Secondo il Conference Board, la sicurezza informatica è la preoccupazione principale dei massimi dirigenti aziendali statunitensi.
E davvero, chi può biasimarli? divennero incidenti sicurezza informatica È più diffuso e ora comporta notevoli perdite finanziarie e porta a una perdita di fiducia dei consumatori.
Secondo Security Intelligence, è più probabile che tu subisca una violazione dei dati con 10000 record che un'infezione. Il 148° studio annuale sui costi di violazione dei dati ha rilevato che per ogni record cancellato, le aziende hanno pagato una media di $ 2018 nel 3.86. In media, le violazioni dei dati sono costate $ XNUMX milioni l'anno scorso.
Naturalmente, violazioni dei dati più grandi sono costose. Le aziende che hanno subito violazioni dei dati che coinvolgono meno di 10 record hanno pagato in media 000 milioni di dollari per l'incidente. Quel numero è più che triplicato, o 2.2 milioni di dollari, per incidenti che coinvolgono 6.9 o più record.
Le massicce violazioni, o quelle che coinvolgono più di 39.49 milione di record, sono costate all'azienda in media 50 milioni di dollari. Il rapporto afferma anche che una violazione che minaccia le informazioni di 350.44 milioni di persone ti schiaffeggerà con un conto di $ XNUMX milioni.
Questo è solo il lato monetario. Perdere la fiducia dei consumatori può aumentare questo costo quando si subisce una violazione dei dati. Il rapporto rileva che un'azienda che perde meno dell'uno per cento dei suoi clienti esistenti perderà 2.8 milioni di dollari a causa della violazione. Al quattro percento, puoi perdere in media altri 6 milioni di dollari.
Hai davvero bisogno di identificare i rischi per la sicurezza informatica?
Si.
Il motivo principale per cui dovresti selezionare la taglia Rischi per la sicurezza informatica è quello di aiutarti a creare un budget IT più efficace. Con tutte le violazioni dei big data con enormi sanzioni per le notizie in atto in questo momento, capiamo perché le aziende stanno spendendo di più in tecnologia. Puoi follemente pensare che aiuti a risparmiare denaro quando non sei coperto da tutti i rischi.
Inoltre, con sicurezza informatica L'obiettivo è che non ci siano esiti negativi, come violazioni dei dati o attacchi di hacking. Questa situazione rende difficile vedere i ritorni sui tuoi investimenti nella sicurezza informatica.
Giustifica i tuoi investimenti IT
D'altra parte, la quantificazione dei rischi per la sicurezza informatica può aiutarti a guidare più investimenti nel campo della Tecnologie dell'informazione nei posti dove manca. Conoscere i tipi di rischi di cui essere consapevoli ti aiuterà a giustificare il costo del software, dell'hardware o del nuovo personale IT.
Ottieni una visione migliore della sicurezza
La quantificazione dei rischi per la sicurezza informatica della tua azienda può darti un quadro completo di diverse cose. Conoscerai l'hardware, il software e l'hardware collegati alla tua rete.
Saprai se queste risorse sono aggiornate o meno. Saprai se ci sono risorse che non vengono più utilizzate.
Saprai dove si trova tutto, quali tipi di file sono archiviati e dove e cosa devi disattivare o disattivare.
Valuta i diversi tipi di attacchi
Ciò che rende ancora più difficile misurare i rischi per la sicurezza informatica è che la sicurezza informatica può essere molto complessa. Non solo stanno emergendo nuove tecnologie, ma ci sono anche diversi tipi di minacce.
Ad esempio, puoi ottenere il software, la formazione e le tecniche più recenti per aiutarti a combattere le truffe via e-mail di phishing. Ma queste precauzioni non significano che sei al sicuro da attacchi DDoS o da un attacco alla catena di approvvigionamento.
La quantificazione dei rischi per la sicurezza informatica può aiutarti a sapere quali risorse IT disponi e quali tipi di attacchi sono possibili utilizzando tali risorse. Questa conoscenza, a sua volta, ti aiuterà a ottenere gli strumenti, l'esperienza e le tecniche che possono aiutarti a combattere tutti i possibili attacchi.
In tal modo, sarai in grado di aumentare l'efficienza dei tuoi strumenti, politiche e risorse di sicurezza informatica. Sarai in grado di indirizzare le strategie più efficaci verso i sistemi più importanti e le informazioni più sensibili.
Nel caso delle piccole imprese, sarai in grado di allocare le risorse dove sono realmente necessarie, pur essendo consapevole del potenziale attacco potenziale in altre parti della tua azienda.
Altri motivi: perché dovresti identificare il tuo rischio per la sicurezza informatica
Il motivo più importante per stimare i rischi per la sicurezza informatica è assicurarsi di essere in grado di utilizzare i budget IT in modo più efficiente, mentre si dà una rapida occhiata alla propria attività e ai rischi di Internet che si devono affrontare.
Tuttavia, ci sono anche altri motivi per cui dovresti farlo:
- Minori costi nel lungo periodo. "Quando identifichi potenziali minacce, puoi mitigare in modo proattivo i rischi che affronti e prevenire incidenti di sicurezza", spiega Sid Governey, co-fondatore e CEO di Ziguru. "Ciò significa che eviterai di dover affrontare una multa normativa (oltre ad altri costi di una violazione dei dati) che può arrivare a centinaia di migliaia o milioni di dollari".
- Puoi avere un modello per le valutazioni future. Determinare il tuo rischio per la sicurezza informatica non è un affare una tantum. Dovrai eseguire una valutazione regolare per assicurarti di essere ancora adeguatamente protetto dalle minacce più recenti. La buona notizia è che eseguire questa operazione la prima volta ti fornirà un modello per le valutazioni future.
- cosciente. Non c'è niente di sbagliato nell'essere consapevoli di sé. In effetti, tutte le aziende di successo portano questa caratteristica. Identificare i rischi per la sicurezza informatica può aiutarti a vedere dove si trovano i tuoi punti di forza e di debolezza. In quanto tale, sai dove hai bisogno di maggiori investimenti in modo da poter tappare i buchi.
- migliorare la comunicazione. La stima dei rischi per la sicurezza informatica della tua organizzazione non è un lavoro da soli. Avrai bisogno del contributo di vari dipendenti e dipartimenti, indipendentemente dalle dimensioni della tua attività. In quanto tale, l'esercizio aiuterà ad avviare e facilitare la comunicazione tra due dipendenti o dipartimenti.
- Conformità alle normative. A seconda del settore in cui lavori, potresti essere legalmente obbligato a identificare un rischio per la sicurezza informatica o eseguire una valutazione del rischio su Internet. Ad esempio, l'Health Insurance Portability and Accountability Act (HIPAA) richiede agli ospedali e ad altre entità coperte di farlo. Le altre società devono rispettare i requisiti PCI-DSS, nonché le leggi locali, statali e federali.
- Ottieni un'assicurazione online. Sapevi che due aziende su tre pensano che chiuderanno un negozio o chiuderanno la propria attività se vengono hackerate o subiscono una violazione dei dati? Ottenere l'assicurazione può aiutare. "Proprio come la salute e altre forme di assicurazione, avere un'assicurazione online garantirà di non incorrere in difficoltà finanziarie se i sistemi di sicurezza informatica falliscono e si subisce una violazione dei dati", spiega Gavirini.
Come si misurano i rischi per la sicurezza informatica?
Non basta solo dire: "Non abbiamo avuto violazioni dei dati nell'ultimo anno, quindi i nostri investimenti in sicurezza informatica stanno funzionando".
La buona notizia è che ci sono molti modi per stimare i rischi per la sicurezza informatica, come condurre valutazioni interne o audit di terze parti, test di penetrazione e altro ancora.
Come fare le valutazioni interne
Non è facile stimare l'entità dei rischi per la sicurezza informatica, ma non è impossibile farlo. Tutto ciò di cui hai bisogno è scegliere un framework di sicurezza affidabile su cui basare le tue valutazioni del rischio.
La guida del National Institute of Standards and Technology è un buon inizio.
Inizia a rivedere i dati
Avrai sempre voglia di iniziare con una revisione dei dati, che ti darà una visione chiara delle informazioni che la tua azienda raccoglie e memorizza. Imparerai anche come documentare e proteggere i dati che raccogli. Infine, dovresti sapere per quanto tempo conservi i dati e cosa fare quando non ti sono più utili.
Definisci parametri
Dovresti sempre sapere cosa stai cercando di ottenere prima di iniziare a identificare i rischi per la sicurezza informatica. Ad esempio, lo scopo e la portata della valutazione dovrebbero essere chiari. Dovresti anche scoprire se hai priorità o vincoli che potrebbero influenzare la valutazione. Dovresti anche identificare le persone chiave che dovrebbero essere coinvolte nel processo.
Determina la fonte della minaccia
Devi sapere da dove arriveranno potenziali falle di sicurezza informatica. Possono essere dipendenti, addetti ai lavori, hacker e altri individui. Può essere un'entità straniera o altre terze parti. Oppure i tuoi concorrenti potrebbero spiarti. Hai anche minacce non ostili, come utenti regolari dei tuoi sistemi o del tuo sito web.
Conoscere gli eventi di minaccia
Vari framework, come NIST, ti forniranno una spiegazione più completa di cosa sono gli eventi di minaccia, come vengono eseguiti e come fermarli. Ad esempio, il NIST elenca alcune delle minacce più comuni, come l'accesso non autorizzato, le minacce interne, la fuga di dati, la perdita di dati e l'interruzione delle operazioni. Dovresti anche sapere quali vulnerabilità esistono nel tuo sistema e come vengono sfruttate.
Determina la probabilità che si verifichino questi eventi
Dopo aver identificato le minacce e aver raccolto altre informazioni, dovresti essere in grado di determinare la probabilità di un particolare attacco.
Comprendi il potenziale impatto
Un'altra cosa che dovresti sapere è il potenziale impatto dell'attacco.
Tutte queste informazioni ti aiuteranno a identificare i tuoi rischi per la sicurezza informatica. In quanto tale, il tuo rischio per la sicurezza informatica è una combinazione della probabilità che si verifichi l'evento e delle potenziali perdite che potresti subire se si verificasse.
Chi dovrebbe quantificare i rischi per la sicurezza informatica?
Sebbene tutti dovrebbero essere a bordo quando si tratta di questo esercizio, alla fine spetta alla squadra o all'individuo che effettivamente porterà a termine il lavoro. Il team o l'individuo responsabile deve avere una conoscenza approfondita di come funzionano la rete e l'infrastruttura digitale.
Deve avere una profonda comprensione di come le informazioni fluiscono da un dipartimento all'altro e anche altre informazioni dal lato commerciale delle cose che possono essere utili per le valutazioni.
Tuttavia, se non hai il personale per questo, puoi sempre esternalizzare. Ci sono aziende e individui che possono fornirti valutazioni del rischio Internet. Detto questo, dovresti chiedere consigli. Puoi verificare con colleghi e altre società che hanno nominato un consulente o una società per lo stesso scopo.
Una volta che hai già identificato alcuni potenziali clienti, dovresti sempre esaminare attentamente una potenziale azienda o consulente. Controlla le recensioni online o ricevi feedback dai clienti precedenti. Puoi farti un'idea di quanto accuratamente lavorano, della loro professionalità, etica del lavoro e della loro efficienza. In breve, saprai quali di loro stanno facendo davvero un ottimo lavoro e quale sta solo cercando di completare il rapporto e poi tirarti fuori dai tuoi sudati guadagni.
Infine, richiedi un preventivo. Questo ti aiuterà a sbarazzarti di prezzi e costi. Ti aiuterà anche a conoscere la portata del lavoro che faranno.
Problemi e limiti
Queste opzioni hanno i loro limiti e svantaggi. Sono ad alta intensità di risorse. Potresti non essere in grado di dedicare il tuo team IT o assumere un'azienda per controllare la tua sicurezza informatica con il tuo flusso di cassa disponibile.
Inoltre, queste opzioni sono valide solo per un periodo di tempo specifico. Il tuo antivirus potrebbe essere in grado di bloccare un'e-mail infetta durante l'esecuzione dei test, ma ciò non garantisce che sarà in grado di intercettare tutto in futuro.
Anche i test di penetrazione, gli audit interni e le terze parti sono molto soggettivi. Spesso producono parametri tecnici che un datore di lavoro potrebbe non essere in grado di comprendere.
Complessivamente, lo scenario che vede la maggior parte delle piccole imprese è questo: devono prendere una decisione oggi, ma non possono fare affidamento sui test effettuati nell'ultimo trimestre. Devono fare un altro audit, ma l'ultimo ha richiesto più di un mese e, ad essere onesti, è stato molto costoso. Pertanto, per la maggior parte delle piccole imprese che scelgono di intraprendere questi processi per identificare i propri rischi per la sicurezza informatica, è almeno una sfida.
Identificare i rischi di cybersecurity: non facile ma necessario
Tutto ciò che vale la pena fare richiederà molto lavoro. La buona notizia è che il processo di identificazione dei rischi per la sicurezza informatica è una di quelle cose. Che diventa più facile col tempo, ma la prima volta che lo fai, richiederà molto sforzo.
Ci sono vantaggi nel far valere la pena. Ti aiuta a ottenere una visione completa dei tuoi rischi IT e di pagamento e aiuta anche a risparmiare denaro a lungo termine. Non devi nemmeno aspettare, puoi utilizzare le informazioni che ottieni dall'identificazione dei rischi per la sicurezza informatica per aiutarti a allocare il tuo budget per la sicurezza IT in modo più efficiente.
