Nem könnyű a CISO-k élete

Sürgős intézkedésekre van szükség a kiberbiztonság terén a digitális környezet rohamos fejlődése miatt.
 

A KPMG hatodik éve készíti el a Cybersecurity Considerations jelentését. Az eltelt öt évben megfigyelhető volt, hogy a folyamatosan változó kiberbiztonsági környezet kézzelfogható fókuszpontként jelent meg a szervezeti vezetők számára. Több kulcsfontosságú téma évről évre visszaköszönt, például az azonosság- és hozzáféréskezelés (IAM), a felhőbiztonság vagy a szakemberhiány.
 
A hangsúly azonban folyamatosan eltolódott a hagyományos biztonsági intézkedésektől a globális és sokrétű digitális környezet prioritásai, illetve kihívásai felé, amelyekre az információbiztonsági vezetőknek gyorsan kell reagálniuk. A KPMG kutatásai szerint a vizsgált alapvető biztonsági eszközök nagy része továbbra is központi szerepet tölt be, de az új technológiák, a bővülő szabályozások, a kifinomultabb eszközök és a növekvő fenyegetések között az információbiztonsági vezetők szerepe és felelőssége egyre nagyobb.
 
A KPMG jelentése nyolc szempontot határoz meg ahhoz, hogy mérsékelni lehessen az aktuális kockázatokat, és növelhető legyen a kiberbiztonsági ellenállóképesség.
 
Meddig terjed a CISO hatásköre?
 
A CISO-k ma már nem csupán informatikai biztonsági vezetők, hanem kulcsfontosságú szereplők a vállalatirányításban. Részt vesznek a kockázatértékelésben, a vállalati célok és biztonsági prioritások összehangolásában, a megfelelő kockázatkezelési szint kialakításában. Meg kell érteniük az üzleti folyamatokat, és képesnek kell lenniük arra, hogy a biztonsági intézkedéseket ezekhez igazítsák. A szervezeti kultúra és munkamódszerek alakításában is szerepet kell vállalniuk.
 
A helyzetüket nehezítik a sokszor tisztázatlan felelősségi körök, valamint, hogy gyakran egyensúlyoznak a tanácsadói és a döntéshozói szerep között. Sokszor erőforráshiánnyal küzdenek, és folyamatos nyomás alatt vannak, hiszen a kiberfenyegetések állandó éberséget, illetve gyors reagálást követelnek meg.
 

"Megoldás lehet a felelősségi körök felosztása - egyre több vállalat ismeri fel, hogy ezt a feladattengert nem lehet egyetlen személyre rázúdítani. A kiberbiztonsági küzdelem egyenlőtlen: az adott csapatnak folyamatosan védenie kell az egész vállalatot, a támadóknak viszont elég egyetlen gyenge pontot találniuk, hogy hozzáférjenek a hálózathoz. Ahhoz, hogy jól működjön a védekezés, több szegmens összehangolt együttműködésére van szükség"

- mondta Lukács Kornél, a KPMG kiberbiztonsági tanácsadásért felelős partnere.
 
Átfogó képzési programok
 
Az adatvédelmi, kockázati és megfelelési szakemberek esetében az erős technikai képességek továbbra is elengedhetetlenek, de egyre fontosabb a hatékony kommunikáció, a problémamegoldás, az alkalmazkodóképesség és az együttműködés is. Ennek kezelésében segíthetnek az átfogó képzési programok.
 
A KPMG felmérésének elkészítése során a biztonsági vezetők csaknem fele mondta, hogy komoly problémái vannak a munkaerő megtartásával. Ezért érdemes szorosan együttműködni a HR-rel: a rugalmas munkarend, a világos karrierlehetőségek és a szakmai fejlődési lehetőségek biztosítása vonzó lehet a kiberbiztonsági tehetségek számára.
 
A mesterséges intelligencia ugyan fontos eszköz lehet a biztonsági csapatok számára a szakemberhiány kezelésében, ugyanakkor sok esetben nem helyettesíti az emberi munkaerőt. Ráadásul az emberi tényezőnek kulcsszerepe van az AI asszisztensek ellenőrzésében is.
 
Miként teremthető meg a bizalom az AI iránt?
 
Az AI-nak sok szervezeti funkcióban lehet helye, azonban az elfogadását és bevezetését számos kiber- és adatvédelmi kihívás befolyásolja. A vezérigazgatók 70 százaléka azt mondja: vállalata növeli a befektetéseit a kiberbiztonságba, kifejezetten az AI-hoz köthető fenyegetések elleni védekezés miatt. A mesterséges intelligencia fejlesztése és alkalmazása valószínűleg a CISO-k egyik legfontosabb prioritása lesz. A bizalmat hiteles, minőségi és ellenőrzött adattal tanított AI-implementációk tarthatják fenn. Ugyanakkor a rendszerek folyamatos monitorozását és értékelését be kell építeni a szervezet napi működésébe.
 
Használható-e AI a kiberbiztonsághoz?
 
A KPMG kutatása szerint a vállalatok felsővezetői szintjén egyre erősebb a félelem attól, hogy kimaradnak az AI nyújtotta előnyökből. 82 százalékuk elismerte, hogy a versenytársakkal való lépéstartás érdekében olyan technológiai beruházások mellett döntenek, mint például a virtuális és kiterjesztett valóság. Mielőtt azonban fejest ugranának az AI bevezetésébe, a szervezeteknek gondoskodniuk kellene arról, hogy az alapvető kiberbiztonsági folyamatok szilárd alapokon álljanak, és a vezetők az AI rohamosan fejlődő képességeinek és korlátjainak ismeretében döntsenek. A CISO-knak ezért az AI kiber- és adatvédelmi funkciókba való integrálásának mérlegelésekor ismerniük kell a szervezetük jelenlegi kiberbiztonsági helyzetét, azonosítaniuk kell az esetleges hiányosságokat, gyengeségeket, és össze kell vetniük a potenciális előnyöket a kockázatokkal.
 
Meddig biztonságos csökkenteni a platformok számát?
 
Annak érdekében, hogy leküzdjék az egyre összetettebb kiberbiztonsági kockázatokat, a szervezetek folyamatosan bővítik a digitális eszközeik védelmére szolgáló megoldások arzenálját, ami felveti a konszolidáció szerepét. Az elmozdulás a platformok konszolidációja felé azonban buktatókat is rejthet. Az egyik aggodalom, hogy a szervezet túlzottan függővé válhat egyetlen szállítótól vagy platformtól. Ilyen esetekben a szolgáltatóváltás költséges és összetett vállalkozás lehet, jelentős kompatibilitási problémákkal és további képzési követelményekkel járhat.
 

"E kockázatok mérséklése érdekében fontolóra kell venni a platformkonszolidáció hibrid megközelítését"

- javasolta Lukács Kornél.
 
Hogyan azonosíthatók az emberek a kibertérben?
 
Az eszközök és felhasználók megbízható azonosítása egy olyan alap, amely nélkül nem létezik IT-biztonság. Ezen a téren világszerte számos innovációval találkozhatunk, az identitáskezelés és hitelesítés azonban továbbra is kihívást jelent. A rendszerek közötti széles átjárhatóság, a deepfake megjelenése és a biometrikus adatfeldolgozás terjedése megköveteli a jövőálló hitelesítési megoldások kidolgozását, valamint a korszerű szabályozások kialakítását.
 
Megvédhetők-e az okoseszközök?
 
Az okoseszközök elterjedése megváltoztatta a kapcsolattartást a bennünket körülvevő világgal, ezzel együtt pedig a hagyományos biztonsági hozzáállás is elavulttá vált. A termékek egyre rövidülő életciklusa során megjelenő sebezhetőségek a gyártókat és a szabályozókat is arra késztetik, hogy minél gyorsabban minél fejlettebb módszereket keressenek, amelyekkel lehetővé teszik az összekapcsolt eszközök biztonságos használatát.
 
Létezik-e stabil biztonsági kultúra?
 
Továbbra is aggasztó, hogy a támadók zsarolóprogramokat vagy más rosszindulatú eszközöket használnak nagyszabású ipari zavarok előidézésére, adatok és akár emberi életek kockáztatásával. A beszállítók is biztonsági kockázatot hordozhatnak: a szervezetek egyre inkább külső szolgáltatókra támaszkodnak a szoftverek és szolgáltatások terén, így fokozott a veszélye annak, hogy ezek az ellátási lánc gyenge láncszemei lesznek. Meg kell találni a módját annak, hogy miként hozhatunk létre széles körű, holisztikus és ellenálló biztonsági kultúrát az egész vállalatban.