Poslovna strategija i kultura sigurnosti neodvojive su. U digitalnom poslovanju sigurnost je uvjet da se poslovni ciljevi uopće ostvare. Mnoge organizacije ipak teško spajaju to dvoje.

U ovom tekstu prolazimo kroz prepreke i prilike u različitim djelatnostima, od financija i zdravstva do proizvodnje i telekomunikacija, uz mjesto koje procjena rizika ima u planiranju.

Najčešće prepreke

• Uprava nije uz vas. Sigurnost se često vidi kao trošak, a ne kao ulaganje, pa nedostaje i sredstava i podrške. Pomaže kad se trošak incidenta iskaže u izgubljenom prihodu, zastoju i šteti za ugled.
• Sigurnost je odvojena od ostatka kuće. Kad sigurnosni tim radi sam za sebe, teško se uklapa u poslovne odluke. Rješenje je uključiti ga u redovne poslovne procese i u planiranje.
• Ljudi ne znaju. Zaposlenici često ne poznaju rizike ni način da ih smanje, pa nastaje pogreška koja otvara vrata. Obuka mora biti redovita i prilagođena poslu koji čovjek radi.
• Prijetnje se mijenjaju. Teško je pratiti novo. Pomažu obavještajni podaci o prijetnjama, praćenje i uvježban plan odgovora na incident.

Procjena rizika

Procjena rizika dio je planiranja, ne poseban posao sa strane. Ona pomaže da se rizici prepoznaju i poredaju po važnosti, kako bi se mjere usmjerile ondje gdje najviše vrijede. Kibernetički rizik treba stajati uz financijski, operativni i onaj za ugled. Uredba o kibernetičkoj sigurnosti to traži kroz Mjeru 3, koja uz sam registar rizika zahtijeva i vlasnike rizika i redovito održavanje.

Zdrava kultura sigurnosti

Zdrava je ona kultura u kojoj su svi svjesni rizika i osjećaju se odgovornima. Time se smanjuje broj pogrešaka i podiže ukupna razina zaštite.

Što pokazuje praksa

Velike tehnološke i financijske kuće ulažu u sigurnosnu kulturu, s timovima koji sudjeluju u razvoju proizvoda i u planiranju, uz opsežne programe obuke. Vrijedi reći i da ozbiljan incident često bude povod za ozbiljnu promjenu, kao što se vidjelo kod nekoliko velikih financijskih ustanova nakon velikih povreda podataka. Kultura se, dakle, može popraviti i nakon lošeg iskustva.

Priprema za ono što dolazi

• Stalno praćenje. Uložite u praćenje koje prijetnju uočava i na nju odgovara u stvarnom vremenu.
• Obavještajni podaci. Pratite što se u struci događa, kako biste znali na što se pripremati.
• Obuka. Redovita i za sve.
• Plan odgovora na incident. Napisan, uvježban i redovito ispitan.

Kako održati zamah

• program pokretača sigurnosti, zaposlenika kojima je to blisko i koji mogu potaknuti kolege,
• obuka koja nije samo predavanje nego i vježba,
• priznanje onima koji prijave incident, prođu obuku ili dosljedno rade po pravilima.

Zaključak

Spajanje poslovne strategije i kulture sigurnosti nužno je za svaku organizaciju. Uz gornje korake rizik od povrede podataka i drugih incidenata bitno se smanjuje.

Riskoria pomaže organizacijama svake veličine izgraditi kulturu koja rizik prepoznaje na vrijeme. Nudimo procjenu rizika, procjenu kulture sigurnosti, obuku i izradu te provedbu programa.