Se sei un responsabile della sicurezza delle informazioni (CISO ) che pensa che il tuo lavoro sia quello di prevenire le violazioni, è meglio iniziare a cambiare mentalità. Dovresti pensare a te stesso come a un manager del rischio e a un “ponte di traduzione” per il senior management.
Questo secondo Joseph Karpenko (a destra), CISO di Stratascale, una società di servizi di sicurezza informatica con sede nella Carolina del Nord. Poiché il panorama delle minacce diventa sempre più complesso, i leader della sicurezza informatica devono pensare come dirigenti aziendali che gestiscono il rischio legale, proteggono i flussi di entrate e guidano la resilienza in caso di violazione.
Karpenko, a Stratascale dal 2021, ha quasi tre decenni di esperienza nell’avanzamento di iniziative di sicurezza informatica e nel rafforzamento delle infrastrutture critiche in varie organizzazioni, generando un curriculum prodigioso come quella sua barba (che, riconosce, ha impiegato meno tempo per svilupparsi – lo ha fatto crescere negli ultimi anni).
Iniziando come ingegnere hardware e della sicurezza, Karpenko ha trascorso periodi presso Cisco, il gigante dei libri paga ADP, l'organizzazione intergovernativa del trattato Packet Clearing House, il Center for Applied Internet Data Analysis, l'Information Technology Information Sharing and Analysis Center (IT-ISAC) e altro ancora.
Abbiamo parlato con lui di come si sta evolvendo il ruolo del CISO, di come spostare la narrativa dal centro di costo al fattore di valore e perché la sicurezza proattiva è più di una semplice frase d’ordine. Nel prossimo anno, afferma, i CISO hanno un’opportunità unica per guidare un cambiamento reale in tutte le loro organizzazioni.
Iniziamo con il ruolo di CISO. Dici che sta subendo una trasformazione?
Lo vedo più come un’evoluzione delle responsabilità che hanno assunto. I CISO si sono evoluti da quello che un tempo era principalmente un ruolo super-tecnico a quello che riguardava maggiormente i rischi aziendali, i rischi operativi, i rischi strategici, i rischi reputazionali e i rischi legali.
“I CISO devono comunicare meglio con l’alta dirigenza e il consiglio di amministrazione sulla maturità del programma [sicurezza]... Devi essere quel ponte di traduzione”.
In altre parole, come posso proteggere, proteggere e difendere il mio ambiente e il mio partner commerciale?
E che aspetto ha questa evoluzione dal ruolo tecnico a un partner commerciale più strategico? Qual è il nuovo set di competenze?
Sono le competenze di cui i CISO hanno bisogno per comunicare meglio con il senior management e il consiglio di amministrazione sulla maturità del programma, dove hanno bisogno di investimenti, e in modo che possano dimostrare cosa viene fatto per aiutare il senior management a capire come stanno proteggendo e difendendo quell'ambiente. Per me, devi essere quel ponte di traduzione.
[Leggi anche: come i CISO possono parlare di rischio informatico in modo che i CEO ascoltino]
I CISO dovranno comunque avere queste conversazioni verso il basso con il loro team tecnico, ma verso l’alto è dove le sfide sono esistite. Una delle competenze chiave di cui i CISO hanno bisogno mentre continuiamo ad andare avanti è sicuramente la soft skills – le abilità personali, la sfera di influenza. È conoscere il loro pubblico, come capire quali sono i loro desideri e bisogni per l'azienda, quali sono quei processi e sistemi aziendali critici che fanno funzionare e funzionare la loro azienda e come garantire che possano effettivamente continuare a gestire un'azienda minimamente valida (in pratica le operazioni e i sistemi nudi necessari per funzionare e servire i clienti) anche se c'è qualche tipo di interruzione.
Quindi, man mano che i CISO diventano più integrati nelle conversazioni strategiche, cosa possono fare per spostare la sicurezza informatica dall’essere vista principalmente come un centro di costo all’essere riconosciuta come un fattore di reddito?
Una delle parti chiave è concentrarsi sul rischio legale e contrattuale. Molte offerte richiedono ora un certo livello di maturità della sicurezza informatica. Se non sei all'altezza dello standard, rischi di perdere contratti e se perdi contratti, stai essenzialmente perdendo entrate e entrate. D'altra parte, un programma maturo può aiutarti a vincere nuovi contratti e mantenere relazioni esistenti.
“Molti accordi richiedono ora un certo livello di maturità della sicurezza informatica. Se non sei all’altezza degli standard, rischi di perdere contratti”.
Poi c’è il rischio operativo: collaborare con CIO e CTO per comprendere i sistemi critici significa che puoi riprenderti rapidamente in caso di interruzione. Questa resilienza evita costosi tempi di inattività. C’è anche il lato operativo: quanto tempo dedichi alle persone per attività non necessarie? Questo costa un sacco di soldi. Come puoi automatizzare questi processi? Tutto ciò crea fiducia nel consiglio, nei partner e nei clienti.
Ci sono alcuni settori che potrebbero trarre vantaggio dal legare la sicurezza al valore aziendale prima o poi? Ha lavorato in ADP : è qualcosa che potrebbe essere prezioso per il settore finanziario?
Quindi penso che tutti possano migliorare, ma penso che i servizi finanziari stiano abbastanza bene. Da tempo si concentrano molto sul cyber e sono molto ben organizzati e orchestrati quando si tratta dei loro programmi di sicurezza. Direi che la produzione e la sanità sono due settori chiave che guarderei.
Questi due sono stati colpiti duramente ogni volta che c’è una violazione informatica. Se si prende la produzione offline, i responsabili dello stabilimento sanno quasi fino al secondo quanto costa. E abbiamo visto l’interruzione che gli incidenti informatici hanno causato all’assistenza sanitaria, dove gli ospedali hanno dovuto chiudere. Devi spostare gli interventi chirurgici, c’è un impatto sui pazienti ed è possibile che queste interruzioni possano costare la vita.
E in questi casi, la resilienza è fondamentale. Perché è così importante essere proattivi piuttosto che reattivi nella sicurezza?
Questa è una grande domanda. Se stai reagendo, stai sempre solo rispondendo e combattendo gli incendi. A nessuno piace essere reattivi. È estenuante e ti senti stanco e stanco.
“Se reagisci, stai sempre solo rispondendo e combattendo gli incendi. Quando adotti un approccio proattivo, stai cercando lacune, cose che devi correggere e cosa puoi migliorare”.
Ma quando adotti un approccio proattivo e misurato, stai cercando lacune, cose che devi correggere e cosa puoi migliorare. In questo modo, stai pensando ai processi chiave di cui hai bisogno per proteggere e difendere, e lo stai facendo insieme al CTO e al CIO.
Quindi, come possono le organizzazioni rendere questo passaggio più proattivo?
È necessario disporre di piani di risposta agli incidenti collaborativi adeguati con l'azienda: continuità aziendale, ripristino di emergenza e quindi risposta agli incidenti. Avere queste cose è fondamentale. È necessario tenere esercitazioni da tavolo per il personale tecnico e il senior management con la leadership esecutiva. Coinvolgerli li aiuta a capire, ehi, la tecnologia è intrecciata in ciò che facciamo, e devi essere una parte fondamentale di questo e capire che siamo qui per aiutarti e abilitarti. Allo stesso tempo, devi consentirci di supportarti nell'attività.
E così per me, la parte proattiva della sicurezza informatica, insieme alla resilienza, continuerà ad essere un obiettivo chiave. Si tratta davvero di quanto velocemente posso recuperare e rimettere in funzione l'attività.
PER SAPERNE DI PIÙ
Dai un’occhiata ad altre interviste esclusive con i leader della sicurezza nella nostra serie “Success Stories”.
- Il “privacy evangelista” di Lowenstein Sandler Ken Fishkin su...
BORING CYBERSECURITY TRAINING - Mike Wilkes, il supereroe della Marvel, usa
l’IA per combattere il cybercrime - La caccia alle ceneri di Apex Group su
... RISCHIO DI CIBRE DI PRELIMINAZIONE (ACCURATAMENTE) CON QUESTA FORMULA - Jeff Aguilar della contea di LA su
...COME FORMA (E ISTRUISCE) I LAVORATORI PER LATTARE LA FISTURA - Dennis Leber di Honest Medical Group su
... PERCHÉ NON PARLA DI SICUREZZA CYBERSECURITY (MOLTO) CON IL CONSIGLIO - Stephen di Leo A Daly ha tenuto...
IL LATO FALLIDO DEL RISCHIO DI TERZE PARTI - Michael Adams di Zoom su
... RAGGIUNGERE LA SICUREZZA 2,0 CON IL PUNTEGGIO DEL RISCHIO CYBER
