутации бренда может привести к большим потерям, чем отказ системы», - уверен Бхаргава. Он отмечает, что даже самые уважаемые бренды в результате нарушения безопасности могут потерять миллиарды на фондовом рынке. Но CSO способен помочь пресечь волну негативных публикаций, продемонстрировав быструю и профессиональную реакцию.
«Надейтесь на лучшее, но готовьтесь к худшему», - учит Акшай Бхаргава. Процесс реагирования на инциденты в случае подобных событий должен охватывать каждого – от специалистов по ИТ-безопасности до юристов, сотрудников, ответственных за внешние коммуникации, и топ-менеджмента.
«Для вас как для CSO всегда лучше, если вы сможете своевременно обнаружить вторжение хакеров и остановить их, прежде чем они украдут ваши данные», - заключает Акшай Бхаргава. Но, даже если этого не произойдет, говорит он, нужно иметь четкие рекомендации и научить сотрудников компании следовать им.