Jste prostředek, motiv nebo příležitost CISO?

Nedávno jsem byla dotázána, proč v aktuálním měsíci došlo k nárůstu počtu upozornění na incidenty.

Když jsem odpovídala, všimla jsem si, že se zaměřuji na důvody, „proč“ se čísla zvýšila, a došlo mi, že když vysvětluji rizika, mám tendenci zaměřovat se na motiv, proč by k riziku mohlo dojít.

Myslím si, že je to způsobeno mým způsobem myšlení. I když s někým mluvím nebo ho žádám, aby něco udělal, zaměřuji se na to, „co z toho má“, protože věřím, že většina lidí nakonec potřebuje motivaci, než začne jednat. Za vším musí být nějaký důvod, a pokud tento důvod pochopíme, můžeme se zabývat prostředky a příležitostmi, které tento motiv ponechávají jako možnost jednání.

Když je spáchán trestný čin a je posuzován u soudu, je státní zástupce požádán, aby uvedl prostředky, motiv a příležitost podezřelého ze spáchání trestného činu. Schopnost někoho spáchat trestný čin je prostředkem. Důvod, proč někdo spáchá trestný čin, je motiv. Šance nebo dostupnost zdrojů k provedení trestného činu je příležitost.

Takto jako pracovníci CISO přemýšlíme o rizicích a jejich řešení. Neznamená to, že jeden způsob uvažování je lepší, protože abyste byli plně efektivní, musíte brát v úvahu všechny tři faktory, ale všichni se standardně přikloní k jednomu z dalších dvou. Pokud jste CISO, otázka zní: „Jste CISO zaměřený na prostředky, motivy nebo příležitosti?“

„Prostředky“ CISO

Jste-li CISO, který se zaměřuje na „prostředky“ rizika, jste s největší pravděpodobností vysoce technický CISO se silným technickým základem a zázemím. Vaše mysl bude mít tendenci okamžitě přemýšlet o tom, „jak“ by byl útok proveden. Budete tíhnout k technickým prostředkům, kterými by k útoku došlo nebo mohlo dojít. Váš přístup se zaměří na nástroje a procesy, které lze použít k ochraně před těmito prostředky. Pokud to vztáhnete k pěti oblastem NIST, vaše hlavní kolbiště nebo místo, na které se rádi soustředíte, budou oblasti „ochrany a detekce“. To je velmi důležitá oblast, na kterou je třeba se zaměřit, protože pokud má někdo motiv a příležitost, ale nemá prostředky, kterými by svůj zločin provedl, musíte si položit otázku: „Došlo by vůbec k útoku?“

„Motiv“ CISO

Kde je vůle, tam se vždy najde způsob. Takto bude uvažovat „motivovaný“ CISO. Tento typ mysli se zaměří na to, proč by k útoku mohlo dojít. CISO, který se raději soustředí na „proč“, se bude soustředit na psychologii útoku. Tato osoba se soustředí na identifikační oblast modelu NIST. Bude se zabývat každým možným „proč“ a poté určí prostředky a příležitosti, aby se před takovým útokem ochránil, odhalil ho nebo na něj reagoval. Tato osoba se obvykle domnívá, že není možné znát každý způsob nebo příležitost, takže místo aby se snažila zastavit vše, zastaví to, co je nejpravděpodobnější, na základě toho, co by bylo nejpravděpodobnějším důvodem pro provedení útoku. Pokud pochopíte důvod, pochopíte, jak by někdo byl schopen útok zorganizovat, a zablokujete jeho schopnost tak učinit.

„Příležitostný“ CISO

Když se zavřou dveře, někdo jiný otevře okno. To je myšlení „příležitostného“ CISO. Tento typ vedoucího pracovníka v oblasti bezpečnosti se zaměří na myšlenku, že existuje více než jeden způsob, jak stáhnout kočku z kůže. Zaměří se na rizika, která leží nejen v jejich kompetenci a pod jejich kontrolou, ale i na ta, která leží mimo ně. Zaměří se na dostupnost všech zdrojů, které má útočník k dispozici. Tento CISO se zaměří na reakci a obnovu ostatních organizací, aby zajistil shromažďování všech údajů o různých dostupných zdrojích nebo příležitostech k útoku. Čerpá ze zkušeností ostatních a uplatňuje je při zužování dostupných zdrojů, které mohou být použity při útoku. Vezměte někomu možnost páchat zlo a nebude škodit.

Dokonalá obrana

Ve skutečnosti neexistuje dokonalý zločin a naopak neexistuje dokonalá obrana. Při vytváření bezpečnostní strategie je třeba vzít v úvahu všechny tři faktory a CISO se musí zaměřit na všechny tři. Je důležité, abyste si jako vedoucí pracovník v oblasti bezpečnosti sami určili, které z rizik je vaším preferovaným nebo výchozím zaměřením, protože pak můžete určit, kde potřebujete zaměstnance, kteří by je doplnili nebo se zaměřili na zbylé dva. Je to jako trojúhelník. Neexistuje žádný správný nebo špatný úhel pohledu na něj. Zkušený CISO bude schopen vidět a identifikovat všechny tři aspekty při návrhu své strategie. Bude schopen formulovat, jak program řeší prostředky, motivy a příležitosti realistickými a realizovatelnými termíny a způsoby.

Jedno zaměření není lepší než druhé, všechna jsou stejně důležitá. Jde pouze o způsob uvažování a určení způsobu, kterému dáváte přednost při prvním pohledu na riziko.