Kiberdrošība nesākas ar tehnoloģijām, bet gan ar uzticību
Kiberdrošība bieži tiek raksturota kā tehnisks izaicinājums. Ugunsmūri, piekļuves kontroles, uzraudzības sistēmas un incidentu reaģēšanas rīki parasti dominē diskusijās. Lai gan šie pasākumi ir būtiski, tie nav tas, ar ko patiesi sākas kiberdrošība. Praksē tā sākas daudz agrāk — brīdī, kad organizācija nolemj, ar ko tā veiks uzņēmējdarbību. Mūsdienu bizness ir dziļi savstarpēji saistīts. Uzņēmumi paļaujas uz ārējiem pakalpojumu sniedzējiem, pārdevējiem, finanšu starpniekiem un partneriem pāri robežām. Katrs savienojums rada darbības vērtību, bet arī rada risku. Ja biznesa partnera identitāte ir neskaidra, novecojusi vai grūti pārbaudāma, kļūst neiespējami ticami novērtēt šo risku. Kiberdrošība ir balstīta uz uzticību. Un uzticība sākas ar zināšanām, ar ko jūs patiesībā nodarbojaties.Kāpēc ar tehnisko drošību vien vairs nepietiek
Tehniskās drošības kontroles ir paredzētas sistēmu aizsardzībai, taču tās pieņem, ka piekļuve tiek piešķirta pareizajām vienībām. Ja piekļuve tiek piešķirta nepareizai organizācijai — vai organizācijai, kuras izcelsme ir slikti saprotama —, pat spēcīgi tehniskie kontroles pasākumi var neizdoties novērst kaitējumu. Daudzi nopietni kiberdrošības incidenti rodas nevis no tiešiem sistēmas pārkāpumiem, bet gan no uzticamu attiecību ļaunprātīgas izmantošanas. Kad apdraudējuma dalībnieks darbojas caur šķietami likumīgu partneri, piegādātāju vai darbuzņēmēju, tehniskā aizsardzība kļūst daudz mazāk efektīva. Tas pārvirza galveno jautājumu no “Kā mēs aizsargājam savas sistēmas?” uz “Kam mums vispār vajadzētu uzticēt piekļuvi?”Trešo pušu risks kā centrāls kiberdrošības jautājums
Pieaugoša kiberdrošības un darbības riska daļa rodas no trešajām pusēm. Tie var ietvert piegādātājus, IT pakalpojumu sniedzējus, maksājumu apstrādātājus, loģistikas partnerus vai ārpakalpojumu atbalsta funkcijas. Katra trešā puse kļūst par daļu no organizācijas paplašinātās digitālās perimetra. Trešo pušu risks neaprobežojas tikai ar programmatūras ievainojamībām vai nedrošu infrastruktūru. Tas ietver arī:- neskaidrs juridiskais statuss
- necaurspīdīgas īpašumtiesību struktūras
- nepastāvīgi vai novecojuši reģistra dati
- grūtības noteikt atbildību
Ja organizācija nevar skaidri identificēt savus darījumu partnerus, ievērojami palielinās gan drošības, gan atbilstības riski.
Regulatīvais virziens: uz risku balstīts un uz identitāti orientēts
Visās jurisdikcijās regulatīvie ietvari virzās uz vairāk uz risku balstītu un uz identitāti orientētu pieeju kiberdrošībai. Tā vietā, lai noteiktu konkrētus tehniskos kontroles pasākumus, regulatori arvien vairāk sagaida, ka organizācijas sapratīs un pārvaldīs riskus visā savā darbības vidē, tostarp piegādātājiem un pakalpojumu sniedzējiem.
Eiropas Savienībā šīs pārmaiņas ir skaidri atspoguļotas NIS2 direktīvā un kiberdrošības prasībās Oficiālajam tiesiskajam regulējumam skatiet NIS2 direktīvu
Lai gan ietvari atšķiras visā pasaulē, galvenās cerības ir konsekventas: organizācijām jāspēj pierādīt, ka tās zina, uz ko paļaujas un kā šīs attiecības ietekmē to drošības stāvokli.
Uzņēmuma identitāte kā kiberdrošības pamats
Ja uz kiberdrošību raugās plašāk, uzņēmuma identitāte kļūst par galveno jēdzienu. Globāli standartizētu pieeju uzņēmumu identifikācijai nodrošina Juridiskās personas identifikators (LEI)Uzņēmuma identitāte sniedzas daudz tālāk par uzņēmuma nosaukumu vai reģistrācijas numuru. Tas ietver:
- juridisko esamību un statusu
- oficiālu reģistra informāciju
- īpašumtiesību un kontroles struktūras
- attiecības ar citām juridiskām personām
- datu precizitāti un savlaicīgumu
Mazo uzņēmumu perspektīva: kļūt par uzticamu partneri
Diskusijas par kiberdrošību un regulējumu bieži koncentrējas uz lielām organizācijām. Tomēr tā pati dinamika spēcīgi ietekmē mazos un vidējos uzņēmumus, kas vēlas sadarboties ar korporācijām, finanšu iestādēm vai starptautiskiem klientiem. Mazākiem uzņēmumiem galvenais šķērslis bieži vien nav produktu kvalitāte vai tehniskās iespējas, bet gan uzticība. Lielām organizācijām ir jānovērtē risks katram jaunam partnerim, taču tās nevar to darīt manuāli un padziļināti katram potenciālajam piegādātājam. Tā rezultātā tās paļaujas uz standartiem, signāliem un strukturētiem datiem, lai izlemtu, kuras attiecības ir vērts izpētīt tālāk. Daudzas sadarbības iespējas apstājas nevis tāpēc, ka piedāvājumam trūkst vērtības, bet gan tāpēc, ka darījuma partneri nevar ātri un skaidri saprast.LEI kā uzticības un ieviešanas paātrinātājs
Šeit kļūst svarīgs juridiskās personas identifikators (LEI). LEI ir globāls standarts, kas paredzēts, lai unikāli identificētu juridiskas personas un saistītu tās ar pārbaudītiem atsauces datiem no autoritatīviem avotiem. Mazākiem uzņēmumiem LEI ir ne tikai normatīva prasība noteiktos kontekstos. Tas ir praktisks rīks, kas ļauj tiem prezentēt sevi tādā veidā, kas atbilst tam, kā lielas organizācijas pārvalda risku. LEI signalizē, ka:- vienība ir unikāli identificējama
- tās galvenie atsauces dati ir saistīti ar oficiāliem reģistriem
- informācija par īpašumtiesībām ir deklarēta standartizētā veidā
- datus var izmantot automatizētos un pārrobežu procesos