Почему организации должны перейти от кибербезопасности к киберустойчивости

В течение многих лет кибербезопасность рассматривалась в первую очередь как технологическая проблема. В разговоре доминировали брандмауэры, защита конечных точек, инструменты обнаружения и сценарии реагирования на инциденты. Организации вложили значительные средства в предотвращение атак и улучшение своих возможностей по обнаружению и реагированию.

Профилактику невозможно переоценить, и ее следует рассматривать как основу кибербезопасности: она снижает риск, сбои и затраты, ограничивает радиус взрыва и обеспечивает непрерывность бизнеса. В среде, где угрозы постоянны, а злоумышленники движутся быстро, строгий превентивный контроль остается наиболее эффективным способом снижения вреда.

Реальность такова, что вопрос больше не в том, произойдет ли нападение, а в том, когда; и любая техническая защита, даже надежная, может быть проверена неопределенностью, сложностью и нехваткой времени. Такая неопределенность усугубляется быстрым внедрением искусственного интеллекта, который не только помог противникам, но и ускорил оборонительные возможности.

Организации, которые становятся сильнее, — это те, которые могут эффективно работать в условиях неудач, даже когда профилактика подвергается сомнению. Когда технология не может немедленно восстановить уверенность, именно дисциплина принятия решений и оперативная координация организации в конечном итоге определяют результат.

Именно здесь кибербезопасность превращается в киберустойчивость.

Кибербезопасность фокусируется на защите и реагировании: остановке атак, сокращении времени ожидания и восстановлении систем. Киберустойчивость задает более широкий вопрос: как организация продолжает работать и принимать решения, когда технология нарушена, ухудшена или ей не доверяют?

В этом смысле киберустойчивость отражает другие дисциплины планирования непрерывности бизнеса. Например, организации регулярно готовятся к стихийным бедствиям, сбоям в цепочках поставок и перебоям в работе, предполагая, что системы, люди или процессы могут стать недоступными, а бизнес все равно должен функционировать.

Аналогичным образом, серьезный киберинцидент может задержать или ограничить восстановление ИТ. Системы выходят из строя дольше, чем ожидалось, и целостность данных может оказаться под вопросом. Также может усилиться внешнее давление со стороны клиентов, регулирующих органов и средств массовой информации. Таким образом, проблема больше не остается чисто технической, но и организационной.

Истинная киберустойчивость требует согласованных действий всей организации.

Юридические группы должны оценить нормативные риски и договорные обязательства. Финансовые органы должны оценить операционное воздействие и обязательства. Команды по связям с общественностью должны управлять обменом сообщениями для сотрудников, клиентов, партнеров и общественности. Руководителям приходится принимать срочные решения, располагая неполной, а иногда и противоречивой информацией.

Если эти функции не согласованы, даже технически хорошо управляемый инцидент может перерасти в бизнес-кризис: запоздалые решения, противоречивые сообщения, неуправляемые ожидания и репутационный ущерб, которого можно избежать.

Тем не менее, многие организации до сих пор «проверяют» киберготовность почти исключительно внутри ИТ-отделов. Учения по реагированию на инциденты сосредоточены на анализе вредоносного ПО, сроках сдерживания и восстановлении системы. Хотя это и необходимо, это не проверяет, может ли организация работать в условиях постоянных сбоев или может ли руководство принимать уверенные решения, когда факты неясны.

Киберустойчивость требует другого подхода: попрактикуйтесь в том, как ведет себя организация, когда предотвращение снижает риск, но не может его устранить, и когда технологии не могут мгновенно устранить неопределенность.

Одна из причин, по которой киберустойчивость часто обсуждают, но редко измеряют, заключается в том, что ее невозможно измерить с помощью только информационных панелей.

Агент не может быть развернут, чтобы рассказать вам, как быстро руководители согласовываются под давлением, могут ли юридические и коммуникационные службы синхронизировать обмен сообщениями в быстро меняющейся ситуации или насколько эффективно команды обмениваются информацией между разными подразделениями.

Киберустойчивость – это принятие решений, координация и адаптируемость. Чтобы оценить это, организациям нужна структурированная методология – способ тренировать, наблюдать и измерять, как люди и процессы работают в экстремальных условиях. Именно здесь кабинетные учения становятся неоценимыми.

Кабинетные учения часто рассматриваются как требования соответствия или базовая подготовка по реагированию на инциденты. Однако, если они хорошо разработаны, они являются одними из наиболее практичных способов повышения и измерения устойчивости.

В отличие от технических симуляций, настольные игры фокусируются на людях и решениях, помещая участников в реалистичные сценарии и заставляя их ориентироваться в неопределенности, компромиссах и конкурирующих приоритетах.

Чтобы сделать это эффективно, сценарий должен выходить за рамки «обычного» киберинцидента и иметь целью проверить способность организации работать, когда восстановление задерживается, доверие к данным сомнительно, а внешнее давление растет.

Сильное упражнение на устойчивость постепенно усиливается:

В определенный момент становится ясно, что одни только технологии не смогут быстро решить ситуацию.

Вот здесь упражнение становится показательным.

Юридическая служба оценивает обязательства по уведомлению и подверженность рискам без полных фактов. Финансовое управление оценивает влияние на бизнес, пока системы остаются недоступными. Внутренние коммуникации позволяют контролировать неопределенность сотрудников и контролировать слухи. Внешние коммуникации обеспечивают баланс прозрачности с юридическими и репутационными рисками. Руководители делают важные коллы в условиях нехватки времени.

Ценность не в том, чтобы найти «идеальный» ответ; речь идет о том, сможет ли организация работать вместе быстро, слаженно и решительно.

Хорошо продуманные настольные учения по киберустойчивости позволяют получить информацию, которую не смогут дать чисто технические тесты. Он также создает измеримые показатели, которые можно отслеживать с течением времени, например:

Эти показатели позволяют организациям выйти за рамки «мы думаем, что готовы» и перейти к конкретным планам улучшений.

Предотвращение остается основой любой стратегии кибербезопасности, направленной на снижение вероятности и последствий инцидентов, выигрыша времени и ограничения сбоев. Однако устойчивость гарантирует, что, когда предотвращение подвергается испытаниям со скоростью, неопределенностью и сложностью, организация все равно сможет функционировать.

Киберустойчивость – это не разовый проект. Как и любая дисциплина планирования непрерывности бизнеса, она требует постоянной практики, совершенствования и участия руководства. Кабинетные учения следует повторять, адаптировать и расширять по мере развития организации.

Наиболее устойчивыми являются не организации с идеальной защитой, а те, которые практиковали неудачи и извлекали из них уроки. Если ваши кибер-учения прекращаются, когда ИТ-специалисты восстанавливают системы, вы тестируете безопасность, а не устойчивость. Сделайте профилактику основой, а затем практикуйте ее, когда ее окажется недостаточно.