Mill-konformità għar-reżiljenza: kif is-CISOs jistgħu jagħlqu l-lakuna fil-governanza

It-twissija tat-3 ta’ filgħodu: falliment fil-governanza moħbi bħala inċident

Maria, is-CISO ta’ kumpanija fintech li kienet qed tikber b’rata mgħaġġla, qamet ħesrem b’twissija P1. Bażi tad-data tal-produzzjoni, li suppost kienet iżolata, kienet qed tikkomunika ma’ indirizz IP estern mhux magħruf. It-tim SOC tagħha kien diġà involut u kien qed jittraċċa l-konnessjoni lura għal bucket tal-ħażna fil-cloud ikkonfigurat ħażin, maħluq minn tim tal-analitika tal-marketing li kien qed jittestja għodda ġdida għas-segmentazzjoni tal-klijenti. Il-ħsara immedjata ġiet ikkontrollata, iżda l-analiżi ta’ wara l-inċident żvelat problema ħafna aktar perikoluża, waħda li ma kellha x’taqsam xejn ma’ firewalls jew malware.

Il-maniġer tal-marketing li kkummissjona l-għodda ma kellux sorveljanza formali tas-sigurtà. L-inġinier DevOps li ħoloq l-ambjent qabeż il-verifiki standard tas-sigurtà biex jilħaq skadenza stretta. Id-data fil-bucket, għalkemm anonimizzata, kienet sensittiva biżżejjed biex tattiva klawżoli kuntrattwali ta’ notifika ma’ diversi klijenti ewlenin.

Il-kawża ewlenija ma kinitx vulnerabbiltà teknika. Kienet falliment katastrofiku tal-governanza. Maria kellha politiki, kellha għodod u kellha tim b’talent. Dak li kien jonqosha kien qafas ta’ governanza ħaj, applikat u mifhum lil hinn mid-dipartiment tas-sigurtà. Il-kumpanija tagħha kienet konformi fuq il-karta, biċ-ċertifikat ISO/IEC 27001:2022 għadu jidher tajjeb fuq il-ħajt, iżda ma kinitx reżiljenti fil-prattika.

Din hija l-lakuna kritika fejn ħafna organizzazzjonijiet, u s-CISOs tagħhom, jitfixklu. Huma jħawdu l-artefatti tal-governanza, il-politiki u l-listi ta’ kontroll, mal-governanza nnifisha. Dan l-artiklu janalizza fejn ifalli dan il-mod ta’ ħsieb u jipprovdi pjan direzzjonali konkret biex il-konformità fuq il-karta tinbidel f’kontroll tan-negozju sostnut permezz tas-sett integrat ta’ għodod ta’ Clarysec.

Lil hinn mill-folder: definizzjoni ġdida tal-governanza bħala azzjoni

Għal żmien twil wisq, il-governanza ġiet ittrattata bħala nom: ġabra statika ta’ dokumenti maħżuna fuq server. Iżda l-governanza vera tas-sigurtà tal-informazzjoni hija azzjoni. Hija s-sett kontinwu ta’ azzjonijiet li t-tmexxija tieħu biex tidderieġi, timmonitorja u tappoġġja s-sigurtà bħala funzjoni ewlenija tan-negozju. Tfisser li tinħoloq sistema fejn kulħadd, mill-kamra tal-bord sat-tim tal-iżvilupp, jifhem ir-rwol tiegħu fil-protezzjoni tal-assi tal-informazzjoni tal-organizzazzjoni.

Oqfsa minn ISO/IEC 27001:2022 sa NIS2 jibdew minn din il-verità: il-governanza hija funzjoni tal-maniġment, mhux funzjoni teknika. Skont ISO/IEC 27014:2020, it-tmexxija għolja għandha toħloq strateġija tas-sigurtà tal-informazzjoni allinjata mal-għanijiet tal-organizzazzjoni. Din l-istrateġija għandha tiżgura li r-rekwiżiti tas-sigurtà jissodisfaw kemm il-ħtiġijiet interni kif ukoll dawk esterni, inklużi l-impenji legali, regolatorji u kuntrattwali. Biex tivvalida dan, it-tmexxija għandha tikkummissjona awditi indipendenti, trawwem kultura li tappoġġja b’mod attiv is-sigurtà, u tiżgura li l-objettivi, ir-rwoli u r-riżorsi jkunu kkoordinati tajjeb.

Il-problema hija li dan it-“ton mit-tmexxija” spiss ma jissarrafx f’azzjoni fil-livell operattiv. Hawn jidħol fis-seħħ l-aktar kontroll kritiku, u spiss mifhum ħażin: ir-responsabbiltajiet tal-maniġment.

L-effett kaskata: għaliex is-sigurtà ma tistax tieqaf mas-CISO

L-akbar punt wieħed ta’ falliment fi kwalunkwe Sistema ta’ Ġestjoni tas-Sigurtà tal-Informazzjoni (ISMS) huwa s-suppożizzjoni li s-CISO huwa l-uniku responsabbli għas-sigurtà. Fil-verità, is-CISO huwa l-konduttur, iżda l-maniġers ta’ kull unità tan-negozju huma l-mużiċisti. Jekk ma jagħmlux sehemhom, ir-riżultat ikun storbju, mhux armonija.

Dan huwa proprju dak li ISO/IEC 27001:2022 jindirizza fil-kontroll 5.4, “Responsabbiltajiet tal-maniġment.” Dan il-kontroll jeħtieġ li r-responsabbiltajiet tas-sigurtà tal-informazzjoni jiġu assenjati u applikati fl-organizzazzjoni kollha. Kif jenfasizza Zenith Blueprint: Pjan direzzjonali ta’ awditur fi 30 pass tagħna fil-Pass 23, dan il-kontroll huwa dwar li jiġi żgurat li t-tmexxija tas-sigurtà tinżel f’kull saff tal-organizzazzjoni.

“Fl-aħħar mill-aħħar, il-Kontroll 5.4 isaħħaħ li t-tmexxija tas-sigurtà ma tieqafx mas-CISO. Għandha tinżel f’kull saff tal-maniġment operattiv, għaliex is-suċċess jew il-falliment tal-ISMS tiegħek spiss jiddependi mhux fuq politiki jew għodod, iżda fuq jekk il-maniġers humiex qed jippromwovu b’mod attiv is-sigurtà fl-oqsma tagħhom stess.” Zenith Blueprint

Fil-każ ta’ Maria, il-maniġer tal-marketing ra s-sigurtà bħala ostaklu, mhux bħala responsabbiltà kondiviża. L-inġinier DevOps ra skadenza, mhux dmir ta’ kura. Qafas ta’ governanza ħaj kien ikun inkorpora punti ta’ kontroll tas-sigurtà fil-proċess tal-bidu tal-proġett u metriċi tal-prestazzjoni għat-tim DevOps. Dan ibiddel il-governanza minn piż ta’ konformità għal għodda biex jiġi evitat diżastru.

Mit-teorija għall-prattika: bini tal-governanza permezz ta’ politiki azzjonabbli

Politika fuq xkaffa hija artefatt; politika integrata fl-operazzjonijiet ta’ kuljum hija kontroll. Biex il-governanza ssir operattiva, l-organizzazzjonijiet jeħtieġu definizzjoni ċara u bla ambigwità tad-dmirijiet. Il-Governance Roles & Responsibilities Policy tagħna hija mfassla biex tikseb eżattament dan. Wieħed mill-objettivi ewlenin tagħha huwa:

“Li jinżamm mudell ta’ governanza li jinforza s-separazzjoni tad-dmirijiet, jelimina kunflitti ta’ interess, u jippermetti l-eskalazzjoni ta’ kwistjonijiet tas-sigurtà mhux solvuti.” Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza

Din id-dikjarazzjoni tbiddel prinċipju ta’ livell għoli f’rekwiżit konkret u awditjabbli. Toħloq qafas għal responsabbiltà fuq diversi livelli, fejn kull livell tal-maniġment ikun irreġistrat bħala sid tas-sehem tiegħu fil-programm tas-sigurtà. Għal organizzazzjonijiet iżgħar, il-Governance Roles & Responsibilities Policy - SME tissimplifika dan, billi tgħid direttament fil-klawżola 4.3.3 li kull impjegat “Għandu jirrapporta inċidenti u kwistjonijiet ta’ konformità lill-Maniġer Ġenerali immedjatament.” Din iċ-ċarezza tneħħi l-ambigwità u tagħti s-setgħa lil kulħadd jaġixxi.

Ejja nerġgħu lura għall-inċident ta’ Maria u naraw kif setgħet tuża s-sett ta’ għodod ta’ Clarysec biex terġa’ tibni l-approċċ tagħha għall-governanza, u ddawwar falliment reattiv f’sistema proattiva u reżiljenti.

1. Il-politika bħala l-pedament: L-ewwel, kienet timplimenta l-Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza. Flimkien mar-Riżorsi Umani, kienet tintegra dmirijiet speċifiċi tas-sigurtà fid-deskrizzjonijiet tax-xogħol tal-maniġers kollha, mill-marketing sal-finanzi. Dan jagħmel is-sigurtà parti formali mir-rwol tagħhom, mhux ħsieb ta’ wara.

2. Id-definizzjoni tal-“kif”: Imbagħad, kienet tuża l-politika biex tistabbilixxi proċess ċar. Il-Klawżola 7.2.2 tal-politika tgħid, “Ir-riskji relatati mal-governanza għandhom jiġu rieżaminati mill-Kumitat ta’ Tmexxija tal-ISMS u vverifikati matul awditi interni.” Dan joħloq forum formali fejn il-proġett il-ġdid tal-maniġer tal-marketing kien ikun rieżaminat qabel ma jinħoloq kwalunkwe ambjent cloud, u b’hekk tiġi evitata l-konfigurazzjoni ħażina inizjali.

3. Użu tal-intelligence tal-konformità trasversali: Biex tifhem il-kamp ta’ applikazzjoni sħiħ tal-mudell il-ġdid tagħha ta’ governanza, Maria kienet tikkonsulta Zenith Controls: Il-gwida għall-konformità trasversali. Din ir-riżorsa turi kif “Responsabbiltajiet tal-maniġment” (ISO 5.4) mhijiex kompitu iżolat, iżda ċentru li jgħaqqad ma’ kontrolli kritiċi oħra. Pereżempju, turi r-rabta diretta bejn 5.4 u 5.8 (“Sigurtà tal-informazzjoni fil-ġestjoni tal-proġetti”), u tiżgura li l-maniġment jipprovdi s-sorveljanza meħtieġa biex is-sigurtà tiġi inkorporata fl-inizjattivi l-ġodda kollha.

Dan l-approċċ proattiv iċaqlaq il-governanza minn analiżi reattiva ta’ wara l-inċident għal funzjoni li tiffaċilita n-negozju. Jiżgura li meta maniġer ikun irid iniedi għodda ġdida, l-ewwel ħsieb tiegħu ma jkunx “Kif ngħaddi dan mis-sigurtà?” iżda “Ma’ min mit-tim tas-sigurtà għandi nissieħeb?”

L-awditur ġej: kif turi li l-governanza tiegħek hija reali

Awditur kompetenti huwa mħarreġ biex ifittex evidenza tal-implimentazzjoni, kunċett li Zenith Blueprint isejjaħ l-allinjament tal-politika mar-“realtà.” Meta awditur jevalwa l-qafas ta’ governanza tiegħek, mhux biss jaqra dokumenti; jittestja l-memorja operattiva tal-organizzazzjoni tiegħek. Ifittex evidenza li l-governanza hija ħajja, attiva u reattiva.

Awdituri differenti jeżaminaw il-qafas ta’ governanza tiegħek minn angoli differenti. Hawn kif kienu jittestjaw il-mudell il-ġdid u robust ta’ governanza ta’ Maria:

• L-awditur ISO/IEC 27001:2022: Dan l-awditur imur direttament għall-evidenza tal-impenn tat-tmexxija meħtieġa mill-Klawżola 5.1. Jitlob il-minuti tal-laqgħat tar-rieżami tal-maniġment (Klawżola 9.3). Ifittex punti fl-aġenda fejn ġiet diskussa l-prestazzjoni tas-sigurtà, ġew allokati riżorsi u ttieħdu deċiżjonijiet ibbażati fuq evalwazzjonijiet tar-riskju. Irid jara li t-tmexxija mhijiex sempliċement tirċievi rapporti, iżda qed tidderieġi b’mod attiv l-ISMS.

• L-awditur COBIT 2019: Awditur COBIT jaħseb f’termini ta’ għanijiet tal-intrapriża. Jiffoka fuq objettivi ta’ governanza bħal EDM03 (“Ottimizzazzjoni tar-riskju żgurata”). Jitlob jara r-rapporti tar-riskju ppreżentati lill-bord u jkun irid ikun jaf jekk il-maniġment hux qed isegwi indikaturi ewlenin tas-sigurtà u jieħu azzjoni korrettiva meta dawk l-indikaturi juru xejra negattiva. Għalih, il-governanza tfisser li jiġi żgurat li s-sigurtà tippermetti u tipproteġi l-valur tan-negozju.

• L-awditur ISACA: Iggwidat minn oqfsa bħal ITAF, dan l-awditur jiffoka ħafna fuq it-“ton mit-tmexxija.” Jiwettaq intervisti ma’ mexxejja għolja biex jivvaluta l-fehim u l-impenn tagħhom. Rispons bil-mod jew disprezzattiv mill-maniġment għal sejba ta’ awditjar preċedenti huwa sinjal serju ta’ twissija, li jindika kultura dgħajfa ta’ governanza.

• Ir-regolatur NIS2 jew DORA: B’regolamenti bħal NIS2 u DORA, ir-riskju huwa ogħla. Dawn l-oqfsa jqiegħdu responsabbiltà diretta u personali fuq il-korpi tal-maniġment għal fallimenti taċ-ċibersigurtà. Awditur minn awtorità kompetenti jitlob evidenza li l-bord approva l-qafas tal-ġestjoni tar-riskju taċ-ċibersigurtà, issorvelja l-implimentazzjoni tiegħu u rċieva taħriġ speċjalizzat. Ikun qed ifittex prova li l-maniġment mhux biss huwa konxju, iżda involut b’mod attiv u responsabbli.

Biex tissodisfa dawn l-approċċi differenti tal-awditjar, trid tippreżenta aktar minn politiki biss. Għandek bżonn portafoll ta’ evidenza.

Jekk l-evidenza tiegħek tikkonsisti f’PDFs tal-politiki u l-ebda reġistru operattiv, tfalli l-awditjar. Il-gwida Zenith Controls tgħinek tiġbor il-portafoll it-tajjeb biex turi evidenza, mhux biss intenzjoni.

Iċ-ċiklu ta’ feedback: kif l-inċidenti jinbidlu f’reżiljenza

Fl-aħħar mill-aħħar, l-aktar prova b’saħħitha ta’ qafas ta’ governanza reżiljenti hija kif l-organizzazzjoni tirrispondi għall-falliment. Reżiljenza vera tfisser tagħlim, adattament u azzjoni. Kif jgħid Zenith Blueprint meta jiddiskuti l-kontroll 5.24 (“Ippjanar u tħejjija għall-ġestjoni tal-inċidenti tas-sigurtà tal-informazzjoni”):

“Dak li jiddefinixxi organizzazzjoni sigura mhuwiex in-nuqqas ta’ inċidenti, iżda t-tħejjija biex jiġu ttrattati meta jinqalgħu… Dan il-kontroll huwa dwar titjib, mhux biss għeluq. L-awdituri jistaqsu: ‘X’tgħallimtu mill-aħħar inċident tagħkom?’ Jistennew li jaraw analiżi tal-kawża ewlenija, tagħlimiet dokumentati u, l-aktar importanti, evidenza li xi ħaġa nbidlet b’riżultat ta’ dan.”

Fil-każ ta’ Maria, il-“ħaġa li nbidlet” ma kinitx biss regola tal-firewall. Kienet l-implimentazzjoni ta’ proċess ta’ governanza li kien jeħtieġ approvazzjoni formali tal-maniġment għal proġetti ġodda, matriċi RACI ċara għal deplojments fil-cloud u taħriġ obbligatorju fis-sigurtà għat-tim tal-marketing. Il-kapaċità tagħha li turi dan iċ-ċiklu ta’ tagħlim kienet tibdel nuqqas ta’ konformità potenzjalment maġġuri f’evidenza ta’ ISMS matur u li qed jitjieb.

Hawnhekk il-governanza turi l-valur tagħha. Falliment ma jibqax biss problema teknika li trid tissewwa, iżda tagħlima organizzazzjonali li għandha titgħallem u tiġi integrata. Kif tgħid il-Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza fit-taqsima 9.1.1.4, “Sejbiet sinifikanti tal-awditjar jew inċidenti li jinvolvu falliment fil-governanza” ma jintremewx taħt it-tapit; jiġu rieżaminati, eskalati u indirizzati.

Kif il-governanza ssir sostenibbli: ir-rwol tar-responsabbiltà

Anke bl-aħjar politiki u bl-approvazzjoni tal-maniġment, il-governanza tista’ tfalli jekk ma jkunx hemm konsegwenzi għan-nuqqas ta’ konformità. Qafas tassew robust għandu jkun appoġġjat minn proċess dixxiplinari ġust, konsistenti u kkomunikat tajjeb. Dan huwa l-fokus tal-kontroll 6.4 ta’ ISO/IEC 27001:2022, “Proċess dixxiplinari.”

Dan il-kontroll jiżgura li r-regoli tal-ISMS ma jkunux fakultattivi. Jipprovdi l-mekkaniżmu ta’ infurzar li juri l-impenn tat-tmexxija għas-sigurtà. Kif spjegat f’Zenith Controls, dan il-proċess huwa trattament tar-riskju kritiku għal theddid intern u negliġenza. Jaħdem flimkien ma’ kontrolli oħra: attivitajiet ta’ monitoraġġ (8.16) jistgħu jidentifikaw ksur tal-politika, filwaqt li l-proċess dixxiplinari (6.4) jiddetta r-rispons formali.

“Azzjonijiet dixxiplinarji huma aktar difensibbli meta l-impjegati jkunu ġew imħarrġa b’mod adegwat u jkunu saru konxji mir-responsabbiltajiet tagħhom. Il-Kontroll 6.4 jiddependi fuq 6.3 (sensibilizzazzjoni, edukazzjoni u taħriġ fis-sigurtà tal-informazzjoni) biex jiżgura li l-persunal ma jistax jiddikjara li ma kienx jaf bil-politiki li kiser.”

Awditur jiċċekkja li dan il-proċess jiġi applikat b’mod konsistenti fil-livelli kollha, u jiżgura li eżekuttiv għoli li jikser il-politika tal-mejda nadifa jkun suġġett għall-istess proċess bħal intern. Din hija l-aħħar ħolqa fil-katina, li tbiddel il-governanza minn gwida għal standard infurzabbli.

Il-mappa unifikata tal-konformità: veduta waħda tal-governanza

Il-pressjoni tal-governanza moderna hija li qatt ma teżisti f’qafas wieħed biss. Regolamenti bħal NIS2 u DORA għollew ir-responsabbiltà tal-maniġment minn prattika tajba għal mandat legali b’responsabbiltà personali. CISO reżiljenti għandu jkun kapaċi juri l-governanza b’mod li jissodisfa diversi awdituri fl-istess ħin.

Din it-tabella unifikata, derivata mill-immappjar f’Zenith Controls, turi kif il-prinċipju tar-responsabbiltà tal-maniġment huwa rekwiżit universali fost oqfsa ewlenin.

Il-konklużjoni hija ċara: l-awdituri kollha, irrispettivament mill-qafas tagħhom, qed jikkonverġu fuq l-istess talba: “Urini l-governanza fl-azzjoni.”

Konklużjoni: kif il-governanza tinbidel minn kaxxa ta’ kontroll għal kumpass

Il-verità skomda hija li organizzazzjonijiet “konformi” jinkisru kuljum. Organizzazzjonijiet “reżiljenti”, iżda, jibqgħu joperaw u jadattaw. Ir-reżiljenza teħtieġ integrazzjoni profonda tal-politika, it-teknoloġija u sjieda eżekuttiva vera. Mhijiex parata ta’ formoli, iżda kultura fejn is-sigurtà u l-istrateġija tan-negozju jimxu id f’id.

Ibda billi tistaqsi l-mistoqsijiet diffiċli:

1. It-tmexxija tas-sigurtà tagħna hija viżibbli? Maniġers barra l-funzjoni tas-sigurtà jipparteċipaw b’mod attiv fid-deċiżjonijiet dwar ir-riskju?
2. Ir-responsabbiltajiet huma ċari? Kull maniġer jista’ jispjega d-dmirijiet speċifiċi tiegħu għall-protezzjoni tal-informazzjoni fil-qasam tiegħu?
3. Il-governanza hija integrata? Il-kunsiderazzjonijiet tas-sigurtà huma mibnija fil-ġestjoni tal-proġetti, fl-akkwist u fil-proċessi tar-Riżorsi Umani tagħna mill-bidu nett?
4. Nitgħallmu mill-iżbalji tagħna? Meta jseħħ inċident, dan jiskatta rieżami tal-qafas ta’ governanza tagħna, mhux biss tal-kontrolli tekniċi tagħna?

Id-differenza bejn li tgħaddi minn inċident u li tfalli taħt skrutinju regolatorju tiddependi fuq kemm il-governanza hija minsuġa fil-mod kif jaħdmu l-operazzjonijiet tiegħek. Hija l-kumpass li jiggwida lill-organizzazzjoni tiegħek fl-inċertezza. Fil-mument tal-kriżi, governanza reali biss tkun bejn il-konformità u l-katastrofi.

Passi li jmiss: agħmel ir-reżiljenza tiegħek miżurabbli

• Uża Zenith Blueprint biex tagħmel verifika tar-realtà fuq ir-responsabbiltà tal-maniġment tiegħek u tiżgura li s-sigurtà għandha viżibbiltà fin-negozju kollu.
• Implimenta l-politiki ta’ Clarysec bħall-Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza bħala dokumenti ħajjin li jmexxu t-taħriġ, l-eskalazzjoni u l-korrezzjoni.
• Uża Zenith Controls biex tiżgura li tkun lest għall-awditjar f’ISO/IEC 27001:2022, NIS2, DORA u aktar, b’immappjar konkret u pakketti ta’ evidenza.

Lest li tevolvi l-governanza tiegħek minn kaxxa ta’ kontroll għal kumpass? Ibbukkja rieżami tal-governanza tal-ISMS ma’ Clarysec u poġġi lit-tim eżekuttiv tiegħek verament fis-siġġu tas-sewwieq.

Referenzi:

• Zenith Blueprint: Pjan direzzjonali ta’ awditur fi 30 pass
• Zenith Controls: Il-gwida għall-konformità trasversali
• Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza
• Politika dwar ir-Rwoli u r-Responsabbiltajiet tal-Governanza - SME
• ISO/IEC 27001:2022, ISO/IEC 27014:2020, ISO/IEC 27005:2022, DORA, NIS2, GDPR, NIST SP 800-53 Rev.5, COBIT 2019.