Сфера безопасности быстро меняется, и лидеры по безопасности и рискам должны не отставать.
Лидеры по безопасности и рискам углубились сразу во множество направлений, сталкиваясь с проблемами, начиная от мощных атак на киберфизические системы и заканчивая новыми и ужесточающимися правилами конфиденциальности и необходимостью обеспечить безопасность распределенной глобальной рабочей силы. Кибербезопасность в настоящее время является одной из главных задач совета директоров, ставя безопасность во главу угла при принятии бизнес-решений, а директорам по информационной безопасности — в центре внимания.
В этой новой киберугрозе и бизнес-ландшафте критически важно, чтобы руководители по безопасности и рискам не впали в старую привычку пытаться относиться ко всему так же, как это было в прошлом. Это новый мир, и предприятиям необходимо соответственно развивать свое мышление, философию, программы и архитектуру безопасности. Действовать раньше, чем позже, позволят руководителям служб безопасности и рисков подготовиться к продолжающимся изменениям, которые повлияют на ландшафт угроз и конфиденциальности в ближайшие годы.
Вот восемь стратегических прогнозов в области кибербезопасности от аналитиков Gartner, которые руководители службы безопасности и управления рисками могут использовать, чтобы предвидеть изменения, которые на горизонте. Руководители службы безопасности должны включить эти предположения стратегического планирования в свои дорожные карты на год вперед.
- К концу 2023 года современные законы о конфиденциальности будут охватывать личную информацию 75 процентов населения мира.
GDPR был первым крупным законодательным актом о конфиденциальности потребителей, но вскоре за ним последовали другие; включая Общий закон Бразилии о защите личных данных (LGPD) и Закон Калифорнии о конфиденциальности потребителей (CCPA). Сама сфера действия этих законов предполагает, что предприятия будут управлять законодательством о защите данных в различных юрисдикциях, и клиенты захотят знать, какие данные собираются и как они используются. Это также означает, что предприятиям необходимо сосредоточиться на автоматизации систем управления конфиденциальностью. В предстоящем году сконцентрируйтесь на стандартизации операций по обеспечению безопасности с использованием GDPR в качестве основы, что упростит адаптацию к отдельным юрисдикциям по мере введения нового законодательства.
- К 2024 году организации, внедряющие ячеистую архитектуру кибербезопасности, сократят финансовые последствия инцидентов безопасности в среднем на 90%.
Организации теперь поддерживают множество технологий в разных местах, поэтому им необходимо гибкое решение безопасности. Сеть кибербезопасности распространяется на идентификационные данные за пределами традиционного периметра безопасности и создает целостное представление об организации. Это также помогает повысить безопасность удаленной работы. Эти требования будут стимулировать внедрение в следующие два года.
- К 2024 году 30% предприятий перейдут на облачный безопасный веб-шлюз (SWG), брокеры безопасного облачного доступа (CASB), сетевой доступ с нулевым доверием (ZTNA) и межсетевой экран как услугу (FWaaS) возможно от того же производителя.
Организации склоняются к оптимизации и консолидации. Руководители службы безопасности часто управляют десятками инструментов, но они планируют консолидировать менее десяти инструментов. SaaS станет предпочтительным методом доставки, и консолидация повлияет на сроки внедрения оборудования.
- К 2025 году 60% организаций будут использовать риск кибербезопасности в качестве основного фактора, определяющего при проведении транзакций и деловых операций с третьими сторонами.
Инвесторы, особенно венчурные капиталисты, используют риск кибербезопасности как ключевой фактор при оценке возможностей. Организации все чаще обращают внимание на риск кибербезопасности во время деловых сделок, включая слияния, поглощения и контракты с поставщиками. В результате появляется больше запросов на получение данных о программе кибербезопасности партнера через анкеты или рейтинги безопасности.
- Доля национальных государств, принимающих законы, регулирующие выплаты, штрафы и переговоры с программами-вымогателями, вырастет до 30% к концу 2025 года по сравнению с менее чем одним процентом в 2021 году.
Хотя в настоящее время к платежам с использованием программ- вымогателей могут применяться более широкие правила, экспертам по безопасности следует ожидать более агрессивного пресечения платежей. Учитывая в основном нерегулируемый рынок криптовалюты, выплата выкупа имеет этические, юридические и моральные последствия, и очень важно это учитывать. Решение платить (или нет) должно приниматься кросс-функциональной командой, которая может решить все эти проблемы.
- К 2025 году 40% советов директоров будут иметь специальный комитет по кибербезопасности под контролем квалифицированного члена совета.
Поскольку кибербезопасность становится (и остается) приоритетом для советов директоров, ожидайте увидеть комитет по кибербезопасности на уровне совета директоров и более строгий надзор и контроль. Это увеличивает видимость риска кибербезопасности в организации и требует нового подхода к отчетности совета директоров, детали которого могут зависеть от фона и опыта конкретных членов совета директоров. Сосредоточьте внимание на ценности, риске и стоимости.
- К 2025 году 70 процентов генеральных директоров будут требовать культуру организационной устойчивости, чтобы противостоять соответствующим угрозам, связанным с киберпреступностью, суровыми погодными явлениями, гражданскими беспорядками и политической нестабильностью.
Пришло то время, когда лидеры по безопасности и рискам должны выйти за рамки кибербезопасности и перейти к устойчивости организации, чтобы учесть более широкие среды безопасности. Цифровая трансформация усложняет ландшафт угроз, что влияет на то, как предприятия производят продукты и услуги. Работайте над определением устойчивости и целей организации, а также над составлением перечня киберрисков, которые на них влияют.
- К 2025 году злоумышленники будут достаточно успешно вооружать операционную технологическую среду, чтобы привести к человеческим жертвам.
По мере того, как вредоносное ПО распространяется от ИТ к операционным технологиям (OT), оно переводит разговор с нарушения работы бизнеса на физический ущерб, ответственность которого, вероятно, заканчивается на генеральном директоре. Сосредоточьтесь на киберфизических системах, ориентированных на активы, и убедитесь, что есть команды для надлежащего управления.
Перевод статьи «8 cybersecurity predictions for 2022 and beyond»