Organisasies verstaan lank reeds die uitdaging om kuberrisiko in besigheidsrisiko te vertaal. Die kommunikasie-ineenstorting tussen die CISO en die direksiekamer is werklik en goed gedokumenteer. Maar is daar dieper probleme? Om verskeie redes het kuberrisikobestuur oor die jare in grootte en omvang gegroei. Vandag kan dit alles dek van tradisionele sekuriteitsdissiplines tot privaatheid, voorsieningskettingrisiko, regspraktyke, KI-bestuur en operasionele veerkragtigheid. Dit skep onvermydelik datasilo's, dekkingsgapings en veerkragtigheidsuitdagings.
As gesamentlike regering die bestemming is, hoe moet die reis lyk?
Wanneer sigbaarheid en eienaarskap splinter
Daar is verskeie redes waarom kuberrisikobestuur oor die jare so onhanteerbaar geword het. Daar was 'n tyd toe sekuriteit baie makliker was. Rekenaarhulpbronne was op die perseel en organisasies het die omtrek bewaak om die slegte dinge uit te hou. Hierdie kasteel-en-grag-benadering het verdamp met die aankoms van wolkrekenaars, afstandwerk en SaaS-toepassings. Namate die aanvalsoppervlak uitgebrei het, het dit operasionele tegnologie (OT), internet van dinge (IoT)-stelsels, mobiele toestelle, randrekenaarbedieners en meer ingesluit. Meer IT-bates, meer kompleksiteit, meer gefragmenteerde toesig.
KI-infrastruktuur en -dienste verteenwoordig die nuutste uitbreiding. Groot taalmodelle (LLM's), agente, vektordatabasisse, masjienleerpyplyne, API's, inproppe en wolkbedieners verteenwoordig 'n nuwe hoërisiko-teiken vir aanvalle. Namate KI sy weg vind na meer besigheidskritieke dienste, groei die potensiaal vir kompromie, datadiefstal en manipulasie. Skadu-KI is 'n besondere bron van kommer. Twee derdes (65%) van organisasies gely het KI-agentverwante sekuriteitsvoorvalle in die afgelope jaar en selfs meer (82%) vermoed dat onbeheerde agente in hul omgewings loop.
Voorsieningskettings is ook te blameer. Die gemiddelde onderneming gebruik nou na raming 61 sekuriteitsinstrumente. En dis net kuber. In byna alle sektore het organisasies 'n komplekse ekosisteem van vennote opgebou wat alles van logistiek tot professionele dienste hanteer. Dan is daar digitale verskaffers. Oopbronkomponente is 'n groeiende bron van risiko.
Die laaste faktor is die regulatoriese omgewing. Namate nuwe wette na vore gekom het om operasionele veerkragtigheid aan te moedig en persoonlike data, KI-tegnologie, slimtoestelle en ander tegnologie te beskerm, het die las op voldoeningspanne toegeneem. In sommige gevalle (soos NIS2) word senior bestuur nou persoonlik aanspreeklik gehou vir nie-nakoming. Dit het die fokus op aanspreeklikheid meer vierkantig van sekuriteitspanne na die sakeleierskap verskuif.
Wat dit beteken
Volgens navorsings- en adviesfirma Info-Tech Research Group, is daar drie belangrike struikelblokke vir geïntegreerde risikobestuur:
- Gebrek aan volwasse prosesse, gedeelde taal, risikokultuur en moderne gereedskap om geïntegreerde risikobestuur te ondersteun
- Vinnig ontwikkelende regulasies, opkomende tegnologieë en veranderende geopolitieke realiteite wat dit moeilik maak om proaktiewe risikopraktyke te handhaaf
- Risikobestuur wat as 'n nakomingsoefening eerder as 'n strategiese vermoë behandel word, wat lei tot blinde kolle en gemiste geleenthede om veerkragtigheid te versterk
In sommige gevalle word daar van KISO's verwag om die groeiende las te hanteer. Universiteit van Cambridge Navorsing toon dat dit kan lei tot reaktiewe risikobestuur, nakoming van blokkies en dikwels uitbranding. Afsonderlike IANS navorsing onthul 52% van KISO's voel dat hul omvang nie meer ten volle hanteerbaar is nie. Die druk is veral akuut in kleiner organisasies en kan belangrike strategiese inisiatiewe vertraag, waarsku die verslag.
Uiteindelik benadeel gesiloeerde risikobestuur die organisasie deur ondeursigtigheid en deurbraakrisiko te verhoog, argumenteer Black Duck CISO, Dom Glavach.
“Wanneer silo's ontkoppelde toesig skep, veral namate KI die tempo versnel, ontstaan risiko's regoor sagteware-voorsieningskettings, werkvloei en sakebedrywighede. Verspreide eienaarskap is nodig om tred te hou aangesien kuberrisiko sekuriteit, produk, privaatheid, voldoening en verskaffers omvat,” sê hy vir IO (voorheen ISMS.online). “Wanneer die silo's toesig ontwrig, eindig organisasies met blinde kolle, duplikaatwerk, stadiger reaksie en probleme om te bewys dat die kontroles regdeur die organisasie gewerk het.”
Tyd om te integreer
So waarheen gaan organisasies van hier af? Info-Tech het 'n vierpuntplan vir geïntegreerde kuberrisikobestuur:
- Stel doelwitte en bestuur vas
- Ontwikkel meganismes om risiko's te identifiseer en te assesseer
- Ontwikkel risikoresponsopsies
- Skep 'n gereedskap-, moniterings- en verslagdoeningsplan
Vir Muhammad Yahya Patel, vCISO EMEA by Huntress, moet twee sleutelfokusareas eerste kom.
“Eerstens, 'n gemeenskaplike beheerraamwerk waarna alle funksies kyk, sodat wanneer die CISO oor sekuriteitsbeheermaatreëls verslag doen, die databeskermingsbeampte (DPO) oor privaatheidsbeheermaatreëls verslag doen, en die KI-bestuursleier oor modelrisiko verslag doen, hulle almal oor dieselfde onderliggende risikotaksonomie praat, en die direksie die totale prentjie kan sien,” sê hy vir IO.
“Vervolgens benodig die verskaffersdimensie aandag, want dit is waar die bestuursversteuring tans die akuutste is. Die meeste organisasies het derdeparty-risikobestuursprosesse wat tyd-in-tyd is: 'n assessering by aanboord, 'n vraelys by hernuwing. Wat hulle nie het nie, is deurlopende sigbaarheid van of die beheermaatreëls waarop hulle tydens assessering staatgemaak het, steeds in plek is. Deurlopende monitering van verskaffers se sekuriteitsposisie, geïntegreer met jou interne risikobeeld, is 'n moet-hê.”
Waar raamwerke help
Ronald Lewis, hoof van kuberveiligheidsbestuur by Swart eend, vergelyk die proses met die fyn afstelling van 'n outydse horlosie, waar elke funksie 'n rat is.
“Elke rat het 'n spesifieke rol, maar geeneen werk onafhanklik nie. As een rat verkeerd in lyn is, te vinnig, te stadig of in die verkeerde rigting draai, dryf die hele stelsel. Dis presies hoe kuberrisiko in geïsoleerde omgewings optree. Kontroles faal nie omdat hulle swak ontwerp is nie; hulle faal omdat hulle nie gesinchroniseer is met besluite wat elders plaasvind nie,” sê hy.
“Daardie vlak van sinchronisasie gebeur nie organies nie. Dit vereis 'n raamwerk. Of dit nou ISO 27001, NIST of 'n goed gekonstrueerde interne model is, die punt is om 'n gemeenskaplike taal, konsekwente taksonomie en duidelike lyne van naspeurbaarheid tussen risiko's, beheermaatreëls en eienaarskap te vestig.”
Lewis verduidelik dat 'n sterk raamwerk integrasie oor domeine heen afdwing.
“Dit skep die bindweefsel tussen privaatheid, sekuriteit, derdeparty-risiko, KI-bestuur en operasionele veerkragtigheid. Dit stel jou in staat om nie net individuele risiko's te sien nie, maar ook hoe hulle interaksie het en skaal,” sluit hy af. “Sonder daardie struktuur kan jy nie tot gesamentlike toesig kom nie. Daarmee kan jy die ratte in lyn bring, onafhanklik, maar in dieselfde rigting, na 'n enkele, meetbare doelwit draai: 'n samehangende, ondernemingswye begrip en bestuur van kuberrisiko.”
Brei jou kennis uit
Podcast: Phishing vir Moeilikheid S2 E2: Jy is Voldoenend. Is Jy Veerkragtig?
Blog: Waarom kuberveerkragtigheid nog lank weg is vir baie Britse besighede
