An ninh kinh doanh

Việc không thực hành những gì bạn rao giảng, đặc biệt khi bạn là mục tiêu ngon lành của những kẻ xấu, sẽ tạo ra một tình huống đầy rủi ro đáng kể.

Phil Muncaster

Tháng Mười Một 30 2023
 • 
,
5 phút đọc

Khi nói đến an ninh mạng doanh nghiệp, việc dẫn đầu bằng ví dụ rất quan trọng. Có, điều quan trọng là mỗi nhân viên phải đóng góp vai trò của mình trong văn hóa bảo mật theo thiết kế. Nhưng tín hiệu của họ thường đến từ phía trên. Nếu hội đồng quản trị và lãnh đạo cấp cao không thể dành thời gian để tìm hiểu cơ bản về vệ sinh mạng thì tại sao những người còn lại trong công ty lại phải làm vậy?

Điều phức tạp hơn nữa là bản thân các giám đốc điều hành cũng là mục tiêu được đánh giá cao của các tác nhân đe dọa, do họ có quyền truy cập vào thông tin nhạy cảm và có quyền phê duyệt các giao dịch chuyển khoản số tiền lớn. Vì vậy, việc không thực hành những gì họ giảng có thể dẫn đến thiệt hại đáng kể về tài chính và danh tiếng.

Thật vậy, một báo cáo mới từ Ivanti tiết lộ một “khoảng cách ứng xử” an ninh mạng đáng kể giữa những gì các giám đốc điều hành cấp cao nói và những gì họ làm. Việc đóng cửa nó phải là một vấn đề cấp bách đối với tất cả các tổ chức.

Khoảng cách ứng xử

Bản thân báo cáo này có tính chất toàn cầu, được tạo ra từ các cuộc phỏng vấn với hơn 6,500 lãnh đạo điều hành, chuyên gia an ninh mạng và nhân viên văn phòng ở Châu Âu, Mỹ, Trung Quốc, Nhật Bản và Úc. Trong số những điều khác, nó cho thấy sự khác biệt lớn giữa những gì lãnh đạo doanh nghiệp nói và những gì họ thực sự làm. Ví dụ:

• Gần như tất cả (96%) đều tuyên bố “hỗ trợ hoặc đầu tư ít nhất ở mức độ vừa phải vào nhiệm vụ an ninh mạng của tổ chức của họ”
• 78% cho biết tổ chức này cung cấp huấn luyện an ninh bắt buộc
• 88% nói “họ sẵn sàng nhận biết và báo cáo các mối đe dọa như phần mềm độc hại và lừa đảo”

Càng xa càng tốt. Nhưng thật không may đó không phải là toàn bộ câu chuyện. Trên thực tế, nhiều lãnh đạo doanh nghiệp cũng:

• Đã yêu cầu phá vỡ một hoặc nhiều biện pháp bảo mật trong năm qua (49%)
• Sử dụng mật khẩu dễ nhớ (77%)
• Nhấp vào liên kết lừa đảo (% 35)
• Sử dụng mật khẩu mặc định cho các ứng dụng công việc (24%)

Hành vi điều hành thường không đạt được mức thực hành bảo mật có thể chấp nhận được. Nó cũng đáng chú ý khi so sánh với nhân viên bình thường. Chỉ 14% nhân viên cho biết họ sử dụng mật khẩu mặc định, so với 24% giám đốc điều hành. Và nhóm thứ hai có khả năng chia sẻ thiết bị làm việc với người dùng trái phép cao gấp ba lần, theo báo cáo. Các giám đốc điều hành cũng có xu hướng mô tả tương tác trong quá khứ với bảo mật CNTT là “khó xử” cao gấp đôi và có khả năng nói rằng họ không “cảm thấy an toàn” khi báo cáo các lỗi như nhấp vào liên kết lừa đảo cao hơn 33%.

Các bước để giảm thiểu mối đe dọa điều hành

Điều này quan trọng vì quyền truy cập mà các lãnh đạo cấp cao thường có trong một tổ chức. Sự kết hợp của điều này, thực hành an ninh kém và “chủ nghĩa ngoại lệ của người điều hành” - khiến nhiều người yêu cầu giải pháp thay thế mà nhân viên bình thường sẽ bị từ chối - khiến họ trở thành mục tiêu hấp dẫn. Báo cáo khẳng định 47% giám đốc điều hành là mục tiêu lừa đảo được biết đến trong năm qua, so với 33% nhân viên văn phòng thông thường. Và 35% đã nhấp vào một liên kết độc hại hoặc gửi tiền, so với chỉ 8% nhân viên.

Các chuyên gia bảo mật thường nói về sự cần thiết của một bảo mật theo thiết kế hoặc văn hóa lấy bảo mật làm trung tâm, trong đó nhận thức về các biện pháp thực hành tốt nhất và vệ sinh mạng lan tỏa khắp toàn bộ tổ chức. Điều đó gần như không thể đạt được nếu lãnh đạo cấp cao không thể hiện những giá trị tương tự. Vậy các tổ chức có thể làm gì để giảm thiểu rủi ro liên quan đến mạng do giám đốc điều hành của họ tạo ra?

1. Thực hiện kiểm toán nội bộ về hoạt động điều hành trong năm qua. Điều này có thể bao gồm hoạt động trên Internet, hành vi tiềm ẩn rủi ro như nhấp chuột lừa đảo bị chặn và tương tác với quản trị viên CNTT hoặc bảo mật. Có bất kỳ mô hình đáng chú ý nào như chấp nhận rủi ro quá mức hoặc thông tin sai lệch không? Những bài học rút ra là gì?

   Mục tiêu quan trọng nhất của bài tập này là hiểu được khoảng cách về hành vi điều hành rộng đến mức nào và nó biểu hiện như thế nào trong tổ chức của bạn. Thậm chí có thể cần phải kiểm toán bên ngoài để có được góc nhìn của bên thứ ba về mọi việc.

2. Hãy giải quyết những quả ở tầm thấp trước. Điều này có nghĩa là các loại thực hành bảo mật kém phổ biến nhất và dễ khắc phục nhất. Điều đó có thể có nghĩa là cập nhật các chính sách truy cập để bắt buộc xác thực hai yếu tố (2FA) cho tất cả mọi người hoặc thiết lập chính sách bảo vệ và phân loại dữ liệu để đưa một số tài liệu ra ngoài giới hạn đối với các giám đốc điều hành cụ thể. Điều quan trọng không kém việc cập nhật chính sách là truyền đạt nó thường xuyên và giải thích lý do tại sao nó được viết ra để tránh sự đối đầu của ban điều hành.

   Trọng tâm trong suốt quá trình này là đặt các biện pháp kiểm soát sao cho ít xâm phạm nhất có thể, chẳng hạn như phát hiện, phân loại và bảo vệ dữ liệu tự động. Điều đó sẽ giúp đạt được sự cân bằng hợp lý giữa an ninh và năng suất điều hành.

3. Giúp các nhà điều hành kết nối các điểm giữa sơ suất về bảo mật và rủi ro kinh doanh. Một cách khả thi để thực hiện điều này là tổ chức các buổi đào tạo sử dụng kỹ thuật gamification và các tình huống thực tế để giúp các nhà điều hành hiểu được tác động của việc vệ sinh mạng kém. Ví dụ, nó có thể giải thích làm thế nào một liên kết lừa đảo dẫn đến sự vi phạm của một đối thủ cạnh tranh lớn. Hoặc làm thế nào một cuộc tấn công thỏa hiệp email doanh nghiệp lừa một giám đốc điều hành để chuyển hàng triệu đô la cho những kẻ lừa đảo.

   Những hoạt động như vậy không chỉ tập trung vào những gì đã xảy ra và những bài học có thể rút ra từ góc độ hoạt động mà còn tập trung vào tác động về mặt con người, tài chính và danh tiếng. Các nhà điều hành sẽ đặc biệt quan tâm đến việc một số sự cố bảo mật nghiêm trọng đã dẫn đến hậu quả như thế nào đối với các đồng nghiệp của họ. bị buộc ra ngoài về vai trò của họ.

4. Làm việc để xây dựng niềm tin lẫn nhau với lãnh đạo cấp cao. Điều này sẽ đưa một số nhà lãnh đạo về CNTT và bảo mật ra khỏi vùng an toàn của họ. Như báo cáo giải thích, nó phải có nghĩa là “sự hỗ trợ trung thực và thân thiện” chứ không phải là “sự lên án hay trịch thượng” thường xảy ra khi nhân viên mắc lỗi.

   Nên tập trung vào việc học hỏi từ những sai lầm thay vì chọn ra từng cá nhân. Có, họ nên hiểu hậu quả của hành động của mình, nhưng luôn trong khuôn khổ cải tiến và học hỏi liên tục.

5. Hãy xem xét chương trình an ninh mạng “găng tay trắng” dành cho lãnh đạo cấp cao. Các giám đốc điều hành có nhiều khả năng hơn các nhân viên bình thường cho biết họ cảm thấy khó xử khi tương tác với bộ phận bảo mật. Vệ sinh mạng của họ kém hơn và họ là mục tiêu lớn hơn của những kẻ đe dọa. Đây đều là những lý do chính đáng để dành sự quan tâm đặc biệt cho nhóm lãnh đạo cấp cao tương đối nhỏ này.

   Hãy xem xét một đầu mối liên hệ đặc biệt để tương tác với các giám đốc điều hành cũng như các quy trình đào tạo và đào tạo được thiết kế đặc biệt. Mục tiêu là xây dựng niềm tin và cách thực hành tốt nhất, đồng thời giảm bớt các rào cản đối với việc báo cáo sự cố bảo mật.

Nhiều bước trong số này sẽ đòi hỏi sự thay đổi về văn hóa, điều này đương nhiên sẽ mất thời gian. Nhưng bằng cách trung thực với các giám đốc điều hành, áp dụng các quy trình và biện pháp kiểm soát phù hợp cũng như dạy cho họ về hậu quả của việc vệ sinh mạng kém, bạn sẽ có cơ hội thành công lớn. An ninh là môn thể thao đồng đội, nhưng nó phải bắt đầu từ người đội trưởng.

TRƯỚC KHI BẠN ĐI: 6 bước để bắt đầu chương trình an ninh mạng của bạn