Kiberbiztonsági költségvetés létrehozása: A legfontosabb szempontok

A kiberbiztonsági költségvetés tervezése manapság forró téma. Az adatszivárgás címsorai teljesen egyértelművé teszik, hogy a robusztus kiberbiztonság létfontosságú minden szervezet számára - de a vezetői csapatok nem állíthatnak ki egyszerűen egy üres csekket a „Javítani kell a kiberbiztonságot! Ehelyett hatékony kiberbiztonsági költségvetést kell létrehozniuk.

Ez a cikk segíthet. Feltárja azokat a tényezőket, amelyek befolyásolják a kiberbiztonság költségeit, és azt, hogy a tágabb informatikai költségvetésből mennyit szánnak a szervezetek jelenleg a kiberbiztonságra, útmutatást ad a költségvetési kérelmek indokolásához, és meghatározza a hosszabb távú tervezés során figyelembe veendő legfontosabb trendeket.

Mennyibe kerül a kiberbiztonság a szervezeteknek?

A kiberbiztonság költségei egy szervezet számára drámaian változhatnak. A kiberbiztonsági költségvetés fő összetevői a következők:

Szoftver - A kiberbiztonsági költségvetés legnyilvánvalóbb sorai a szoftveres megoldások. Ezek jellemzően víruskereső alkalmazások, tűzfalak, auditáló és változáskezelő eszközök, valamint biztonsági mentési és helyreállítási megoldások. A nagyvállalatok jelenleg átlagosan 76 különböző biztonsági eszközzel rendelkeznek.
Személyzet - A legnagyobb kiberbiztonsági költség azonban valójában a személyzetből származik, amely a teljes biztonsági költségvetés 38%-át teszi ki. A képzett kiberbiztonsági tehetségek iránt évek óta nagy a kereslet, és az olyan trendek, mint az IT-nyugdíjba vonulások rohamos növekedése, csak fokozták a problémát. De fontos megérteni a szoftver és a személyzet közötti összetett kapcsolatot. Túl sok szervezet vesz fel drága kiberbiztonsági tehetségeket, majd ismétlődő feladatokat oszt ki nekik. Ha azonban a megfelelő automatizált megoldásokba fektet be, felszabadíthatja korlátozott IT-csapatát, hogy stratégiaibb kérdésekre összpontosítson. Ráadásul ez a stratégia ténylegesen javíthatja a munkával való elégedettséget és a tehetségek megtartását.
Szolgáltatások - A szervezetek gyakran külső kiberbiztonsági szolgáltatásokat vesznek igénybe bizonyos feladatokhoz, például a sebezhetőség felméréséhez és a penetrációs teszteléshez, valamint a folyamatos felügyelt biztonsági szolgáltatásokhoz.
Hardver - A legtöbb szervezetnek még mindig van helyszíni lábnyoma, ezért kiberbiztonsági költségvetést kell elkülöníteniük szervereik, útválasztóik és egyéb informatikai infrastruktúráik naprakészen tartására. Emellett munkaállomásokat, laptopokat és egyéb hardver beruházásokat kell tervezniük.
Képzési programok - A kiberbiztonsági tudatosságról, a legjobb gyakorlatokról és az újonnan felmerülő fenyegetésekről szóló rendszeres képzés minden felhasználó számára alapvető fontosságú. Ideális esetben a képzést meghatározott közönségekhez kell igazítani. Ügyeljen arra, hogy minden alkalmazottra kiterjedjen, beleértve a vezetői csapatokat, valamint a tanácsadókat és bárki mást, aki hozzáfér a hálózathoz. Fontolja meg a képzés hatékonyságának rendszeres tesztelését, például adathalász-szerű e-mailek küldésével és annak ellenőrzésével, hogy ki jelenti be őket, és ki esik áldozatul.
Megfelelőségi költségek - Azoknak a szervezeteknek, amelyekre szabályozási felhatalmazások vonatkoznak, mint például a HIPAA, a GDPR vagy a PCI-DSS, valószínűleg a megfeleléssel kapcsolatos költségekkel kell számolniuk, a jelentéstételtől és az ellenőrzés előkészítésétől az adatvédelmi tisztviselő (DPO) felvételéig. .
Reagálás az eseményekre - A kiberbiztonsági költségvetés célja természetesen az adatszivárgás és egyéb incidensek elkerülése. De a szervezeteknek fel kell készülniük a sikeres kibertámadások lehetőségére. A költségek magukban foglalhatják a törvényszéki vizsgálatokat, a jogi költségeket, a megfelelési szankciókat, valamint a PR erőfeszítéseket és kompenzációs intézkedéseket, például a személyazonosság-lopás megfigyelését.
Kiberbiztonsági biztosítás - Sok szervezet vásárol kiberbiztonsági biztosítást, hogy enyhítse az adatszivárgás pénzügyi hatását. Az alábbiakban kifejtettek szerint mindenképpen fontolja meg, hogy ezt a pénzt nem lehetne-e inkább a kiberbiztonsági ellenőrzésekre költeni.
Rendkívüli események és váratlan költségek - Egyes szervezetek a váratlan kiadások fedezésére szolgálnak kiberbiztonsági költségvetésükben. Például rendszeresen fedeznek fel súlyos sebezhetőségeket, és egyesek jelentős erőfeszítést igényelnek azok enyhítése. Például a Log4j egy biztonsági rését fedezték fel, amely lehetővé teszi a rosszindulatú szereplők számára, hogy szinte bármilyen kódot lefuttassanak a sebezhető rendszereken. A Log4j nyílt forráskódú szoftverkönyvtárat széles körben használják olyan gyártók, mint a Microsoft, az Apple, a Cloudflare és még sokan mások. Ennek eredményeként a szervezetek továbbra is dolgoznak a sérülékeny rendszerek azonosításán, a javítások és egyéb enyhítő intézkedések tesztelésén és telepítésén, valamint annak ellenőrzésén, hogy a javításokat megfelelően implementálták-e.

Mennyi informatikai költségvetést kell fordítani a kiberbiztonságra?

A szervezetek átlagosan informatikai költségvetésük 11,6 százalékát fordítják a kiberbiztonságra. Körülbelül egyharmaduk szerint azonban kevesebb, mint 6 százalék. A megbízható számok megszerzésével kapcsolatos probléma részben az, hogy a különböző szervezetek eltérő kritériumokkal rendelkeznek arra vonatkozóan, hogy mi tartozik a „kiberbiztonsági költségvetésbe” és mi nem. Például egy laptop vásárlása egy új alkalmazottnak hagyományosan a szokásos informatikai költségvetésből származik. Ezt a gépet azonban számos, az operációs rendszerhez nem tartozó, biztonsággal kapcsolatos szoftverrel kell ellátni, például víruskereső és megfigyelő eszközökkel. Így nem meglepő, hogy a különböző szervezetek eltérő módon kategorizálhatják a költségvetést egy sorhoz, például az „új laptopokhoz”. ”

Bár nincs mindenkire érvényes válasz arra a kérdésre, hogy IT-költségvetéséből mennyit fordítson kiberbiztonságra, itt van néhány kulcsfontosságú tényező, amely befolyásolhatja a százalékos arányt:

A szervezet mérete és összetettsége - Általánosságban elmondható, hogy a teljes informatikai és kiberbiztonsági költségek a szervezet méretével és összetettségével nőnek. A kisebb vállalatok azonban IT-költségvetésük nagyobb százalékát fordíthatják a kiberbiztonságra, mert felismerik, hogy korlátozott IT személyzetük sebezhetőbbé teheti őket.
Ágazat - Az IT-költségvetéseken belüli biztonsági elosztás ágazatonként jelentősen eltér: a technológia, a fogyasztási cikkek és a szolgáltatások több mint 15 százalékot osztanak ki, míg a jogi, gyártási, egészségügyi és kiskereskedelmi ágazatokban működő szervezetek kevesebb mint 10 százalékot fordítanak. .
Megfelelőségi követelmények - Míg egyes megfelelési kötelezettségek, például a HIPPA és a FERPA ágazatfüggőek, mások tágabban vonatkoznak, ezért érdemes ezt a tényezőt külön megemlíteni. Például a PCI-DSS minden olyan szervezetre vonatkozik, amely elfogadja a hitelkártyás fizetést, és a modern adatvédelmi szabályozások, mint a GDPR, mind az iparágakban, mind a nemzetekben érvényesek. Ennek megfelelően szinte minden szervezetnek be kell építenie a megfelelőséget a kiberbiztonsági költségvetésébe.
Biztonsági érettség - A kiforrott biztonsági programokkal rendelkező szervezetek kevesebbet fordíthatnak költségvetésükből a kiberbiztonságra, mint a kezdők. Ez segíthet megmagyarázni, hogy az egészségügyi szervezetek miért vannak a költségvetési százalék alsó részén, annak ellenére, hogy egy erősen szabályozott szektorban működnek; ezek a szabályozások már régóta érvényben vannak.
Kockázati profil - A kibertámadások számára vonzóbb célpontoknak számító szervezeteknek költségvetésük nagyobb százalékát kell fordítaniuk a kiberbiztonságra. Ilyenek például az olyan szervezetek, amelyek sok értékes személyes adattal rendelkeznek (például az Equifax és a Twitter), amelyek az ellátási lánc kulcselemei (például a Solar Winds), vagy alapvető szolgáltatásokat nyújtanak (például a Colonial Pipeline).
Technológiai lábnyom - Az IT-ökoszisztéma mérete és jellege nagyban befolyásolja a szervezet kiberbiztonsági stratégiáját. Különösen a kiberbiztonsági költségvetés különbözik attól függően, hogy milyen helyszíni rendszereket és felhő-erőforrásokat használ.
Külső szállítók használata: A szervezetek különösen szerver- és adattárolási kapacitás esetén gyakran alkalmaznak külső szállítókat az IT-feladatok kezeléséhez. Ennek során a vállalatoknak biztosítaniuk kell, hogy a szállítók megfelelő biztonsági intézkedéseket alkalmazzanak. Az outsourcing és a kellő gondosság időt és erőforrást igényel, ami növelheti a költségeket. Például egyedül a kiberbiztonságon belül olyan intézkedésekre lesz szükség, mint a szállítói kockázatértékelés.
Korábbi biztonsági incidensek - Azok a szervezetek, amelyek a múltban egy (vagy több) adatszivárgást szenvedtek el, valószínűleg többet fektetnek informatikai költségvetésükből a kiberbiztonságba. A tapasztalt támadások típusai beleszámíthatnak az adott sorba; Például egy adathalász támadás áldozatává vált szervezet olyan intézkedésekre összpontosíthat, mint az alkalmazottak képzése és az e-mail-szűrő szoftver.

Hogyan igazoljuk a kiberbiztonsági költségvetést

A kiberbiztonsági költségvetés igazolása az érdekelt felek számára kihívást jelenthet. Valójában a vezérigazgatók és CISO-k elképesztő 36%-a azt állítja, hogy az igazgatótanácsuk csak akkor fog figyelmet fordítani a kiberbiztonsági fenyegetésekre, ha incidens vagy más incidens történt. Ha igazolni szeretné a kiberbiztonsági költségvetést, akkor már tudja, hogy elengedhetetlen, hogy kilépjen ebből a reakciós módból. Szóval mit tehetsz?

A legfontosabb az, hogy egy alapvető üzenetre összpontosítson: A kiberbiztonsági kockázat üzleti kockázat.

A kutatások azt mutatják, hogy azoknál a szervezeteknél, ahol az igazgatótanács üzleti kockázatként kezeli a kiberbiztonságot, nagyobb a hajlandóság a proaktív befektetésekre, a technikai kockázatokra és a kiberbiztonsági költségvetés jóváhagyására.

Íme néhány hatékony stratégia ennek az üzenetnek a hazajuttatására.

Számszerűsítse a tétlenség költségeit.

Ha a kockázatok ismeretlenek vagy nem számszerűsíthetők, nagyon nehéz meggyőzni az embereket a cselekvésről - különösen azokat, akik a költségvetési pénztárcájukat tartják kezükben. Ügye megalapozásához kezdje azzal a ténnyel, hogy egy adatszivárgás globális átlagos költsége 4,45 millió USD volt 2023-ban, ami 15 százalékos növekedés három év alatt.

A kisebb szervezetek vezetői csapatai azt mondják, hogy ez a statisztika nem releváns, ezért tartsa kéznél: Az adatszivárgás átlagos hatása az 500 főnél kevesebbet foglalkoztató szervezetekre 3,31 millió dollár.

Annak szemléltetésére, hogy a jogsértések pénzügyileg miért olyan pusztítóak, kezdje az állásidő költségeivel. Mutasson rá arra, hogy a vállalkozások 40 százaléka azt állítja, hogy egyetlen óra állásidő 1 millió dollártól több mint 5 millió dollárba kerül, és a legrosszabb forgatókönyv esetén a veszteség elérheti a több millió dollárt percenként.

Ezután lépjen tovább az alábbi lehetséges közvetlen és közvetett költségekre:

A szellemi tulajdon és más üzleti szempontból kritikus információ elvesztése
Kármentesítési és kriminalisztikai költségek, esetleg költséges külső szakértelemmel
Ransomware zsarolási kifizetések
Szabályozási és megfelelési bírságok - feltétlenül nézze meg a szervezete által kiszabott konkrét megbízásokra kiszabott szankciókat
Jogi és PR díjak
Értesítési, hitelfelügyeleti és személyazonosság-lopás-csökkentési költségek az érintett felek számára
A vállalat hitelességének, márkájának és hírnevének károsodása
Vevői lemorzsolódás
A biztosítási díj emelkedése vagy akár a kötvényre való jogosultság elvesztése

Magyarázza el, hogy a kiberbiztonsági biztosítás miért nem helyettesíti a kiberrezilienciát.

Előfordulhat, hogy egyes vezetői csoportok a kiberkockázati biztosítást szeretnék a szervezet kiberbiztonsági költségvetésének központjává tenni. Noha a kiberkockázati irányelvek betartása áthárítja a jogsértéshez vagy más incidenshez kapcsolódó pénzügyi kockázatok egy részét, erőteljes érvei vannak amellett, hogy ez semmiképpen nem csodaszer, amely kiszoríthat más kiberbiztonsági költségvetési tételeket.

Kezdje azzal, hogy a következő tényekkel illusztrálja a kiberkockázati biztosításba történő befektetés csökkenő értékét:

A kötvények aránya az egekbe szökik. Nem is olyan régen a kiberkockázati biztosítási kötvények gyakran vitathatatlanul alulárazottak voltak, mert nagyon sok vállalat akart megállni a piacon. De mivel az elmúlt években egyre gyakoribbak és kifinomultabbak a kibertámadások, sok ilyen szolgáltatónak végül hatalmas kárigényeket kellett fizetnie, és emelik a díjakat, hogy kompenzáljanak. Egy tanulmány szerint a közvetlen díjak 50 százalékkal nőttek 2022-ben, míg egy másik cikk 80 százalékos növekedést mutatott ki. Egyes szervezetek arról számoltak be, hogy évi 1 millió USD-t is fizetnek politikájukért.
A biztosítás növelheti a támadások kockázatát. Egy tanulmány kimutatta, hogy a kiberbiztosítással rendelkező szervezeteket nagyobb valószínűséggel sújtja a zsarolóvírus, mint azokat, amelyek nem rendelkeznek - és 70 százalékkal nagyobb valószínűséggel többször megtámadják.
A kiberkockázati biztosítás gyakran jelentős kizárásokat tartalmaz. Bármely biztosítási kötvénynél az apró betűs betűk nagyon sokat számítanak. A kiberkockázati biztosítási kötvények gyakran számos kizárást tartalmaznak, alkalmazásukat jelenleg a bíróságok vitatják. A leggyakoribb kizárások a következők:

A Korábbi cselekmények záradékok mentesítik a biztosítót a kötvény kiállítása előtti tevékenységgel kapcsolatos károk kifizetése alól. Mivel a rosszindulatú tevékenységek gyakran hónapokig vagy akár évekig észrevétlenek maradnak, ez egy kulcsfontosságú kizárás, amelyet szem előtt kell tartani.
A szabványok be nem tartása kizárások lehetővé teszik a biztosító számára, hogy megtagadja a kártérítés kifizetését, ha az eseményt az okozta, hogy a szervezet nem biztosította a szükséges ellenőrzéseket.
A Háborús cselekmények záradékok kizárják az állam által támogatott kiberbiztonsági támadásokból eredő veszteségeket. Ez a záradék perekhez és peren kívüli egyezségekhez vezetett, amelyek legfeljebb tisztázatlanok maradnak a kizárás hatályával kapcsolatos alapvető kérdésekben. De például a Lloyd's of London megköveteli, hogy az összes önálló kibertámadási szabályzat tartalmazzon egy záradékot, amely kizárja a felelősséget az állami támogatású kibertámadásból vagy háborúból eredő veszteségekért, akár bejelentették, akár nem.
A megfelelési szankciók korlátozása a biztosított társaságot meredek pénzbírságok és egyéb költségek miatti horgára hagyhatja, még akkor is, ha a kötvény az incidensből eredő kár egyéb vonatkozásaira is kiterjed.

Ezután kínáljon költséghatékonyabb megközelítést. Vegye figyelembe, hogy sok biztosító manapság megköveteli, hogy a szervezetek bizonyos típusú biztonsági ellenőrzéseket alkalmazzanak annak érdekében, hogy jogosultak legyenek a kiberkockázati biztosításra, vagy csökkentsék annak költségeit - és magyarázza el a fő okot: A szilárd kiberbiztonsági ellenőrzések alkalmazása csökkenti a jogsértések kockázatát. elsősorban, és segít csökkenteni a bekövetkező események okozta károkat. Mutasson rá, hogy ezek a szükséges vezérlők hogyan illeszkednek a kiberbiztonsági költségvetés soraihoz.

Most már készen áll a logikus következtetés bemutatására: Ahelyett, hogy a kiberbiztonsági költségvetés nagy részét drága biztosításra költené, rengeteg kizárással, fordítsa át ezt a pénzt az incidensek megelőzésére és a támadások utáni gyors felépülésre. Ezekre a befektetésekre egyébként is szükség lehet a kötvény megszerzéséhez, és egy átfogó stratégia megvalósításával elkerülheti a biztosítás megvásárlásának szükségességét.

Mutassa be szervezete jelenlegi kockázatát és stratégiáját annak csökkentésére.

Az üzleti kockázatok láthatóságának biztosítása hatékony módja annak, hogy sürgősen érezze magát azok mérséklésével kapcsolatban, ami arra ösztönözheti a vezetői csapatokat, hogy jóváhagyják a kiberbiztonsági költségvetést. Ennek megfelelően, amennyire csak tud, mélyedjen bele jelenlegi kockázatos testtartásába. Keressen olyan eszközöket, amelyek növelik a kockázatok láthatóságát, például a rosszul konfigurált beállításokat, a túlzott hozzáférési jogokat és a fenyegetési tevékenységet. Ezen túlmenően, ha a szervezete valamilyen szabályozás vagy iparági szabvány hatálya alá tartozik, emelje ki azokat a módokat, amelyek miatt nem tud megfelelni a vonatkozó követelményeknek, és nem tudja bizonyítani a megfelelőséget.

Az egyik különösen egyértelmű és számszerűsíthető mérőszám az Active Directoryban található támadási útvonalak száma, amellyel az ellenfelek visszaélhetnek, hogy teljes ellenőrzést szerezzenek a domain felett. Egy gyors és ingyenes AD-kockázatértékeléssel a szervezetek gyakran több ezer vagy akár milliónyi támadási útvonalat és azok leállításának részleteit fedezik fel.

Párosítsa kockázatértékelését egy részletes tervvel, amely megmutatja, hogy a kiberbiztonsági költségvetés hogyan fogja csökkenteni ezeket a kockázatokat. Amint azt korábban említettük, feltétlenül magyarázza el, hogy az IT-kockázatok csökkentése hogyan válik közvetlenül az üzleti kockázatok csökkentéséhez. Például írja le, hogy az Ön által javasolt befektetések hogyan előzhetik meg a pénzügyi veszteségeket azáltal, hogy csökkentik az adatszivárgás és a ransomware fertőzések esélyét, valamint csökkentik a korábban részletezett incidens-elhárítási költségeket. Számszerűsítse ezeket a megtakarításokat, amikor csak lehetséges.

Ez a megközelítés meggyőző bizonyítékokkal szolgál a menedzsment számára a kiberbiztonsági költségvetés finanszírozásához. Valójában a kutatások azt mutatják, hogy a jobb üzleti kockázatkezelési hatékonysággal rendelkező szervezetek a kiberbiztonsági költségvetést nagyobb prioritásként kezelik, mint az alacsonyabb hatékonyságú szervezetek. Egyszerűen fogalmazva: biztosítson láthatóságot, és nagy valószínűséggel cselekvés következik.

Meséljen el történeteket, és szabja azokat a különböző közönségekhez.

Amikor bemutatja a kiberbiztonsági költségvetését, ne feledje, hogy az emberek jól reagálnak a számokra és a történetekre is. Tehát a kemény számadatok mellett ossza meg valós példákat azokról a szervezetekről, amelyek biztonsági rést szenvedtek el a nem megfelelő kiberbiztonsági befektetések miatt, és tegyen meg mindent az elszenvedett károk számszerűsítésére. Amikor csak lehetséges, igazítsa el narratíváit a jelenlegi közönségéhez, és válasszon olyan történeteket, amelyek összecsengenek a tapasztalataikkal, például a karrierjük során betöltött szerepekkel vagy azokkal az ágazatokkal, amelyekben dolgoztak.

A másik oldalon keressen olyan történeteket is, amelyek bemutatják, hogy a kiberbiztonságba való befektetés hogyan biztosított versenyelőnyt vagy más üzleti előnyt a szervezet számára. Például mind az ügyfelek, mind a partnerek inkább olyan céggel kötnek üzletet, amely elkötelezettséget tanúsít a biztonság iránt. Sőt, a kockázatértékelést vagy a konkrét biztonsági ellenőrzéseket akár szerződésekben is előírhatják, így érdemes megvizsgálni, hogy bizonyos kiberbiztonsági mérföldkövek elérése szélesebb körű üzleti lehetőségeket biztosítana-e szervezetének.

Határozza meg a legkritikusabb eszközeit a stratégia összpontosításához.

A kiberbiztonsági költségvetésnek előtérbe kell helyeznie szervezete legnagyobb értékű eszközeinek védelmét, amelyeket Tier 0-ként ismerünk. Ezek közé tartoznak a kritikus szerverek és a privilegizált fiókok. Mivel hozzáférést biztosítanak a kritikus adatokhoz, és lépcsőfokként szolgálnak az informatikai ökoszisztéma irányításában, a 0. szintű eszközök a fenyegetettség szereplőinek legfőbb célpontjai.

Az Active Directory-környezetben a 0. szintű eszközök közé tartoznak a tartományvezérlők (DC-k), amelyek kulcsfontosságú identitásinformációkat tárolnak, és biztosítják az üzleti folyamatok futásához szükséges létfontosságú hitelesítési és engedélyezési szolgáltatásokat. Valójában gyakran az üzleti folyamatok 90 százaléka vagy több az Active Directorytól és az Entra ID-től (korábban Azure AD) függ. A 0. szint minden olyan fiókot is magában foglal, amely adminisztratív felügyelettel rendelkezik a környezet felett, például olyan kiemelt csoportok tagjait, mint a Domain Admins és Enterprise Admins. Ne feledje, hogy ez nem csak az emberekhez rendelt felhasználói fiókokra vonatkozik, hanem a szolgáltatásfiókokra és a számítógépes fiókokra is.

Fontos, hogy a 0. szint minden olyan fiókot is magában foglal, amely magasabb jogosultságokat szerezhet. Ne feledje, hogy a BloodHound nyílt forráskódú eszköz pontosan meghatározza azokat a lépéseket, amelyeket az ellenfélnek meg kell tennie ahhoz, hogy közönséges felhasználóból kiemelten kiváltságos rendszergazdává váljon, a rejtett engedélyek, a beágyazott csoporttagság és az AD architektúrában rejlő biztonsági hiányosságok kombinációjával. Ezért létfontosságú, hogy proaktívan azonosítsa ezeket a támadási útvonalakat, azonnal mérsékelje őket, és figyelemmel kísérje azokat, amelyekkel még nem foglalkozott.

A CISO-k azt mondják, hogy a legfontosabb biztonsági aggodalmukat az ügyfelekkel és partnerekkel való kapcsolattartás digitális csatornáinak növekedése jelenti, így az ügyfelek, partnerek és alkalmazottak identitásának védelmére való összpontosítás valószínűleg összecseng a vezetői csapat prioritásaival. A hitelesítő adatok veszélyeztetésének kockázatának csökkentése segít megakadályozni, hogy a támadók megvegyék a lábukat a szervezetben, és oldalirányban mozogjanak, hogy veszélybe sodorják az 1. szintű eszközeit.

Bővítse gondolkodását a kiberbiztonságtól a kiberellenállóságig.

Ahelyett, hogy szűken a kiberbiztonságra összpontosítana, tágítsa ki gondolkodását a kiberellenállóságra. Végül is az Ön alapvető célja nem csupán a kiberbiztonsági incidensek elkerülése. Inkább arról van szó, hogy az informatikai rendszereket - és így az üzletet is - a lehető legjobban üzemben tartsuk, és gyorsan újra üzembe helyezzük, ha valamilyen fennakadás történik. És a fennakadásokat nem csak szándékos támadások okozzák; ezek származhatnak nem rosszindulatú eseményekből is, például az informatikai rendszergazdák hibáiból, áramkimaradásokból és berendezéshibákból.

Ennek megfelelően egy valóban hatékony kiberbiztonsági költségvetésnek a kiberellenállóság mind a négy pillérét le kell fednie:

Előre - Tervezze meg a lehető legtöbb csapást, beleértve a kibertámadásokat, természeti katasztrófákat, szerkezeti hibákat, például áramkimaradásokat, stresszeket, például váratlanul nagy rendszerterheléseket, túlterhelt rendszergazdák hibáit, valamint az alkalmazottak vagy a dolgozók rosszindulatú tevékenységét. vállalkozók.
Kiállás - Tegyen lépéseket annak biztosítására, hogy az alapvető funkciók továbbra is fennmaradjanak a csapások ellenére is. Ehhez meg kell határozni az alapvető funkciókat, valamint az összes támogató folyamatot, rendszert, szolgáltatást és infrastruktúrát. Ezután tegyen lépéseket annak érdekében, hogy minimálisra csökkentse annak kockázatát, hogy az Ön által azonosított csapások megzavarják ezeket a funkciókat.
Visszaállítás - Győződjön meg arról, hogy vissza tudja állítani az alapvető funkciókat a csapások alatt és után.
Alkalmazkodás - Üzleti igényei, informatikai ökoszisztémája és a kiberfenyegetettség köre folyamatosan változnak, ezért ügyeljen arra, hogy rendszeresen értékelje a kritikus üzleti funkciókat és azok támogató képességeit, valamint a mérséklési, válaszadási és helyreállítási stratégiák.

Gyors Active Directory helyreállítás engedélyezése.

A kiberreziliencia harmadik pillére további vitát érdemel. A biztonsági mentési és helyreállítási stratégia gyakran az adatokra korlátozódik, például az e-mailek tartalmára, adatbázisokra és dokumentumokra. És mindenképpen fontos, hogy vissza tudjuk állítani ezeket az adatokat, ha véletlenül vagy szándékos támadás részeként törlődnek vagy megsérülnek. De vegye figyelembe, hogy a helyreállítási oszlop az „adatok” helyett a „funkciók” visszaállítására összpontosít. ” Ennek az az oka, hogy még ha visszaállítja is az összes adatbázist, e-mail üzenetet és táblázatot, ezeknek semmi hasznuk nincs, ha az Active Directory nem működik, és nem biztosít hozzáférést hozzájuk.

Az Active Directory egyszerre adatbázis és létfontosságú szolgáltatások halmaza, így az egyszerű adatmentés és -helyreállítás nem fogja életre kelteni őket egy katasztrófa után. Az Active Directory katasztrófa-helyreállítása inkább arról szól, hogy újra működjenek a tartományvezérlők, hogy olyan alapvető szolgáltatásokat nyújthassanak, mint a hitelesítés és az engedélyezés. Egyszerűen fogalmazva, legalább egy működő DC nélkül a helyszíni vagy hibrid Microsoft ökoszisztéma nem működhet.

A DC-k helyreállítása számos lépés aprólékos koordinációját igényli több fázison keresztül: a folyamat előkészítése, a visszaállítás tényleges végrehajtása, a DC szinkronizálása a replikációs partnereivel, majd újra elérhetővé tétele és még sok más. Ez elég bonyolult, ha a katasztrófa az összes DC-t lerombolta egy AD-tartományban; ha a teljes Active Directory-erdő érintett, a helyreállítási folyamat még hosszadalmasabb és összetettebb. És ne feledje, minden másodpercben, amikor az Active Directory leáll, a vállalkozása leáll.

Ezért létfontosságú, hogy befektessen egy dedikált Active Directory biztonsági mentési és helyreállítási megoldásba. A megfelelő megoldással drámai módon csökkentheti az AD állásidőt - és ezáltal az üzleti leállásokat és a pénzügyi veszteségeket. A valós tapasztalatokról szóló jelentések között szerepel egy szervezet, amely 6 napról lerövidítette az AD-helyreállítási időt manuális folyamatokkal mindössze 1 óra 15 perccel, egy másik pedig AD-helyreállítási eszközöket váltott, és 1-2 napról mindössze 1-4 órára csökkentette az AD-helyreállítási időt. - 19,7 millió USD potenciális megtakarítást eredményez három év alatt a zsarolóvírus-támadások utáni gyorsabb felépülésből. Ezek a számok minden bizonnyal visszhangozni fognak a C-suite-el, amikor áttekintik a kiberbiztonsági költségvetését.

Mennyi lesz a kiberbiztonsági kiadás 2023-ban?

Végül vizsgáljuk meg a kiberbiztonsági költségvetések kilátásait és azokat a kulcsfontosságú trendeket, amelyek valószínűleg hatással lesznek rá az elkövetkező években. Egy tanulmány szerint tíz szervezetből kilencnél nőtt a kiberbiztonsági költségvetés 2022-ről 2023-ra, és 2023-ról 2024-re várhatóan növekedni fog. A növekedés 2022-ről 2023-ra 11 százalék volt, és további átlagosan 19 százalékos növekedést prognosztizálnak a 2023-2024-es költségvetési ciklus. Nem meglepő, hogy a legtöbb vezérigazgató és CISO azt mondja, hogy több költségvetést fordíthatna produktív és hatékony felhasználásra - kétszer annyi költségvetésről három-ötször nagyobbra.

Egy másik jelentés azonban úgy találja, hogy a kiberbiztonsági kiadások növekedése csökkenni kezd az olyan tényezők hatására, mint a globális instabilitás és az inflációs nyomás. Megjegyzi, hogy sok CISO azt is mondta, hogy jóváhagyott 2023-as költségvetését az általános költségvetési szigorítás részeként csökkentik. Azon szervezetek közül, amelyek növelték kiberbiztonsági költségvetésüket, 80 százalék jelezte, hogy a költségvetés növekedését biztonsági incidens, jelentős iparági zavar vagy más szélsőséges körülmény okozta - tükrözve a fentebb tárgyalt reakciós gondolkodásra való hajlamot.

A kiberbiztonsági kiadásokkal kapcsolatos további kulcsfontosságú trendek a következők:

Ransomware - A zsarolóvírus-támadások továbbra is az egekbe szöknek, gyakoriságuk 2022 és 2023 között csaknem megduplázódik. Ennek eredményeként a szervezeteknek hatékony zsarolóvírus-észlelési, -megelőzési és -helyreállítási megoldásokat kell beépíteniük kiberbiztonsági költségvetésükbe.
Felhőbiztonság - Ahogy a szervezetek több adatot és munkaterhelést helyeznek át a felhőbe, a felhőalapú biztonsági megoldásokra fordított kiadások növekedni fognak.
IoT-biztonság - Hasonlóképpen, amikor a szervezetek IoT-eszközöket alkalmaznak, kiberbiztonsági költségvetést kell elkülöníteniük sebezhetőségeik megértéséhez és mérsékléséhez, valamint a körülöttük lévő tevékenységek nyomon követéséhez.
Mesterséges intelligencia (AI) és gépi tanulás (ML) - Ezeket a gyorsan fejlődő technológiákat aktívan kihasználják az ellenfelek, akik most minden korábbinál kevesebb technikai tudással képesek hatékony támadásokat indítani. , ezért a szervezeteknek módosítaniuk kell kiberbiztonsági stratégiájukat a kockázatok csökkentése érdekében. Ugyanakkor az AI és az ML a fenyegetésészlelési és -válaszmegoldások fejlesztését is lehetővé teszi, amelyeket az IT-csapatok beépítenek a kiberbiztonsági költségvetési kérelmeikbe.
Szabályozási változások - A kormányzat minden szintjén új adatvédelmi és adatvédelmi szabályozások lépnek életbe, a meglévő megbízásokat pedig szigorúbb követelményekkel és szigorúbb szankciókkal felülvizsgálják. A szervezetek módosítani fogják kiberbiztonsági költségvetésüket a megfelelőség biztosítása érdekében.
Zero Trust biztonsági modell - A szervezetek világszerte a Zero Trust megközelítést alkalmazzák a kiberbiztonság terén. Ez a biztonsági modell azt állítja, hogy egyetlen felhasználóban vagy szolgáltatásban sem szabad hallgatólagosan megbízni, és a szervezeteknek aktívan kell keresniük a gyanús tevékenységeket. A Zero Trust kéz a kézben jár a kiberrezilienciával kapcsolatos gondolkodásmóddal, mivel a Zero Trust modell megvalósítása jelentheti a különbséget aközött, hogy elszenvedünk egy korlátozott, jelentéktelen kárt okozó feltörést, vagy egy olyan jelentős incidenst, amely a létfontosságú üzleti folyamatokat sikítóan leállítja.

Következtetés

A szilárd kiberbiztonsági költségvetés kidolgozása és jóváhagyása nem egyszerű folyamat. A siker érdekében győződjön meg róla, hogy kemény adatokkal rendelkezik jelenlegi IT-kockázati helyzetéről, és világosan fogalmazza meg, hogy ezek az IT-kockázatok hogyan alakulnak át közvetlenül üzleti kockázatokká. A kiberbiztonsági költségvetését oda összpontosítsa, ahol a legnagyobb hatással lesz: a Tier 0 eszközeire, különösen az Active Directoryra és az Entra ID-re, mivel ezek kezelik az Ön személyazonosságát, és szabályozzák a létfontosságú rendszereihez és adataihoz való hozzáférést. Végül bővítse ki gondolkodását a kiberbiztonságról a kiberellenállóságra, és tegye a hatékony Active Directory-katasztrófa-helyreállítást kiberbiztonsági költségvetésének központi részévé.