74% van de cybersecurityprofessionalsssionals beschouw gecentraliseerde cloudbeveiliging op zijn minst als zeer nuttig. Slechts 7% vindt het helemaal niet nuttig. Is de meerderheid misleid?
Sterk gecentraliseerde cyberbeveiligingsoplossingen beloven een beter inzicht in bedreigingen en risico's in de hele organisatie. Maar ze brengen ook kwetsbaarheden met zich mee, omdat het hele systeem in gevaar kan worden gebracht als aanvallers de gecentraliseerde controles doorbreken.
Aan de andere kant vergroot gedecentraliseerde beveiliging de redundantie en dwingt aanvallers om meer punten in een systeem binnen te dringen, maar kan last hebben van een gebrek aan coördinatie.
Gecentraliseerde en gedecentraliseerde cyberbeveiliging hebben hun voor- en nadelen, en vullen elkaar in zekere zin aan. De verstandige optie loopt dus in het midden. Toch blijft de echte vraag bestaan: hoe (gede)centraliseerd moet de cyberbeveiliging van ondernemingen zijn?
Het vinden van dit juiste evenwicht is van cruciaal belang omdat bedrijven ernaar streven risico's te beheersen zonder de wendbaarheid van hun bedrijf te belemmeren. Dit artikel geeft u de tools om deze vraag te beantwoorden.
Cyberbeveiligingsstrategie: factoren waarmee rekening moet worden gehouden
Enkele factoren waarmee u rekening moet houden bij het vinden van de juiste balans zijn onder meer de omvang en complexiteit van het bedrijfsnetwerk, de sector en de regelgeving, de risicotolerantie van de onderneming en het budget en de middelen van de onderneming.
Grootte en complexiteit
Grotere en complexere organisaties hebben meer gecentraliseerd bestuur en toezicht nodig om de risico's van veel ingewikkelde activa, systemen en locaties te beheren. Decentralisatie kan tot veiligheidslacunes leiden.
Aan de andere kant kunnen kleinere, eenvoudiger organisaties flexibeler zijn door decentralisatie, omdat de risico's lager zijn en bedreigingen lokaal gemakkelijker te beheersen zijn, zozeer zelfs dat virtuele CISO's worden steeds aantrekkelijker voor kleine start-ups.
Aard en tolerantie van risico's
Risicomijdende organisaties hebben doorgaans behoefte aan meer gecentraliseerde controle om de onzekerheid te minimaliseren, potentiële blinde vlekken te identificeren en de zichtbaarheid te consolideren.
Gecentraliseerd toezicht helpt bij het coördineren van onderling afhankelijke beveiligingselementen tussen eenheden, waardoor leidinggevenden duidelijke verantwoordelijkheid krijgen voor het beheer van beveiligingsrisico's. Bovendien maakt centrale controle een snelle, gecoördineerde reactie op opkomende dreigingen mogelijk voordat incidenten zich kunnen verspreiden.
Industrie en regelgeving
Sterk gereguleerde sectoren zoals de financiële sector, de gezondheidszorg en de energiesector moeten zich houden aan strikte veiligheidscontroles en nalevingsregimes. Dit vereist gecentraliseerde beveiliging om de regelgeving in de hele organisatie op uniforme wijze af te dwingen. Anders kunnen er lacunes in de naleving ontstaan.
In sectoren met soepelere regelgeving hebben organisaties meer flexibiliteit om de beveiliging te decentraliseren en aan te passen op basis van lokale behoeften, in plaats van top-down mandaten.
Budget en middelen
De hoge kosten van de overstap naar gecentraliseerde cyberbeveiliging dragen ertoe bij dat bedrijven met kleinere beveiligingsbudgetten de neiging hebben genoegen te nemen met een gedecentraliseerd model.
Het centraliseren van de beveiliging vereist hoogwaardige beveiligingstools en -systemen voor geconsolideerde monitoring, analyse, detectie van bedreigingen, enzovoort. Het omvat ook de kosten voor de aanschaf van infrastructuur en software voor het veilig verzamelen en correleren van beveiligingsgegevens binnen de hele organisatie.
De plaats van decentralisatie
Bedrijfsleiders moeten begrijpen dat geen enkele organisatie volledig het een of het ander is. In feite is het uitstekend dat decentralisatie dit maakt veiligheid is de verantwoordelijkheid van ieder individu, vooral gezien de opkomst van werken in de cloud, mobiel en op afstand.
Zonder enige decentralisatie is het onmogelijk om consistentie in cyberbeveiliging te handhaven wanneer het personeelsbestand verspreid is. Dit is uiterst cruciaal omdat werknemers de eerste verdedigingslinie zijn geworden in het geval van wijdverbreide phishing en andere soorten bedreigingen.
Maar inbraakdetectie, Data verlies voorkomen, eindpuntbescherming en incidentrespons vereisen allemaal gezamenlijke coördinatie. Het lijkt er dus op dat, hoewel gedecentraliseerde veiligheid de verantwoordelijkheid spreidt, dit zonder enige centrale coördinatie tot fragmentatie en inconsistenties zou kunnen leiden.
De kracht van centralisatie ligt in cyberbeveiligingsbeheer, risicobeheer en rapportage. Dit zijn activiteiten die een brede consistentie en afstemming vereisen op het gebied van beveiligingsprioriteiten, aanvaardbare risico's, nalevingsvereisten en andere strategische imperatieven.
Het is belangrijk dat een centraal team in staat wordt gesteld om risicobeoordelingen te coördineren, herstelmaatregelen te volgen en te rapporteren aan leidinggevenden terwijl zij gegevens in de rest van de organisatie consolideren.
Tegelijkertijd moeten gedecentraliseerde, lokale eenheden en niet-IT-medewerkers de bevoegdheid krijgen om afwijkingen op te sporen en het juiste team te waarschuwen. Cruciaal is dat deze wederzijdse samenwerking de wendbaarheid en veerkracht zal helpen bevorderen.
Het vermijden van overcentralisatie
Hoe ziet balans er praktisch uit? En hoe kan een organisatie overcentralisatie vermijden in haar zoektocht naar meer zichtbaarheid en coördinatie in haar infrastructuur?
- Onderhoud tweerichtingscommunicatie tussen het centrale en kleinere teams. Kleinere teams worden verondersteld de context te bieden voor besluitvorming op een hoger niveau.
- Gefaseerde centralisatie in samenwerking met business units. Forceer veranderingen niet van bovenaf van de ene op de andere dag.
- Stel beveiligingsnormen op centraal niveau in, maar zorg ervoor dat iedereen getraind is in de basispraktijken op het gebied van cyberbeveiliging, zodat ze weten welk verantwoordelijkheidsniveau op hen van toepassing is. Dwing geen blinde naleving af.
- Documentdecentralisatieopties, normen en vooraf goedgekeurde uitzonderingen op centraal beleid. Zorg ervoor dat kleinere teams niet herhaaldelijk toestemming moeten vragen.
- De sleutel is ervoor te zorgen dat centraal bestuur en risicobeheer niet al te bureaucratisch, inflexibel en demoraliserend worden voor de generale staf.
Conclusie
Het vinden van de juiste balans tussen gecentraliseerde en gedecentraliseerde cyberbeveiliging is cruciaal voor het beheersen van risico’s en het mogelijk maken van zakelijke flexibiliteit. In plaats van ze als tegengestelde krachten te behandelen, moeten organisaties streven naar een gezamenlijke aanpak waarbij centrale governance en strategie de sturing geven aan en aansluiten bij bevoegde eenheden.
Met het juiste evenwicht kunnen ondernemingen cyberveerkracht opbouwen en tegelijkertijd innovatie ondersteunen. Het allerbelangrijkste is dat bedrijfsleiders, naarmate de risico's evolueren, voortdurend hun beveiligingsstrategie moeten evalueren om te bepalen of het huidige model optimale zichtbaarheid, flexibiliteit en bescherming biedt.
