Wyobraź sobie: jest sezon podatkowy , a dyrektor HR otrzymuje wiadomość e-mail od kogoś, kto podszywa się pod Ciebie – od dyrektora generalnego. Dyrektor HR uważa, że e-mail jest zgodny z prawem i jest zgodny z prośbą o przesłanie kopii W2 wszystkich Twoich pracowników. Kilka dni później nadawca wiadomości e-mail – który w rzeczywistości jest wykwalifikowanym hakerem – używa tych W2 do złożenia partii fałszywych zeznań podatkowych .
Takie cyberataki zdarzają się każdego dnia. A jeśli prowadzisz małą lub średnią firmę, jesteś bezpośrednim celem ataku. Małe i średnie firmy padają ofiarą zdecydowanej większości naruszeń bezpieczeństwa danych, ponieważ mają tendencję do:
- Brak wystarczających środków bezpieczeństwa i przeszkolonego personelu
- Przechowuj dane, które są cenne dla hakerów (np. numery kart kredytowych, chronione informacje zdrowotne)
- Zaniedbanie korzystania z zewnętrznego źródła lub usługi innej firmy do tworzenia kopii zapasowych plików lub danych, co naraża je na ataki oprogramowania ransomware
- Połącz się z łańcuchem dostaw większej firmy i może być wykorzystany do włamania
Nasz najnowszy raport - współpraca badawcza z Cisco i Narodowe Centrum Rynku Średniego - opiera się na danych 1377 dyrektorów generalnych małych i średnich firm, którzy opowiadają podobną historię. Sześćdziesiąt dwa procent naszych respondentów stwierdziło, że ich firmy nie mają aktualnej ani aktywnej strategii cyberbezpieczeństwa – ani żadnej strategii. I to jest poważny problem, biorąc pod uwagę, że koszt cyberataku może być wystarczająco wysoki, aby wykluczyć firmę z biznesu; według National Cyber Security Alliance 60 procent małych i średnich firm, które zostały zhakowane, wycofuje się z działalności w ciągu sześciu miesięcy.
Jeśli jesteś wśród tych dyrektorów generalnych, nadszedł czas na zmianę. Wykonaj te cztery kroki, aby rozpocząć tworzenie strategii cyberbezpieczeństwa, która nie pozwoli hakerom na dostęp do Twojej firmy. .
1. Określ aktualny stan cyberbezpieczeństwa Twojej firmy.
Połącz członków zespołu kierowniczego wyższego szczebla, rady dyrektorów i inwestorów, aby przeprowadzić nieformalny audyt firmy. . Poczuj poziom bezpieczeństwa, jaki masz dzisiaj.
Pytania do zadania: Czy ktoś odpowiada za nasze cyberbezpieczeństwo? Jakie zabezpieczenia już mamy na miejscu? Czy nasza strategia jest kompleksowa i skoordynowana? Jeśli nie, czy możemy wskazać nasze słabe punkty?
2. Zidentyfikuj kluczową osobę odpowiedzialną za Twoje cyberbezpieczeństwo.
Zaangażuj liderów z całej organizacji — nie tylko z działu IT. Uwzględnij osoby z różnych obszarów funkcjonalnych, takich jak relacje międzyludzkie, marketing, operacje i finanse. Innymi graczami niezbędnymi w tej rozmowie są prawnik i księgowy/audytor.
Pytania do zadania: Kto powinien odpowiadać za nasze cyberbezpieczeństwo? Jaki proces możemy wdrożyć, aby zapewnić rozliczalność? Jak możemy komunikować się i zwiększać świadomość na temat cyberbezpieczeństwa w naszych różnych działach i zespołach?
3. Zrób spis swoich aktywów, określ ich wartość i ustal priorytety najbardziej krytycznych aktywów.
Zidentyfikuj „klejnoty koronne” w Twojej firmie, niezależnie od tego, czy są to akta pracowników, własność intelektualna czy dane klientów. Pamiętaj, że nigdy nie będziesz w 100% bezpieczny przed atakiem, dlatego ważne jest ustalanie priorytetów obszarów obrony.
Pytania do zadania: Jakie są najważniejsze aktywa, które musimy chronić? Dane klienta? Własność intelektualna? Ewidencja pracowników? Czy możemy zmierzyć stopień poufności, integralności, dostępności i bezpieczeństwa naszych najważniejszych zasobów?
4. Zdecyduj, jakimi możliwościami biznesowymi i środkami bezpieczeństwa cybernetycznego chcesz zarządzać samodzielnie w porównaniu z outsourcingiem.
Zastanów się, czy warto zlecić na zewnątrz niektóre aspekty Twojej firmy systemowi opartemu na chmurze, aby zwiększyć swoje bezpieczeństwo. . Jednocześnie zastanów się, czy warto zaangażować eksperta lub dostawcę cyberbezpieczeństwa. Zdecyduj, czy chcesz współpracować z konsultantem, aby opracować plan cyberbezpieczeństwa, czy też całkowicie zlecić cyberbezpieczeństwo na zewnątrz.
Pytania do zadania: Jakie aspekty naszej działalności – takie jak realizacja zamówień – powinniśmy obsługiwać wewnętrznie, a jakie outsourcing do strony trzeciej (np. Amazon, Cisco, Google)? Czy powinniśmy zlecić nasze cyberbezpieczeństwo firmie zewnętrznej? Czy powinniśmy korzystać z ułamkowego modelu CIO i szukać doradztwa w zakresie cyberbezpieczeństwa? A może sami powinniśmy zająć się całym procesem?
jessica noyes i matt noyes
Najlepsza obrona to dobra ofensywa. Priorytetem jest ochrona danych z korzyścią dla pracowników, klientów i długoterminowej kondycji firmy.
