اگر خطر سایبری یک حقیقت اجتناب ناپذیر است ، اشتهای واقعی خطر سایبری شما چیست؟

عضو تیم رهبری امنیت سایبری سوئیس در مشاوره خدمات مالی EMEIA EY. خلبان دارای مجوز و بازیکن گلف پرشور.

4 دقیقه مطالعه 23 فوریه 2022 مباحث مرتبط با خدمات مالی امنیت سایبری فناوری مشاوره ریسک ریسک پیوند کپی شده

منابع را نشان می دهد

تعریف اشتها در ریسک سایبری مناسب برای موفقیت سازمان های خدمات مالی مهم است.

به طور خلاصه

• اشتهای ریسک سایبری باید در مورد نیازهای خاص تجاری شما بیان شود.
• رویکرد مبتنی بر ریسک و اجرای شیوه های صوتی باعث تقویت وضعیت امنیت سایبری شما می شود
• EY چهار مرحله برای تعریف اشتهای و تحمل ریسک شما پیشنهاد می کند

آیا ریسک سایبری بسیار زیاد است آیا سازمان شما مایل به استفاده از آن است؟اگر این سؤال را از خود بپرسید ، ممکن است ابتدا جواب دهید: هیچ. آیا کاملاً مطمئن هستید؟از آنجا که در دنیای بسیار متصل امروز ، اشتهای صفر در معرض خطر ، عملکرد آن را تقریبا غیرممکن می کند. در دوران دیجیتال ما ، مهم نیست که چه کاری انجام می دهید ، همیشه خطر ذاتی سایبر وجود دارد.

موسسات بخش خدمات مالی در یک اقتصاد دیجیتال کار می کنند ، به منظور دسترسی ایمن به خدمات خود به مشتریان در سراسر جهان ، به یکدیگر متصل می شوند. در نتیجه ، رهبران مشاغل با چالش تعریف اشتهای مناسب سایبری با چالش روبرو هستند. در رابطه با این ، آنها همچنین باید تحمل ریسک سایبری خود را ، هماهنگ با استراتژی تجارت و مطابق با قوانین و مقررات در نظر بگیرند. هنگامی که به طور مناسب تعریف شود ، اشتهای ریسک سایبری سازمان مرزهای داخلی را برای یک فرایند تصمیم گیری متفکر تعیین می کند ، ریسک را در معرض خطر قرار می دهد و فرصت های جدید شغلی را امکان پذیر می کند.

قبل از غواصی به اهمیت تعریف اشتهای ریسک خود ، اجازه دهید برخی از تعاریف کلیدی را بیان کنیم:

خطر سایبری

ریسک سایبری خطر ضرر مالی ، اختلال در فعالیت ها ، تأثیر بر تصویر یا شهرت شرکت در نتیجه اقدامات مخرب و هدفمند اجرا شده در فضای سایبر است. خطرات سایبر ممکن است در محرمانه بودن ، یکپارچگی و در دسترس بودن سیستم های اطلاعاتی و داده های مرتبط با آنها تأثیر داشته باشد.

امنیت سایبری

امنیت سایبری ترکیبی از فن آوری ها، فرآیندها و روش های حفاظت از شبکه ها، رایانه ها، نرم افزارها و داده ها در برابر دسترسی های غیرمجاز و اقدامات بدخواهانه است. در نتیجه، امنیت سایبری شامل بررسی جامع اقداماتی است که امکان شناسایی، محافظت در برابر، شناسایی، پاسخ به و بازیابی حملات سایبری را فراهم می کند.

ظرفیت ریسک

ظرفیت ریسک اساساً ریسکی است که می توانید تحمل کنید. این ریسک اشتها را احاطه کرده و مرز را نشان می دهد، یعنی حداکثر میزان ریسکی که سازمان می تواند برای ماندگاری بپذیرد. ظرفیت همیشه یک عدد واحد نیست، بلکه یک عامل کیفی است. در انواع ریسک، واحدهای تجاری و سناریوهای استراتژیک متفاوت خواهد بود. بحث در مورد ظرفیت، به خودی خود، یک فعالیت مفید به عنوان بخشی از بررسی چگونگی شکست سازمان - و سپس توسعه استراتژی های کاهش است.

اشتهای ریسک

اشتهای ریسک ریسکی است که شما مایل به پذیرش آن هستید، به عبارت دیگر، سطح کل ریسکی است که یک سازمان مایل است (در حد ظرفیت ریسک خود) برای دستیابی به اهداف استراتژیک و برنامه های تجاری خود بپذیرد. این یک "محدوده" در مقابل یک هدف است.

ریسک پذیری

تحمل ریسک حداکثر ریسکی است که سازمان مایل است برای یک هدف استراتژیک خاص، KPI یا دسته بندی ریسک بپذیرد. فراتر از تحمل ریسک معمولاً به عنوان محرکی برای اقدامات اصلاحی در سطح اجرایی، اطلاع رسانی فوری به هیئت مدیره و بررسی دقیق علل زمینه ای قرار گرفتن در معرض خطر بالا یا تغییرات قابل توجهی از عملکرد مورد انتظار عمل می کند.

تصویر بالا چارچوب ریسک پذیری کل نگر را نشان می دهد. توسعه یک استراتژی صحیح مدیریت ریسک، شرکت را قادر می سازد تا تحمل ریسک خود را در محدوده ظرفیت ریسک خود هدایت کند. بافر که با شکاف بین ظرفیت ریسک و ریسک پذیری نشان داده می شود، انعطاف پذیری را برای شرکت فراهم می کند و باید احتمال نتایج شدید و همچنین اشتباهات در مفروضات، تجزیه و تحلیل و مدل سازی را در نظر بگیرد.

تعریف یک اشتها و تحمل ریسک سایبری به خوبی در راستای فعالیت های تجاری ، برای موفقیت یک شرکت مهم است. این رهبران مشاغل را قادر می سازد تا درک کنند که در چه بازارهایی باید در چه بازارهایی قرار بگیرند و از چه نوع شغلی که می خواهند از آن جلوگیری کنند. این فرایند باید فرصت های شغلی ، هزینه های مدیریت ریسک و پیامدهای امنیت سایبری را در نظر بگیرد. استراتژی تجاری سازمان باید هم با اشتهای ریسک و هم ظرفیت ریسک ، که مرزها را تعیین می کند ، هماهنگ باشد. یک سازمان باید بتواند یک نمای شفاف در مورد قرار گرفتن در معرض خطر خود - و هزینه های مرتبط با آنها - جمع کند. گذشته از دیدگاه هزینه ، یک چارچوب تحمل ریسک به تجارت اجازه می دهد تا از یک رویکرد مبتنی بر ریسک برای تخصیص منابع خود و تعیین مناطقی که باید روی آن تمرکز کنند ، پیروی کند. رهبران مشاغل درک از تراز گسترده شرکت در مورد ریسک و فرصت های شغلی ، که منجر به یک فرایند تصمیم گیری بهینه شده می شود ، به دست می آورند.

برای تعریف هم اشتها و تحمل خطر سایبری و تحمل ، EY یک رویکرد چهار فاز ایجاد کرده است.

1. اطلاعات را جمع آوری کرده و چارچوب خطر موجود را مرور کنید

ما با جمع آوری اطلاعات موجود مربوط به چارچوب های سازمان تعیین شده شروع می کنیم. این مرحله مهم با هدف یافتن زمینه مشترک بر روی طبقه بندی ریسک و تعاریف ریسک مرتبط با آن است. در این مرحله ، همکاری نزدیک با ذینفعان ریسک سازمانی مانند CISO ، CRO ، CIO و تجارت مهم است.

2. اصول و بیانیه های اشتها ریسک را ایجاد کنید

در مرحله دوم ، رهبران تجارت باید اصول اشتها را ریسک ایجاد کنند. کارگاه های آموزشی با ذینفعان کلیدی می توانند در تعریف کارآمد اشتها و تحمل خطر سایبری و تحمل مفید باشند. به طور فعال درگیر شدن نهادهای مربوطه ، خرید را نیز افزایش می دهد ، چشم اندازهای مربوط به ریسک را گسترش می دهد و منجر به یک وضعیت ریسک جامع تر می شود.

3. اشتهای ریسک را تعریف و تأیید کنید

اجماع در مورد اشتها ریسک سایبری و اظهارات تحمل باید با نمایندگان کلیدی سازمان حاصل شود. علاوه بر این ، معیارهای ریسک مانند شاخص های ریسک کلیدی (KRI) و شاخص های کلیدی عملکرد (KPI) باید تعریف شوند تا نظارت مداوم بر خطرات مرتبط امکان پذیر باشد و درک بهتری از روند خطر سایبری فراهم کند. این مرحله اندازه گیری خطرات مربوط به فن آوری های نوظهور و تغییرات احتمالی در چشم انداز تهدیدی را که شرکت در آن فعالیت می کند ، در نظر می گیرد.

4- روند اشتها ریسک را حفظ و نظارت کنید

مرحله نهایی توسعه اصول حاکمیت برای بررسی اشتها و تحمل ریسک سایبری به طور منظم و اطمینان از هماهنگی با استراتژی کلی ریسک سازمان آنها است. ما از جنبه های مدیریت ریسک که فرهنگ ریسک شرکت را تقویت می کند ، دفاع می کنیم و امکان برقراری ارتباط مؤثر در سراسر سازمان را فراهم می کنیم.

در طول فرآیند تعریف اشتها و تحمل ریسک سایبری ، داشتن راهنمایی های خارجی برای حمایت از ایجاد کریس تراز شده با KPI های اساسی و کنترل های مرتبط می تواند مفید باشد. تیم های ریسک باید تلاش کنند تا یک چارچوب جامع مدیریت ریسک سایبری را تعریف کنند ، که کاملاً در چارچوب مدیریت ریسک سازمانی موجود یکپارچه شده و از گزارش ریسک سایبری پشتیبانی می کند. سرمایه گذاری در درک اشتهای ریسک سایبری شما و تعادل مناسب بین سطح کنترل امنیت سایبری ، هزینه کنترل و خطرات سایبری پذیرفته شده شما را در اهداف استراتژیک شما پشتیبانی می کند و تجارت را فراتر از مباحث سایبری فراهم می کند.