Kiberdrošība nesākas ar tehnoloģijām, bet gan ar uzticību
Kiberdrošība bieži tiek raksturota kā tehnisks izaicinājums. Ugunsmūri, piekļuves kontroles, uzraudzības sistēmas un incidentu reaģēšanas rīki parasti dominē diskusijās. Lai gan šie pasākumi ir būtiski, tie nav tas, ar ko patiesi sākas kiberdrošība. Praksē tā sākas daudz agrāk — brīdī, kad organizācija nolemj, ar ko tā veiks uzņēmējdarbību.
Mūsdienu bizness ir dziļi savstarpēji saistīts. Uzņēmumi paļaujas uz ārējiem pakalpojumu sniedzējiem, pārdevējiem, finanšu starpniekiem un partneriem pāri robežām. Katrs savienojums rada darbības vērtību, bet arī rada risku. Ja biznesa partnera identitāte ir neskaidra, novecojusi vai grūti pārbaudāma, kļūst neiespējami ticami novērtēt šo risku.
Kiberdrošība ir balstīta uz uzticību. Un uzticība sākas ar zināšanām, ar ko jūs patiesībā nodarbojaties.
Kāpēc ar tehnisko drošību vien vairs nepietiek
Tehniskās drošības kontroles ir paredzētas sistēmu aizsardzībai, taču tās pieņem, ka piekļuve tiek piešķirta pareizajām vienībām. Ja piekļuve tiek piešķirta nepareizai organizācijai — vai organizācijai, kuras izcelsme ir slikti saprotama —, pat spēcīgi tehniskie kontroles pasākumi var neizdoties novērst kaitējumu.
Daudzi nopietni kiberdrošības incidenti rodas nevis no tiešiem sistēmas pārkāpumiem, bet gan no uzticamu attiecību ļaunprātīgas izmantošanas. Kad apdraudējuma dalībnieks darbojas caur šķietami likumīgu partneri, piegādātāju vai darbuzņēmēju, tehniskā aizsardzība kļūst daudz mazāk efektīva.
Tas pārvirza galveno jautājumu no “Kā mēs aizsargājam savas sistēmas?” uz “Kam mums vispār vajadzētu uzticēt piekļuvi?”
Trešo pušu risks kā centrāls kiberdrošības jautājums
Pieaugoša kiberdrošības un darbības riska daļa rodas no trešajām pusēm. Tie var ietvert piegādātājus, IT pakalpojumu sniedzējus, maksājumu apstrādātājus, loģistikas partnerus vai ārpakalpojumu atbalsta funkcijas. Katra trešā puse kļūst par daļu no organizācijas paplašinātās digitālās perimetra.
Trešo pušu risks neaprobežojas tikai ar programmatūras ievainojamībām vai nedrošu infrastruktūru. Tas ietver arī:
- neskaidrs juridiskais statuss
- necaurspīdīgas īpašumtiesību struktūras
- nepastāvīgi vai novecojuši reģistra dati
- grūtības noteikt atbildību
Lai efektīvi pārvaldītu šos riskus, organizācijas paļaujas uz strukturētiem verifikācijas procesiem, tostarp KYC un uzņēmumu verifikāciju
Ja organizācija nevar skaidri identificēt savus darījumu partnerus, ievērojami palielinās gan drošības, gan atbilstības riski.
Regulatīvais virziens: uz risku balstīts un uz identitāti orientēts
Visās jurisdikcijās regulatīvie ietvari virzās uz vairāk uz risku balstītu un uz identitāti orientētu pieeju kiberdrošībai. Tā vietā, lai noteiktu konkrētus tehniskos kontroles pasākumus, regulatori arvien vairāk sagaida, ka organizācijas sapratīs un pārvaldīs riskus visā savā darbības vidē, tostarp piegādātājiem un pakalpojumu sniedzējiem.
Eiropas Savienībā šīs pārmaiņas ir skaidri atspoguļotas NIS2 direktīvā un kiberdrošības prasībās
Oficiālajam tiesiskajam regulējumam skatiet NIS2 direktīvu
Lai gan ietvari atšķiras visā pasaulē, galvenās cerības ir konsekventas: organizācijām jāspēj pierādīt, ka tās zina, uz ko paļaujas un kā šīs attiecības ietekmē to drošības stāvokli.
Uzņēmuma identitāte kā kiberdrošības pamats
Ja uz kiberdrošību raugās plašāk, uzņēmuma identitāte kļūst par galveno jēdzienu. Globāli standartizētu pieeju uzņēmumu identifikācijai nodrošina Juridiskās personas identifikators (LEI)
Uzņēmuma identitāte sniedzas daudz tālāk par uzņēmuma nosaukumu vai reģistrācijas numuru. Tas ietver:
- juridisko esamību un statusu
- oficiālu reģistra informāciju
- īpašumtiesību un kontroles struktūras
- attiecības ar citām juridiskām personām
- datu precizitāti un savlaicīgumu
Bez skaidras un standartizētas uzņēmuma identitātes uzticams riska novērtējums kļūst apgrūtināts. Šis izaicinājums pastiprinās pārrobežu vidēs, kur dati tiek iegūti no vairākiem valstu reģistriem, izmantojot dažādus formātus un standartus.
Digitālajā un automatizētajā vidē uzņēmuma identitātei jābūt nepārprotamai, mašīnlasāmai un starptautiski konsekventai, lai atbalstītu efektīvu riska pārvaldību.
Mazo uzņēmumu perspektīva: kļūt par uzticamu partneri
Diskusijas par kiberdrošību un regulējumu bieži koncentrējas uz lielām organizācijām. Tomēr tā pati dinamika spēcīgi ietekmē mazos un vidējos uzņēmumus, kas vēlas sadarboties ar korporācijām, finanšu iestādēm vai starptautiskiem klientiem.
Mazākiem uzņēmumiem galvenais šķērslis bieži vien nav produktu kvalitāte vai tehniskās iespējas, bet gan uzticība. Lielām organizācijām ir jānovērtē risks katram jaunam partnerim, taču tās nevar to darīt manuāli un padziļināti katram potenciālajam piegādātājam. Tā rezultātā tās paļaujas uz standartiem, signāliem un strukturētiem datiem, lai izlemtu, kuras attiecības ir vērts izpētīt tālāk.
Daudzas sadarbības iespējas apstājas nevis tāpēc, ka piedāvājumam trūkst vērtības, bet gan tāpēc, ka darījuma partneri nevar ātri un skaidri saprast.
LEI kā uzticības un ieviešanas paātrinātājs
Šeit kļūst svarīgs juridiskās personas identifikators (LEI). LEI ir globāls standarts, kas paredzēts, lai unikāli identificētu juridiskas personas un saistītu tās ar pārbaudītiem atsauces datiem no autoritatīviem avotiem.
Mazākiem uzņēmumiem LEI ir ne tikai normatīva prasība noteiktos kontekstos. Tas ir praktisks rīks, kas ļauj tiem prezentēt sevi tādā veidā, kas atbilst tam, kā lielas organizācijas pārvalda risku.
LEI signalizē, ka:
- vienība ir unikāli identificējama
- tās galvenie atsauces dati ir saistīti ar oficiāliem reģistriem
- informācija par īpašumtiesībām ir deklarēta standartizētā veidā
- datus var izmantot automatizētos un pārrobežu procesos
No lielas organizācijas perspektīvas tas samazina sākotnējo nenoteiktību un paātrina lēmumu par to, vai potenciālā partnerība var virzīties uz priekšu. LEI negarantē sadarbību, kā arī neaizstāj pienācīgu pārbaudi, bet tas palīdz uzņēmumam kļūt saprotamam un novērtējamam daudz agrāk procesā.
Kiberdrošība kā kopīga atbildība visā piegādes ķēdē
Kiberdrošība ir ne tikai lielu pircēju vai centrālo platformu atbildība. Katrs dalībnieks piegādes ķēdē sniedz ieguldījumu kopējā riska profilā. Ja viena puse nevar skaidri prezentēt savu identitāti vai atjaunināt savus datus, visa ķēde kļūst neaizsargātāka.
Šī iemesla dēļ mazāki uzņēmumi arī gūst labumu no tādu standartu pieņemšanas, kas atvieglo to pārbaudi un integrāciju partneru riska pārvaldības ietvaros — bieži vien pirms šādas cerības tiek formāli pieprasītas.
Nepārtraukta precizitāte kā priekšnoteikums uzticībai
Ne kiberdrošība, ne uzņēmuma identitāte nav statiska. Uzņēmumi mainās, īpašumtiesību struktūras attīstās un dati noveco. Identitātes pārbaudes, kas veiktas tikai vienu reizi, ātri zaudē savu vērtību.
Efektīva riska pārvaldība ir atkarīga no identitātes informācijas, kas laika gaitā paliek precīza un aktuāla. Šī nepārtrauktā uzticamība atbalsta ne tikai atbilstību, bet arī ilgtermiņa uzticību starp biznesa partneriem.
Secinājums
Kiberdrošība nesākas serveru telpā, un tā nebeidzas ar programmatūru. Tā sākas ar izpratni par to, ar ko jūs veicat uzņēmējdarbību un uz kāda pamata pastāv šīs attiecības.
Tehniskie kontroles pasākumi joprojām ir būtiski, bet bez skaidras, standartizētas un atjauninātas uzņēmuma identitātes tie ir nepilnīgi. Mūsdienu savstarpēji saistītajā un regulētajā ekonomikā darījumu partneru pazīšana ir viens no svarīgākajiem pieejamajiem drošības pasākumiem.
LEI nodrošina kopīgu, globālu ietvaru, kas palīdz gan lielām, gan mazām organizācijām veidot uzticību, uzlabot pārredzamību un efektīvāk sadarboties pāri robežām.