Securitatea cibernetică nu începe cu tehnologia, ci cu încrederea
Securitatea cibernetică este descrisă adesea ca o provocare tehnică. Firewall-urile, controalele de acces, sistemele de monitorizare și instrumentele de răspuns la incidente tind să domine discuția. Aceste măsuri sunt esențiale, dar nu de aici începe cu adevărat securitatea cibernetică. În practică, ea începe mult mai devreme — în momentul în care o organizație decide cu cine face afaceri. Afacerile moderne sunt profund interconectate. Companiile se bazează pe furnizori externi de servicii, intermediari financiari și parteneri din alte țări. Fiecare relație creează valoare operațională, dar aduce și riscuri. Când identitatea unui partener de afaceri este neclară, depășită sau dificil de verificat, evaluarea corectă a riscului devine imposibilă. Securitatea cibernetică se construiește pe încredere. Iar încrederea începe cu a ști cu cine ai de-a face.De ce securitatea tehnică, de una singură, nu mai este suficientă
Controalele tehnice de securitate sunt concepute pentru a proteja sistemele, dar presupun că accesul este acordat entităților corecte. Dacă accesul este oferit unei organizații greșite — sau unei organizații al cărei istoric este puțin cunoscut — chiar și controale tehnice solide pot să nu prevină prejudiciul. Multe incidente grave de securitate cibernetică nu provin din breșe directe ale sistemelor, ci din abuzul relațiilor de încredere. Atunci când un actor rău intenționat operează printr-un partener, furnizor sau contractor aparent legitim, apărările tehnice devin mult mai puțin eficiente. Astfel, întrebarea centrală se schimbă de la „Cum ne protejăm sistemele?” la „Pe cine ar trebui să acordăm încredere pentru acces, în primul rând?”Riscul terților, o problemă centrală de securitate cibernetică
O parte tot mai mare a riscului de securitate cibernetică și operațional provine de la terți. Aceștia pot include furnizori, prestatori de servicii IT, procesatori de plăți, parteneri logistici sau funcții de suport externalizate. Fiecare terț devine parte a perimetrului digital extins al organizației. Riscul terților nu se limitează la vulnerabilități software sau infrastructură nesigură. Acesta include, de asemenea:- statut juridic neclar
- structuri de proprietate opace
- date de registru inconsistente sau depășite
- dificultăți în stabilirea responsabilității
Atunci când o organizație nu poate identifica clar contrapărțile, riscurile de securitate și de conformitate cresc semnificativ.
Direcția reglementărilor: bazată pe risc și axată pe identitate
În multe jurisdicții, cadrele de reglementare se orientează tot mai mult către o abordare a securității cibernetice bazată pe risc și axată pe identitate. În loc să impună controale tehnice specifice, autoritățile de reglementare se așteaptă tot mai mult ca organizațiile să înțeleagă și să gestioneze riscurile din întregul mediu operațional, inclusiv cele legate de furnizori și prestatori de servicii.
În Uniunea Europeană, această schimbare se reflectă clar în Directiva NIS2 și cerințele de securitate cibernetică Pentru cadrul legal oficial, consultați Directiva NIS2
Deși cadrele de reglementare diferă la nivel global, cerința de bază rămâne aceeași: organizațiile trebuie să poată demonstra că știu pe cine se bazează și cum afectează aceste relații poziția lor de securitate.
Identitatea afacerii, fundamentul securității cibernetice
Când securitatea cibernetică este privită într-un context mai larg, identitatea afacerii devine un concept esențial. O abordare standardizată la nivel global pentru identificarea afacerilor este oferită de Identificatorul de Entitate Juridică (LEI)Identitatea unei afaceri depășește cu mult numele companiei sau numărul de înregistrare. Aceasta include:
- existența și statutul juridic
- informații din registrele oficiale
- structuri de proprietate și control
- relații cu alte entități juridice
- acuratețea și actualitatea datelor
Perspectiva IMM-urilor: cum devii un partener de încredere
Discuțiile despre securitatea cibernetică și reglementări se concentrează adesea pe organizațiile mari. Totuși, aceeași dinamică afectează puternic întreprinderile mici și mijlocii care doresc să colaboreze cu corporații, instituții financiare sau clienți internaționali. Pentru afacerile mai mici, principala barieră nu este de obicei calitatea produsului sau capacitatea tehnică, ci încrederea. Organizațiile mari trebuie să evalueze riscul pentru fiecare partener nou, dar nu pot face acest lucru manual și în profunzime pentru fiecare furnizor potențial. Ca urmare, se bazează pe standarde, semnale și date structurate pentru a decide care relații merită explorate în continuare. Multe oportunități de colaborare se blochează nu pentru că oferta ar fi lipsită de valoare, ci pentru că contrapartea nu poate fi înțeleasă rapid și clar.LEI, un accelerator al încrederii și al onboardingului
Aici devine relevant identificatorul de entitate juridică (LEI). LEI este un standard global conceput pentru a identifica în mod unic entitățile juridice și a le lega de date de referință verificate, provenite din surse autorizate. Pentru companiile mai mici, un LEI nu este doar o cerință de reglementare în anumite contexte. Este un instrument practic care le permite să se prezinte într-un mod compatibil cu modul în care organizațiile mari gestionează riscul. Un LEI semnalează că:- entitatea este identificabilă unic
- datele de referință de bază sunt legate de registre oficiale
- informațiile despre proprietate sunt declarate într-o formă standardizată
- datele pot fi utilizate în procese automatizate și transfrontaliere