攻撃の最中、暗闇の中でサイバーセキュリティに関するCEO

セキュリティに関しては、CEOは組織内で何が起こっているのか見当がつきません。 そのため、今週リリースされたPonemon Instituteレポートでは、組織がセキュリティインシデントにどのように対応し、対応したかを調査しました。 調査回答者のなんと80パーセントが、組織を脅かす潜在的なサイバー攻撃について経営陣と「頻繁にコミュニケーションをとらない」と回答しました。 これはCEOの範囲を超えており、Cスイート全体（CIO、CSO、COO、CTOなど）を網羅しています。

Lancopeの社長兼CEOであるMike Potts氏はSecurity Watchに次のように述べています。 「私たちは常にこのことについて話します」と彼は付け加えました。

調査を委託したLancope氏によると、企業はセキュリティ製品とサービスに数百万ドルを費やしており、依然として侵害されています。 実際、ガートナーは2013年に世界中で670億ドルがITセキュリティ製品に費やされたと述べました。しかし、毎年2, 500億ドルの知的財産が企業から盗まれています。 切断はどこですか？

定期的な更新はありません

多くの幹部は、すべてのセキュリティ支出を見て、「私はこれをすべて手に入れました」と思うかもしれません。 組織の全体的なセキュリティ状況に関する定期的な更新と情報を受け取っていない場合、そのビューを修正する理由はありません。 しかし、それはそうあるべきではありません。 「現在のシナリオは「設定して忘れる」ことではありません」とポッツは述べた。

調査ではIT担当者が経営幹部に問題を提起しなかった理由を尋ねませんでしたが、ポッツはこの問題が組織内のセキュリティの測定方法に関連している可能性があることを示唆しました。 回答者の半数は、インシデント対応能力の有効性を測定するための指標がないと述べました。 これは、脅威や問題を、ビジネス全体に関係する上級管理職が理解または協力できる言語に翻訳できないことを意味します。

また、セキュリティに関する議論が行われたとしても、幹部が問題の非常に「骨抜きにされた」バージョンを受け取っていた可能性が非常に高い、とポッツは述べた。

「今は、Cレベルの幹部とITの意思決定者が集まって、インシデント対応のより強力で包括的な計画を策定するときです。このコミュニケーションは、重要なデータ侵害や企業の損害の驚くべき頻度を減らしたい場合に重要ですメディアでほぼ毎日発生している損失」とポッツは述べた。

お金の問題

問題の一部は投資の問題です。 調査の回答者の半数は、全体的なセキュリティ予算の10％未満がインシデント対応に割り当てられていると述べており、攻撃と脅威のペースが高まっているにもかかわらず、ほとんどが過去2年間でその割り当てを増やしていないと述べています。

それは理にかなっている。 Cレベルの幹部がリスクと脅威が何であるかを理解していない場合、予算を優先しません。 経営陣が潜在的な損失または損害がかなり大きくなることを知っている場合、そのギャップを埋めるようにそれに応じて行動することができます。 経営陣は「適切な投資を行うために適切な情報を入手する必要がある」とポッツ氏は述べた。

変更する必要があります

回答者の約68％が、過去2年間に組織でデータ侵害またはその他のセキュリティインシデントが発生したと回答しています。 そのグループのうち、回答者のほぼ半数、つまり46％が、別の事件が「差し迫った」ものであり、今後6か月以内に発生する可能性があると答えました。 これは深刻であり、明らかに、経営幹部は、必要な措置が講じられていることを確認するために、ITに関心を持って取り組む必要がありますか？

調査によると、調査の674人のITおよびセキュリティの専門家の大多数は、これらの問題をエスカレートしたり、何が迫っているのかを上級幹部に知らせていないと主張したためです。 ターゲットのCEOが全国的なスポットライトに突入し、違反について話し合うように求められる前に、どれだけ知っていたのか、不思議に思わないでしょうか。

ポッツは、ターゲットや他の小売業者でのデータ侵害が、他者への呼びかけとして機能することを期待していました。 おそらく、ターゲットは組織のコミュニケーション方法を変え、「セキュリティ問題について経営幹部に簡単に伝えることができるようになる」とポッツ氏は語った。

クリックして画像全体を表示