Внутри роли сотрудника бизнес -информационной безопасности

По мере того, как киберугрозы становятся более сложными, а системы здравоохранения диверсифицируют свою деятельность, появляются новые роли, чтобы сократить разрыв между потребностями бизнеса и императивами кибербезопасности. Одной из таких должностей является сотрудник по безопасности бизнес -информационной безопасности (BISO), которому поручено адаптировать стратегии безопасности к уникальным требованиям каждой оперативной единицы. В Мичиганской медицине Эшли Гелисс играет в этой роли, работая, чтобы согласовать управление рисками с исследовательскими, академическими и клиническими миссиями учреждения, обеспечивая при этом показатели кибербезопасности, а не препятствовать ее.

Позиция Gelisse показывает, как кибербезопасность развивается за пределы традиционных централизованных моделей к более нюансированному, основанному на отношениях подхода, который распознает сложности крупных федеративных систем здравоохранения.

Подкаст: Играть в новом окне | Скачать (Продолжительность: 36:41 – 25,3 МБ)

Подписаться: Яблочные подкасты | Spotify | Android | Пандора | Ihartrodo | Podchaser | Индекс подкаста | Электронная почта | Мелодия

Определение роли BISO

Роль BISO функционирует как мост между командами кибербезопасности и бизнес -операциями, что переводит технические требования в практические стратегии, которые соответствуют разнообразным рабочим процессам. В Мичиганской медицине Gelisse связываются между лидерами информационной безопасности и операционными подразделениями, распространяющиеся по нескольким сайтам и миссиям. «Моя роль на самом деле – быть связующим звеном с деловой стороной организации», – пояснила она. «Мы обнаружили, что нам не хватало этого голоса бизнеса».

Эта перспектива особенно важна в средах, где применение единого равномерного набора элементов управления может нарушать основные функции. Например, исследовательские группы часто работают в сжатые сроки грантов, используя новые инструменты или процессы, которые не соответствуют точно стандартизированным структурам соответствия. «То, что мы делали с точки зрения гарантия, скажем, клинической практики, это не всегда было адекватно для исследовательской практики», – сказал Гелисс. Служив в качестве переводчика между требованиями безопасности и оперативными реалиями, Bisos помогает организациям управлять рисками, не жертвуя гибкостью.

Настройка элементов управления по различным профилям риска

В системе здравоохранения с стандартизированной и высокоспециализированной ИТ -средами, обращение со всеми отделениями одинаково с точки зрения безопасности нецелесообразно. Клинические операции Мичиганской медицины показывают это разнообразие: в то время как 60% ее клинической ИТ -среды стандартизированы в соответствии с общим управлением, оставшиеся 40% – такие как радиология – независимые ИТ -практики из -за специализированных инструментов и рабочих процессов.

Команда Gelisse обращается к этому, анализируя толерантность к риску в разных группах и соответственно адаптируя контроль. «Это не обязательно единый подход»,-сказала она. «Очень разные потребности и варианты использования, разные риски. Поэтому часть моей роли заключается в том, чтобы помочь понять их и перевести обратно в технические команды». Этот подход часто включает в себя триангулирование данных из стратегических целей, интеллекта угроз и оперативных приоритетов для достижения баланса между защитой и производительностью.

Операции цикла дохода обеспечивают пример. Когда появились новые угрозы, которые требовали более сильных гарантий, команда Gelisse сотрудничала с лидерами доходов, чтобы избежать сбоев, которые могут поставить под угрозу финансовые цели. «Мы смогли придумать решение для них», – сказала она. «Это требовало от нас по -другому. Это не было решением для соответствия». Такие переговоры, основанные как смягчающим риском, так и в сохранении эффективности, что делает ценность бисоса в качестве посредников компромисса в условиях высоких ставок.

Построение отношений перед кризисом

Центральным компонентом роли Biso является создание отношений, часто задолго до того, как произойдет какой-либо инцидент. «Одно из моих любимых высказываний, которое использует мой босс, -« Там нет папы здоровья Ум »», подчеркивая преднамеренно федеральную природу управления Мичиганской медицины. Чтобы ориентироваться в этой структуре, ее команда проводит регулярные встречи, выравниваемые на миссии с лидерами по всей организации, способствуя доверию и знакомству до чрезвычайных ситуаций.

Этот проактивный охват позволяет командам кибербезопасности ранее привлекать новые инициативы, снижая риск конфликтов или задержек поздней стадии. «Теперь у нас есть собрания, выдвинутые на миссию, которые происходят либо ежемесячно, либо ежеквартально с лидерами миссий. Мы встречаемся, сравниваем заметки и строим это доверие, чтобы, когда что-то возникает, мы не незнакомы».

Эти разговоры также помогают определить пробелы в процессе, которые могут привести к уязвимости. Gelisse вспомнила один случай, когда ее команда обнаружила, что контракты на обмен данными в исследованиях людей обходили рабочие процессы закупок, непреднамеренно пропускав критические обзоры безопасности. Сотрудничая непосредственно с исследовательскими группами, ее группа разработала новый язык контракта, чтобы учесть разрыв, показывая, как ориентированные на отношения понимания могут укрепить организационную устойчивость.

Сотрудничество как императив управления рисками

Роль BISO подчеркивает партнерство над правоприменением. По мнению Gelisse, кибербезопасность не может функционировать в изоляции; Это должно быть встроено в бизнес. «Безопасность – это командный вид спорта», – сказала она. «Мы не можем сделать это в одиночку. Нет никакого процесса, который бы решает все это».

Даже когда возникают конфликты, основное внимание остается на деперсонализирующих дискуссиях риска и поддержании разговоров, основанных на данных. Gelisse отметил, что, хотя существуют пути эскалации для неразрешимых проблем, большинство напряженности могут быть ослаблены благодаря терпению, творчеству и мышлению. «В наши лучшие дни мы стараемся сказать:« Какое еще давление у них есть, что увлекает их разум? », – объяснила она. «Вы должны соответствовать пониманию и измерить исправление. Видимость – это ключ».

Рассказывая о сотрудничестве над жестким обеспечением, Bisos помогает системам здравоохранения ориентироваться в конкурирующих приоритетах, не подрывая критические операции-подход, который становится все более важным в сложных, высоких условиях.

Забери это

• Установить роли BISO для преодоления кибербезопасности и бизнес -операций в федеративных системах здравоохранения
• Стратегии управления рисками адаптации, чтобы соответствовать рабочим процессам департамента и приоритетами, специфичными для миссии
• Стройте отношения с оперативными лидерами на раннем этапе, чтобы облегчить доверие, прежде чем произойдут инциденты
• Проводить регулярные межфункциональные встречи, чтобы соответствовать рискам, целям и нормативным изменениям
• Используйте оценки рисков, управляемых данными, для обезживания споров и сосредоточиться на организационных приоритетах

«Партнерство – это то, что просто нужно построить в течение месяцев и лет», – сказал Гелисс. «Если ваши отношения таковы, что люди знают, что вы никогда не действуете легкомысленно, это имеет все значение».