Nonostante l'esistenza di una massa di miti, la risposta a questa domanda è relativamente inequivocabile. Con alcuni emendamenti, si riduce alla tesi: l'outsourcing nella sicurezza informatica, in particolare servizi di rilevazione e risposta gestiti, è molto più efficiente ed economico per le imprese che garantire l'intero processo in generale con le forze di una struttura interna specializzata.
Il compito principale è ridurre al minimo i costi
Il mito più persistente della cyber security è legato al concetto di costi, il tema più urgente e urgente per il top management: l'outsourcing è sempre più costoso che avere specialisti interni. Sfatare questo mito non è così difficile. Procediamo.
Vale la pena iniziare con il fatto che la sicurezza informatica funziona nel modo più efficiente possibile esclusivamente nel connettere persone, tecnologia e processi. Solo in questo modo, e non altrimenti, è possibile garantire un ciclo completo di protezione dell'azienda dalle minacce cyberspace esterne e interne.
Quando si decide di destinare un budget alla sicurezza informatica, il management dell'azienda è spesso guidato da concetti obsoleti e fondamentalmente errati. Vengono presi in considerazione solo investimenti di capitale chiari e prioritari in tecnologia. Dopotutto, come sembra a prima vista, l'anello più costoso di questa catena è la tecnologia. Puoi sentirli e almeno valutare visivamente il risultato delle spese finanziarie. Ancora oggi, per molti, il concetto di progetto di cyber security è associato all'acquisto di specifici sistemi di protezione, che, grosso modo, devono essere acquistati, installati e messi in atto. Questa è la prima e principale illusione.
L'acquisto di tecnologia è un investimento una tantum. In altre parole, un investimento ragionevole e comprensibile. Un po' scomodo ma costante e, di conseguenza, i costi di volume sono nascosti più in profondità.
Le persone giuste sono l'investimento essenziale
Le persone sono la risorsa aziendale più costosa e, allo stesso tempo, più preziosa. Per garantire il processo, è fondamentale capire: se ha senso formare un team multidisciplinare e altamente specializzato all'interno dell'azienda (che è esattamente quello che dovrebbe essere nelle condizioni odierne di una varietà altamente complessa di tecnologie e minacce) o se ha senso affidare questo processo in tutto o in parte a un esecutore esterno competente che dalla A alla Z è costruito e concentrato sulla risoluzione di tali problemi. In un linguaggio semplice, esternalizza e, in termini professionali, iscriviti ai servizi di sicurezza DR (rilevamento e risposta) gestiti.
Ecco perché è importante calcolare i costi in modo completo e corretto nella fase di pianificazione degli investimenti nella sicurezza informatica. Dovresti prendere in considerazione, prima di tutto, non gli investimenti una tantum in immobilizzazioni, ma i costi operativi futuri per la loro manutenzione. Si traduce principalmente in ulteriori investimenti nel personale e nella loro formazione. Considerando solo il primo, l'azienda non riesce a trovare il giusto equilibrio ma crea invece un'illusoria efficienza di sicurezza attraverso l'accumulo di tecnologie. Allo stesso tempo, il processo sottostante è controproducente e il risultato è privo di valore.
Molte aziende si sono trovate nella stessa situazione: sono ricoperte da costosi complessi di sicurezza tecnologica. Non possono far fronte al carico di lavoro operativo della loro manutenzione. Non si tratta solo di servizio, ma non si tratta solo di servizio, ma non si tratta solo di servizio. Il punto è analizzare e applicare i risultati di tali sistemi per migliorare il processo operativo. Ci sono molte tecnologie, ma l'efficienza si sta avvicinando allo zero.
È sicuro consegnare la sicurezza nelle mani di qualcun altro?
Il secondo mito persistente, che è logico e forse, al contrario, illogico, sorge nella situazione della sicurezza delle informazioni e molto spesso suona sotto forma di una domanda retorica: "Come possiamo esternalizzare la sicurezza se è sicurezza?" Ma aspetta, non esternalizzi la tua assistenza sanitaria al policlinico? Non affidate la cura dei vostri figli alle baby sitter? Per qualche ragione, queste aree non causano dibattiti, controversie, dubbi o pensieri così violenti. Ne vale la pena perché un medico è uno specialista e non farai sempre una diagnosi da solo e non rimuoverai l'appendicite. Anche se, a prima vista, è sufficiente acquistare solo un bisturi, un batuffolo di cotone e una benda, ma cosa succede dopo?
L'outsourcing nella sicurezza informatica non è un classico esempio di outsourcing sotto forma di trasferimento completo dei processi a un appaltatore esterno. È sempre una sinergia tra gli sforzi del cliente e le azioni del provider di sicurezza. Oltre a tutto, l'intero processo è rigorosamente regolato e registrato negli SLA (Service Level Agreement), le cui garanzie non sono in alcun modo paragonabili al livello di responsabilità di uno specifico dipendente del personale aziendale.
Nella maggior parte dei casi, osserviamo una situazione in cui in azienda sono presenti "più operatori", che servono sia i sistemi che generano report sull'efficienza dei processi. In altre parole, uno specialista che fissa i compiti per se stesso e poi li esegue da solo. Non tutte le organizzazioni, anche di grandi dimensioni, possono permettersi di mantenere un grande team di specialisti e responsabili di processo. Allo stesso tempo, è semplicemente impossibile valutare oggettivamente i risultati di un unico “multiprocessore” su cui si basano tutti i processi. Dopotutto, molto spesso, la direzione è tutt'altro che competente in materia di sicurezza informatica. Nessuno valuta i rischi che si presentano in questo caso e le conseguenze possono essere deplorevoli.
Un'azienda a cui la sicurezza è affidata in outsourcing non può arrecare danno a priori all'attività del cliente, poiché si tratta di una questione di reputazione. Inoltre, infatti, i servizi di sicurezza non riguardano direttamente le informazioni commerciali.
Allo stesso tempo, l'azienda cliente riceve una protezione completa contro le minacce 24 ore su 7, XNUMX giorni su XNUMX, le migliori tecnologie fino ad oggi e un team di professionisti con personale. Quest'ultimo viene assunto proprio nella proporzione e nell'importo corrispondenti alla portata e alla specificità delle tecnologie richieste per una determinata attività.
L'urgenza della scelta è particolarmente rilevante alla luce degli eventi recenti. Il crollo dei fragili sistemi di protezione ha fatto capire quanto sia importante formare una sicurezza multilivello e professionale. Le patch fatte in casa non funzionano. Migliaia di aziende hanno avuto l'opportunità di vederlo. La questione dell'esternalizzazione è scomparsa da sola. La risposta è chiara: è necessario attrarre specialisti esperti e agire qui e ora.
Lascia un commento
Hanno qualcosa da dire su questo articolo? Aggiungi il tuo commento e avvia la discussione.