Как да повишим киберустойчивостта на бизнеса?

Какви са най-важните постаменти при изграждането на стратегията за киберсигурност на една компания?

Отправна точка за всяка организация би следвало, от една страна, да бъде спецификата на дигиталната и тъкан и, от друга, технологичните решения, от които зависи реализирането на нейната визия, мисия и бизнес стратегия. Важен фактор са и влиянията на микро- и макросредата, в които живее организацията. Погледнато съвкупно, всички тези елементи могат да дефинират рисковата експозиция и съответно изискванията за изграждането на подходяща стратегия за киберсигурност. Проблемът е, че въпреки очевидността на това разбиране то трудно се материализира на практика. Организациите рядко могат обективно, непредубедено и динамично да се самоопознават дигитално по начин, който да разкрие всички възможни слабости, уязвимости и способи, чрез които даден източник на заплаха да се възползва от тях и да навреди на бизнеса. И споменавайки за заплахите, очевидно за никого не е възможно да идентифицира всички възможни техни проявления и вариации. Това е като да се опитате да преброите звездите в обозримата вселена с домашен телескоп, или казано по друг начин - организациите не са в състояние да имат обективна представа за това, което може да ги заплашва във всеки момент. Тази невъзможност допълнително се усложнява от факта, че нито една компания не е монолитна и капсулирана структура, напротив, тя е дигитално-флуидна, непрекъснато обменяща информация директно и индиректно с множество други организации. Това неминуемо води и до изкривяване на разбирането за нивото на риска. Той или се подценява, или надценява, като и в двата случая страда бизнесът. В единия случай не се инвестира достатъчно в киберзащита, а в другия се прахосват огромни средства в грешни подходи и решения.

Нито една компания не е монолитна и капсулирана структура, напротив, тя е дигитално-флуидна, непрекъснато обменяща информация директно и индиректно с множество други

Ако трябва да съм откровен, не съм сигурен кой е по-лошият подход. Така погледнато, съвременната парадигма на киберсигурността се свежда до базисното дигитално оцеляване. Това обаче не означава, че трябва да се примирим с това положение и да тръпнем в очакване на най-лошото. Напротив, всяка организация би могла да се възползва от това осъзнато и прието състояние на уязвимост и да изгради реалистична и прагматична стратегия за киберсигурност, която не се основава единствено на неприложимата концепция за тотална превенция.

Какво трябва да имат предвид организациите при избора на външен доставчик на киберсигурност?

Основните критерии са опитът, професионалната отговорност, наличието на специфична за дадената индустрия експертиза, сертификати на организацията и екипа, реална обратна връзка от клиенти и, разбира се, кои са водещите специалисти, които реално движат услугите. Много често организациите поверяват сигурността в ръцете на доставчици, за които не знаят нищо, защото например цената е атрактивна или на базата на някакви базисни изисквания, които са неадекватни за подобен тип услуги. В някои случаи е достатъчно даден доставчик просто да заяви своята надеждност и експертност и това да е достатъчно основание да му се предостави достъп до най-критичните и важни активи за всяка организация - информацията. Считам, че за всички е очевидно колко рисково е всичко това. Необходимо е в процеса на избор на доставчик на киберсигурност да се направи крачка отвъд проформа подхода и най-малкото да се валидират заявените квалификации, сертификати и заявки за експертност.