Przestań traktować zgodność jak przykry obowiązek — buduj odporną kulturę bezpieczeństwa

Wspomnij większości osób w swojej organizacji o „zgodności z wymogami cyberbezpieczeństwa”, a prawdopodobnie zobaczysz, jak ich oczy się zaszklą. Jednak jej negatywna reputacja wynika częściowo ze sposobu, w jaki wiele firm podchodzi do zgodności. Często postrzega się ją jako irytującą kontrolę ograniczającą innowacyjność i rozwój, dlatego firmy robią tylko tyle, ile trzeba, aby przejść kontrolę, a następnie zapominają o całej sprawie aż do kolejnego audytu. 

W rzeczywistości zgodność może przynieść odwrotny skutek: stworzyć podstawę dla większej odporności i sukcesu firmy. 

Jeśli uważasz, że zgodność jest koniecznym złem, nie znalazłeś jeszcze odpowiednich ram. Dlatego ten rok powinien być rokiem, w którym Twoja organizacja przyjmie nowe podejście.

Zagrożenia są wszędzie

Zasady i przepisy istnieją z określonego powodu. W świecie ryzyka cybernetycznego chodzi o zapewnienie, aby organizacje przestrzegające przepisów posiadały podstawowy zestaw zasad i procesów, które teoretycznie ochronią je przed poważnymi naruszeniami. Jest to szczególnie ważne, ponieważ cyberbezpieczeństwo wciąż nie jest traktowane jako część kultury organizacyjnej w taki sposób jak bezpieczeństwo w miejscu pracy.

Wystarczy jedno spojrzenie na krajobraz zagrożeń, aby zrozumieć, dlaczego takie zasady istnieją. Ogromna gospodarka cyberprzestępcza warta biliony dolarów zapewnia gotowy rynek dla handlu narzędziami hakerskimi, wiedzą i skradzionymi danymi. Znaczna część tej wiedzy jest oferowana w formie łatwo dostępnych usług, co dodatkowo obniża próg wejścia dla początkujących sprawców zagrożeń. 

Firmy SaaS muszą zachować szczególną ostrożność. Twoja firma może być atrakcyjnym celem, jeśli zarządza dużymi ilościami poufnych danych klientów i ma niską tolerancję na przerwy w świadczeniu usług, które może powodować oprogramowanie ransomware — czyli, innymi słowy, większość firm. Według firmy Microsoft ataki sponsorowane przez państwa są rzadsze, ale zwiększają się pod względem liczby i agresywności.

Jakie są najczęstsze zagrożenia cybernetyczne?

Według badań ISMS.online, obejmujących Stany Zjednoczone, Wielką Brytanię i Australię, pięć najważniejszych zagrożeń, których doświadczyli respondenci w 2024 roku, to:

1. Infekcje złośliwym oprogramowaniem (35%) stają się coraz powszechniejsze dzięki gotowym zestawom narzędzi.
2. Inżynieria społeczna (32%) może obejmować phishing za pośrednictwem poczty elektronicznej, wiadomości tekstowych, mediów społecznościowych i połączeń głosowych.
3. Deepfake'i (30%) mogą nakłonić ofiary do wykonania przelewów firmowych lub pomóc oszustom ominąć procedury weryfikacji klienta.
4. Oprogramowanie ransomware (29%) gwałtownie się rozpowszechnia dzięki modelowi „jako usługa”, dlatego ochrona przed oprogramowaniem ransomware jest konieczna.
5. Osoby wewnątrz organizacji (28%) mogą działać zarówno z niedbalstwa, jak i z premedytacją.

Niechlubne wyróżnienie należy się również zagrożeniom w łańcuchu dostaw. Większość firm SaaS znajdzie się w epicentrum złożonej sieci dostawców cyfrowych. Będzie także współpracować z kancelariami prawnymi, dostawcami usług płacowych i innymi firmami świadczącymi usługi profesjonalne. Każda z tych relacji może zostać zbadana przez sprawców zagrożeń pod kątem słabych punktów. 

W ubiegłym roku najważniejszym wyzwaniem związanym z bezpieczeństwem informacji, przed którym stanęli nasi respondenci, było „zarządzanie ryzykiem związanym z dostawcami i podmiotami zewnętrznymi”.

Co to oznacza dla Twojej firmy

Poważne naruszenia bezpieczeństwa mogą oczywiście prowadzić do znacznych szkód finansowych i wizerunkowych. Dlatego większość firm SaaS musi przestrzegać mozaiki nakładających się na siebie przepisów dotyczących cyberbezpieczeństwa. 

W Stanach Zjednoczonych mogą one obejmować przepisy federalne, takie jak ustawa o zgłaszaniu incydentów cybernetycznych dotyczących infrastruktury krytycznej (CIRCIA), przepisy stanowe dotyczące bezpieczeństwa i prywatności oraz przepisy sektorowe, takie jak ustawa Health Insurance Portability and Accountability Act (HIPAA).

W Unii Europejskiej nowe przepisy obejmują ustawę o cyfrowej odporności operacyjnej (DORA), NIS 2 oraz ustawę o cyberodporności (CRA).

Przy tak wielu zasadach i często wysokich karach za nieprzestrzeganie przepisów całość może wydawać się przytłaczająca, zwłaszcza mniejszym dostawcom SaaS. Respondenci badania wskazali zgodność z różnorodnymi przepisami jako drugie największe wyzwanie związane z bezpieczeństwem informacji.

Dlaczego stare metody nie są najlepsze

W tym kontekście można wybaczyć podejście do zgodności oparte na odhaczaniu kolejnych pól. Na papierze ma ono sens. Skoncentruj się na zasadach i poświęć tylko tyle czasu, pieniędzy i zasobów, ile potrzeba, aby ich przestrzegać — ani trochę więcej. 

Jednak w dłuższej perspektywie stwarza ono wiele problemów. To powierzchowna forma zgodności, która daje fałszywe poczucie bezpieczeństwa i zawęża koncentrację do tego stopnia, że podstawowe źródła ryzyka pozostają niezaadresowane. Ponieważ organy regulacyjne nieustannie reagują na zmiany w krajobrazie zagrożeń i technologii, zgodność oparta na odhaczaniu pól oznacza, że Ty również będziesz musiał na nie reagować. Może to narazić Twoją firmę na szybko ewoluujące zagrożenia.

Koniec z mentalnością odhaczania, czas na wsparcie biznesu

Wraz z rozpoczęciem nowego roku nadszedł czas na nowe podejście — proaktywną mentalność skoncentrowaną na ciągłym zapewnianiu bezpieczeństwa i zarządzaniu ryzykiem, w której zgodność traktowana jest jako czynnik wspierający rozwój. Przyjrzyjmy się dwóm podejściom zgodnym z najlepszymi praktykami, które mogą pomóc.

ISO 27001 to uznany na całym świecie standard opracowany z myślą o pomocy organizacjom w uporządkowaniu i uproszczeniu zarządzania bezpieczeństwem informacji. Obejmuje trzy elementy:

1. Struktura systemu zarządzania bezpieczeństwem informacji (ISMS) pomaga ustanowić kompleksowy zestaw zasad i procedur dotyczących zarządzania bezpieczeństwem informacji. Jest to podstawowy element i klucz do budowania proaktywnej kultury zgodności.
2. Proces oceny ryzyka, który wymaga od organizacji zidentyfikowania potencjalnych zagrożeń.
3. Zestaw zabezpieczeń określonych w „Załączniku A” pomoże zapewnić, że system zarządzania bezpieczeństwem informacji organizacji skutecznie ogranicza ryzyko.

Certyfikat ISO 27001, uznawany w ponad 150 krajach, pokazuje, że Twoja firma poważnie podchodzi do proaktywnego zarządzania ryzykiem. Może to pomóc zapobiegać naruszeniom (a także oszczędzić czas i pieniądze, które pochłaniają), budować zaufanie klientów i skracać cykle sprzedaży. 

Kultura ciągłego doskonalenia, odporności i świadomości bezpieczeństwa, którą promuje ten standard, zdecydowanie różni się od zgodności opartej na odhaczaniu pól.

SOC 2 nie jest standardem, lecz strukturą opracowaną specjalnie dla organizacji przechowujących dane klientów w chmurze. Dzięki temu idealnie nadaje się dla dostawców SaaS, szczególnie w Ameryce Północnej, gdzie świadomość tego rozwiązania jest większa niż w przypadku ISO 27001.

SOC 2 obejmuje pięć kategorii „zaufania” — bezpieczeństwo, dostępność, integralność przetwarzania, poufność i prywatność. Jest jednak pewien haczyk: każda organizacja wybiera tylko kategorie mające zastosowanie do jej działalności, a następnie określa sposób spełnienia około 60 wymagań w ramach każdej z nich. Zamiast postępować zgodnie z nakazową listą zabezpieczeń, możesz opracować niestandardowe zasady i procesy odpowiednie dla swojej firmy.

Najwyższy czas działać

Ostatecznie korzyści z SOC 2 są podobne do korzyści wynikających z ISO 27001. Po pomyślnym przejściu audytu technicznego zgodność z SOC 2 zwiększy bezpieczeństwo organizacji i ochroni ją przed poważnymi incydentami, zapobiegając szkodom finansowym i wizerunkowym. Pomoże zapewnić obecnym i potencjalnym klientom solidne gwarancje bezpieczeństwa, a także uprościć zgodność z wieloma przepisami dotyczącymi cyberbezpieczeństwa, które opierają się na tych samych najlepszych praktykach. 

Nikt nie wie, co przyniesie nadchodzący rok. Jednak w świecie chaosu i niepewności kultura zgodności oparta na ciągłym doskonaleniu pomoże dziś chronić Twoją firmę przed ryzykiem. A także wyposaży ją w narzędzia niezbędne do osiągnięcia sukcesu jutro.

Zapisz się do newslettera The CTO Club, aby otrzymywać więcej wskazówek, narzędzi i najlepszych praktyk dotyczących zgodności.