×
4 trụ cột của quá trình chuyển đổi an ninh mạng lâu dài

Chỉ đơn giản là ném tiền vào vấn đề hiếm khi là câu trả lời. Nhiều CIO và CISO sẽ gặp phải tình huống này sau một sự cố, một báo cáo kiểm toán gần như thiếu sót nghiêm trọng hoặc một báo cáo kiểm toán không tốt: đột nhiên, tiền và nguồn lực - vốn trước đây khan hiếm - xuất hiện từ đâu, ưu tiên thay đổi và các giám đốc điều hành cấp cao yêu cầu hành động khẩn cấp xung quanh vấn đề an ninh mạng.

Có lẽ giấc mơ của nhiều CISO là được thừa hưởng một ngày nào đó thách thức mang tính biến đổi như vậy mà tiền - dường như - không có đối tượng. Tuy nhiên, trong thực tế, nó cũng có thể là một lời nguyền nếu bạn không thực hiện được.

Các yếu tố chính trong việc thúc đẩy chuyển đổi thành công xung quanh vấn đề an ninh mạng là gì?

Đặt khung thời gian phù hợp

Đầu tiên, CISO phải đánh giá một cách không tự mãn bản chất thực sự của sự chuyển đổi cần thiết, mức độ cam kết của ban lãnh đạo cấp cao và khung thời gian cần thiết để mang lại thay đổi thực sự và lâu dài - độc lập với kỳ vọng của các bên liên quan.

Đây là lĩnh vực đầu tiên mà CISO sẽ cần quản lý các kỳ vọng với các giám đốc điều hành cấp cao. Thay đổi đòi hỏi “thời gian cần thiết”, đặc biệt là khi có liên quan đến văn hóa và hành vi, và một số khía cạnh liên quan đến việc chuyển đổi an ninh mạng có thể phức tạp, làm xáo trộn các hoạt động kinh doanh hiện tại và dẫn đến các dự án đáng kể (ví dụ như quản lý Danh tính và Truy cập hoặc Ngăn chặn rò rỉ dữ liệu ).

Theo kinh nghiệm của chúng tôi, quá trình tái thiết kế hoàn chỉnh từ trên xuống của toàn bộ quy trình bảo mật có thể mất tới 3 đến 5 năm trong bất kỳ tổ chức lớn nào. Không ai có thể mong đợi đạt được bất cứ điều gì đáng kể trong 6 tháng đến một năm nếu mức độ đáo hạn ban đầu là rất thấp; 2 năm cũng có thể là không đủ.

Thách thức quản lý đầu tiên của CISO là làm cho các bên liên quan cấp cao hiểu được thực tế đó . Đây là cam kết thực sự để thay đổi ít nhất là về nguồn lực và khả năng suy nghĩ chiến lược trong trung và dài hạn.

Không phải tất cả các giám đốc điều hành cấp cao hoặc thành viên hội đồng quản trị đều có khả năng làm điều đó. CISO sẽ phải tìm ra những đồng minh phù hợp và sử dụng ảnh hưởng của họ để truyền tải thông điệp.

Chỉ “sửa chữa” những chiến thắng nhanh chóng ảo tưởng không bao giờ có nghĩa là biến đổi lâu dài.

Việc hiện thực hóa các khung thời gian liên quan sẽ bắt nguồn từ việc đánh giá cao của quản lý cấp cao đối với các nhiệm vụ liên quan và sự đánh giá đó cần được hỗ trợ dựa trên đánh giá đúng đắn và có ý nghĩa về điểm xuất phát.

Từ đó, một tầm nhìn và lộ trình thay đổi có thể được vẽ ra để hướng tới chân trời đúng đắn.

Tập trung vào các chủ đề chuyển đổi rõ ràng và mục tiêu rõ ràng

Trong các tình huống mà tổ chức cần phải đối mặt với sự thay đổi cơ bản về an ninh mạng, điều cần thiết là phải đặt ra các mục tiêu rõ ràng và đơn giản cho tất cả các bên.

Cố gắng sửa chữa mọi thứ cùng một lúc, bất kể sự phụ thuộc lẫn nhau và sự phức tạp vốn có của một số vấn đề, và có thể vượt quá khung thời gian không thực tế, sẽ đơn giản dẫn đến nhầm lẫn và thất bại.

Thay vào đó, CISO nên bắt đầu bằng cách đánh giá sự phụ thuộc giữa các phần khác nhau của lộ trình chuyển đổi và hành động nhóm xung quanh các chủ đề rộng, từ đó sẽ tập trung các ưu tiên và đầu tư.

Kêu gọi hành động mới

Các chủ đề đó phải rõ ràng, dễ hiểu và có cấu trúc xoay quanh các mục tiêu và cột mốc rõ ràng.

Cung cấp thông qua một nhóm cấp cao được trao quyền

Mặc dù sẽ có các dự án tham gia vào việc thực hiện lộ trình chuyển đổi, nhưng mục tiêu cuối cùng là tạo ra một thực hành an ninh được chuyển đổi bền vững, tự tồn tại. Để đạt được mục tiêu này, việc tái thiết kế nhóm của họ cần phải là nhiệm vụ đầu tiên đối với CISO để việc chuyển đổi có thể được thực hiện thông qua nhóm đã được định hình lại chứ không chỉ thông qua các nguồn lực dự án và chuyên gia tư vấn.

Việc xác định cấu trúc nhóm, mô hình hoạt động và quản trị phù hợp phải là ưu tiên hàng đầu đối với CISO, liên quan đến tất cả các bên liên quan có liên quan trong các chức năng CNTT, kinh doanh và hỗ trợ, đồng thời liên quan đến tất cả các khu vực địa lý và bên thứ ba có liên quan.

Nhân sự của nhóm mới nên theo dõi và bắt đầu từ trên xuống để CISO có thể ủy thác gánh nặng chuyển đổi cho các báo cáo trực tiếp cấp cao được trao quyền. Lớp quản lý này sau khi được thành lập sẽ đảm nhận các nhiệm vụ đối với nhân viên còn lại trong nhóm của họ và cung cấp các phần rõ ràng của lộ trình chuyển đổi.

Việc tìm kiếm những người đó - nội bộ hay bên ngoài - trong thị trường tuyển dụng hiện tại có thể khó khăn và mất nhiều thời gian, vì vậy bắt đầu sớm nhất có thể trong giai đoạn này là chìa khóa cho CISO.

Từ đó, việc đưa ra lộ trình chuyển đổi có thể bắt đầu, nhưng điều quan trọng không kém đối với CISO là phải đảm bảo rằng tất cả các nhân sự chủ chốt đều được khuyến khích để  tiếp tục hành trình , vì có thể còn nhiều khó khăn ở phía trước.

Bám sát kế hoạch

Thiết lập khung thời gian thực tế, đặt mục tiêu rõ ràng và tìm đúng người để thúc đẩy các nỗ lực chuyển đổi thông qua một nhóm có cấu trúc là chìa khóa. Song song đó, CISO cần tiếp tục thúc đẩy tất cả các bên tham gia vào lộ trình chuyển đổi đúng đắn. Giai đoạn này có thể dễ dàng mất đến 6 tháng, nhưng nó rất cần thiết để thành công lâu dài.

Có thể có chiến thắng nhanh chóng, hoặc có thể không. CISO phải chống lại việc phát minh ra nơi nào đó không có và cũng phải tránh các phản ứng giật đầu gối có thể chỉ làm hỏng trường hợp lâu dài.

Một điều KHÔNG PHẢI là triển khai nhiều công nghệ hơn; ít nhất là không phải trả trước.

Không  có nền tảng công nghệ  hoặc nhà cung cấp dịch vụ kỳ diệu nào có thể - tự nó - là câu trả lời cho một thách thức mang tính biến đổi cơ bản xung quanh vấn đề an ninh mạng.

Tất nhiên, công nghệ sẽ đóng một vai trò quan trọng trong nỗ lực chuyển đổi ở hầu hết các tổ chức, nhưng CISO và nhóm của họ phải đạt được điều đó trong thời gian thích hợp và trong bối cảnh phù hợp, đặt trong tầm nhìn, lộ trình và mô hình hoạt động chuyển đổi phù hợp . Nhảy vào các giải pháp công nghệ và các nhà cung cấp công nghệ trả trước không thể là điều đầu tiên phải làm.

Thách thức bao trùm đối với CISO đằng sau tất cả những điều này nằm ở việc khiến ban lãnh đạo cấp cao thấy rằng sự thay đổi dài hạn bắt nguồn từ tầm nhìn dài hạn và kế hoạch dài hạn cần có thời gian để thiết lập.

Nó có thể là một vụ bán khó nếu không có những chiến thắng nhanh chóng về mặt chiến thuật và phần lớn phụ thuộc vào sự tin tưởng giữa CISO và sếp của họ, cũng như hồ sơ cá nhân, kinh nghiệm quản lý và sự nhạy bén về chính trị của CISO.

Với những phức tạp liên quan, không chỉ liên quan đến kỹ thuật mà còn thường bắt nguồn từ văn hóa và quản trị, việc mang lại sự thay đổi lâu dài sẽ luôn đòi hỏi một cách tiếp cận có cấu trúc và động lực không ngừng để thành công.

Chỉ đơn giản là ném tiền vào vấn đề với hy vọng làm cho nó biến mất, mà không xem xét đúng đắn những vấn đề đó sẽ dẫn đến thất bại và chỉ có thể làm trầm trọng thêm nhận thức của các bên liên quan cấp cao rằng bảo mật chỉ là một chi phí và gánh nặng.

Related Posts