Revista >> Bank Watch Octombrie 2009 [Nr. 7] >> Securitate

Cum şi cui se adresează programul de securitate al informaţiei

Razvan Grigorescu

15 Martie 2010

Îmbogăţirea culturii organizaţionale în lumina obiectivelor CISO

Cel mai răsunător efect al eforturilor de implementare al programului de securitate al informaţiei va fi determinat de iniţiativele legate de conştientizarea în rândul organizaţiei asupra valorilor specifice securităţii informaţiei. Aceste demersuri vor facilita comunicarea pe teme specifice şi vor contribui la educarea celei mai slabe verigi menţionate în domeniul securităţii – natura umană. Este important ca toată lumea să conştientizeze paradigma schimbării şi să devină parte a soluţiei, nu parte a problemei.

Definirea unui model de maturitate al securităţii informaţiei

Trebuie să fim conştienţi de faptul că nu există securitate 100% iar în consecinţă vor exista şi expuneri la risc. În această situaţie, care ar fi cel mai nimerit model de urmat în implementarea unui program de securitate al informaţiei? Să spunem că nu ne-ar satisface un răspuns de tipul “Depinde de industria din care face parte organizaţia, practicile de afaceri şi cultura existentă”... şi totusi în cadrul aceluiaşi tip de organizaţie cu practici şi culturi asemănătoare, care ar fi soluţia ideală? Practica a demonstrat că este necesar ca noul program de securitate să păstreze un echilibru între administrarea expunerii în faţa riscurilor, cele mai bune practici în domeniu şi un raport favorabil, cost-performanţă.

“Errare humanum est, sed perseverare diabolicum”²; Plecând de la acest vechi dicton latin dar surprinzător de actual prin prisma tehnologiilor la care ne referim, CISO, independent de experienţa şi cunoştinţele de care dispune, trebuie să apeleze la un consultant extern care să treacă în revistă şi să evalueze suplimentar intreaga infrastructură IT&C din cadrul organizaţiei. Acest demers va confirma existenţa expunerilor deja identificate dar va crea posibilitatea descoperirii unora noi, aceasta fiind o primă iniţiativă în sensul reducerii riscului existent.

Capcane

Două sunt aspectele care pot contribui la eşecul implementării unui nou program de securitate al informaţiei:

- Se va evita furnizarea unor aşteptări ne-realiste;
- Informarea asupra ameninţărilor identificate se va face în timp real;

Este esenţială determinarea aşteptărilor, termenelor, resurselor şi finanţarea aferentă proiectelor de securitate iniţiate. Nu există ceva mai deranjant decât o problemă care să treneze zile sau săptămâni. Greşelile trebuie recunoscute, asumată responsabilitatea şi propuse planuri de remediere.

Comunicarea

CISO trebuie să stăpânească cunoştinţele şi tehnicile necesare livrării celui mai nimerit mesaj către cea mai potrivită audienţă într-o manieră care va determina implicare activă. Acest rol tratează discretizarea situaţiilor complexe în probleme uşor de înţeles, şi explicitarea acestora către diverse audienţe.

CISO¹ - Chief Information Security Officer (Engl. orig.) Manager Securitatea Informaţiei
"Errare humanum est, sed în errore perseverare diabolicum"² (Latina orig.)
Să greşeşti este omeneşte, să perseverezi în greşeală este diabolic.