Revista >> Bank Watch Octombrie 2009 [Nr. 7] >> Securitate

Cum şi cui se adresează programul de securitate al informaţiei

Razvan Grigorescu

15 Martie 2010

Este suficient să ridicaţi privirea... În spaţiul virtual, dincolo de ecranul calculatorului, este un razboi în plină desfăşurare... Exista lupte, victime, armistiţii şi mize greu de cuantificat şi nu mă refer la jocurile la modă printre “Internauţi”. Este cât se poate de real, este acolo, este permanent şi se duce printre zgomotul monoton al ventilatoarelor şi licăritul impasibil al LED-urilor echipamentelor IT&C: Este vorba numai despre cine controlează informaţia.

CISO¹, a cărui misiune este guvernată prin prisma celor trei mari obiective ale sale: confidenţialitatea, integritatea şi disponibilitatea informaţiei, se confruntă încă din clipa constituirii echipei de securitate a informaţiei, cu numeroase dificultăţi.
Eforturile de concepţie ale programului de securitate al informaţiei încep încă de la primul contact, odată cu procesul de intervievare. Acest moment, poate oferi primele indicii asupra viziunii şi filozofiei conducerii cu privire la securitatea informaţiei. Sprijinul pe care îl oferă, este esenţial pentru reuşita obiectivelor CISO.

Stabilirea unor obiective realiste

CISO trebuie să stabilească un parcurs al implementării propriului program de securitate, avansând obiective şi scopuri realiste. Nu trebuie făcute angajamente care nu pot fi respectate. Credibilitatea odată compromisă, de regulă este extrem de dificil de recuperat. Acest aspect este definitoriu în domeniul securităţii informaţiei, mai ales în raport cu managementul superior al organizaţiei.

Percepţia existentă este că domeniul securităţii informaţiei nu produce venit iar programul de securitate va deveni într-adevăr important doar în situaţia existenţei unor expuneri majore pe parte de risc sau/şi ne-conformităţi evidente.

Proiectul iniţial

La baza oricărei iniţiative lăudabile este necesar să stea o strategie bine gândită şi un plan de proiect detaliat. Acest aspect include sarcini dar şi asumarea responsabilităţii pentru livrabile. Monitorizarea şi elaborarea de rapoarte periodice conferă vizibilitate din punct de vedere al conducerii asupra progresului existent şi suplimentar va exista o verificare asupra alinierii strategiei securităţii informaţiei la strategia globală a organizaţiei.

Plan de implementare

Prima fază în crearea unui nou program de securitate al informaţiei, o constituie cea de informare. CISO trebuie să-şi părăsească biroul, să se întâlnească cu ceilalţi manageri din cadrul instituţiei, ieşind din anonimat şi stabilind relaţii personale. Aceste demersuri sunt vitale pentru obţinerea unui sprijin eficient. În zilele noastre, prea mulţi manageri se bazează în mod exclusiv pe audio-conferinţe sau E-mail.

Echipa de securitate a informaţiei trebuie să se implice în mod activ în educarea personalului cheie, de conducere, din cadrul organizaţiei asupra modalităţilor prin care securitatea informaţiei poate aduce un plus de valoare funcţiilor acestora de afaceri. Managerul în securitatea informaţiei trebuie să militeze în mod continuu şi să convingă asupra faptului că echipa pe care o coordonează este parte integrantă a procesului de afaceri din cadrul organizaţiei.

Este imperativ necesar pentru oricine iniţiază un program de securitate al informaţiei să realizeze nevoile clienţilor interni şi externi. CISO trebuie să înţeleagă contextul şi istoricul organizaţiei în care îşi desfăşoară activitatea precum şi pe al fiecărei entităţi de afaceri din cadrul acesteia:

- Bunurile şi valorile critice ale organizaţiei;
- Produsele şi serviciile existente;
- Mediul de afaceri concurenţial;
- Planurile strategice ale companiei;
- Cum poate securitatea informaţiei să contribuie la efortul global şi să determine o diferenţiere pe piaţă?

CISO şi echipa sa trebuie să fie conştienţi de faptul că sistemele IT&C aflate în slujba funcţiilor de afaceri ale instituţiei, nu sunt în administrarea acestora, ei fiind consultanţi interni pe probleme de securitate având un rol important, de suport.
Un alt factor extrem de important care trebuie să stea la baza programului de securitate al informaţiei iniţiat de CISO, o constituie sincronizarea cu strategia de afaceri pe termen lung precum şi cu necesităţile tactice pe termen scurt ale organizaţiei.