Киберсигурността не започва с технологии, а с доверие
Киберсигурността често се описва като технически проблем. Защитните стени, контролът на достъпа, системите за мониторинг и инструментите за реакция при инциденти обикновено доминират в дискусията. Макар тези мерки да са важни, именно там киберсигурността всъщност не започва. На практика тя започва много по-рано — в момента, в който организацията решава с кого да работи. Съвременният бизнес е дълбоко взаимосвързан. Компаниите разчитат на външни доставчици на услуги, търговци, финансови посредници и партньори отвъд граница. Всяка връзка създава оперативна стойност, но и внася риск. Когато идентичността на бизнес партньора е неясна, остаряла или трудна за проверка, оценката на този риск става невъзможна. Киберсигурността се изгражда на доверие. А доверието започва с познаването на онези, с които реално работите.Защо само техническата сигурност вече не е достатъчна
Техническите мерки за сигурност са създадени да защитават системите, но те предполагат, че достъпът се предоставя на правилните юридически лица. Ако достъп бъде даден на грешна организация — или на организация, чийто произход е слабо познат — дори силните технически контроли може да не успеят да предотвратят вреда. Много сериозни инциденти в киберсигурността произхождат не от директни пробиви в системите, а от злоупотреба с доверителни отношения. Когато злонамерен извършител действа чрез привидно легитимен партньор, доставчик или подизпълнител, техническата защита става значително по-неефективна. Това променя основния въпрос от „Как да защитим системите си?“ на „На кого всъщност трябва да доверим достъп?“Рискът от трети страни като централен въпрос на киберсигурността
Все по-голяма част от риска за киберсигурността и оперативния риск идва от трети страни. Те могат да включват доставчици, ИТ доставчици на услуги, платежни обработващи, логистични партньори или изнесени поддържащи дейности. Всяка трета страна се превръща в част от разширения цифров периметър на организацията. Рискът от трети страни не се ограничава до софтуерни уязвимости или несигурна инфраструктура. Той включва също:- неясен правен статус
- непрозрачни структури на собственост
- непоследователни или остарели регистърни данни
- трудности при определянето на отговорност
Когато организацията не може ясно да идентифицира своите контрагенти, рисковете за сигурността и съответствието се увеличават значително.
Регулаторна насока: основана на риска и фокусирана върху идентичността
В различните юрисдикции регулаторните рамки се насочват към по-риск-базиран и фокусиран върху идентичността подход към киберсигурността. Вместо да предписват конкретни технически контроли, регулаторите все по-често очакват организациите да разбират и управляват риска в цялата си оперативна среда, включително доставчиците и доставчиците на услуги.
В Европейския съюз тази промяна ясно се отразява в Директивата NIS2 и изискванията за киберсигурност За официалната правна рамка вижте Директивата NIS2
Макар рамките да се различават в световен мащаб, основното изискване е постоянно: организациите трябва да могат да докажат, че знаят на кого разчитат и как тези отношения влияят на тяхната сигурност.
Бизнес идентичността като основа на киберсигурността
Когато киберсигурността се разглежда по-широко, бизнес идентичността се превръща в основно понятие. Глобално стандартизиран подход за идентификация на бизнеса осигурява идентификаторът на юридическо лице (LEI)Бизнес идентичността далеч надхвърля наименованието на компанията или регистрационния номер. Тя включва:
- правно съществуване и статус
- официална регистърна информация
- структури на собственост и контрол
- връзки с други юридически лица
- точност и актуалност на данните
Гледната точка на малкия бизнес: как да станете доверен партньор
Дискусиите за киберсигурността и регулацията често се фокусират върху големите организации. Все пак същата динамика силно засяга малките и средните предприятия, които искат да работят с корпорации, финансови институции или международни клиенти. За по-малките фирми основната пречка често не е качеството на продукта или техническите възможности, а доверието. Големите организации трябва да оценяват риска при всеки нов партньор, но не могат да правят това ръчно и задълбочено за всеки потенциален доставчик. В резултат те разчитат на стандарти, сигнали и структурирани данни, за да решат кои отношения заслужават по-задълбочено проучване. Много възможности за сътрудничество се провалят не защото предложението няма стойност, а защото контрагентът не може бързо и ясно да бъде разбран.LEI като ускорител на доверието и въвеждането на партньори
Тук идентификаторът на юридическо лице (LEI) става относим. LEI е глобален стандарт, създаден да идентифицира еднозначно юридическите лица и да ги свързва с проверени референтни данни от авторитетни източници. За по-малките компании LEI не е само регулаторно изискване в определени случаи. Той е практичен инструмент, който им позволява да се представят по начин, съответстващ на подхода на големите организации при управлението на риска. LEI сигнализира, че:- юридическото лице е еднозначно идентифицируемо
- основните му референтни данни са свързани с официални регистри
- информацията за собствеността е декларирана в стандартизирана форма
- данните могат да се използват в автоматизирани и трансгранични процеси