Трите капана за CISO

Независимо дали са заслужени, или не, съществуват определени стигми, свързани с главните служители по информационна сигурност (CISO): Те работят изолирано и имат само смътна представа за това как различните отдели допринасят за доброто на организацията. Те налагат контрол, без да отчитат въздействието върху бизнеса. Фокусират се върху високотехнологични показатели с неясна нетна положителна стойност. Те не умеят да слушат. Или да имат  съпричастност.

Бъдете честни. Описва ли това вас и вашия екип – дори и малко? Или повече? Ако признаете, че е така, това е добре. Първата стъпка към решението е да признаете, че проблемът съществува. Подобрението изисква промяна, която понякога е неудобна, защото промяната започва от вас.

Отговорност, а след това действие. За CISO и техните екипи това означава да се превърнат във вездесъщи защитници на киберсигурността – и след това да водят трансформацията на всички в предприятието в защитници на същото.

CISO ще се развиват успешно в рамките на тази промяна, като се фокусират върху приноса, съпричастността и съгласуването. Това ще даде възможност за траен успех на промяната, като позволи на CISO да идентифицират и разберат напълно информационните асиметрии в организацията и след това да ги отстранят, за да разчистят пътя към оптимални комуникации и информираност.

Съществуват обаче няколко пречки, които възпрепятстват тези усилия. Ето три от тях и как да се преодолеят техните капани.

Възлагане на задачи на неподходящия експерт в съответната област

CISO отговарят за изключително широк обхват и често се сблъскват с голям стрес – но постоянно са предубедени да предприемат действия сами. Те ръководят добре организацията, но понякога пропускат възможности да използват меките умения за оптимизиране на разрешаването на проблемите. Като лидери е необходимо CISO да продължават да осъзнават баланса между набора от умения, споделените ценности между тях и целевата организация и истинската цел на това сътрудничество.

Решението изисква повишаване на ангажираността между сигурността и предприятието във всички области, изграждане на взаимоотношения, които гарантират, че правилният експерт е назначен на правилния проблем, за да окаже правилната подкрепа.

CISO трябва да разчитат на хората около себе си, за да знаят наистина какво се случва. Те трябва да създадат пътища, така че правилната информация да тече свободно навсякъде и тези знания да бъдат ангажирани в организационната и институционалната памет. Като взаимодействат с външни екипи, CISO създават контакти, които водят до ефективно постъпване на информация и правилно прилагане на персонала и реакциите спрямо информацията.

Неуспешно обвързване на действията с организационните и бизнес целите

Ако CISO не свързват работата си с по-широки цели, е почти невъзможно мениджърите и служителите, които не са свързани с ИТ, да оценят стойността на техните действия. CISO знаят защо са необходими определени контроли и реакции на заплахите. Но те никога не могат да предполагат, че хората извън техния екип знаят това.

За да преодолея тези потенциални пропуски в доверието, аз активно общувам с ръководителите на финансовите, маркетинговите, търговските и други ключови отдели, за да науча повече за техните роли. Тъй като съм инвестирал това време – за да разбера какво правят всеки ден, заедно със стратегическите им цели и предизвикателства – аз печеля тяхното доверие в себе си и в моя екип. Те са уверени, че ще подходим към заплахите, рисковете и корекциите с разбиране на бизнес целите.

Изпълнение без широко въздействие

Подтиквам членовете на екипа си постоянно да се питат: „Изпълнявам ли поправка, която е от полза за хората извън нашия екип? Или просто се опитвам да улесня собствения си живот?“ Очевидно е, че се стремим да постигнем първото и да избегнем второто. Казано по-просто, трябва да мислим мащабно. Растежът на възвръщаемостта на инвестициите (ROI) е пряко свързан със способността ни да посеем семената веднъж и да берем плодовете на труда си в многобройни следващи сезони.

„Всеки има план“, казва боксьорът Майк Тайсън, „докато не получи удар в устата“. Ако работим в рамките на силози за сигурност – изолирани в знанията, догмите и изпълнението си – всеки проблем със сигурността е като първия път на ринга и ние постоянно получаваме удари, за които нямаме разбиране как да се справим.

Но ако проактивно се стремим към съпричастност и съгласуваност като част от нашите основни ценности, ние придобиваме ниво на доверие, което изгражда пътища в цялото предприятие. Впоследствие можем да премахнем информационните асиметрии, да повишим нивото на разговор в цялата организация и да ръководим стратегически. И ще излезем от ринга с вдигнати ръце – по-силни и заедно.

Бърнард Брантли
CISO, Corelight

Източник: DARKReading